3pr.... havěti

[profeek05]

Zdravím všechny, kteří to budou číst či se tím i zabývat.

Před cca 10ti dny se při vypínání Windowsu vždy nechtěl ukončit program qtplugin.exe a počítač šel vypnout až po jeho násilném ukončení. Googlil jsem co je to zač, kde se vzal a došel jsem k tomu, že pokud to není Quick Time plugin (zřejmě do Firefoxe?), tak je to nějaká havěť. Quick Time v tomto PC není a ani nebyl a FF se už dávno nepoužívá, tak jsem si troufl použít zaklínadlo SHIFT+DEL Nevím jestli to tak bylo správné, ale konkrétně tento program blbnout přestal (co mu taky zbylo) a nepozoroval jsem žádné negativní změny v PC.

Nedalo mi to a po pár dnech (přístup k PC o kterém se zde mluví mám vždy jen několik dnů v týdnu) jsem nainstaloval a spustil Kaspersky Virus Removal Tool. Nalezlo to asi 8 kousků nějakého W32.Backdoor a Bredolab.něco (nebo to možná byl jeden delší název, už si to nepamatuju), další havěť v svchostu a nevím co ještě.. celkem něco přes 10 ks. Zmíněný tool byl ale od té doby už asi 5x přeinstalován na aktuální verzi, takže log z tohoto prvního scanu bohužel už nemám (jestli je někde zahrabaný a dá se nalézt, poraďte kde!). Za zmínku by asi ještě stálo, že v tomto PC je standartně NOD32 (Trial), který před scany VRT nenašel vůbec nic (možná díky něčemu s názvem ..AntiAV.. ? - smazáno po prvním scanu). Krátce po odstranění první várky havěti a restartu už Win nenaběhl a já na dvou NTB bez disketovky sháněl něco k nabootování. Zdařilo se a i přes Win32/Olmarik.ADA v Boot sektoru naběhne Windows normálně, alespoň tedy do té doby, dokud je v mechanice CD. Následoval opět scan VRT, nebo AVPTool chcete-li, kde již našel výše zmíněný dáreček v Boot sektoru a smazal ho. Alespoň to tvrdil. NOD se už probral a sám našel pár souborů v Temp a System32, které hned mazal. Vypadalo to, že se situace ubírá k lepšímu, ale do PC se mezitím díky trojanům natahala další havěť a zpomalila ho takovým způsobem, že po kliknutí na Tento počítač musíte pár minut čekat než se otevře, to samé při prolézání dál. Ve správci úloh ale mezi procesy neběží nic moc nenormálního, pokud je tedy normální že je tam svchost i více než 10x a polovina z nich žere čím dál tím víc, až tak k 35 000 kB. Nezdálo se mi snad jedině sishzm32.exe.

Do toho se něco zaměřilo na Flash disky způsobem: vytvoří se autorun.inf který zase hned zmizí, po něm složka RECYCLER kvůli které začne šílet NOD a když ten nalezenou havěť smaže, tak na Flashce zůstanou jen "zástupci" s názvy Copy of Shortcut to (1-x).lnk. Ty opět smaže, je chvíli klid a po určité době se od toho autorunu zase vše opakuje. NOD tuhle aktivitu na flashkách detekuje jako Win32/Ramnit.A.Gen, po odstranění a znovunalezení v Recycleru jako Win32/Ramnit.F a za ty "zástupce" má být odpovědný LNK/Autostart.A aka Stuxnet.A. Léčit nelze, mazat ho můžu donekonečna, po chvíli je vše zpět.

Momentálně jede PC o něco rychleji, tak ho zkouším projet HJT, RSIT a MBAMem o kterých se zde na fóru často zmiňujete. Zatím přikládám alespoň log z RSIT+HJT.

Shrnutí situace: qtplugin.exe je v PC opět, Win32/Ramnit.A.Gen nelze NODem smazat a ani zastavit, pokud mu neseberete flash disky. O MBAM.exe se začal mezitím co pracuje zajímat i ten Ramnit.A. Win32/Olmarik.ADA se po odstranění zanedlouho vrátil, takže je v mechanice stále CD aby vůbec naběhl Windows. AVPTool již nelze nainstalovat. Počítač běží rychle jen pokud není zapnutý příliš dlouho (cca 6 h a déle). Našel jsem nějaké postupy jak se zbavit toho LNK/Autostart.A i Ramnitu, tak ještě vyzkouším, dokud je vůbec možné s tím pracovat, každopádně si ale nechám rád s celým problémem poradit. Nejsem žádný odborník a doufám že jsem to popsal alespoň trochu srozumitelně.

PC o kterém je řeč je starší sestava P4 asi z roku 2002 s Win XP Pro SP3, takže žádný div že je tak zpomalený. Důležitá data jsme z něj vytáhli ještě dokud to šlo bez problémů a už je pomalu na cestě nový - mluvilo se o tom rok, tak konečně došlo na činy, tudíž není "životně" nutné tenhle starý zachránit. Nicméně se mi nechce zbytek jen tak zahodit, resp. naformátovat (a až pak zahodit ).

Pozn.: něco během svého působení také smazalo soubory důležité pro spuštění Opery - nechápu co proti ní kdo měl, ale najednou prostě část zmizela ..

Log z RSIT (bez HJT, PC byl odpojen od netu)

Logfile of random's system information tool 1.08 (written by random/random)
Run by roman at 2010-12-07 17:45:34
Systém Microsoft Windows XP Professional Service Pack 3
System drive C: has 157 GB (87%) free of 180 GB
Total RAM: 511 MB (14% free)

HijackThis download failed

======Scheduled tasks folder======

C:\windows\tasks\1-Click Maintenance.job
C:\windows\tasks\dfrg.job
C:\windows\tasks\GoogleUpdateTaskMachineCore.job
C:\windows\tasks\GoogleUpdateTaskMachineUA.job
C:\windows\tasks\Odinstalovat připomínání vypršení lhůty.job
C:\windows\tasks\Optimalizovat spouštění aplikace.job
C:\windows\tasks\Úklid 1 klepnutím.job

======Registry dump======

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}]
Podpora odkazu pro Adobe PDF Reader - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll [2006-10-22 62080]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
{327C2873-E90D-4c37-AA9D-10AC9BABA46C} - Easy-WebPrint - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll [2004-08-26 405504]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"Easy-PrintToolBox"=C:\Program Files\Canon\Easy-PrintToolBox\BJPSMAIN.EXE [2004-01-14 409600]
"Adobe Reader Speed Launcher"=C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe [2008-01-11 39792]
"NeroFilterCheck"=C:\WINDOWS\system32\NeroCheck.exe [2006-01-12 155648]
"InCD"=C:\Program Files\Ahead\InCD\InCD.exe [2005-06-17 1397760]
"NvCplDaemon"=C:\WINDOWS\system32\NvCpl.dll [2006-10-22 7700480]
"NvMediaCenter"=C:\WINDOWS\system32\NvMcTray.dll [2006-10-22 86016]
"BrMfcWnd"=C:\Program Files\Brother\Brmfcmon\BrMfcWnd.exe [2007-11-05 741376]
"ControlCenter3"=C:\Program Files\Brother\ControlCenter3\brctrcen.exe [2007-10-30 77824]
"egui"=C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe [2008-07-01 1447168]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"ctfmon.exe"=C:\windows\system32\ctfmon.exe [2008-04-14 15360]
"SoftAuto.exe"=C:\Program Files\Creative\Software Update 3\SoftAuto.exe [2008-08-13 405504]
"svchost"=C:\windows\Application Data\svchost.exe [2010-12-05 183296]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KernelFaultCheck]
C:\windows\system32\dumprep 0 -k []

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\nwiz]
nwiz.exe /install []

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RegistryMonitor1]
C:\windows\system32\qtplugin.exe []

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^roman^Nabídka Start^Programy^Po spuštění^setup_9.0.0.722_28.11.2010_14-17.lnk]
C:\DOCUME~1\roman\Plocha\VIRUSR~1\SETUP_~1.201\startup.exe [2009-10-01 72208]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"aswUpdSv"=2

C:\Documents and Settings\roman\Nabídka Start\Programy\Po spuštění
Adobe Gamma.lnk - C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
sishzm32.exe

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\AtiExtEvent]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\WgaLogon]
C:\windows\system32\WgaLogon.dll [2008-09-05 267304]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll [2006-10-18 133632]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\network\UploadMgr]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"dontdisplaylastusername"=0
"legalnoticecaption"=
"legalnoticetext"=
"shutdownwithoutlogon"=1
"undockwithoutlogon"=1

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
"NoDriveTypeAutoRun"=255

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
"HonorAutoRunSetting"=1
"NoDriveTypeAutoRun"=255

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"C:\Program Files\Internet Explorer\iexplore.exe"="C:\Program Files\Internet Explorer\iexplore.exe:*:Enabled:Internet Explorer"
"F:\APConf.exe"="F:\APConf.exe:*:Disabled:APConf"
"E:\Program Files\Nová složka\Vidomi\slave.exe"="E:\Program Files\Nová složka\Vidomi\slave.exe:*:Disabled:slave"
"E:\Program Files\totalcmd\TOTALCMD.EXE"="E:\Program Files\totalcmd\TOTALCMD.EXE:*:Disabled:Total Commander 32 bit international version, file manager replacement for Windows"
"C:\WINDOWS\system32\sessmgr.exe"="C:\WINDOWS\system32\sessmgr.exe:*:Disabled:@xpsp2res.dll,-22019"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Program Files\Opera\opera.exe"="C:\Program Files\Opera\opera.exe:*:Enabled:Opera Internet Browser"
"C:\Program Files\Google\Google Earth\client\googleearth.exe"="C:\Program Files\Google\Google Earth\client\googleearth.exe:*:Enabled:Google Earth"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"

======List of files/folders created in the last 1 months======

2010-12-07 17:45:34 ----D---- C:\rsit
2010-12-07 17:45:12 ----D---- C:\Program Files\Trend Micro
2010-12-06 08:28:15 ----A---- C:\windows\system32\drivers\72128052.sys
2010-12-06 08:28:08 ----A---- C:\windows\system32\drivers\72128051.sys
2010-12-06 08:28:02 ----A---- C:\windows\system32\drivers\7212805.sys
2010-12-05 17:07:34 ----ASH---- C:\hiberfil.sys
2010-12-05 16:27:44 ----A---- C:\windows\ntbtlog.txt
2010-12-05 16:23:23 ----D---- C:\Program Files\FygtZVHnĄZ”Ëaoxpnnfr.exe
2010-11-30 19:41:31 ----D---- C:\windows\Application Data\Registry Mechanic
2010-11-30 19:30:21 ----AD---- C:\Documents and Settings\All Users\Data aplikací\TEMP
2010-11-30 11:41:01 ----A---- C:\windows\Application Data\svchost.exe
2010-11-28 14:33:04 ----A---- C:\windows\system32\drivers\67196152.sys
2010-11-28 14:33:04 ----A---- C:\windows\system32\drivers\67196151.sys
2010-11-28 14:33:04 ----A---- C:\windows\system32\drivers\6719615.sys

======List of files/folders modified in the last 1 months======

2010-12-07 17:45:40 ----D---- C:\windows\Prefetch
2010-12-07 17:45:23 ----SHD---- C:\windows\Installer
2010-12-07 17:45:22 ----SHD---- C:\Config.Msi
2010-12-07 17:45:21 ----D---- C:\windows\Temp
2010-12-07 17:45:12 ----RAD---- C:\Program Files
2010-12-07 17:11:33 ----D---- C:\windows\system32\ias
2010-12-07 17:11:13 ----D---- C:\WINDOWS
2010-12-07 17:11:01 ----D---- C:\windows\Application Data\WTablet
2010-12-06 23:02:05 ----A---- C:\windows\SchedLog.Txt
2010-12-06 23:02:03 ----D---- C:\windows\system32\CatRoot2
2010-12-06 08:34:16 ----D---- C:\windows\system32\drivers
2010-12-06 08:34:15 ----HD---- C:\windows\inf
2010-12-06 08:00:28 ----ASH---- C:\boot.ini
2010-12-06 08:00:28 ----A---- C:\windows\win.ini
2010-12-06 08:00:28 ----A---- C:\windows\system.ini
2010-12-05 17:38:25 ----D---- C:\windows\system32
2010-12-05 17:07:44 ----SHD---- C:\windows\CSC
2010-12-05 17:05:20 ----D---- C:\windows\pss
2010-12-05 16:28:17 ----D---- C:\Program Files\Internet Explorer
2010-12-05 16:23:26 ----D---- C:\Program Files\Opera
2010-12-01 20:16:40 ----D---- C:\windows\Application Data\.purple
2010-11-30 21:48:44 ----D---- C:\windows\Minidump
2010-11-30 20:14:29 ----RD---- C:\Program Files\Common Files
2010-11-30 20:08:14 ----SD---- C:\windows\Tasks
2010-11-30 20:00:42 ----D---- C:\SESSION
2010-11-30 19:41:31 ----RHD---- C:\windows\Application Data
2010-11-28 16:34:00 ----D---- C:\Program Files\PokerStars
2010-11-28 14:40:22 ----SHD---- C:\System Volume Information
2010-11-24 20:16:47 ----A---- C:\windows\NeroDigital.ini
2010-11-10 13:43:43 ----D---- C:\windows\Debug
2010-11-10 13:43:13 ----A---- C:\windows\system32\MRT.exe

======List of drivers (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======

R0 67196152;67196152 Boot Guard Driver; C:\windows\system32\DRIVERS\67196152.sys [2009-10-22 37392]
R0 72128052;72128052 Boot Guard Driver; C:\windows\system32\DRIVERS\72128052.sys [2009-10-22 37392]
R0 prohlp02;StarForce Protection Helper Driver v2; C:\windows\System32\drivers\prohlp02.sys [2003-09-06 62656]
R0 prosync1;StarForce Protection Synchronization Driver v1; C:\windows\System32\drivers\prosync1.sys [2003-09-06 6944]
R0 PxHelp20;PxHelp20; C:\windows\System32\DRIVERS\PxHelp20.sys [2003-10-28 20016]
R0 sfhlp01;StarForce Protection Helper Driver; C:\windows\System32\drivers\sfhlp01.sys [2003-09-06 4832]
R0 sisagp;SiS AGP Filter; C:\windows\system32\DRIVERS\SISAGPX.sys [2003-07-18 36992]
R0 SiSide;SiSide; C:\windows\System32\DRIVERS\siside.sys [2003-03-25 4096]
R0 sisidex;sisidex; C:\windows\system32\drivers\sisidex.sys [2002-10-17 49024]
R0 sisperf;Add Performance Filter Driver; C:\windows\system32\drivers\sisperf.sys [2002-08-20 9472]
R0 WudfPf;Windows Driver Foundation - User-mode Driver Framework Platform Driver; C:\windows\system32\DRIVERS\WudfPf.sys [2006-09-28 77568]
R1 67196151;67196151; C:\windows\system32\DRIVERS\67196151.sys [2009-09-25 128016]
R1 72128051;72128051; C:\windows\system32\DRIVERS\72128051.sys [2009-09-25 128016]
R1 easdrv;easdrv; C:\windows\system32\DRIVERS\easdrv.sys [2008-07-01 53256]
R1 epfwtdir;epfwtdir; C:\windows\system32\DRIVERS\epfwtdir.sys [2008-07-01 34312]
R1 InCDPass;InCDPass; C:\windows\System32\DRIVERS\InCDPass.sys [2005-06-17 29696]
R1 incdrm;InCD Reader; C:\windows\system32\drivers\incdrm.sys [2005-06-17 28160]
R1 kbdhid;Ovladač klávesnice standardu HID; C:\windows\system32\DRIVERS\kbdhid.sys [2008-04-14 14592]
R1 prodrv06;StarForce Protection Environment Driver v6; C:\windows\System32\drivers\prodrv06.sys [2003-09-06 51744]
R1 setup_9.0.0.722_06.12.2010_08-19drv;setup_9.0.0.722_06.12.2010_08-19drv; C:\windows\system32\DRIVERS\7212805.sys [2009-10-09 315408]
R1 setup_9.0.0.722_28.11.2010_14-17drv;setup_9.0.0.722_28.11.2010_14-17drv; C:\windows\system32\DRIVERS\6719615.sys [2009-10-09 315408]
R1 WS2IFSL;Podpůrné prostředí zprostředkovatele služeb Windows Socket 2.0 bez podpory IFS; C:\windows\System32\drivers\ws2ifsl.sys [2001-10-25 12032]
R2 Angelnt;Angelnt; C:\windows\System32\Drivers\ANGELNT.SYS [2004-02-16 39296]
R2 Aspi32;Aspi32; C:\windows\system32\drivers\Aspi32.sys [1997-12-23 23936]
R2 eamon;EAMON; C:\windows\system32\DRIVERS\eamon.sys [2008-07-01 39944]
R2 NwlnkIpx;Transportní protokol kompatibilní s NWLink IPX/SPX/NetBIOS; C:\windows\system32\DRIVERS\nwlnkipx.sys [2008-04-14 88320]
R2 NwlnkNb;Služba NWLink pro rozhraní NetBIOS; C:\windows\system32\DRIVERS\nwlnknb.sys [2001-10-25 63232]
R2 NwlnkSpx;Protokol NWLink SPX/SPXII; C:\windows\system32\DRIVERS\nwlnkspx.sys [2001-10-25 55936]
R2 SVKP;SVKP; \??\C:\WINDOWS\system32\SVKP.sys []
R3 cmuda;C-Media WDM Audio Interface; C:\windows\system32\drivers\cmuda.sys [2004-01-08 812416]
R3 GEARAspiWDM;GEARAspiWDM; C:\windows\System32\Drivers\GEARAspiWDM.sys [2006-09-19 15664]
R3 mouhid;Ovladač myši standardu HID; C:\windows\system32\DRIVERS\mouhid.sys [2001-10-24 12160]
R3 ms_mpu401;Microsoft MPU-401 MIDI UART Driver; C:\windows\system32\drivers\msmpu401.sys [2001-08-17 2944]
R3 nv;nv; C:\windows\system32\DRIVERS\nv4_mini.sys [2006-10-22 3994624]
R3 rtl8139;Realtek RTL8139(A/B/C)-based PCI Fast Ethernet Adapter NT Driver; C:\windows\system32\DRIVERS\RTL8139.SYS [2004-08-03 20992]
R3 USBSTOR;Ovladač velkokapacitního paměťového zařízení USB; C:\windows\System32\DRIVERS\USBSTOR.SYS [2008-04-14 26368]
R3 wacommousefilter;Wacom Mouse Filter Driver; C:\windows\system32\DRIVERS\wacommousefilter.sys [2007-02-16 11312]
R3 wacomvhid;Wacom Virtual Hid Driver; C:\windows\system32\DRIVERS\wacomvhid.sys [2008-07-11 13352]
R3 WacomVKHid;Virtual Keyboard Driver; C:\windows\system32\DRIVERS\WacomVKHid.sys [2007-02-16 11440]
R4 InCDfs;InCD File System; C:\windows\system32\drivers\InCDfs.sys [2005-06-17 99584]
S1 SASKUTIL;SASKUTIL; \??\C:\Program Files\SUPERAntiSpyware\SASKUTIL.sys []
S3 AgereSoftModem;Microcom InPorte Home; C:\windows\System32\DRIVERS\AGRSM.sys [2002-09-25 1141248]
S3 BrScnUsb;Brother USB Still Image driver; C:\windows\system32\DRIVERS\BrScnUsb.sys [2004-10-15 15295]
S3 btaudio;Bluetooth Audio Device; C:\windows\system32\drivers\btaudio.sys []
S3 BTDriver;Bluetooth Virtual Communications Driver; C:\windows\system32\DRIVERS\btport.sys []
S3 BTKRNL;Bluetooth Bus Enumerator; C:\windows\system32\DRIVERS\btkrnl.sys []
S3 BTWDNDIS;Bluetooth LAN Access Server; C:\windows\system32\DRIVERS\btwdndis.sys []
S3 btwmodem;Bluetooth Modem; C:\windows\system32\DRIVERS\btwmodem.sys [2005-05-31 30189]
S3 BTWUSB;WIDCOMM USB Bluetooth Driver; C:\windows\System32\Drivers\btwusb.sys []
S3 dot4;Ovladač MS IEEE-1284.4; C:\windows\system32\DRIVERS\Dot4.sys [2008-04-14 206976]
S3 Dot4Print;Ovladač třídy tiskárny standardu IEEE-1284.4; C:\windows\system32\DRIVERS\Dot4Prt.sys [2001-08-17 12928]
S3 Dot4Scan;Ovladač třídy skeneru standardu IEEE-1284.4; C:\windows\system32\DRIVERS\Dot4Scan.sys [2001-08-17 8704]
S3 dot4usb;Filtr Dot4USB Dot4USB Filter; C:\windows\system32\DRIVERS\dot4usb.sys [2001-10-24 23808]
S3 ENTECH;ENTECH; \??\C:\WINDOWS\System32\DRIVERS\ENTECH.SYS []
S3 genmcmn;Scroll Mouse Driver; C:\windows\System32\DRIVERS\gmfiltr.sys []
S3 HidUsb;Ovladač třídy standardu HID; C:\windows\system32\DRIVERS\hidusb.sys [2008-04-14 10368]
S3 MemStPCI;Řadič Sony Memory Stick (PCI); C:\windows\system32\DRIVERS\MemStPCI.SYS [2008-04-14 26112]
S3 MODEMCSA;Unimodem Streaming Filter Device; C:\windows\system32\drivers\MODEMCSA.sys [2001-08-17 16128]
S3 ROOTMODEM;Microsoft Legacy Modem Driver; C:\windows\System32\Drivers\RootMdm.sys [2001-10-25 5888]
S3 Ser2pl;MAT Serial port driver; C:\windows\system32\DRIVERS\ser2pl.sys [2001-03-29 45860]
S3 SONYPVU1;Sony USB Filter Driver (SONYPVU1); C:\windows\system32\DRIVERS\SONYPVU1.SYS [2001-08-17 7552]
S3 usbccgp;Obecný nadřazený ovladač Microsoft USB; C:\windows\system32\DRIVERS\usbccgp.sys [2008-04-14 32128]
S3 usbprint;Třída USB Printer; C:\windows\System32\DRIVERS\usbprint.sys [2008-04-14 25856]
S3 usbscan;Ovladač skeneru USB; C:\windows\system32\DRIVERS\usbscan.sys [2008-04-14 15104]
S3 wacmoumonitor;Wacom Mode Helper; C:\windows\system32\DRIVERS\wacmoumonitor.sys [2008-10-06 15656]
S3 WpdUsb;WpdUsb; C:\windows\system32\DRIVERS\wpdusb.sys [2006-10-18 38528]
S3 WudfRd;Windows Driver Foundation - User-mode Driver Framework Reflector; C:\windows\system32\DRIVERS\wudfrd.sys [2006-09-28 82944]

======List of services (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======

R2 CTDevice_Srv;CT Device Query service; C:\Program Files\Creative\Shared Files\CTDevSrv.exe [2007-04-02 61440]
R2 ekrn;Eset Service; C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe [2008-07-01 468224]
R2 InCDsrv;InCD Helper; C:\Program Files\Ahead\InCD\InCDsrv.exe [2005-06-17 870400]
R2 InterBaseGuardian;InterBase Guardian; C:\Program Files\Inter Base 6\bin\ibguard.exe [2001-01-05 22016]
R2 LightScribeService;LightScribeService Direct Disc Labeling Service; C:\Program Files\Common Files\LightScribe\LSSrvc.exe [2005-06-20 53248]
R2 MDM;Machine Debug Manager; C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe [2001-02-23 270336]
R2 NVSvc;NVIDIA Display Driver Service; C:\windows\system32\nvsvc32.exe [2006-10-22 159810]
R2 TabletServiceWacom;TabletServiceWacom; C:\WINDOWS\system32\Wacom_Tablet.exe [2009-03-27 2789672]
R2 WudfSvc;Windows Driver Foundation - User-mode Driver Framework; C:\windows\system32\svchost.exe [2008-04-14 14336]
R3 InterBaseServer;InterBase Server; C:\Program Files\Inter Base 6\bin\ibserver.exe [2001-01-05 1701888]
S2 CCALib8;Canon Camera Access Library 8; C:\Program Files\Canon\CAL\CALMAIN.exe [2005-09-30 96341]
S2 gupdate;Služba Google Update (gupdate); C:\Program Files\Google\Update\GoogleUpdate.exe [2010-03-01 135664]
S2 InCDsrvR;InCD Helper (read only); C:\Program Files\Ahead\InCD\InCDsrv.exe [2005-06-17 870400]
S3 Adobe LM Service;Adobe LM Service; C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe [2009-02-25 72704]
S3 aspnet_state;ASP.NET State Service; C:\windows\Microsoft.NET\Framework\v1.1.4322\aspnet_state.exe [2004-07-15 32768]
S3 CTUPnPSv;Creative Centrale Media Server; C:\Program Files\Creative\Creative Centrale\CTUPnPSv.exe [2008-05-21 64000]
S3 EhttpSrv;Eset HTTP Server; C:\Program Files\ESET\ESET NOD32 Antivirus\EHttpSrv.exe [2008-07-01 19200]
S3 IDriverT;InstallDriver Table Manager; C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe [2004-10-22 73728]
S3 WMPNetworkSvc;Služba Windows Media Player Network Sharing; C:\Program Files\Windows Media Player\WMPNetwk.exe [2007-01-05 913920]

-----------------EOF-----------------

Btw. ve složce C:\Program Files\FygtZVHnĄZ”Ëaoxpnnfr.exe zmíněné v logu ^ byl soubor aoxpnnfr.exe. Všiml jsem si toho akorát chvíli po vytvoření logu. SHIFT+DEL.

[profeek05]

Samostatný log z HJT:

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 17:55:58, on 7.12.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\windows\System32\smss.exe
C:\windows\system32\csrss.exe
C:\windows\system32\winlogon.exe
C:\windows\system32\services.exe
C:\windows\system32\lsass.exe
C:\windows\system32\svchost.exe
C:\windows\system32\svchost.exe
C:\windows\System32\svchost.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\windows\system32\svchost.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\windows\Explorer.EXE
C:\Program Files\Internet Explorer\iexplore.exe
C:\windows\System32\svchost.exe
C:\windows\System32\svchost.exe
C:\windows\system32\spoolsv.exe
C:\Program Files\Google\Update\GoogleUpdate.exe
C:\Program Files\Creative\Shared Files\CTDevSrv.exe
C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
C:\Program Files\Inter Base 6\bin\ibguard.exe
C:\Program Files\Common Files\LightScribe\LSSrvc.exe
C:\Program Files\Ahead\InCD\InCD.exe
C:\Program Files\Brother\Brmfcmon\BrMfcWnd.exe
C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe
C:\windows\system32\ctfmon.exe
C:\Program Files\Creative\Software Update 3\SoftAuto.exe
C:\windows\Application Data\svchost.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\Documents and Settings\roman\Nabídka Start\Programy\Po spuštění\sishzm32.exe
C:\windows\system32\nvsvc32.exe
C:\Program Files\Brother\ControlCenter3\brccMCtl.exe
C:\windows\System32\svchost.exe
C:\WINDOWS\system32\Wacom_Tablet.exe
C:\Program Files\Brother\Brmfcmon\BrMfcmon.exe
C:\WINDOWS\system32\WTablet\Wacom_TabletUser.exe
C:\WINDOWS\system32\Wacom_Tablet.exe
C:\Program Files\Inter Base 6\bin\ibserver.exe
C:\Program Files\Trend Micro\HiJackThis\HiJackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.cz/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,,C:\Program Files\FygtZVHnĄZ”Ëaoxpnnfr.exe\aoxpnnfr.exe
O2 - BHO: Podpora odkazu pro Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Program Files\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Program Files\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [BrMfcWnd] C:\Program Files\Brother\Brmfcmon\BrMfcWnd.exe /AUTORUN
O4 - HKLM\..\Run: [ControlCenter3] C:\Program Files\Brother\ControlCenter3\brctrcen.exe /autorun
O4 - HKLM\..\Run: [egui] "C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice
O4 - HKCU\..\Run: [ctfmon.exe] C:\windows\system32\ctfmon.exe
O4 - HKCU\..\Run: [SoftAuto.exe] "C:\Program Files\Creative\Software Update 3\SoftAuto.exe"
O4 - HKCU\..\Run: [svchost] C:\windows\Application Data\svchost.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Startup: sishzm32.exe
O8 - Extra context menu item: &Vyhledat - file://C:\Program Files\Dynamic Toolbar\VOLNY\najdito.htm
O8 - Extra context menu item: E&xportovat do aplikace Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Easy-WebPrint Add To Print List - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Easy-WebPrint High Speed Print - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint Preview - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint Print - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O9 - Extra button: Eurotran XP - {230D1201-7607-4CF6-A11F-9E4BF0A333E0} - C:\Program Files\Eurotran XP\etnxp.dll
O9 - Extra button: (no name) - {2C73F784-D2DE-4422-B070-2E3332FE5744} - C:\Program Files\Eurotran XP\etnxp.dll
O9 - Extra 'Tools' menuitem: Eurotran XP... - {2C73F784-D2DE-4422-B070-2E3332FE5744} - C:\Program Files\Eurotran XP\etnxp.dll
O9 - Extra button: VOLNÝ - {5A19F1FE-2A05-438c-BE6E-7D23266193E8} - http://web.volny.cz/ (file missing)
O9 - Extra 'Tools' menuitem: VOLNÝ - {5A19F1FE-2A05-438c-BE6E-7D23266193E8} - http://web.volny.cz/ (file missing)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra button: Trashcan - {072F3B8A-2DA2-40e2-B841-88899F240200} - E:\PROGRA~1\OUTPOS~1.0\trash.exe (file missing) (HKCU)
O9 - Extra 'Tools' menuitem: Show Trashcan - {072F3B8A-2DA2-40e2-B841-88899F240200} - E:\PROGRA~1\OUTPOS~1.0\trash.exe (file missing) (HKCU)
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.atlas.cz/
O16 - DPF: Garmin Communicator Plug-In - https://my.garmin.com/static/m/cab/2.8. ... ontrol.CAB
O16 - DPF: GEMINI IBS 31 RZB Applet Security - https://ibs.rb.cz/IB/bin/IBS31-RZB-aplsec-3.5.0.0.cab
O16 - DPF: GEMINI IBS 31 RZB Applet Utilities - https://ibs.rb.cz/IB/bin/IBS31-RZB-aplu ... .99.99.cab
O16 - DPF: IAIK Java Cryptography Extension - https://ibs.rb.cz/bin/IAIK-99.99.99.99.cab
O16 - DPF: {093F9CF8-0DE1-491C-95D5-5EC257BD4CA3} - http://akamai.downloadv3.com/binaries/I ... _EN_XP.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/microso ... 0715229517
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microso ... 0715221085
O16 - DPF: {D7B59209-0ED9-4986-BD4A-527BE836C6B2} - http://akamai.downloadv3.com/binaries/D ... 048_XP.cab
O16 - DPF: {E77C0D62-882A-456F-AD8F-7C6C9569B8C7} (ActiveDataObj Class) - https://www-secure.symantec.com/region/ ... veData.cab
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\windows\System32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\windows\System32\browseui.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Program Files\Canon\CAL\CALMAIN.exe
O23 - Service: CT Device Query service (CTDevice_Srv) - Creative Technology Ltd - C:\Program Files\Creative\Shared Files\CTDevSrv.exe
O23 - Service: Creative Centrale Media Server (CTUPnPSv) - Creative Technology Ltd - C:\Program Files\Creative\Creative Centrale\CTUPnPSv.exe
O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\EHttpSrv.exe
O23 - Service: Eset Service (ekrn) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
O23 - Service: Služba Google Update (gupdate) (gupdate) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Program Files\Ahead\InCD\InCDsrv.exe
O23 - Service: InCD Helper (read only) (InCDsrvR) - Nero AG - C:\Program Files\Ahead\InCD\InCDsrv.exe
O23 - Service: InterBase Guardian (InterBaseGuardian) - Inprise Corporation - C:\Program Files\Inter Base 6\bin\ibguard.exe
O23 - Service: InterBase Server (InterBaseServer) - Inprise Corporation - C:\Program Files\Inter Base 6\bin\ibserver.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\windows\system32\nvsvc32.exe
O23 - Service: TabletServiceWacom - Wacom Technology, Corp. - C:\WINDOWS\system32\Wacom_Tablet.exe
O24 - Desktop Component 0: (no name) - file:///D:/Joël%20léčitel_soubory/p14.jpg
O24 - Desktop Component 1: (no name) - file:///C:/DOCUME~1/roman/LOCALS~1/Temp/msohtml1/01/clip_image001.gif

--
End of file - 10109 bytes

[Rudy]

Dejte log z ComboFix.

Stahnete a ulozte nejlepe na plochu ComboFix: http://download.bleepingcomputer.com/sUBs/ComboFix.exe

pote spustte aplikaci pod uctem s administratorskym opravnenim

hned po startu se zobrazi obrazovka s licencnimi podminkami, pokracujte kliknutim na tlacitko Ano.

v klidu si postavte na kafe (cela akce trva cca. 5-10 minut, nekdy i dele - dle toho, o jak rychly stroj se jedna a kolika soubory se skener bude muset prodirat), behem skenu se nepokousejte spoustet zadne jine aplikace ani nic jineho

behem skenovani nepropadejte panice, vas stroj muze byt restartovan (predevsim pri prvni aplikaci skeneru)

upozorneni: pokud pouzivate antispyware s rezidentnim stitem, prepnete jeho rezidentni stit do Install Mode, pripadne jej po dobu skenu uplne deaktivujte, protoze dochazi pri skenu a vymazu pripadneho malware k nezadoucim kolizim s rezidentem antispyware

[profeek05]

Takže aby to šlo popořadě.. log z MBAMu:

Malwarebytes' Anti-Malware 1.50
http://www.malwarebytes.org

Verze databáze: 5262

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

7.12.2010 21:59:10
mbam-log-2010-12-07 (21-58-35).txt

Typ kontroly: Úplný test (C:\|D:\|E:\|H:\|I:\|)
Testované objekty: 242181
Uplynulý čas: 3 hodin, 52 minut, 37 sekund

Infikované procesy v paměti: 1
Infikované moduly v paměti: 0
Infikované klíče v registru: 1
Infikované hodnoty v registru: 2
Infikované datové položky v registru: 1
Infikované složky: 4
Infikované soubory: 28

Infikované procesy v paměti:
c:\documents and settings\roman\nabídka start\Programy\po spuštění\sishzm32.exe (Trojan.Downloader) -> 1564 -> No action taken.

Infikované moduly v paměti:
(Žádné škodlivé položky nebyly zjištěny)

Infikované klíče v registru:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDORSYS (Malware.Trace) -> No action taken.

Infikované hodnoty v registru:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\svchost (Trojan.Agent) -> Value: svchost -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Setup\RegistryMonitor2 (Malware.Trace) -> Value: RegistryMonitor2 -> No action taken.

Infikované datové položky v registru:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\StartMenuLogoff (PUM.Hijack.StartMenu) -> Bad: (1) Good: (0) -> No action taken.

Infikované složky:
c:\program files\dynamic toolbar (Adware.2020search) -> No action taken.
c:\program files\dynamic toolbar\DirectX (Adware.2020search) -> No action taken.
c:\program files\dynamic toolbar\DirectX\Setup (Adware.2020search) -> No action taken.
c:\program files\dynamic toolbar\VOLNY (Adware.2020search) -> No action taken.

Infikované soubory:
c:\WINDOWS\Temp\~TM25.tmp (Spyware.Passwords.XGen) -> No action taken.
c:\WINDOWS\Temp\31.tmp (Rootkit.TDSS.Gen) -> No action taken.
c:\WINDOWS\Temp\33.tmp (Rootkit.TDSS.Gen) -> No action taken.
d:\program files\PR2\port royale 2\dsetup.dll (Malware.Packer.Gen) -> No action taken.
d:\UTIL\antispyware\keygenmwav.exe.exe (Malware.Packer.Gen) -> No action taken.
i:\ _ _ _ -> No action taken.
i:\ _ _ _ -> No action taken.
i:\ _ _ _ -> No action taken.
i:\ _ _ _ -> No action taken.
i:\ _ _ _ -> No action taken.
c:\documents and settings\roman\nabídka start\Programy\po spuštění\sishzm32.exe (Trojan.Downloader) -> No action taken.
c:\WINDOWS\application data\avdrn.dat (Malware.Trace) -> No action taken.
c:\WINDOWS\downloaded program files\dtc32.inf (Adware.EGDAccess) -> No action taken.
c:\documents and settings\networkservice\data aplikací\abpzlw.dat (Malware.Trace) -> No action taken.
c:\documents and settings\roman\data aplikací\abpzlw.dat (Malware.Trace) -> No action taken.
c:\program files\dynamic toolbar\DirectX\BDA.cab (Adware.2020search) -> No action taken.
c:\program files\dynamic toolbar\DirectX\BDANT.cab (Adware.2020search) -> No action taken.
c:\program files\dynamic toolbar\DirectX\BDAXP.cab (Adware.2020search) -> No action taken.
c:\program files\dynamic toolbar\DirectX\DirectX.cab (Adware.2020search) -> No action taken.
c:\program files\dynamic toolbar\DirectX\DSETUP.dll (Adware.2020search) -> No action taken.
c:\program files\dynamic toolbar\DirectX\dsetup32.dll (Adware.2020search) -> No action taken.
c:\program files\dynamic toolbar\DirectX\dxnt.cab (Adware.2020search) -> No action taken.
c:\program files\dynamic toolbar\DirectX\dxsetup.exe (Adware.2020search) -> No action taken.
c:\program files\dynamic toolbar\DirectX\manageddx.cab (Adware.2020search) -> No action taken.
c:\program files\dynamic toolbar\DirectX\Setup\DxDiag.lnk (Adware.2020search) -> No action taken.
c:\program files\dynamic toolbar\VOLNY\ie_toolbarc.ico (Adware.2020search) -> No action taken.
c:\program files\dynamic toolbar\VOLNY\ie_toolbarg.ico (Adware.2020search) -> No action taken.
c:\program files\dynamic toolbar\VOLNY\najdito.htm (Adware.2020search) -> No action taken.

^ několik řádek u i:\ je z logu vynechaných úmyslně. Nejedná se (s velkou pravděpodobností) o malware, ale většina programů či utilit takovéto soubory tak označí.. asi víte co tím mám na mysli.

Vše kromě těchto ^ bylo vzápětí odstraněno.


Log z ComboFixu:

ComboFix 10-12-06.04 - roman 07.12.2010 22:33:22.1.1 - x86
Systém Microsoft Windows XP Professional 5.1.2600.3.1250.420.1029.18.511.226 [GMT 1:00]
Spuštěný z: c:\documents and settings\roman\Plocha\ComboFix.exe
AV: ESET NOD32 Antivirus 3.0 *On-access scanning disabled* (Updated) {E5E70D32-0101-4F12-8FB0-D96ACA4F34C0}
* Rezidentní štít AV je zapnutý

.

((((((((((((((((((((((((((((((((((((((( Ostatní výmazy )))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\documents and settings\roman\Dokumenty\dplaysvr.exe
c:\documents and settings\roman\Dokumenty\dpnsvr.exe
c:\documents and settings\roman\Dokumenty\dpvsetup.exe
c:\documents and settings\roman\Dokumenty\dxdiag.exe
c:\program files\Internet Explorer\dmlconf.dat
c:\windows\start.exe
c:\windows\Web\default.htt

.
\\.\PhysicalDrive0 - Bootkit TDL4 was found and disinfected
.
((((((((((((((((((((((((( Soubory vytvořené od 2010-11-07 do 2010-12-07 )))))))))))))))))))))))))))))))
.

2010-12-07 21:08 . 2010-12-07 21:08 -------- d-----w- c:\program files\FygtZVHnĄZ”Ëaoxpnnfr.exe
2010-12-07 17:01 . 2010-12-07 17:01 -------- d-----w- c:\windows\Application Data\Malwarebytes
2010-12-07 17:01 . 2010-11-29 16:42 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-12-07 17:01 . 2010-12-07 17:01 -------- d-----w- c:\documents and settings\All Users\Data aplikací\Malwarebytes
2010-12-07 17:00 . 2010-11-29 16:42 20952 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-12-07 17:00 . 2010-12-07 17:01 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware
2010-12-07 16:45 . 2010-12-07 16:47 -------- d-----w- C:\rsit
2010-12-07 16:45 . 2010-12-07 16:45 388096 ----a-r- c:\windows\Application Data\Microsoft\Installer\{45A66726-69BC-466B-A7A4-12FCBA4883D7}\HiJackThis.exe
2010-12-07 16:45 . 2010-12-07 16:45 -------- d-----w- c:\program files\Trend Micro
2010-12-06 07:28 . 2009-10-22 11:54 37392 ----a-w- c:\windows\system32\drivers\72128052.sys
2010-12-06 07:28 . 2009-09-25 15:59 128016 ----a-w- c:\windows\system32\drivers\72128051.sys
2010-12-06 07:28 . 2009-10-09 21:31 315408 ----a-w- c:\windows\system32\drivers\7212805.sys
2010-11-30 18:41 . 2010-11-30 18:41 -------- d-----w- c:\windows\Application Data\Registry Mechanic
2010-11-30 18:30 . 2010-11-30 19:11 -------- d---a-w- c:\documents and settings\All Users\Data aplikací\TEMP
2010-11-28 13:33 . 2009-10-22 11:54 37392 ----a-w- c:\windows\system32\drivers\67196152.sys
2010-11-28 13:33 . 2009-10-09 21:31 315408 ----a-w- c:\windows\system32\drivers\6719615.sys
2010-11-28 13:33 . 2009-09-25 15:59 128016 ----a-w- c:\windows\system32\drivers\67196151.sys
2010-11-24 19:22 . 2010-11-24 19:22 -------- d-sh--w- c:\windows\system32\config\systemprofile\UserData
2010-11-24 19:22 . 2010-11-24 19:22 -------- d-sh--w- c:\windows\system32\config\systemprofile\IECompatCache
2010-11-24 19:20 . 2010-11-24 19:20 -------- d-sh--w- c:\windows\system32\config\systemprofile\IETldCache

.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-09-18 10:23 . 2004-08-18 12:00 974848 ----a-w- c:\windows\system32\mfc42u.dll
2010-09-18 06:53 . 2004-08-18 12:00 974848 ---ha-w- c:\windows\system32\mfc42.dll
2010-09-18 06:53 . 2004-08-18 12:00 954368 ----a-w- c:\windows\system32\mfc40.dll
2010-09-18 06:53 . 2004-08-18 12:00 953856 ----a-w- c:\windows\system32\mfc40u.dll
2010-09-10 05:52 . 2004-08-18 12:00 916480 ----a-w- c:\windows\system32\wininet.dll
2010-09-10 05:52 . 2004-08-18 12:00 43520 ----a-w- c:\windows\system32\licmgr10.dll
2010-09-10 05:52 . 2004-08-18 12:00 1469440 ------w- c:\windows\system32\inetcpl.cpl
2006-02-08 17:01 . 2008-01-10 14:37 2229874 ----a-w- c:\program files\eurotran-kl.exe
2001-10-25 12:00 94784 --sha-w- c:\windows\twain.dll
2008-04-14 07:51 551936 --sha-w- c:\windows\system32\oleaut32.dll
2008-04-14 07:51 84992 --sha-w- c:\windows\system32\olepro32.dll
2008-04-14 07:52 12288 --sha-w- c:\windows\system32\regsvr32.exe
.

(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\Překryv ikon SlowFile]
@="{7D688A77-C613-11D0-999B-00C04FD655E1}"
[HKEY_CLASSES_ROOT\CLSID\{7D688A77-C613-11D0-999B-00C04FD655E1}]
2010-07-27 06:30 8466432 ----a-w- c:\windows\system32\shell32.dll

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SoftAuto.exe"="c:\program files\Creative\Software Update 3\SoftAuto.exe" [2008-08-13 405504]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Easy-PrintToolBox"="c:\program files\Canon\Easy-PrintToolBox\BJPSMAIN.EXE" [2004-01-14 409600]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 39792]
"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2006-01-12 155648]
"InCD"="c:\program files\Ahead\InCD\InCD.exe" [2005-06-17 1397760]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-10-22 7700480]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2006-10-22 86016]
"BrMfcWnd"="c:\program files\Brother\Brmfcmon\BrMfcWnd.exe" [2007-11-05 741376]
"ControlCenter3"="c:\program files\Brother\ControlCenter3\brctrcen.exe" [2007-10-30 77824]
"egui"="c:\program files\ESET\ESET NOD32 Antivirus\egui.exe" [2008-07-01 1447168]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2008-04-14 15360]

c:\documents and settings\roman\Nabˇdka Start\Programy\Po spuçtŘnˇ\
Adobe Gamma.lnk - c:\program files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe [2005-3-16 113664]

[HKLM\~\startupfolder\C:^Documents and Settings^roman^Nabídka Start^Programy^Po spuštění^setup_9.0.0.722_28.11.2010_14-17.lnk]
path=c:\documents and settings\roman\Nabídka Start\Programy\Po spuštění\setup_9.0.0.722_28.11.2010_14-17.lnk
backup=c:\windows\pss\setup_9.0.0.722_28.11.2010_14-17.lnkStartup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KernelFaultCheck]
c:\windows\system32\dumprep 0 -k [X]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\nwiz]
2006-10-22 11:22 1622016 ----a-w- c:\windows\system32\nwiz.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"aswUpdSv"=2 (0x2)

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"NBJ"="c:\program files\Ahead\Nero BackItUp\NBJ.exe"
"CTFMON.EXE"=c:\windows\system32\ctfmon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"RemoteControl"="d:\program files\PowerDVD\PDVDServ.exe"
"NeroFilterCheck"=c:\windows\system32\NeroCheck.exe
"KernelFaultCheck"=%systemroot%\system32\dumprep 0 -k
"NvMediaCenter"=RUNDLL32.EXE c:\windows\system32\NvMcTray.dll,NvTaskbarInit
"NvCplDaemon"=RUNDLL32.EXE c:\windows\system32\NvCpl.dll,NvStartup
"nwiz"=nwiz.exe /install
"SiSUSBRG"=c:\windows\SiSUSBrg.exe
"AGRSMMSG"=AGRSMMSG.exe
"SystemTray"=SysTray.Exe

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\setup\disabledrunkeys]
"LoadPowerProfile"=Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"e:\\Program Files\\totalcmd\\TOTALCMD.EXE"=
"c:\\WINDOWS\\system32\\sessmgr.exe"=
"d:\\Program Files\\Trillian\\trillian.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\Google\\Google Earth\\client\\googleearth.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"1723:TCP"= 1723:TCP:@xpsp2res.dll,-22015
"1701:UDP"= 1701:UDP:@xpsp2res.dll,-22016
"500:UDP"= 500:UDP:@xpsp2res.dll,-22017

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\IcmpSettings]
"AllowInboundEchoRequest"= 1 (0x1)

R0 67196152;67196152 Boot Guard Driver;c:\windows\system32\drivers\67196152.sys [28.11.2010 14:33 37392]
R0 72128052;72128052 Boot Guard Driver;c:\windows\system32\drivers\72128052.sys [6.12.2010 8:28 37392]
R1 67196151;67196151;c:\windows\system32\drivers\67196151.sys [28.11.2010 14:33 128016]
R1 72128051;72128051;c:\windows\system32\drivers\72128051.sys [6.12.2010 8:28 128016]
R1 epfwtdir;epfwtdir;c:\windows\system32\drivers\epfwtdir.sys [1.7.2008 9:04 34312]
R2 Angelnt;Angelnt;c:\windows\system32\drivers\ANGELNT.SYS [10.1.2008 15:16 39296]
S3 MBAMSwissArmy;MBAMSwissArmy;c:\windows\system32\drivers\mbamswissarmy.sys [7.12.2010 18:01 38224]
S3 MemStPCI;Řadič Sony Memory Stick (PCI);c:\windows\system32\drivers\memstpci.sys [10.1.2008 15:16 26112]
.
Obsah adresáře 'Naplánované úlohy'

2010-12-05 c:\windows\Tasks\dfrg.job
- c:\windows\SYSTEM32\dfrg.msc [2004-08-18 12:00]

2010-12-07 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\program files\Google\Update\GoogleUpdate.exe [2010-03-01 16:30]

2010-12-07 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\program files\Google\Update\GoogleUpdate.exe [2010-03-01 16:30]

2010-12-07 c:\windows\Tasks\Odinstalovat připomínání vypršení lhůty.job
- c:\windows\System32\OOBE\oobebaln.exe [2008-01-10 07:52]
.
.
------- Doplňkový sken -------
.
uStart Page = hxxp://www.google.cz/
uSearchMigratedDefaultURL = hxxp://www.google.com/search?q={searchTerms}&s ... f8&oe=utf8
mSearch Bar = hxxp://www.google.com/ie
uSearchURL,(Default) = hxxp://www.google.com/keyword/%s
IE: &Vyhledat - file://c:\program files\Dynamic Toolbar\VOLNY\najdito.htm
IE: E&xportovat do aplikace Microsoft Excel - c:\progra~1\MICROS~2\Office10\EXCEL.EXE/3000
IE: Easy-WebPrint Add To Print List - c:\program files\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
IE: Easy-WebPrint High Speed Print - c:\program files\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
IE: Easy-WebPrint Preview - c:\program files\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
IE: Easy-WebPrint Print - c:\program files\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
IE: {{5A19F1FE-2A05-438c-BE6E-7D23266193E8} - http://web.volny.cz/
IE: {{230D1201-7607-4CF6-A11F-9E4BF0A333E0} - {0DB13731-CEFD-43CF-A8FD-B61DCBC4D5B8} - c:\program files\Eurotran XP\etnxp.dll
IE: {{2C73F784-D2DE-4422-B070-2E3332FE5744} - {0320AC26-52C8-4316-B2C4-24BB6FA73C9A} - c:\program files\Eurotran XP\etnxp.dll
DPF: DirectAnimation Java Classes - file://c:\windows\SYSTEM\dajava.cab
DPF: Garmin Communicator Plug-In - hxxps://my.garmin.com/static/m/cab/2.8.3/GarminAxControl.CAB
DPF: GEMINI IBS 31 RZB Applet Security - hxxps://ibs.rb.cz/IB/bin/IBS31-RZB-aplsec-3.5.0.0.cab
DPF: GEMINI IBS 31 RZB Applet Utilities - hxxps://ibs.rb.cz/IB/bin/IBS31-RZB-aplutil-99.99.99.99.cab
DPF: IAIK Java Cryptography Extension - hxxps://ibs.rb.cz/bin/IAIK-99.99.99.99.cab
DPF: Internet Explorer Classes for Java - file://c:\windows\SYSTEM\iejava.cab
DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab
.
- - - - NEPLATNÉ POLOŽKY ODSTRANĚNÉ Z REGISTRU - - - -

Notify-AtiExtEvent - (no file)
MSConfigStartUp-RegistryMonitor1 - c:\windows\system32\qtplugin.exe



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-12-07 23:02
Windows 5.1.2600 Service Pack 3 NTFS

detected NTDLL code modification:
ZwQueryDirectoryFile

skenování skrytých procesů ...

skenování skrytých položek 'Po spuštění' ...

skenování skrytých souborů ...


c:\documents and settings\roman\Nabídka Start\Programy\Po spuštění\aoxpnnfr.exe 67464 bytes executable

sken byl úspešně dokončen
skryté soubory: 1

**************************************************************************
.
--------------------- ZAMKNUTÉ KLÍČE V REGISTRU ---------------------

[HKEY_USERS\$$$\Software\Microsoft\SystemCertificates\AddressBook*]
@Allowed: (Read) (RestrictedCode)
@Allowed: (Read) (RestrictedCode)

[HKEY_USERS\$$$\Software\Policies\Microsoft\SystemCertificates\AddressBook*]
@Allowed: (Read) (S-1-5-21-842925246-1993962763-1343024091-1003)
@Allowed: (Read) (S-1-5-21-842925246-1993962763-1343024091-1003)
@Allowed: (Read) (RestrictedCode)
@Allowed: (Read) (RestrictedCode)

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10k_ActiveX.exe,-101"

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation]
"Enabled"=dword:00000001

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\LocalServer32]
@="c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10k_ActiveX.exe"

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}]
@Denied: (A 2) (Everyone)
@="IFlashBroker4"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"
.
Celkový čas: 2010-12-07 23:13:34
ComboFix-quarantined-files.txt 2010-12-07 22:13

Před spuštěním: Volných bajtů: 164 111 843 328
Po spuštění: Volných bajtů: 165 257 535 488

WindowsXP-KB310994-SP2-Pro-BootDisk-CSY.exe
[boot loader]
timeout = 30
default = multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS = "Microsoft Windows XP Professional" /fastdetect /NoExecute=OptIn

- - End Of File - - 2DB0919EA981A219B5578B5D28E8CE72

Doplnění dnešního stavu (8.12.2010):

PC běží o něco rychleji, spuštění účetního softwaru Money S3 je ale stále jen pro velmi trpělivé osoby.. MBAM již při další kontrole nenašel vůbec nic. Okamžitě po připojení jakéhokoliv flashdisku se rozběhne výše zmiňované duo Win32/Ramnit.A + LNK/Autostart.A. Také při scanování PC MBAMem se mohl ten Ramnit zbláznit. Veškerou jeho aktivitu detekuje NOD32, ale není schopen nic léčit, jen mazat - stále dokola. Soubory .lnk vytvořené tím Autostartem maže hned sám. Bez CD pro quickboot (nevím jestli to nazývám správně nebo motám něco nesouvisejícího dohromady, bylo to takové malé ISO - asi 200 kB velké) systém nenaběhne - vždy po zobrazení loga Windows velmi krátce problikne modrá obrazovka (není možné přečíst nic z toho co tam je) a PC se restartuje.

[Rudy]

1. Vše, co MBAM našel, smažte.
2.

několik řádek u i:\ je z logu vynechaných úmyslně....

Pokud tím myslíte cracky, pak vás mohu ubezpečit, že ve většině cracků je vir.
3. Otevřte poznámkový blok a zkopírujte do něj:

KillAll::

Folder::
c:\program files\FygtZVHnĄZ”Ëaoxpnnfr.exe

Collect::
c:\documents and settings\roman\Nabídka Start\Programy\Po spuštění\aoxpnnfr.exe
c:\windows\system32\drivers\72128052.sys
c:\windows\system32\drivers\72128051.sys
c:\windows\system32\drivers\7212805.sys
c:\windows\system32\drivers\67196152.sys
c:\windows\system32\drivers\6719615.sys
c:\windows\system32\drivers\67196151.sys

Driver::
67196152
72128052
67196151
72128051
7212805
6719615

Uložte na plochu jako CFScript.txt. pak jej myší přetáhněte nad ikonu ComboFix a pusťte. CF se spustí a vykoná příkazy ze skriptu.