Trojan ThinkPoint

[plihal]

Dobrý den.
ThinkPoint jsem dost obtížně vyhodil po skenu PC na-windows live.Microsoft Security Esentials ho vůbec nedetekoval.Po projeti skenem na Widows live byl trojan zrušen.Ale dvě nějaké podezdřelé věci neuměl opravit ani smazat.Odesláno k expertize na posouzení.Proto bych potřeboval skontrolovat log gdyby tam ještě něco zůstalo.Předem díky.

Logfile of random's system information tool 1.08 (written by random/random)
Run by Čenda at 2010-12-09 13:47:14
Systém Microsoft Windows XP Professional Service Pack 3
System drive C: has 19 GB (63%) free of 30 GB
Total RAM: 631 MB (58% free)

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 13:47:26, on 9.12.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Microsoft Security Essentials\MsMpEng.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Microsoft Security Essentials\msseces.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\Čenda\Plocha\Stahování z internetu\RSIT.exe
C:\Program Files\trend micro\Čenda.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
O2 - BHO: Podpora odkazu pro Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Program Files\Microsoft Office\Office12\GrooveShellExtensions.dll
O4 - HKLM\..\Run: [MSSE] "C:\Program Files\Microsoft Security Essentials\msseces.exe" -hide -runkey
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&xportovat do aplikace Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O9 - Extra button: Odeslat do aplikace OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: Od&eslat do aplikace OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {5ED80217-570B-4DA9-BF44-BE107C0EC166} (Windows Live Safety Center Base Module) - http://cdn.scan.onecare.live.com/resour ... se6770.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microso ... 8620064781
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Program Files\Microsoft Office\Office12\GrooveSystemServices.dll
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Proces mezipaměti kategorií součástí - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll

--
End of file - 4011 bytes

======Scheduled tasks folder======

C:\WINDOWS\tasks\MP Scheduled Scan.job

======Registry dump======

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}]
Podpora odkazu pro Adobe PDF Reader - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll [2006-10-23 62080]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{72853161-30C5-4D22-B7F9-0BBC1D38A37E}]
Groove GFS Browser Helper - C:\Program Files\Microsoft Office\Office12\GrooveShellExtensions.dll [2009-02-12 2217848]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"MSSE"=C:\Program Files\Microsoft Security Essentials\msseces.exe [2010-09-15 1094224]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"ctfmon.exe"=C:\WINDOWS\system32\ctfmon.exe [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CTFMON.EXE]
C:\WINDOWS\system32\ctfmon.exe [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Device Detector]
DevDetect.exe -autorun []

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\GrooveMonitor]
C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe [2008-10-25 31072]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\HotKeysCmds]
C:\WINDOWS\system32\hkcmd.exe [2005-04-05 77824]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\IgfxTray]
C:\WINDOWS\system32\igfxtray.exe [2005-04-05 94208]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\JP595IR86O]
C:\DOCUME~1\ENDA~1\LOCALS~1\Temp\Lsr.exe []

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]
C:\WINDOWS\system32\NeroCheck.exe [2001-07-09 155648]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NWEReboot]
[]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Persistence]
C:\WINDOWS\system32\igfxpers.exe [2005-04-05 114688]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RegistryBooster]
[]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^All Users^Nabídka Start^Programy^Po spuštění^Adobe Reader Speed Launch.lnk]
C:\PROGRA~1\Adobe\READER~1.0\Reader\READER~1.EXE [2006-10-23 40048]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^All Users^Nabídka Start^Programy^Po spuštění^Adobe Reader Synchronizer.lnk]
C:\PROGRA~1\Adobe\READER~1.0\Reader\ADOBEC~1.EXE [2006-10-23 734872]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^Čenda^Nabídka Start^Programy^Po spuštění^E-mail.lnk]
[]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^Čenda^Nabídka Start^Programy^Po spuštění^Výřezy obrazovky a spuštění aplikace OneNote 2007.lnk]
C:\PROGRA~1\MICROS~3\Office12\ONENOTEM.EXE [2009-02-26 97680]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"MsMpSvc"=2

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\igfxcui]
C:\WINDOWS\system32\igfxdev.dll [2005-04-05 131072]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\WgaLogon]
C:\WINDOWS\system32\WgaLogon.dll [2009-03-10 265096]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{B5A7F190-DDA6-4420-B3BA-52453494E6CD}"=C:\Program Files\Microsoft Office\Office12\GrooveShellExtensions.dll [2009-02-12 2217848]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MsMpSvc]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\network\MsMpSvc]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"dontdisplaylastusername"=0
"legalnoticecaption"=
"legalnoticetext"=
"shutdownwithoutlogon"=1
"undockwithoutlogon"=1

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
"NoDriveTypeAutoRun"=145

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
"HonorAutoRunSetting"=1

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"C:\Program Files\Microsoft Office\Office12\OUTLOOK.EXE"="C:\Program Files\Microsoft Office\Office12\OUTLOOK.EXE:*:Enabled:Microsoft Office Outlook"
"C:\Program Files\Microsoft Office\Office12\GROOVE.EXE"="C:\Program Files\Microsoft Office\Office12\GROOVE.EXE:*:Enabled:Microsoft Office Groove"
"C:\Program Files\Microsoft Office\Office12\ONENOTE.EXE"="C:\Program Files\Microsoft Office\Office12\ONENOTE.EXE:*:Enabled:Microsoft Office OneNote"
"C:\Program Files\Google\Google Earth\client\googleearth.exe"="C:\Program Files\Google\Google Earth\client\googleearth.exe:*:Enabled:Google Earth"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"

======List of files/folders created in the last 1 months======

2010-12-09 13:47:14 ----D---- C:\rsit
2010-12-09 13:47:14 ----D---- C:\Program Files\trend micro
2010-12-09 11:00:08 ----D---- C:\Program Files\Windows Live Safety Center
2010-12-09 10:37:19 ----HD---- C:\WINDOWS\system32\GroupPolicy
2010-12-09 10:05:25 ----SHD---- C:\Config.Msi
2010-12-09 10:03:03 ----HDC---- C:\WINDOWS\$NtUninstallKB941569$
2010-12-08 21:57:14 ----SHD---- C:\WINDOWS\CSC
2010-12-08 21:57:07 ----A---- C:\WINDOWS\ntbtlog.txt
2010-12-08 21:29:25 ----A---- C:\WINDOWS\system32\sshnas21.dll
2010-12-08 21:28:51 ----A---- C:\Documents and Settings\Čenda\Data aplikací\adgs.bat
2010-12-08 21:12:26 ----D---- C:\Program Files\Registry Clean Expert
2010-12-07 13:58:56 ----D---- C:\Documents and Settings\Čenda\Data aplikací\skypePM
2010-12-07 13:57:27 ----D---- C:\Program Files\Skype
2010-12-07 13:57:26 ----D---- C:\Documents and Settings\Čenda\Data aplikací\Skype
2010-12-07 13:57:21 ----D---- C:\Documents and Settings\All Users\Data aplikací\Skype
2010-12-06 15:17:12 ----D---- C:\Documents and Settings\Čenda\Data aplikací\dvdcss
2010-12-06 14:40:23 ----A---- C:\WINDOWS\system32\D3DX9_42.dll
2010-12-06 14:40:20 ----A---- C:\WINDOWS\system32\d3dx9_31.dll
2010-12-06 14:40:12 ----D---- C:\WINDOWS\Logs
2010-12-06 14:39:21 ----D---- C:\WINDOWS\RegisteredPackages
2010-12-06 14:38:40 ----N---- C:\WINDOWS\system32\vxblock.dll
2010-12-06 14:38:40 ----N---- C:\WINDOWS\system32\pxwave.dll
2010-12-06 14:38:40 ----N---- C:\WINDOWS\system32\pxsfs.dll
2010-12-06 14:38:40 ----N---- C:\WINDOWS\system32\pxmas.dll
2010-12-06 14:38:40 ----N---- C:\WINDOWS\system32\pxinsa64.exe
2010-12-06 14:38:40 ----N---- C:\WINDOWS\system32\pxhpinst.exe
2010-12-06 14:38:40 ----N---- C:\WINDOWS\system32\pxdrv.dll
2010-12-06 14:38:40 ----N---- C:\WINDOWS\system32\pxcpya64.exe
2010-12-06 14:38:40 ----N---- C:\WINDOWS\system32\pxafs.dll
2010-12-06 14:38:40 ----N---- C:\WINDOWS\system32\px.dll
2010-12-06 14:38:40 ----N---- C:\WINDOWS\system32\drivers\PxHelp20.sys
2010-12-06 14:38:40 ----N---- C:\WINDOWS\system32\drivers\cdralw2k.sys
2010-12-06 14:38:40 ----N---- C:\WINDOWS\system32\drivers\cdr4_xp.sys
2010-12-06 14:38:33 ----D---- C:\Program Files\Winamp
2010-12-06 14:38:33 ----D---- C:\Documents and Settings\Čenda\Data aplikací\Winamp
2010-12-06 10:44:20 ----D---- C:\WINDOWS\system32\XPSViewer
2010-12-06 10:44:09 ----D---- C:\WINDOWS\system32\en-US
2010-12-06 10:43:58 ----D---- C:\Program Files\Reference Assemblies
2010-12-06 10:43:16 ----N---- C:\WINDOWS\system32\prntvpt.dll
2010-12-06 10:43:15 ----N---- C:\WINDOWS\system32\xpssvcs.dll
2010-12-06 10:43:15 ----N---- C:\WINDOWS\system32\xpsshhdr.dll
2010-12-05 21:16:34 ----D---- C:\Program Files\Google
2010-12-05 21:02:08 ----D---- C:\Documents and Settings\Čenda\Data aplikací\Google
2010-12-05 20:19:50 ----RSD---- C:\WINDOWS\assembly
2010-12-05 20:19:04 ----D---- C:\WINDOWS\Microsoft.NET
2010-12-02 08:57:06 ----D---- C:\Documents and Settings\Čenda\Data aplikací\avidemux
2010-11-18 14:04:42 ----D---- C:\NVIDIA

======List of files/folders modified in the last 1 months======

2010-12-09 13:47:19 ----D---- C:\WINDOWS\Prefetch
2010-12-09 13:47:14 ----D---- C:\Program Files
2010-12-09 13:43:49 ----D---- C:\WINDOWS\system32\CatRoot2
2010-12-09 13:33:29 ----D---- C:\WINDOWS\Temp
2010-12-09 13:29:25 ----D---- C:\WINDOWS
2010-12-09 13:26:58 ----SD---- C:\WINDOWS\Tasks
2010-12-09 12:00:51 ----SHD---- C:\RECYCLER
2010-12-09 11:02:56 ----HD---- C:\WINDOWS\inf
2010-12-09 11:00:09 ----SD---- C:\WINDOWS\Downloaded Program Files
2010-12-09 10:37:19 ----D---- C:\WINDOWS\system32
2010-12-09 10:09:14 ----SHD---- C:\WINDOWS\Installer
2010-12-09 10:07:27 ----A---- C:\WINDOWS\system32\PerfStringBackup.INI
2010-12-09 10:06:49 ----D---- C:\WINDOWS\WinSxS
2010-12-09 10:03:08 ----DC---- C:\WINDOWS\system32\dllcache
2010-12-09 10:00:12 ----D---- C:\WINDOWS\system32\CatRoot
2010-12-09 09:59:46 ----SH---- C:\boot.ini
2010-12-09 09:59:46 ----A---- C:\WINDOWS\win.ini
2010-12-09 09:59:46 ----A---- C:\WINDOWS\system.ini
2010-12-09 09:58:50 ----D---- C:\WINDOWS\pss
2010-12-08 21:57:24 ----D---- C:\Documents and Settings
2010-12-08 21:37:57 ----A---- C:\WINDOWS\SchedLgU.Txt
2010-12-08 21:15:43 ----D---- C:\WINDOWS\system32\config
2010-12-08 21:15:27 ----D---- C:\WINDOWS\system32\wbem
2010-12-08 21:15:27 ----D---- C:\WINDOWS\Registration
2010-12-08 21:11:54 ----D---- C:\WINDOWS\system32\Restore
2010-12-08 19:11:32 ----D---- C:\Program Files\Mozilla Firefox
2010-12-08 15:55:09 ----D---- C:\WINDOWS\system32\drivers
2010-12-07 13:57:31 ----D---- C:\Program Files\Common Files
2010-12-06 15:34:41 ----A---- C:\WINDOWS\NeroDigital.ini
2010-12-06 14:46:02 ----D---- C:\WINDOWS\security
2010-12-06 14:40:28 ----D---- C:\WINDOWS\system32\DirectX
2010-12-06 14:40:02 ----D---- C:\Program Files\Windows Media Player
2010-12-06 14:39:59 ----D---- C:\WINDOWS\Debug
2010-12-06 13:08:15 ----D---- C:\Documents and Settings\Čenda\Data aplikací\Uniblue
2010-12-06 10:44:12 ----D---- C:\Program Files\MSBuild
2010-12-06 10:44:07 ----RSD---- C:\WINDOWS\Fonts
2010-12-06 10:43:34 ----D---- C:\WINDOWS\system32\spool
2010-12-06 10:41:04 ----D---- C:\WINDOWS\system32\mui
2010-12-06 10:41:04 ----D---- C:\Program Files\Internet Explorer
2010-12-02 09:09:02 ----D---- C:\Documents and Settings\Čenda\Data aplikací\Ahead
2010-12-01 12:59:40 ----SD---- C:\Documents and Settings\Čenda\Data aplikací\Microsoft
2010-11-30 15:25:35 ----SD---- C:\Documents and Settings\All Users\Data aplikací\Microsoft
2010-11-13 11:20:42 ----D---- C:\Documents and Settings\All Users\Data aplikací\Microsoft Help
2010-11-13 11:17:14 ----A---- C:\WINDOWS\system32\MRT.exe

======List of drivers (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======

R0 PxHelp20;PxHelp20; C:\WINDOWS\System32\Drivers\PxHelp20.sys [2009-04-28 44944]
R1 intelppm;Řadič procesoru Intel; C:\WINDOWS\system32\DRIVERS\intelppm.sys [2008-04-14 40192]
R1 MpFilter;Microsoft Malware Protection Driver; C:\WINDOWS\system32\DRIVERS\MpFilter.sys [2010-03-25 151216]
R3 aeaudio;aeaudio; C:\WINDOWS\system32\drivers\aeaudio.sys [2005-03-04 127872]
R3 E100B;Intel(R) PRO Adapter Driver; C:\WINDOWS\system32\DRIVERS\e100b325.sys [2003-03-04 145408]
R3 hidusb;Ovladač třídy standardu HID; C:\WINDOWS\system32\DRIVERS\hidusb.sys [2008-04-14 10368]
R3 ialm;ialm; C:\WINDOWS\system32\DRIVERS\ialmnt5.sys [2005-04-05 830684]
R3 mouhid;Ovladač myši standardu HID; C:\WINDOWS\system32\DRIVERS\mouhid.sys [2004-08-18 12160]
R3 senfilt;senfilt; C:\WINDOWS\system32\drivers\senfilt.sys [2005-10-27 393088]
R3 smwdm;smwdm; C:\WINDOWS\system32\drivers\smwdm.sys [2005-03-28 220992]
R3 usbuhci;Ovladač Microsoft univerzálního hostitelského řadiče USB od společnosti Microsoft; C:\WINDOWS\system32\DRIVERS\usbuhci.sys [2008-04-14 20608]
S1 InCDPass;InCDPass; C:\WINDOWS\system32\drivers\InCDPass.sys []
S1 InCDRm;InCD Reader; C:\WINDOWS\system32\drivers\InCDRm.sys []
S3 usbstor;Ovladač velkokapacitního paměťového zařízení USB; C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2008-04-14 26368]
S4 InCDFs;InCD File System; C:\WINDOWS\system32\drivers\InCDFs.sys []

======List of services (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======

R2 clr_optimization_v2.0.50727_32;.NET Runtime Optimization Service v2.0.50727_X86; C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe [2008-07-25 69632]
R2 MsMpSvc;Microsoft Antimalware Service; C:\Program Files\Microsoft Security Essentials\MsMpEng.exe [2010-03-25 17904]
R2 SSHNAS;SSHNAS; C:\WINDOWS\system32\svchost.exe [2008-04-14 14336]
R2 UMWdf;Windows User Mode Driver Framework; C:\WINDOWS\system32\wdfmgr.exe [2005-01-28 38912]
S3 aspnet_state;ASP.NET State Service; C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe [2008-07-25 34312]
S3 FontCache3.0.0.0;Windows Presentation Foundation Font Cache 3.0.0.0; C:\WINDOWS\Microsoft.NET\Framework\v3.0\WPF\PresentationFontCache.exe [2008-07-29 46104]
S3 idsvc;Windows CardSpace; C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe [2008-07-29 881664]
S3 Microsoft Office Groove Audit Service;Microsoft Office Groove Audit Service; C:\Program Files\Microsoft Office\Office12\GrooveAuditService.exe [2008-10-25 65888]
S3 odserv;Microsoft Office Diagnostics Service; C:\Program Files\Common Files\Microsoft Shared\OFFICE12\ODSERV.EXE [2008-11-04 441712]
S3 ose;Office Source Engine; C:\Program Files\Common Files\Microsoft Shared\Source Engine\OSE.EXE [2006-10-26 145184]
S4 NetTcpPortSharing;Net.Tcp Port Sharing Service; C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\SMSvcHost.exe [2008-07-29 132096]

-----------------EOF-----------------

[cernohous13]

Vítám tě u nás

Stáhni si ComboFix
a ulož ho na plochu.
návod na použití: http://www.bleepingcomputer.com/combofi ... t-combofix
Ukonči všechna aktivní okna,vypni Antispy a Antivir a spusť ho.
- Po spuštění se zobrazí podmínky užití, potvrď je stiskem tlačítka Ano
- Dále postupuj dle pokynů, během aplikování ComboFixu neklikej do zobrazujícího se okna a nic nespouštěj
- Po dokončení skenování by měl program vytvořit log - C:\ComboFix.txt - zkopíruj sem prosím celý jeho obsah
Kdyby ti po použití ComboFixu systém nenaběhl - při restartu F8 a poslední známá funkční konfigurace

[plihal]

Mám poslat log z Kombofix,ale nejde mi nijak pozastavit antivir Microsoft Security Esentials.Jak na to??Nebo to spustit i s antivirem??

[cernohous13]

MSE jsem bohužel nezkoušel Nemáš po kliknutí pravým na ikonu nabídku na zastavení?

by caroprd 111: Nastavení - Ochrana v reálném čase - Odškrtnout "Zapnout ichranu v reálném čase"

[plihal]

Spybot mi ještě našel tohle.Neumí to zrušit.

win.32.fraudload
win.32.agent.ieu
win.32.FraudPack
RightMedia
Doumleclisk

[cernohous13]

To neřeš - CF nám to ukáže (budu tu asi ve 20:00)

[plihal]

Combofix nejde použít.
Postup podle pokynu(instal.na plochu,zastavení MSE+Spybot)
Po spuštění se dostanu až na modrou obrazovku s blikakicím kurzorem.Pět minut něco chroustá monotoně na disku.Pak se vše zastaví a hodinu hrobové ticho.I kurzor se zastaví.Hodiny jsou posunuté o pět minut.Zkoušeno 3x.Stále stejný výsledek.Co dál??

[cernohous13]

varianta1-ComboFix zkus spustit v Nouzovém režimu.
----------------------------------------------------------------
varianta2-Restartuj do nouzového režimu s prací v síti.

Stáhni Rkill z jednoho z odkazů, pokud by ho vir blokoval, zkus stáhnout jiný

Rkill EXE:
http://download.bleepingcomputer.com/grinler/rkill.exe

Rkill COM:
http://download.bleepingcomputer.com/grinler/rkill.com

Rkill SCR:
http://download.bleepingcomputer.com/grinler/rkill.scr

Rkill PIF:
http://download.bleepingcomputer.com/grinler/rkill.pif

-spusť a nechej ho pracovat. Sám se ukončí.

- Teď nesmíš restartovat počítač!

spusť ComboFix
----------------------------------------------
varianta3-
ComboFix odinstalujeme
jdi Start -> Spustit... a zkopíruj ComboFix /Uninstall (pozor, za x je mezera) -> OK
Stáhni ComboFix zde: http://www.bleepingcomputer.com/downloa ... s/combofix
Ulož ho přejmenovaný jako "zmije.com" na plochu
použij Rkill a spusť zmije.com
------------------------------------------------
varianta 3a - v nouz.režimu

[plihal]

Varianta 1)-nefunguje.Je to úpně to samé v bleděmodrém.Jdu na variantu č.2 Není to v nějaké nekompletní instalaci??Jak se odinstaluje kombofix z počítače??Když jsem zadal start-spustit-ComboFix /Uninstall-ok,tak mi to začlo kombofix spouštět.Ne odinstalovávat.Je ten název pro vložení kompletní??Nezlobte se pro mé otázky.V tomto jsem negramotný..

[cernohous13]

Na ComboFix se nesmí spěchat - příkazy, které jsem ti napsal jsou mnohokrát použité a prověřené.
Buď při jeho použití trpělivý

co varianta 2?

[plihal]

Tak jsem vyzkoušel všechny tři varianty.Přesně podle návodu.Vždy to stejné.Až do modré tabulky(Vyhledávám nakažené soubory) a konec.Hodinu to stoji a je ticho.Ani čas se nezastaví.Něco ho po pěti minutách blokne.Asi už jiný nápad nebude.Nevím co dál.Jinak počítač se nijak zvláštně nechová

[cernohous13]

Stáhni a nainstaluj MBAM zde http://www.download.com/Malwarebytes-An ... tag=button
Spustit > na 3.záložce "Aktualizace" > Kontrola aktualizací
následně na 1.záložce "Skener" > Provést rychlý sken > Skenovat
po dokončení scanu vyskočí okno Notepad s výsledkem - obsah zkopíruj do své odpovědi
zatím nic nemazat - počkej na posouzení

[plihal]

Malwarebytes' Anti-Malware 1.50
www.malwarebytes.org

Verze databáze: 5286

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

10.12.2010 14:41:59
mbam-log-2010-12-10 (14-41-34).txt

Typ kontroly: Rychlý test
Testované objekty: 135691
Uplynulý čas: 3 minut, 1 sekund

Infikované procesy v paměti: 0
Infikované moduly v paměti: 0
Infikované klíče v registru: 4
Infikované hodnoty v registru: 0
Infikované datové položky v registru: 0
Infikované složky: 0
Infikované soubory: 0

Infikované procesy v paměti:
(Žádné škodlivé položky nebyly zjištěny)

Infikované moduly v paměti:
(Žádné škodlivé položky nebyly zjištěny)

Infikované klíče v registru:
HKEY_CURRENT_USER\SOFTWARE\JP595IR86O (Trojan.FakeAlert) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\XML (Trojan.FakeAlert) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Z30KYPG3WS (Trojan.FakeAlert) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Handle (Malware.Trace) -> No action taken.

Infikované hodnoty v registru:
(Žádné škodlivé položky nebyly zjištěny)

Infikované datové položky v registru:
(Žádné škodlivé položky nebyly zjištěny)

Infikované složky:
(Žádné škodlivé položky nebyly zjištěny)

Infikované soubory:
(Žádné škodlivé položky nebyly zjištěny)

[cernohous13]

MBAM spustit znovu - dát Kompletní kontrola
po ukončení -> Zobrazit výsledky -> zkontrolovat zda je vše označeno -> Odstranit označené
vyběhne log, ve kterém budou záznamy tohoto typu:
Infikované adresáře:
Infikované klíče v registru:
HKEY_CURRENT_USER\SOFTWARE\xxxxxx -> Quarantined and deleted successfully.
ten bych taky rád viděl

Příčinu problémů bych tušil zde

Kód: Vybrat vše

2010-12-08 21:29:25 ----A---- C:\WINDOWS\system32\sshnas21.dll
2010-12-08 21:28:51 ----A---- C:\Documents and Settings\Čenda\Data aplikací\adgs.bat
2010-12-08 21:12:26 ----D---- C:\Program Files\Registry Clean Expert

"Registry Clean Expert" je oficiálně k použití v Trial verzi - jestli jsi stahoval na nějakém warezu, tak to bylo s bonusem.
sshnas21.dll je dost dobrej šmejd a čert ví, co má za lubem ten baťák.

Proto:

Stáhni OTM z jednoho odkazu a rozbal nejlépe na plochu.
http://oldtimer.geekstogo.com/OTM.exe
http://www.itxassociates.com/OT-Tools/OTM.exe

Spusť program „OTM.exe“ (pro Vistu a Win7 – pravým a „Run As Administrator“).
Do okna pod žlutou čáru vlož celý text zeleným písmem ze „Scriptu“

Klikni na červené „Moveit!“

Při nabídce restartu „YES“
a log potom najdeš v C:\_OTM\MovedFiles\

Script OTM

Kód: Vybrat vše

:processes
explorer.exe

:files
%windir%\system32\*.tmp.dll /s
%windir%\system32\SET*.tmp /s
%windir%\*.tmp /s
C:\WINDOWS\system32\sshnas21.dll
C:\Documents and Settings\Čenda\Data aplikací\adgs.bat
C:\Program Files\Registry Clean Expert

:commands
[PURITY]
[RESETHOSTS]
[EMPTYTEMP]
[EMPTYFLASH]
[CLEARALLRESTOREPOINTS]
[REBOOT]

oba logy + nový RSIT do odpovědi

[plihal]

All processes killed
========== PROCESSES ==========
Process explorer.exe killed successfully!
========== FILES ==========
File/Folder C:\WINDOWS\system32\*.tmp.dll not found.
File/Folder C:\WINDOWS\system32\SET*.tmp not found.
C:\WINDOWS\assembly\NativeImages_v2.0.50727_32\Temp\ZAP116.tmp folder moved successfully.
C:\WINDOWS\assembly\NativeImages_v2.0.50727_32\Temp\ZAP13A.tmp folder moved successfully.
C:\WINDOWS\assembly\NativeImages_v2.0.50727_32\Temp\ZAP1D3.tmp folder moved successfully.
C:\WINDOWS\assembly\NativeImages_v2.0.50727_32\Temp\ZAP1F9.tmp folder moved successfully.
C:\WINDOWS\assembly\NativeImages_v2.0.50727_32\Temp\ZAP229.tmp folder moved successfully.
C:\WINDOWS\assembly\NativeImages_v2.0.50727_32\Temp\ZAP246.tmp folder moved successfully.
C:\WINDOWS\assembly\NativeImages_v2.0.50727_32\Temp\ZAP260.tmp folder moved successfully.
C:\WINDOWS\assembly\NativeImages_v2.0.50727_32\Temp\ZAP2E9.tmp folder moved successfully.
C:\WINDOWS\assembly\NativeImages_v2.0.50727_32\Temp\ZAP3D6.tmp folder moved successfully.
C:\WINDOWS\assembly\NativeImages_v2.0.50727_32\Temp\ZAP7A.tmp folder moved successfully.
C:\WINDOWS\assembly\NativeImages_v2.0.50727_32\Temp\ZAP9C.tmp folder moved successfully.
C:\WINDOWS\assembly\NativeImages_v2.0.50727_32\Temp\ZAPE6.tmp folder moved successfully.
C:\WINDOWS\CSC\csc1.tmp moved successfully.
C:\WINDOWS\Installer\MSI3D8.tmp moved successfully.
File/Folder C:\WINDOWS\system32\sshnas21.dll not found.
C:\Documents and Settings\Čenda\Data aplikací\adgs.bat moved successfully.
C:\Program Files\Registry Clean Expert folder moved successfully.
========== COMMANDS ==========
C:\WINDOWS\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully

[EMPTYTEMP]

User: Administrator
->Temp folder emptied: 2018 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->FireFox cache emptied: 48337727 bytes
->Flash cache emptied: 456 bytes

User: All Users

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 32902 bytes

User: NetworkService
->Temp folder emptied: 76812 bytes
->Temporary Internet Files folder emptied: 32902 bytes

User: Čenda
->Temp folder emptied: 16957309 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->FireFox cache emptied: 50086908 bytes
->Flash cache emptied: 456 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 1263891 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 54720342 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 33170 bytes
RecycleBin emptied: 1288 bytes

Total Files Cleaned = 164,00 mb


Restore points cleared and new OTM Restore Point set!

OTM by OldTimer - Version 3.1.17.2 log created on 12102010_171157
Malwarebytes' Anti-Malware 1.50
www.malwarebytes.org

Verze databáze: 5286

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

10.12.2010 17:05:26
mbam-log-2010-12-10 (17-05-26).txt

Typ kontroly: Úplný test (C:\|D:\|)
Testované objekty: 159725
Uplynulý čas: 30 minut, 10 sekund

Infikované procesy v paměti: 0
Infikované moduly v paměti: 0
Infikované klíče v registru: 4
Infikované hodnoty v registru: 0
Infikované datové položky v registru: 0
Infikované složky: 0
Infikované soubory: 0

Infikované procesy v paměti:
(Žádné škodlivé položky nebyly zjištěny)

Infikované moduly v paměti:
(Žádné škodlivé položky nebyly zjištěny)

Infikované klíče v registru:
HKEY_CURRENT_USER\SOFTWARE\JP595IR86O (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\XML (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Z30KYPG3WS (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Handle (Malware.Trace) -> Quarantined and deleted successfully.

Infikované hodnoty v registru:
(Žádné škodlivé položky nebyly zjištěny)

Infikované datové položky v registru:
(Žádné škodlivé položky nebyly zjištěny)

Infikované složky:
(Žádné škodlivé položky nebyly zjištěny)

Infikované soubory:
(Žádné škodlivé položky nebyly zjištěny)