VIRY.CZ

Zatial to vyzera dobre, rootkit odstreleny. Uvidime, co na to povie Kaspersky...

Kaspersky momentalne nema ten scanner v provozu, brzy bude nova verze je tam jen file scanner...
Tak ale hurá hurá! to mrkám, jsem si říkala, že se i něco přiučim, ale na tohle už teda fakt nemam škoooly
Mám to ještě zkusit ověřit nečím jiným?

Jj, miesto KOS pouzijeme AVPTool:
Stiahni a spust AVPTool. Vypracuj log podla navodu a vloz ho.

Ty mozes vzdy

pro Naughty - jj, děkuju za poradění, zatim jsem vždycky nějakou tu potvoru z kompu dostala okoukánim návodu u někoho, ale asi jsou od tý mojí poslední potvory ty mrchy zas nějak chytřejší nebo co

pro pitimir - ten AVPTool zas něco našel a smazal na Cčku, zas ty stejný jména, ovšem při cca 30% analýzy se komp vždycky zakousne a musim reset, včera jsem to po třetim pokusu už vzdala... teď jsem to pustila znova, tak uvidime, chjo.... fakt obdivuju, že tě tohle baví, já bych na to neměla nervy

Ake "stejný jména"?
Potrebujem presny nazov a adresu.

tak zatim ten program jede, finish time je tam zatim 19.30, musela bych to co nasel opsat rucne a to ja jsem schopna se lehce prehlidnout v nejakym pismenku ale můžu to zkusit, v záložce Backup je od včera 11 položek - přípony dll, sys nebo vir.
A že mi přijdou stejný - jsou to ty názvy, který po mně včera ComboFix chtěl opsat na papírek
to ses hodně dozvěděl, výkon hodný cvičený opice, což?

Ani nie, len som sa zlakol...pretoze ak by nasiel to iste, tak by to znamenalo navrat infekcie.
AVSAK je tu este jedna moznost (a ta sa ta pravdepodobne tyka) - ze oznacil za smejda zaholu CF.

Uvidime, pockajme si na koniec testu. Nechcem nic predbiehat

hm, kousnulo se, tentokrát při scanning souboru C:\WINDOWS\system32\dllcache\zoneoc.dll
po resetu teda včerejší úlovky:
Backup
------
Status Object Size
------ ------ ----
Infected: Trojan program Packed.Win32.TDSS.z C:\Qoobox\Quarantine\C\WINDOWS\system32\gasfkyprqxodpk.dll.vir 44 KB
Infected: Trojan program Packed.Win32.TDSS.z C:\Qoobox\Quarantine\C\WINDOWS\system32\gasfkyrctobcce.dll.vir 13,5 KB
Infected: Trojan program Packed.Win32.TDSS.z C:\Qoobox\Quarantine\C\WINDOWS\system32\gasfkydbewulvg.dll.vir 20,5 KB
Infected: Trojan program Packed.Win32.TDSS.z C:\System Volume Information\_restore{EC91EE6F-051F-4D4B-84FD-25A0857239C7}\RP0\A0000002.dll 44 KB
Infected: Trojan program Packed.Win32.TDSS.z C:\Qoobox\Quarantine\C\WINDOWS\system32\drivers\gasfkybqwgeett.sys.vir 70 KB
Infected: Trojan program Packed.Win32.TDSS.z C:\System Volume Information\_restore{EC91EE6F-051F-4D4B-84FD-25A0857239C7}\RP0\A0000005.dll 13,5 KB
Infected: Trojan program Packed.Win32.TDSS.z C:\System Volume Information\_restore{EC91EE6F-051F-4D4B-84FD-25A0857239C7}\RP0\A0000003.dll 20,5 KB
Infected: Trojan program Packed.Win32.TDSS.z C:\System Volume Information\_restore{EC91EE6F-051F-4D4B-84FD-25A0857239C7}\RP0\A0000006.dll 13,5 KB
Infected: Trojan program Packed.Win32.TDSS.z C:\System Volume Information\_restore{EC91EE6F-051F-4D4B-84FD-25A0857239C7}\RP0\A0000001.sys 70 KB
Infected: Trojan program Packed.Win32.TDSS.z C:\Documents and Settings\Zdenka\Local Settings\Data aplikací\Google\Chrome\User Data\Default\Cache\f_0000ec 93 KB
Infected: Trojan program Packed.Win32.TDSS.z C:\Qoobox\Quarantine\C\WINDOWS\system32\gasfkyyanbaimp.dll.vir 13,5 KB

OK, tak este inak
Vydrz mmnt, hodim ti sem este jeden navod...

Pojdes sem a das si spravit scan - tu je navod (by neomage):

NOD online dochrochtal a našel toto: C:\System Volume Information\_restore{EC91EE6F-051F-4D4B-84FD-25A0857239C7}\RP1\A0003327.exe Win32/HackAV.AI application cleaned by deleting - quarantined
Dala jsem smazat.
A jinak už hura hura?

jo a složka Qoobox na C - je teda pozustatek po ComboFixu? Muzu smazat?

1) Docistime to:

• Odinstaluj Combofix:
  Start -> Spustit -> (napis) combofix /u

• Pouzi T-Cleaner (ak by ho antivirus hlasil ako smejda, nic sa netreba bat, ide len o paranoju AV programu).

• Precisti PC CCleanerom (vratane registrov).

• Pouzi TFC (spust program a klikni na "Start". Pozor, PC moze byt restartovane).

2) Vloz log z HJT.

V pripade nezrovnalosti sa tu nachadza navod.

tak hotovo

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:49:26, on 12.10.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Eset\nod32krn.exe
C:\Program Files\Spyware Terminator\sp_rsser.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Eset\nod32kui.exe
C:\Program Files\Winamp\winampa.exe
C:\Program Files\Adobe\Acrobat 7.0\Distillr\Acrotray.exe
C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Documents and Settings\Zdenka\Local Settings\Data aplikací\Google\Update\GoogleUpdate.exe
C:\Program Files\DAEMON Tools Lite\daemon.exe
C:\Program Files\Spyware Terminator\SpywareTerminatorUpdate.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\totalcmd\TOTALCMD.EXE
C:\Documents and Settings\Zdenka\Local Settings\Data aplikací\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\Zdenka\Local Settings\Data aplikací\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\Zdenka\Local Settings\Data aplikací\Google\Chrome\Application\chrome.exe
C:\Program Files\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://seznam.cz/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://search.qip.ru/search?query=%s&from=IE
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
R3 - URLSearchHook: (no name) - - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {1CB20BF0-BBAE-40A7-93F4-6435FF3D0411} - C:\PROGRA~1\Crawler\Toolbar\ctbr.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: WebTranslator - {BFC32E1D-EE75-4A48-BC60-104E11EE2431} - c:\PROGRA~1\TRANSL~1\WEBIE.DLL
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: &Crawler lišta - {4B3803EA-5230-4DC3-A7FC-33638F3D3542} - C:\PROGRA~1\Crawler\Toolbar\ctbr.dll
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [CloneCDTray] "C:\Program Files\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "C:\Program Files\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb08.exe
O4 - HKLM\..\Run: [DeviceDiscovery] C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
O4 - HKCU\..\Run: [Google Update] "C:\Documents and Settings\Zdenka\Local Settings\Data aplikací\Google\Update\GoogleUpdate.exe" /c
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\daemon.exe" -autorun
O4 - HKCU\..\Run: [SpywareTerminatorUpdate] "C:\Program Files\Spyware Terminator\SpywareTerminatorUpdate.exe"
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Acrobat Speed Launcher.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Crawler Search - tbr:iemenu
O8 - Extra context menu item: E&xportovat do aplikace Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Převést cíl vazby do Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Převést cíl vazby do existujícího PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Převést do Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Převést do existujícího PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Převést vybrané vazby do Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Převést vybrané vazby do existujícího PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Převést výběr do Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Převést výběr do existujícího PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O9 - Extra button: WebTran - {BFC32E1D-EE75-4A48-BC60-104E11EE2431} - c:\PROGRA~1\TRANSL~1\WEBIE.DLL
O9 - Extra button: (no name) - {CC963627-B1DC-40E0-B52A-CF21EE748450} - c:\PROGRA~1\TRANSL~1\WEBIE.DLL
O9 - Extra 'Tools' menuitem: &Nastavit překladač - {CC963627-B1DC-40E0-B52A-CF21EE748450} - c:\PROGRA~1\TRANSL~1\WEBIE.DLL
O9 - Extra button: (no name) - {CC963627-B1DC-40E0-B52A-CF21EE748451} - c:\PROGRA~1\TRANSL~1\WEBIE.DLL
O9 - Extra 'Tools' menuitem: Přeložit &označený text - {CC963627-B1DC-40E0-B52A-CF21EE748451} - c:\PROGRA~1\TRANSL~1\WEBIE.DLL
O9 - Extra button: (no name) - {CC963627-B1DC-40E0-B52A-CF21EE748452} - c:\PROGRA~1\TRANSL~1\WEBIE.DLL
O9 - Extra 'Tools' menuitem: Přeložit &stránku - {CC963627-B1DC-40E0-B52A-CF21EE748452} - c:\PROGRA~1\TRANSL~1\WEBIE.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {7530BFB8-7293-4D34-9923-61A11451AFC5} - http://download.eset.com/special/eos/OnlineScanner.cab
O18 - Protocol: tbr - {4D25FB7A-8902-4291-960E-9ADA051CFBBF} - C:\PROGRA~1\Crawler\Toolbar\ctbr.dll
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Program Files\Spyware Terminator\sp_rsser.exe

--
End of file - 7572 bytes