VIRY.CZ

Dobrý večer, pomůže mi někdo najít to co mi maže HDD?
Po reinstalu na nový HDD a částečném navrácení záloh z původního disku mi opět některý z těch šmejdů začal odmazávat soubory z HDD. Zbyly jen složky. A začal mazat i připojený původní disk přes USB, kde jsem obnovil data


HP nc6320_
c:\ Nova instalace_druha_na novy HDD
e:\ puvodni HDD WD 640GB, Data Recovery


Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Verze databáze: 5884

Windows 5.1.2600 Service Pack 3
Internet Explorer 6.0.2900.2180

26.2.2011 18:51:12
mbam-log-2011-02-26 (18-50-57).txt

Typ kontroly: Úplný test (C:\|E:\|)
Testované objekty: 275387
Uplynulý čas: 1 hodin, 13 minut, 10 sekund

Infikované procesy v paměti: 0
Infikované moduly v paměti: 0
Infikované klíče v registru: 0
Infikované hodnoty v registru: 0
Infikované datové položky v registru: 0
Infikované složky: 0
Infikované soubory: 10

Infikované procesy v paměti:
(Žádné škodlivé položky nebyly zjištěny)

Infikované moduly v paměti:
(Žádné škodlivé položky nebyly zjištěny)

Infikované klíče v registru:
(Žádné škodlivé položky nebyly zjištěny)

Infikované hodnoty v registru:
(Žádné škodlivé položky nebyly zjištěny)

Infikované datové položky v registru:
(Žádné škodlivé položky nebyly zjištěny)

Infikované složky:
(Žádné škodlivé položky nebyly zjištěny)

Infikované soubory:
c:\system volume information\_restore{fb42959d-bcb5-4949-83a4-4909194346f7}\RP26\A0013801.exe (Malware.Packer.Gen) -> No action taken.
c:\system volume information\_restore{fb42959d-bcb5-4949-83a4-4909194346f7}\RP26\A0013816.exe (RiskWare.Tool.CK) -> No action taken.
c:\system volume information\_restore{fb42959d-bcb5-4949-83a4-4909194346f7}\RP26\A0013862.EXE (Dont.Steal.Our.Software) -> No action taken.
c:\system volume information\_restore{fb42959d-bcb5-4949-83a4-4909194346f7}\RP26\A0013863.EXE (Malware.Packer.Gen) -> No action taken.
c:\system volume information\_restore{fb42959d-bcb5-4949-83a4-4909194346f7}\RP26\A0016251.exe (Malware.Packer.Gen) -> No action taken.
c:\system volume information\_restore{fb42959d-bcb5-4949-83a4-4909194346f7}\RP26\A0016463.dll (Malware.Packer.Gen) -> No action taken.
e:\documents and settings\rosaline\local settings\Temp\Xbx.exe (Trojan.Agent) -> No action taken.
e:\program files\any dvd converter professional\Patch.exe (Trojan.Bancos) -> No action taken.
e:\WINDOWS\Xsuxaa.exe (Trojan.Agent) -> No action taken.
e:\WINDOWS\system32\sshnas21.dll (Trojan.Agent) -> No action taken.

Vítám tě u nás

Máš zavirovanou zálohu na E:\
V MBAM nech všechno smazat

Při zapojeném starém disku dej ComboFix

Stáhni si ComboFix
a ulož ho na plochu.
návod na použití: http://www.bleepingcomputer.com/combofi ... t-combofix
Ukonči všechna aktivní okna,vypni Antispy a Antivir a spusť ho.
- Po spuštění se zobrazí podmínky užití, potvrď je stiskem tlačítka Ano
- Dále postupuj dle pokynů, během aplikování ComboFixu neklikej do zobrazujícího se okna a nic nespouštěj
- Po dokončení skenování by měl program vytvořit log - C:\ComboFix.txt - zkopíruj sem prosím celý jeho obsah
Kdyby ti po použití ComboFixu systém nenaběhl - při restartu F8 a poslední známá funkční konfigurace

Děkuji. Mám několik dotazů ale asi postupně aby v tom nebyl zmatek. Posílám log z C:\

ComboFix 11-02-25.01 - Mautin 26.02.2011 15:20:48.1.2 - x86
Systém Microsoft Windows XP Professional 5.1.2600.2.1250.420.1029.18.1015.788 [GMT 1:00]
Spuštěný z: c:\documents and settings\Mautin\Plocha\ComboFix.exe
.
ADS - WINDOWS: deleted 24 bytes in 1 streams.

((((((((((((((((((((((((( Soubory vytvořené od 2011-01-26 do 2011-02-26 )))))))))))))))))))))))))))))))
.

2011-02-26 11:50 . 2011-02-26 12:24 -------- d-----w- C:\muzika zalohy
2011-02-26 09:08 . 2011-02-26 09:10 -------- d-----w- C:\# ovladače
2011-02-26 06:14 . 2011-02-26 07:19 -------- d-----w- C:\# SATELITY
2011-02-25 20:31 . 2011-02-26 07:20 -------- d-----w- C:\iPhone
2011-02-25 20:25 . 2011-02-26 07:20 -------- d-----w- C:\AUTA
2011-02-25 20:19 . 2011-02-26 07:19 -------- d-----w- C:\# Instalace Autoradia
2011-02-25 20:14 . 2011-02-25 20:14 -------- d-----w- C:\MSOCache
2011-02-25 17:59 . 2011-02-26 07:25 -------- d-----w- C:\Satelity
2011-02-25 16:04 . 2011-02-25 16:04 -------- d-----w- C:\9b112e1f9cec62a184934992
2011-02-25 12:41 . 2011-02-25 12:41 -------- d-----w- C:\Intel
2011-02-25 12:33 . 2011-02-26 07:19 -------- d-----w- C:\# Install
2011-02-25 12:23 . 2011-02-26 09:11 -------- d-----w- C:\SWSetup

.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))

(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))

*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SpybotSD TeaTimer"="c:\program files\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2007-09-14 141848]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2007-09-14 166424]
"Persistence"="c:\windows\system32\igfxpers.exe" [2007-09-14 137752]
"SoundMAXPnP"="c:\program files\Analog Devices\Core\smax4pnp.exe" [2007-01-05 872448]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-17 15360]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=

------- Doplňkový sken -------
.
uStart Page = hxxp://www.idnes.cz/
.
**************************************************************************
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2011-02-26 15:24
Windows 5.1.2600 Service Pack 2 NTFS
skenování skrytých procesů ...
skenování skrytých položek 'Po spuštění' ...
skenování skrytých souborů ...
sken byl úspešně dokončen
skryté soubory: 0
**************************************************************************.
Celkový čas: 2011-02-26 15:26:07
ComboFix-quarantined-files.txt 2011-02-26 14:26

Před spuštěním: Volných bajtů: 128 046 854 144
Po spuštění: Volných bajtů: 128 043 368 448

WindowsXP-KB310994-SP2-Pro-BootDisk-CSY.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect
- - End Of File - - 277CA6D5AB3415329AABD51C3889EA97

Klikni na https://www.virustotal.com/cs/
klik "Procházet" > do zadávacího pole "Název souboru" jen zkopíruj:

c:\windows\system32\sessmgr.exe

"Send file" (pokud byl již testován, nech testovat znovu - Reanalyse)
Trpělivě vyčkej dokončení scanu dokud se neobjeví konečný výsledek např.0/41
Do fóra zkopíruj výsledný log. nebo odkaz z adresního řádku na stránku.
Pokud nebude nález stačí jen oznámit

Máš nainstalovaný Antivir?
Doporučuji Avast! free - http://www.avast.com/cs-cz/index (3.strana)
Po registraci a aktualizaci databáze nech vše proscanovat C:\ + E:\

Doinstaluj SP3

Bývalý HDD e:\ měl SP3 i antivirus. Současný C:\ po doinstalování driverů i SP3 i Avastu mě opět začal mazat soubory. Zformátoval jsem tedy HDD opět a začal pátrat po příčině. Proto ten SP2.... Dám report až večer.
Děkuji za ochotu

Log z RootkitReveal

HKU\S-1-5-21-329068152-261903793-725345543-1003\Console 28.2.2011 22:25 0 bytes Security mismatch.
HKLM\SECURITY\Policy\Secrets\SAC* 27.2.2011 19:51 0 bytes Key name contains embedded nulls (*)
HKLM\SECURITY\Policy\Secrets\SAI* 27.2.2011 19:51 0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Swearware\backup\winsock2 28.2.2011 22:04 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters 28.2.2011 22:04 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\NameSpace_Catalog5 28.2.2011 22:04 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries 28.2.2011 22:04 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000001 28.2.2011 22:04 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000002 28.2.2011 22:04 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000003 28.2.2011 22:04 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9 28.2.2011 22:04 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries 28.2.2011 22:04 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000001 28.2.2011 22:04 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000002 28.2.2011 22:04 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000003 28.2.2011 22:04 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000004 28.2.2011 22:04 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000005 28.2.2011 22:04 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000006 28.2.2011 22:04 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000007 28.2.2011 22:04 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000008 28.2.2011 22:04 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000009 28.2.2011 22:04 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000010 28.2.2011 22:04 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000011 28.2.2011 22:04 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000012 28.2.2011 22:04 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000013 28.2.2011 22:04 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000014 28.2.2011 22:04 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000015 28.2.2011 22:04 0 bytes Security mismatch.

Klikni na https://www.virustotal.com/cs/
klik "Procházet" > do zadávacího pole "Název souboru" jen zkopíruj:

c:\windows\system32\sessmgr.exe

"Send file" (pokud byl již testován, nech testovat znovu - Reanalyse)
Trpělivě vyčkej dokončení scanu dokud se neobjeví konečný výsledek např.0/41
Do fóra zkopíruj výsledný log. nebo odkaz z adresního řádku na stránku.
Pokud nebude nález stačí jen oznámit

Stáhni "System Look" - http://jpshortstuff.247fixes.com/SystemLook.exe
Spusť jej a do okna zkopíruj Klik na Look a po scanu sem zkopíruj výsledek hledání

Při zapojeném E: proveď kontrolu AVPToolem
Stáhni http://www.viry.cz/forum/viewtopic.php?f=29&t=58179/

Návod http://img32.imageshack.us/img32/7604/93809819.gif

SystemLook 04.09.10 by jpshortstuff
Log created at 09:44 on 03/03/2011 by nobody001
Administrator - Elevation successful

========== filefind ==========

Searching for "sessmgr.exe"
C:\WINDOWS\$NtServicePackUninstall$\sessmgr.exe -----c- 141312 bytes [19:44 27/02/2011] [13:49 17/08/2004] 125ACF258DA9633F748131A0E0185AF3
C:\WINDOWS\ServicePackFiles\i386\sessmgr.exe ------- 141824 bytes [19:51 27/02/2011] [07:52 14/04/2008] C0D9D9711CB74EE9BC66353D8CBDAB0E
C:\WINDOWS\system32\sessmgr.exe --a---- 141824 bytes [18:33 27/02/2011] [07:52 14/04/2008] C0D9D9711CB74EE9BC66353D8CBDAB0E

e:\ skenuje, zatím 1%

Děkuji

cernohous13 píše:

Klikni na https://www.virustotal.com/cs/
klik "Procházet" > do zadávacího pole "Název souboru" jen zkopíruj:

c:\windows\system32\sessmgr.exe

"Send file" (pokud byl již testován, nech testovat znovu - Reanalyse)
Trpělivě vyčkej dokončení scanu dokud se neobjeví konečný výsledek např.0/41
Do fóra zkopíruj výsledný log. nebo odkaz z adresního řádku na stránku.
Pokud nebude nález stačí jen oznámit

Výsledek

Tak to se mi nepovedlo

Je zajímavé že jiného pc to jde, výsledek 0, ale z noťasu ne

V čem je problém?

Povedlo se, result 0

Scan e:\ jedná se o bývalý disk na kterém byl nainstalovaný antivir....

3.3.2011 10:04:59 Úloha byla spuštěna
3.3.2011 11:10:24 Zjištěno: Trojan-Downloader.Win32.ImgDrop.erp E:\RECYCLER\S-1-5-21-861567501-823518204-839522115-1003\Dc65.exe
3.3.2011 11:10:25 Zjištěno: Trojan-Downloader.Win32.CodecPack.ajvs E:\RECYCLER\S-1-5-21-861567501-823518204-839522115-1003\Dc64.exe
3.3.2011 11:10:59 Zjištěno: Trojan-Downloader.Win32.CodecPack.ajvs E:\RECYCLER\S-1-5-21-861567501-823518204-839522115-1003\Dc66.exe
3.3.2011 11:41:46 Odstraněno: Trojan-Downloader.Win32.ImgDrop.erp E:\RECYCLER\S-1-5-21-861567501-823518204-839522115-1003\Dc65.exe
3.3.2011 11:41:46 Odstraněno: Trojan-Downloader.Win32.CodecPack.ajvs E:\RECYCLER\S-1-5-21-861567501-823518204-839522115-1003\Dc64.exe
3.3.2011 11:41:48 Odstraněno: Trojan-Downloader.Win32.CodecPack.ajvs E:\RECYCLER\S-1-5-21-861567501-823518204-839522115-1003\Dc66.exe
3.3.2011 11:44:07 Zjištěno: Trojan-Downloader.Win32.ImgDrop.erp E:\System Volume Information\_restore{2583EBD5-66E1-4B1C-A3E3-E2C573F88D04}\RP18\A0005437.exe
3.3.2011 11:44:39 Odstraněno: Trojan-Downloader.Win32.ImgDrop.erp E:\System Volume Information\_restore{2583EBD5-66E1-4B1C-A3E3-E2C573F88D04}\RP18\A0005437.exe
3.3.2011 11:44:39 Zjištěno: Trojan-Downloader.Win32.CodecPack.ajvs E:\System Volume Information\_restore{2583EBD5-66E1-4B1C-A3E3-E2C573F88D04}\RP18\A0005438.exe
3.3.2011 11:44:39 Zjištěno: Trojan-Downloader.Win32.CodecPack.ajvs E:\System Volume Information\_restore{2583EBD5-66E1-4B1C-A3E3-E2C573F88D04}\RP18\A0005439.exe
3.3.2011 11:44:55 Odstraněno: Trojan-Downloader.Win32.CodecPack.ajvs E:\System Volume Information\_restore{2583EBD5-66E1-4B1C-A3E3-E2C573F88D04}\RP18\A0005438.exe
3.3.2011 11:44:56 Odstraněno: Trojan-Downloader.Win32.CodecPack.ajvs E:\System Volume Information\_restore{2583EBD5-66E1-4B1C-A3E3-E2C573F88D04}\RP18\A0005439.exe
3.3.2011 11:49:31 Zjištěno: Packed.Win32.Krap.hc E:\System Volume Information\_restore{CEE63F6F-5015-4C0B-8C09-C0359585E03A}\RP4\A0000325.exe
3.3.2011 11:49:31 Zjištěno: Packed.Win32.Krap.hc E:\System Volume Information\_restore{CEE63F6F-5015-4C0B-8C09-C0359585E03A}\RP4\A0000324.exe
3.3.2011 11:49:36 Zjištěno: Packed.Win32.Krap.hc E:\System Volume Information\_restore{CEE63F6F-5015-4C0B-8C09-C0359585E03A}\RP4\A0000326.exe
3.3.2011 11:51:18 Odstraněno: Packed.Win32.Krap.hc E:\System Volume Information\_restore{CEE63F6F-5015-4C0B-8C09-C0359585E03A}\RP4\A0000324.exe
3.3.2011 11:51:18 Odstraněno: Packed.Win32.Krap.hc E:\System Volume Information\_restore{CEE63F6F-5015-4C0B-8C09-C0359585E03A}\RP4\A0000325.exe
3.3.2011 11:51:20 Odstraněno: Packed.Win32.Krap.hc E:\System Volume Information\_restore{CEE63F6F-5015-4C0B-8C09-C0359585E03A}\RP4\A0000326.exe
3.3.2011 12:00:21 Zjištěno: Backdoor.Win32.WinUOJ.pek E:\WINDOWS\system32\windnb32.dll
3.3.2011 12:00:21 Zjištěno: Backdoor.Win32.WinUOJ.pek E:\WINDOWS\system32\winilr32.dll
3.3.2011 12:00:23 Zjištěno: HEUR:Trojan.Win32.Generic E:\WINDOWS\system32\winimq32.dll
3.3.2011 12:02:36 Odstraněno: Backdoor.Win32.WinUOJ.pek E:\WINDOWS\system32\winilr32.dll
3.3.2011 12:02:36 Zjištěno: Backdoor.Win32.WinUOJ.pek E:\WINDOWS\system32\winkpb32.dll
3.3.2011 12:02:37 Odstraněno: Backdoor.Win32.WinUOJ.pek E:\WINDOWS\system32\windnb32.dll
3.3.2011 12:02:37 Zjištěno: Backdoor.Win32.WinUOJ.pek E:\WINDOWS\system32\winksy32.dll
3.3.2011 12:02:42 Odstraněno: Backdoor.Win32.WinUOJ.pek E:\WINDOWS\system32\winkpb32.dll
3.3.2011 12:02:44 Zjištěno: HEUR:Trojan.Win32.Generic E:\WINDOWS\system32\winntn32.dll
3.3.2011 12:02:44 Odstraněno: Backdoor.Win32.WinUOJ.pek E:\WINDOWS\system32\winksy32.dll
3.3.2011 12:02:45 Zjištěno: HEUR:Trojan.Win32.Generic E:\WINDOWS\system32\winoqv32.dll
3.3.2011 12:02:45 Odstraněno: HEUR:Trojan.Win32.Generic E:\WINDOWS\system32\winimq32.dll
3.3.2011 12:02:46 Zjištěno: Backdoor.Win32.WinUOJ.pek E:\WINDOWS\system32\winqwl32.dll
3.3.2011 12:02:53 Odstraněno: HEUR:Trojan.Win32.Generic E:\WINDOWS\system32\winoqv32.dll
3.3.2011 12:02:53 Zjištěno: HEUR:Trojan.Win32.Generic E:\WINDOWS\system32\winsaj32.dll
3.3.2011 12:02:56 Odstraněno: HEUR:Trojan.Win32.Generic E:\WINDOWS\system32\winntn32.dll
3.3.2011 12:02:56 Zjištěno: Backdoor.Win32.WinUOJ.pek E:\WINDOWS\system32\winugy32.dll
3.3.2011 12:02:57 Odstraněno: HEUR:Trojan.Win32.Generic E:\WINDOWS\system32\winsaj32.dll
3.3.2011 12:02:57 Zjištěno: HEUR:Trojan.Win32.Generic E:\WINDOWS\system32\winypt32.dll
3.3.2011 12:02:57 Odstraněno: Backdoor.Win32.WinUOJ.pek E:\WINDOWS\system32\winqwl32.dll
3.3.2011 12:02:57 Zjištěno: HEUR:Trojan.Win32.Generic E:\WINDOWS\system32\winzdo32.dll
3.3.2011 12:03:01 Odstraněno: HEUR:Trojan.Win32.Generic E:\WINDOWS\system32\winypt32.dll
3.3.2011 12:03:03 Odstraněno: Backdoor.Win32.WinUOJ.pek E:\WINDOWS\system32\winugy32.dll
3.3.2011 12:03:04 Odstraněno: HEUR:Trojan.Win32.Generic E:\WINDOWS\system32\winzdo32.dll
3.3.2011 12:04:36 Úloha byla dokončena

Dá se definovat ten virus, který začal mazat soubory?