VIRY.CZ

Dobrý den,

mám zde jedno velice podivné PC s Windows XP SP3, u kterého čas od času prý selže přihlášení do domény (Win 2003).
Mně se to zatím nestalo, každopádně jsem si ale všiml, že například explorer.exe nebo dokonce winlogon.exe hlásí chyby správy paměti (Aplikace se pokusila přistoupit na adresu paměti, která ukazovala na ...).
Dále pomalost PC je obrovská. Sice je starší, ale podle mě ne zase tolik.

Prosím o prohlédnutí logu z RSIT a o radu.
Předem díky


Logfile of random's system information tool 1.09 (written by random/random)
Run by Administrator at 2011-11-01 12:47:19
Systém Microsoft Windows XP Professional Service Pack 3
System drive C: has 12 GB (32%) free of 38 GB
Total RAM: 1535 MB (64% free)

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 12:47:26, on 1.11.2011
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\ESET\ESET Smart Security\ekrn.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\mdm.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\explorer.exe
C:\Program Files\ESET\ESET Smart Security\egui.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\Administrator.PC10\Plocha\RSIT.exe
C:\Program Files\trend micro\Administrator.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
O2 - BHO: Podpora odkazu pro Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [JobHisInit] C:\Program Files\RDS\RMClient\JobHisInit.exe
O4 - HKLM\..\Run: [MplSetUp] C:\Program Files\RDS\RMClient\MplSetUp.exe
O4 - HKLM\..\Run: [DelPnPDirver] C:\Program Files\panasonic\panasonic KX-P7100\DelPnPD.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [egui] "C:\Program Files\ESET\ESET Smart Security\egui.exe" /hide /waitservice
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: CHIEFOFFICE_VERZE.bat
O4 - Global Startup: FINOFFICE_VERZE.bat
O4 - Global Startup: INOFFICE_VERZE.bat
O4 - Global Startup: OFFICE_VERZE.bat
O4 - Global Startup: OUTOFFICE_VERZE.bat
O8 - Extra context menu item: E&xportovat do aplikace Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.1_07\bin\npjpi141_07.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.1_07\bin\npjpi141_07.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra button: PDFill PDF Editor - {FB858B22-55E2-413f-87F5-30ADC5552151} - C:\Program Files\PlotSoft\PDFill\DownloadPDF.exe
O14 - IERESET.INF: START_PAGE_URL=http://companyweb
O16 - DPF: {485D813E-EE26-4DF8-9FAF-DEDF2885306E} (NSHelp Class) - http://server/connectcomputer/nshelp.dll
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/microso ... 7197677276
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microso ... 9661894706
O16 - DPF: {A8449522-F7C6-11D4-8022-0060082AE372} (XceedBinaryEncoding ActiveX) - https://portal.vzp.cz/http://u-por1e.op ... eedBen.dll
O16 - DPF: {A996E48C-D3DC-4244-89F7-AFA33EC60679} (Settings Class) - https://portal.vzp.cz/http://u-por1e.op ... apicom.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = exekutor.local
O17 - HKLM\Software\..\Telephony: DomainName = exekutor.local
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = exekutor.local
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Proces mezipaměti kategorií součástí - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: ESET HTTP Server (EhttpSrv) - ESET - C:\Program Files\ESET\ESET Smart Security\EHttpSrv.exe
O23 - Service: ESET Service (ekrn) - ESET - C:\Program Files\ESET\ESET Smart Security\ekrn.exe

--
End of file - 5315 bytes

======Registry dump======

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}]
Podpora odkazu pro Adobe PDF Reader - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll [2006-10-22 62080]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"JobHisInit"=C:\Program Files\RDS\RMClient\JobHisInit.exe [2006-06-21 151552]
"MplSetUp"=C:\Program Files\RDS\RMClient\MplSetUp.exe [2005-06-01 40960]
"DelPnPDirver"=C:\Program Files\panasonic\panasonic KX-P7100\DelPnPD.exe [2001-05-24 24576]
"Adobe Reader Speed Launcher"=C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe [2008-01-11 39792]
"egui"=C:\Program Files\ESET\ESET Smart Security\egui.exe [2011-01-12 2219184]

C:\Documents and Settings\All Users\Nabídka Start\Programy\Po spuštění
CHIEFOFFICE_VERZE.bat
FINOFFICE_VERZE.bat
INOFFICE_VERZE.bat
OFFICE_VERZE.bat
OUTOFFICE_VERZE.bat

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\WgaLogon]
C:\WINDOWS\system32\WgaLogon.dll [2009-03-10 265096]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll [2006-10-18 133632]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"dontdisplaylastusername"=0
"legalnoticecaption"=
"legalnoticetext"=
"shutdownwithoutlogon"=1
"undockwithoutlogon"=1

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
"NoDriveTypeAutoRun"=323
"NoDriveAutoRun"=67108863
"NoDrives"=0

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
"HonorAutoRunSetting"=1
"NoWelcomeScreen"=1
"NoDriveTypeAutoRun"=323
"NoDriveAutoRun"=67108863
"NoDrives"=0

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Program Files\Microsoft Office\Office12\OUTLOOK.EXE"="C:\Program Files\Microsoft Office\Office12\OUTLOOK.EXE:*:Enabled:Microsoft Office Outlook"
"C:\WINDOWS\system32\rundll32.exe"="C:\WINDOWS\system32\rundll32.exe:*:Enabled:Run a DLL as an App"
"C:\Program Files\RDS\PLTBar.exe"="C:\Program Files\RDS\PLTBar.exe:*:Enabled:Ridoc Document System Ridoc Desk ToolLauncher Module"
"C:\Program Files\Internet Explorer\IEXPLORE.EXE"="C:\Program Files\Internet Explorer\IEXPLORE.EXE:*:Enabled:Internet Explorer"
"C:\Program Files\SJphone 1.65\SJphone.exe"="C:\Program Files\SJphone 1.65\SJphone.exe:*:Enabled:SJphone 1.65"
"C:\Program Files\Lantronix\DeviceInstaller4.2\DeviceInstaller.exe"="C:\Program Files\Lantronix\DeviceInstaller4.2\DeviceInstaller.exe:*:Enabled:DeviceInstaller"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"C:\Documents and Settings\Administrator\temp\TeamViewer\Version5\TeamViewer.exe"="C:\Documents and Settings\Administrator\temp\TeamViewer\Version5\TeamViewer.exe:*:Enabled:TeamViewer"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32]
"midimapper"=midimap.dll
"msacm.imaadpcm"=imaadp32.acm
"msacm.msadpcm"=msadp32.acm
"msacm.msg711"=msg711.acm
"msacm.msgsm610"=msgsm32.acm
"msacm.trspch"=tssoft32.acm
"vidc.cvid"=iccvid.dll
"vidc.I420"=msh263.drv
"vidc.iv31"=ir32_32.dll
"vidc.iv32"=ir32_32.dll
"vidc.iv41"=ir41_32.ax
"vidc.iyuv"=iyuv_32.dll
"vidc.mrle"=msrle32.dll
"vidc.msvc"=msvidc32.dll
"vidc.uyvy"=msyuv.dll
"vidc.yuy2"=msyuv.dll
"vidc.yvu9"=tsbyuv.dll
"vidc.yvyu"=msyuv.dll
"wavemapper"=msacm32.drv
"msacm.msg723"=msg723.acm
"vidc.M263"=msh263.drv
"vidc.M261"=msh261.drv
"msacm.msaudio1"=msaud32.acm
"msacm.sl_anet"=sl_anet.acm
"msacm.iac2"=C:\WINDOWS\system32\iac25_32.ax
"vidc.iv50"=ir50_32.dll
"msacm.l3acm"=C:\WINDOWS\system32\l3codeca.acm
"wave"=wdmaud.drv
"midi"=wdmaud.drv
"mixer"=wdmaud.drv

======List of files/folders created in the last 1 month======

2011-11-01 09:48:25 ----D---- C:\WINDOWS\temp
2011-11-01 09:48:22 ----A---- C:\ComboFix.txt
2011-11-01 09:28:36 ----A---- C:\Boot.bak
2011-11-01 09:28:25 ----RASHD---- C:\cmdcons
2011-11-01 09:24:39 ----A---- C:\WINDOWS\zip.exe
2011-11-01 09:24:39 ----A---- C:\WINDOWS\SWXCACLS.exe
2011-11-01 09:24:39 ----A---- C:\WINDOWS\SWSC.exe
2011-11-01 09:24:39 ----A---- C:\WINDOWS\SWREG.exe
2011-11-01 09:24:39 ----A---- C:\WINDOWS\sed.exe
2011-11-01 09:24:39 ----A---- C:\WINDOWS\PEV.exe
2011-11-01 09:24:39 ----A---- C:\WINDOWS\NIRCMD.exe
2011-11-01 09:24:39 ----A---- C:\WINDOWS\MBR.exe
2011-11-01 09:24:39 ----A---- C:\WINDOWS\grep.exe
2011-11-01 09:24:15 ----D---- C:\WINDOWS\ERDNT
2011-11-01 09:23:25 ----D---- C:\Qoobox
2011-10-31 16:50:41 ----D---- C:\Program Files\CrystalDiskInfo
2011-10-27 15:24:27 ----HDC---- C:\WINDOWS\$NtUninstallKB2567053$
2011-10-27 15:23:55 ----HDC---- C:\WINDOWS\$NtUninstallKB2592799$
2011-10-27 15:18:38 ----N---- C:\WINDOWS\system32\spmsg.dll
2011-10-27 15:18:36 ----HDC---- C:\WINDOWS\$NtUninstallMSCompPackV1$
2011-10-27 15:17:53 ----D---- C:\Program Files\Windows Media Connect 2
2011-10-27 15:16:57 ----HDC---- C:\WINDOWS\$NtUninstallwmp11$
2011-10-27 15:14:49 ----HDC---- C:\WINDOWS\$NtUninstallWMFDist11$
2011-10-27 15:13:23 ----D---- C:\WINDOWS\system32\LogFiles
2011-10-27 15:13:23 ----D---- C:\WINDOWS\system32\drivers\UMDF
2011-10-27 15:13:07 ----HDC---- C:\WINDOWS\$NtUninstallWudf01000$
2011-10-17 16:05:29 ----D---- C:\Documents and Settings\Administrator.PC10\Data aplikací\Adobe
2011-10-17 15:04:11 ----D---- C:\6c4d7d79a458e61503ead4222d
2011-10-10 10:40:59 ----D---- C:\54b164f471f5045b45a2ca51e8

======List of files/folders modified in the last 1 month======

2011-11-01 12:47:24 ----D---- C:\Program Files\trend micro
2011-11-01 10:09:22 ----D---- C:\WINDOWS\Prefetch
2011-11-01 09:48:25 ----D---- C:\WINDOWS
2011-11-01 09:44:26 ----A---- C:\WINDOWS\system.ini
2011-11-01 09:44:06 ----D---- C:\WINDOWS\system32\drivers\etc
2011-11-01 09:42:31 ----D---- C:\WINDOWS\system32
2011-11-01 09:38:01 ----D---- C:\WINDOWS\system32\drivers
2011-11-01 09:38:00 ----D---- C:\WINDOWS\AppPatch
2011-11-01 09:37:56 ----D---- C:\Program Files\Common Files
2011-11-01 09:28:36 ----RASH---- C:\boot.ini
2011-11-01 09:25:01 ----A---- C:\WINDOWS\SchedLgU.Txt
2011-11-01 09:24:29 ----D---- C:\WINDOWS\system32\CatRoot2
2011-11-01 07:41:40 ----D---- C:\WINDOWS\security
2011-10-31 17:33:21 ----SHD---- C:\System Volume Information
2011-10-31 17:04:28 ----HD---- C:\WINDOWS\inf
2011-10-31 16:50:41 ----RD---- C:\Program Files
2011-10-31 16:44:22 ----A---- C:\WINDOWS\system32\PerfStringBackup.INI
2011-10-31 16:41:22 ----SHD---- C:\WINDOWS\CSC
2011-10-27 15:44:19 ----RSD---- C:\WINDOWS\assembly
2011-10-27 15:44:19 ----D---- C:\WINDOWS\Microsoft.NET
2011-10-27 15:27:08 ----D---- C:\WINDOWS\Minidump
2011-10-27 15:24:54 ----RSHDC---- C:\WINDOWS\system32\dllcache
2011-10-27 15:24:22 ----HD---- C:\WINDOWS\$hf_mig$
2011-10-27 15:24:16 ----A---- C:\WINDOWS\imsins.BAK
2011-10-27 15:22:57 ----D---- C:\Program Files\Internet Explorer
2011-10-27 15:18:13 ----A---- C:\WINDOWS\win.ini
2011-10-27 15:17:53 ----D---- C:\Program Files\Windows Media Player
2011-10-27 15:17:38 ----D---- C:\WINDOWS\Help
2011-10-27 15:11:42 ----SHD---- C:\WINDOWS\Installer
2011-10-27 15:03:55 ----D---- C:\WINDOWS\WinSxS
2011-10-27 14:30:43 ----A---- C:\WINDOWS\RicDB.ini
2011-10-27 14:30:42 ----A---- C:\WINDOWS\system32\RPCS.ini
2011-10-27 14:30:23 ----D---- C:\WINDOWS\system32\FxsTmp
2011-10-19 20:46:08 ----A---- C:\WINDOWS\OEWABLog.txt
2011-10-19 20:45:16 ----D---- C:\Documents and Settings
2011-10-17 16:25:31 ----D---- C:\ASPI
2011-10-17 15:50:45 ----SD---- C:\Documents and Settings\Administrator.PC10\Data aplikací\Microsoft
2011-10-10 10:39:25 ----D---- C:\iMM
2011-10-03 09:31:24 ----A---- C:\WINDOWS\system32\mshtml.dll

======List of drivers (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======

R0 viaagp;Filtr VIA sběrnice AGP ; C:\WINDOWS\system32\DRIVERS\viaagp.sys [2008-04-13 42240]
R0 viaagp1;VIA AGP Filter; C:\WINDOWS\system32\DRIVERS\viaagp1.sys [2003-07-02 27904]
R1 AmdK7;Ovladač procesoru AMD K7; C:\WINDOWS\system32\DRIVERS\amdk7.sys [2008-04-14 41600]
R1 BANTExt;Belarc SMBios Access; C:\WINDOWS\System32\Drivers\BANTExt.sys [2008-02-27 3840]
R1 ehdrv;ehdrv; C:\WINDOWS\system32\DRIVERS\ehdrv.sys [2010-12-21 115008]
R1 epfwtdi;epfwtdi; C:\WINDOWS\system32\DRIVERS\epfwtdi.sys [2010-08-03 55256]
R1 WS2IFSL;Podpůrné prostředí zprostředkovatele služeb Windows Socket 2.0 bez podpory IFS; C:\WINDOWS\System32\drivers\ws2ifsl.sys [2006-03-02 12032]
R2 eamon;eamon; C:\WINDOWS\system32\DRIVERS\eamon.sys [2010-12-21 141264]
R2 epfw;epfw; C:\WINDOWS\system32\DRIVERS\epfw.sys [2010-12-21 134000]
R2 KPSYSDRV;KPSYSDRV; \??\C:\WINDOWS\system32\drivers\KPSYSDRV.sys []
R3 ati2mtag;ati2mtag; C:\WINDOWS\system32\DRIVERS\ati2mtag.sys [2004-08-17 701440]
R3 cmuda;C-Media WDM Audio Interface; C:\WINDOWS\system32\drivers\cmuda.sys [2005-12-15 1368000]
R3 Epfwndis;Eset Personal Firewall; C:\WINDOWS\system32\DRIVERS\Epfwndis.sys [2010-12-21 33120]
R3 SISNIC;SiS PCI Fast Ethernet Adapter Driver; C:\WINDOWS\system32\DRIVERS\sisnic.sys [2004-08-03 32768]
R3 usbuhci;Ovladač Microsoft univerzálního hostitelského řadiče USB od společnosti Microsoft; C:\WINDOWS\system32\DRIVERS\usbuhci.sys [2008-04-13 20608]
S2 BulkUsb;Genesys Logic USB Controller NT 5.0; C:\WINDOWS\System32\Drivers\usbprn.sys [2001-12-21 7552]
S3 catchme;catchme; \??\C:\DOCUME~1\ADMINI~1.PC1\LOCALS~1\Temp\catchme.sys []
S3 dot4;Ovladač MS IEEE-1284.4; C:\WINDOWS\system32\DRIVERS\Dot4.sys [2008-04-13 206976]
S3 Dot4Print;Ovladač třídy tiskárny standardu IEEE-1284.4; C:\WINDOWS\system32\DRIVERS\Dot4Prt.sys [2001-08-17 12928]
S3 dot4usb;Filtr Dot4USB Dot4USB Filter; C:\WINDOWS\system32\DRIVERS\dot4usb.sys [2001-10-24 23808]
S3 mbr;mbr; \??\C:\ComboFix\mbr.sys []
S3 S3Psddr;S3Psddr; C:\WINDOWS\system32\DRIVERS\s3gnbm.sys [2003-04-21 166784]
S3 S3SavageNB;S3SavageNB; C:\WINDOWS\system32\DRIVERS\s3gnbm.sys [2003-04-21 166784]
S3 USBSTOR;Ovladač velkokapacitního paměťového zařízení USB; C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2008-04-13 26368]
S3 WudfPf;Windows Driver Foundation - User-mode Driver Framework Platform Driver; C:\WINDOWS\system32\DRIVERS\WudfPf.sys [2006-09-28 77568]
S3 WudfRd;Windows Driver Foundation - User-mode Driver Framework Reflector; C:\WINDOWS\system32\DRIVERS\wudfrd.sys [2006-09-28 82944]

======List of services (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======

R2 ekrn;ESET Service; C:\Program Files\ESET\ESET Smart Security\ekrn.exe [2011-01-12 810144]
R2 MDM;Machine Debug Manager; C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\mdm.exe [2006-10-26 335872]
S2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86; C:\WINDOWS\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-03-18 130384]
S2 Fax;Fax; C:\WINDOWS\system32\fxssvc.exe [2008-04-14 268288]
S3 aspnet_state;ASP.NET State Service; C:\WINDOWS\Microsoft.NET\Framework\v4.0.30319\aspnet_state.exe [2010-03-18 35160]
S3 EhttpSrv;ESET HTTP Server; C:\Program Files\ESET\ESET Smart Security\EHttpSrv.exe [2011-01-12 33584]
S3 FontCache3.0.0.0;Windows Presentation Foundation Font Cache 3.0.0.0; c:\WINDOWS\Microsoft.NET\Framework\v3.0\WPF\PresentationFontCache.exe [2008-07-29 46104]
S3 idsvc;Windows CardSpace; c:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe [2008-07-29 881664]
S3 odserv;Microsoft Office Diagnostics Service; C:\Program Files\Common Files\Microsoft Shared\OFFICE12\ODSERV.EXE [2008-11-04 441712]
S3 ose;Office Source Engine; C:\Program Files\Common Files\Microsoft Shared\Source Engine\OSE.EXE [2006-10-26 145184]
S3 WinRM;Windows Remote Management (WS-Management); C:\WINDOWS\system32\svchost.exe [2008-04-14 14336]
S3 WMPNetworkSvc;Služba Windows Media Player Network Sharing; C:\Program Files\Windows Media Player\WMPNetwk.exe [2007-01-05 913920]
S3 WPFFontCache_v0400;Windows Presentation Foundation Font Cache 4.0.0.0; C:\WINDOWS\Microsoft.NET\Framework\v4.0.30319\WPF\WPFFontCache_v0400.exe [2010-03-18 753504]
S3 WudfSvc;Windows Driver Foundation - User-mode Driver Framework; C:\WINDOWS\system32\svchost.exe [2008-04-14 14336]
S4 clr_optimization_v2.0.50727_32;.NET Runtime Optimization Service v2.0.50727_X86; C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe [2008-07-25 69632]
S4 NetTcpPortSharing;Net.Tcp Port Sharing Service; C:\WINDOWS\Microsoft.NET\Framework\v4.0.30319\SMSvcHost.exe [2010-03-18 124240]

-----------------EOF-----------------

Zdravím!
Pokud provedete sken RSIT po skenu ComboFix, bude určitě čistý. CF smaže všechny případné stopy zavirování. Navíc skenem CF bez předchozí kontroly RSIT riskujete shození systému. Dejte log z ComboFix. Najdete ho v C:\combofix.txt.

Tady je log z ComboFixu:

ComboFix 11-11-01.01 - Administrator 01.11.2011 9:32.1.1 - x86
Systém Microsoft Windows XP Professional 5.1.2600.3.1250.420.1029.18.1535.1134 [GMT 1:00]
Spuštěný z: c:\documents and settings\Administrator.PC10\Plocha\ComboFix.exe
AV: ESET Smart Security 4.2 *Enabled/Updated* {E5E70D32-0101-4F12-8FB0-D96ACA4F34C0}
FW: ESET Personal firewall *Enabled* {E5E70D32-0101-4340-86A3-A7B0F1C8FFE0}
* Rezidentní štít AV je zapnutý
.
.
.
((((((((((((((((((((((((((((((((((((((( Ostatní výmazy )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\windows\msmqinst.log
c:\windows\odbcad32.exe
c:\windows\system32\A651FDAT.DLL
c:\windows\system32\AF101DAT.dll
c:\windows\system32\AF120dat.dll
c:\windows\system32\Af15bdat.dll
c:\windows\system32\af180dat.dll
c:\windows\system32\AF201dat.dll
c:\windows\system32\af223dat.dll
c:\windows\system32\af320dat.dll
c:\windows\system32\af557dat.dll
c:\windows\system32\af800dat.dll
c:\windows\system32\af857dat.dll
.
.
((((((((((((((((((((((((( Soubory vytvořené od 2011-10-01 do 2011-11-01 )))))))))))))))))))))))))))))))
.
.
2011-10-31 15:50 . 2011-10-31 15:52 -------- d-----w- c:\program files\CrystalDiskInfo
2011-10-27 14:17 . 2011-10-27 14:17 -------- d-----w- c:\program files\Windows Media Connect 2
2011-10-27 14:13 . 2011-10-27 14:15 -------- d-----w- c:\windows\system32\drivers\UMDF
2011-10-27 14:13 . 2011-10-27 14:13 -------- d-----w- c:\windows\system32\LogFiles
2011-10-17 15:05 . 2011-10-17 15:08 -------- d-----w- c:\documents and settings\Administrator.PC10\Local Settings\Data aplikací\Adobe
2011-10-17 14:04 . 2011-10-17 14:24 -------- d-----w- C:\6c4d7d79a458e61503ead4222d
2011-10-10 09:40 . 2011-10-11 01:40 -------- d-----w- C:\54b164f471f5045b45a2ca51e8
.
.
.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-09-09 09:12 . 2006-03-02 12:00 602112 ----a-w- c:\windows\system32\crypt32.dll
2011-09-06 14:10 . 2006-03-02 12:00 1858944 ----a-w- c:\windows\system32\win32k.sys
2011-08-22 23:41 . 2006-03-02 12:00 916480 ----a-w- c:\windows\system32\wininet.dll
2011-08-22 23:41 . 2006-03-02 12:00 43520 ----a-w- c:\windows\system32\licmgr10.dll
2011-08-22 23:41 . 2006-03-02 12:00 1469440 ------w- c:\windows\system32\inetcpl.cpl
2011-08-22 11:56 . 2006-03-02 12:00 385024 ----a-w- c:\windows\system32\html.iec
2011-08-17 13:49 . 2006-03-02 12:00 138496 ----a-w- c:\windows\system32\drivers\afd.sys
.
.
(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"JobHisInit"="c:\program files\RDS\RMClient\JobHisInit.exe" [2006-06-21 151552]
"MplSetUp"="c:\program files\RDS\RMClient\MplSetUp.exe" [2005-06-01 40960]
"DelPnPDirver"="c:\program files\panasonic\panasonic KX-P7100\DelPnPD.exe" [2001-05-24 24576]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 39792]
"egui"="c:\program files\ESET\ESET Smart Security\egui.exe" [2011-01-12 2219184]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]
.
c:\documents and settings\matyskova\Nabídka Start\Programy\Po spuštění\
Zástupce - CHIEFOFFICE_VERZE.lnk - c:\davky\CHIEFOFFICE_VERZE.bat [2007-10-29 193]
Zástupce - INOFFICE_VERZE.lnk - c:\davky\INOFFICE_VERZE.bat [2007-10-29 190]
Zástupce - OFFICE_VERZE.lnk - c:\davky\OFFICE_VERZE.bat [2007-10-29 190]
Zástupce - OUTOFFICE_VERZE.lnk - c:\davky\OUTOFFICE_VERZE.bat [2007-10-29 191]
.
c:\documents and settings\All Users\Nabídka Start\Programy\Po spuštění\
CHIEFOFFICE_VERZE.bat [2007-10-10 193]
FINOFFICE_VERZE.bat [2007-10-10 193]
INOFFICE_VERZE.bat [2007-10-10 190]
OFFICE_VERZE.bat [2007-10-10 190]
OUTOFFICE_VERZE.bat [2007-10-10 191]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"NoWelcomeScreen"= 1 (0x1)
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
.
R1 ehdrv;ehdrv;c:\windows\system32\drivers\ehdrv.sys [21.12.2010 15:04 115008]
R2 ekrn;ESET Service;c:\program files\ESET\ESET Smart Security\ekrn.exe [12.1.2011 16:41 810144]
R2 KPSYSDRV;KPSYSDRV;c:\windows\system32\drivers\Kpsysdrv.sys [7.2.2008 10:57 17016]
S2 BulkUsb;Genesys Logic USB Controller NT 5.0;c:\windows\system32\drivers\usbprn.sys [24.8.2007 13:50 7552]
S2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [18.3.2010 12:16 130384]
S3 WinRM;Windows Remote Management (WS-Management);c:\windows\system32\svchost.exe -k WINRM [2.3.2006 13:00 14336]
S3 WPFFontCache_v0400;Windows Presentation Foundation Font Cache 4.0.0.0;c:\windows\Microsoft.NET\Framework\v4.0.30319\WPF\WPFFontCache_v0400.exe [18.3.2010 12:16 753504]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
WINRM REG_MULTI_SZ WINRM
.
.
------- Doplňkový sken -------
.
IE: E&xportovat do aplikace Microsoft Excel - c:\progra~1\MICROS~3\Office12\EXCEL.EXE/3000
TCP: DhcpNameServer = 192.168.1.1
DPF: {A8449522-F7C6-11D4-8022-0060082AE372} - hxxps://portal.vzp.cz/http://u-por1e.op99.vzp.cz/IISIPortal/d ... eedBen.dll
.
- - - - NEPLATNÉ POLOŽKY ODSTRANĚNÉ Z REGISTRU - - - -
.
HKLM-Run-Cmaudio - cmicnfg.cpl
.
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2011-11-01 09:44
Windows 5.1.2600 Service Pack 3 NTFS
.
skenování skrytých procesů ...
.
skenování skrytých položek 'Po spuštění' ...
.
skenování skrytých souborů ...
.
sken byl úspešně dokončen
skryté soubory: 0
.
**************************************************************************
.
--------------------- ZAMKNUTÉ KLÍČE V REGISTRU ---------------------
.
[HKEY_USERS\S-1-5-21-73586283-152049171-1060284298-500\Software\Microsoft\Internet Explorer\User Preferences]
@Denied: (2) (Administrator)
"88D7D0879DAB32E14DE5B3A805A34F98AFF34F5977"=hex:01,00,00,00,d0,8c,9d,df,01,15,
d1,11,8c,7a,00,c0,4f,c2,97,eb,01,00,00,00,59,0e,c8,46,5e,e1,05,49,b8,df,ab,\
"2D53CFFC5C1A3DD2E97B7979AC2A92BD59BC839E81"=hex:01,00,00,00,d0,8c,9d,df,01,15,
d1,11,8c,7a,00,c0,4f,c2,97,eb,01,00,00,00,59,0e,c8,46,5e,e1,05,49,b8,df,ab,\
.
Celkový čas: 2011-11-01 09:48:21
ComboFix-quarantined-files.txt 2011-11-01 08:48
.
Před spuštěním: Volných bajtů: 11 524 280 320
Po spuštění: Volných bajtů: 12 717 182 976
.
WindowsXP-KB310994-SP2-Pro-BootDisk-CSY.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect
.
- - End Of File - - 36A7273F7451F09FDA8D712E991F1D3A

Ještě bych taky chtěl doplnit, že PC je připojeno do domény a někdy se stane, že se z důvodu nějaké, vcelku náhodné, chyby nelze přihlásit.

Několik polžek CF smazal, zbytek logu vypadá OK. Co jste instaloval těsně před tím, než se problém objevil?

Právě, že jsem těsně předtím neinstaloval snad nic.. možná maximálně to Crystaldisk info, co tam je vidět. Ty problémy jsou vleklé, PC nemá standardní využití, funguje jen jakýsi "server", na kterém běží jeden program a lidé se k němu připojují přes RDP. Programy se na něm tedy neinstalují, pouze ty velice známé a z velice známých stránek. Já osobně jsem tam spouštěl vesměs jen portable verze různých programů, které mám ale všechny prověřené přes virustotal.

Jak říkám, problémy jsou vleklé a trvají měsíce. Někdy se projeví, jindy ne..

Pár šmejdů tam bylo. CF je smazal. Pokud nepomohlo mazání CF, bude to asi na hlubší zkoumání (sw i hw). Jako další bych navrhl opravu systému z instal. média.

Děkuju moc za pomoc a rady! Opravu systému asi vyzkouším.

Jinak mě ještě napadlo, jestli není kompromitovaný ESET, protože když jsem ho vypínal, myslím kvůli CF, tak ale ekrn.exe dál běžel. Prostě se to úplně nevypnulo, a i CF na to upozorňoval. Je to normální chování?

U některých AV je to normální. Nepozoroval jsem, že by to bylo běhu CF nějak na závadu. Běželo jen jádro aplikace, rez. štít byl však vypnut. O ten jde především. Po zapnutí by měl Eset normálně fungovat. Nemáte zač!