Log z ComboFixu, ze dne 16.1.2010

[motji]

To že má soubor dva pozitivní, neznamená, že jsou opravdu zavirované . Ještě něco málo dočistíme, ale tím dalším prohlížečem jsem chtěla zjistit, zdas to dělá IE, nebo je to něčím jiným
Já ted musím od počítače a budu tu až večer

[jirikcho]

Odinstaloval jsem IE 8 a nainstaloval Operu.
Prozatím O.K.
Pokusím se několikrát vypnout a zapnout PC včetně prohlížení www. stránek.
Díky za radu.
Zkusím pak ještě projet PC nějakým testem.
Jirka

[jirikcho]

Pro info.
Po instalaci Opery, vypnutí a najetí PC i Opery - O.K.

jsem provedl kontrolu pomocí Malwarebytesu, našel Trojana.

Po jeho odstranění jsem musel znovu zadat obě adresy DNS.
Jirka

Přikládám výpis :

Malwarebytes' Anti-Malware 1.44
Verze databáze: 3510
Windows 5.1.2600 Service Pack 3
Internet Explorer 6.0.2900.5512

24.1.2010 12:38:45
mbam-log-2010-01-24 (12-38-45).txt

Typ kontroly: Rychlá kontrola
Zkontrolované objekty: 112965
Uplynulý čas: 7 minute(s), 40 second(s)

Infikované procesy v paměti: 0
Infikované moduly v paměti: 0
Infikované klíče registru: 0
Infikované hodnoty registru: 0
Infikované datové položky registru: 1
Infikované adresáře: 0
Infikované soubory: 0

Infikované procesy v paměti:
(Nebyly nalezeny žádné škodlivé položky)

Infikované moduly v paměti:
(Nebyly nalezeny žádné škodlivé položky)

Infikované klíče registru:
(Nebyly nalezeny žádné škodlivé položky)

Infikované hodnoty registru:
(Nebyly nalezeny žádné škodlivé položky)

Infikované datové položky registru:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{25497fdf-29b7-43ef-971b-48fe5e0ff93b}\NameServer (Trojan.DNSChanger) -> Data: 85.255.116.71,85.255.112.63 -> Quarantined and deleted successfully.

Infikované adresáře:
(Nebyly nalezeny žádné škodlivé položky)

Infikované soubory:
(Nebyly nalezeny žádné škodlivé položky)

[jirikcho]

Dobrý den,
v prohlížeči ten problém nebude.

Po nějaké časové odmlce jsem dneska opět zapnul PC, OS najel v poho, když jsem se chtěl připojit na internet - najížděl prohlížeč Opera a došlo k samovolnému restartu PC.
Systém nenajel ani na přihlašovací heslo - modrá obrazovka, myš pohyblivá dál se nic nedělo.
Provedl jsem tvrdý restart tlačítkem, zadal heslo a už dále vše v pohodě.
Dělá to opravdu jen při najíždění, protože když pak ukončím činnost na internetu (nevypnu počítač) a třeba po několika minutách se znovu připojím, je už vše v pohodě.

Jirka

[motji]

Musí tam být ještě někde něco schovaného

otestujte na www.virustotal.com
c:\windows\system32\drivers\kgpcpy.cfg

předpokládám že tyto IP adresy nejsou Vaše
85.255.116.71,85.255.112.63

Když nastavíte svoji IP adresu, zase se přepíše?

[jirikcho]

Dobré ráno,
včera večer jsem už nic s PC nedělal. Budu pokračovat dnes odpoledne až přijedu z práce.

DNS adresy jsou moje, už je znám pomalu nazpaměť, když je doplňuji po těch testech.

Jirka

[jirikcho]

Jo ještě, doplňuji DNS adresy pokaždé, když je antivirem odstraněn TrojanDNS.
Čísla se nemění, ve vlastnostech sítě jsou prázdná okénka.
Jirka

[JaRon]

vstupim iba jednou otazockou:
ak mas router akej je znacky

[jirikcho]

Určitě to je OvisLink, ale přesný typ napíšu, až budu u domácího PC. Možná 8139 HTX. Upřesním.
Jirka

[JaRon]

spytoval som sa pretoze niektore typy routrov boli napadnutelne DNSchanger-om ,,, napr. D-Link ale aj ine
ak sa zasa objavia adresy 85.255.116.71,85.255.112.63 pripoj sa k routru - zmen nastavenia na spravne - prehesluj pristup k routru - heslo si zapis a restartuj router aj PC

[jirikcho]

Teď se přiznám, že tomu moc nerozumím

"ak sa zasa objavia adresy 85.255.116.71,85.255.112.63 pripoj sa k routru - zmen nastavenia na spravne - prehesluj pristup k routru -".

Uvedená čísla mi byla dána administrátorem - s IP adresou, branou atd. - pro přístup na net. Přece toto nemohu měnit.
Jirka

[motji]

Vy máte poskytovatele na Ukrajině?
http://en.utrace.de/?query=85.255.116.71

Pak se nedivím, že ho pořád mbam maže . Jsou to opravdu vaše Ip adresy, máte je ve smlouvě s providerem?

[jirikcho]

Přikládám výsledek Virustotalu pro níže uvedený soubor.

Soubor kgpcpy.cfg přijatý 2010.01.25 17:06:32 (UTC)
Současný stav: Dokončeno
Výsledek: 0/40 (0%)
Formátované
Vytisknout výsledky Antivirus Verze Poslední aktualizace Výsledek
a-squared 4.5.0.50 2010.01.25 -
AhnLab-V3 5.0.0.2 2010.01.23 -
AntiVir 7.9.1.150 2010.01.25 -
Antiy-AVL 2.0.3.7 2010.01.22 -
Authentium 5.2.0.5 2010.01.25 -
Avast 4.8.1351.0 2010.01.25 -
AVG 9.0.0.730 2010.01.25 -
BitDefender 7.2 2010.01.25 -
CAT-QuickHeal 10.00 2010.01.25 -
ClamAV 0.94.1 2010.01.25 -
Comodo 3705 2010.01.25 -
DrWeb 5.0.1.12222 2010.01.25 -
eSafe 7.0.17.0 2010.01.25 -
eTrust-Vet 35.2.7258 2010.01.25 -
F-Prot 4.5.1.85 2010.01.25 -
F-Secure 9.0.15370.0 2010.01.25 -
Fortinet 4.0.14.0 2010.01.25 -
GData 19 2010.01.25 -
Ikarus T3.1.1.80.0 2010.01.25 -
Jiangmin 13.0.900 2010.01.24 -
K7AntiVirus 7.10.952 2010.01.22 -
Kaspersky 7.0.0.125 2010.01.25 -
McAfee 5872 2010.01.25 -
McAfee+Artemis 5872 2010.01.25 -
McAfee-GW-Edition 6.8.5 2010.01.25 -
Microsoft 1.5405 2010.01.25 -
NOD32 4804 2010.01.25 -
Norman 6.04.03 2010.01.25 -
nProtect 2009.1.8.0 2010.01.25 -
Panda 10.0.2.2 2010.01.25 -
PCTools 7.0.3.5 2010.01.25 -
Rising 22.32.00.04 2010.01.25 -
Sophos 4.50.0 2010.01.25 -
Sunbelt 3.2.1858.2 2010.01.24 -
Symantec 20091.2.0.41 2010.01.25 -
TheHacker 6.5.0.9.162 2010.01.25 -
TrendMicro 9.120.0.1004 2010.01.25 -
VBA32 3.12.12.1 2010.01.23 -
ViRobot 2010.1.25.2154 2010.01.25 -
VirusBuster 5.0.21.0 2010.01.25 -
Rozšiřující informace
File size: 1424 bytes
MD5...: a22c8e9783a30af4ee6b77da35521912
SHA1..: 7b5521b5588ec1c602c1235cda7a2f02c25650d9
SHA256: 3fa1a96d7c0b2cc1dd830b3aa1a3c551f708d4a3982668f41f3eab17126515af
ssdeep: 24:gC3DOokMWZG1TAz0nmqOoNcGh0hHeXNJnlWGQw2OoX9j9n1/K+2Iz8Mj6xmGQ
nOE:gCzk6TA2qEeedJnaX9j9nBPX8M1wjgn
PEiD..: -
PEInfo: -
RDS...: NSRL Reference Data Set
-
pdfid.: -
trid..: Unknown!
sigcheck:
publisher....: n/a
copyright....: n/a
product......: n/a
description..: n/a
original name: n/a
internal name: n/a
file version.: n/a
comments.....: n/a
signers......: -
signing date.: -
verified.....: Unsigned

[jirikcho]

Po kontrole potvrzuji výše uvedený typ routru OvisLink.
Neznám kořeny poskytovatele internetu.
Já mám od roku 2005 smlouvu s fy BANOTI spol. s.r.o., Ostrava-Hrabůvka.
A od té doby mám IP - 10.254.252.149
upřednostňovaný DNS- 85.255.116.71
náhradní server DNS - 85.255.112.63
atd.
Co mám tedy dělat dál?

Jirka

[motji]

Když půjdete na tuto stránku
http://en.utrace.de/
jaká se Vám objeví IP adresa?