Вирус пратен по Скайп

[krasimirson]

All processes killed

========== OTL ==========

HKCU\SOFTWARE\Microsoft\Internet Explorer\Main\\Start Page| /E : value set successfully!

Prefs.js: "DAEMON Search" removed from browser.search.selectedEngine

Prefs.js: "http://www.daemon-search.com/default" removed from browser.startup.homepage

C:\Documents and Settings\Zlatan\Application Data\Mozilla\Firefox\Profiles\n3giz8rt.default\searchplugins\daemon-search.xml moved successfully.

C:\Documents and Settings\Zlatan\Desktop\_OTL.rar moved successfully.

C:\Program Files\nzsjrcwnyiddeqzegizuvcxwyzlevdoizkup.qcl moved successfully.

C:\Documents and Settings\Zlatan\Local Settings\Application Data\nzsjrcwnyiddeqzegizuvcxwyzlevdoizkup.qcl moved successfully.

C:\Program Files\qzpdiqhvdkczxgmonmasqumihfoesxfwk.zro moved successfully.

C:\Documents and Settings\Zlatan\Local Settings\Application Data\qzpdiqhvdkczxgmonmasqumihfoesxfwk.zro moved successfully.

C:\cjxjmshtz.bat moved successfully.

C:\mxpfmwpfpysrr.bat moved successfully.

C:\qzpdiqhvdkc.bat moved successfully.

========== COMMANDS ==========

 

[EMPTYTEMP]

 

User: All Users

 

User: Default User

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

 

User: LocalService

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 33170 bytes

 

User: NetworkService

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

 

User: Zlatan

->Temp folder emptied: 363 bytes

->Temporary Internet Files folder emptied: 71071276 bytes

->Java cache emptied: 0 bytes

->FireFox cache emptied: 0 bytes

->Google Chrome cache emptied: 0 bytes

->Flash cache emptied: 863 bytes

 

%systemdrive% .tmp files removed: 0 bytes

%systemroot% .tmp files removed: 0 bytes

%systemroot%\System32 .tmp files removed: 0 bytes

%systemroot%\System32\dllcache .tmp files removed: 0 bytes

%systemroot%\System32\drivers .tmp files removed: 0 bytes

Windows Temp folder emptied: 511 bytes

%systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 0 bytes

%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 0 bytes

RecycleBin emptied: 0 bytes

 

Total Files Cleaned = 68.00 mb

 

 

OTL by OldTimer - Version 3.1.32.0 log created on 03032010_164440

 

Files\Folders moved on Reboot...

 

Registry entries deleted on Reboot...

 

 

При hostexpert ми дава ерор като дам на Restore MS Host File ...

 

Ето резултатите и от NOD32 скенера

 

ESETSmartInstaller@High as downloader log:

all ok

# version=7

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6211

# api_version=3.0.2

# EOSSerial=a22e2eb18ce5544383e4dcd72c58313e

# end=finished

# remove_checked=true

# archives_checked=true

# unwanted_checked=true

# unsafe_checked=true

# antistealth_checked=true

# utc_time=2010-03-03 07:26:47

# local_time=2010-03-03 09:26:47 (+0200, FLE Standard Time)

# country="Bulgaria"

# lang=1033

# osver=5.1.2600 NT Service Pack 2

# compatibility_mode=1536 16777215 100 0 0 0 0 0

# compatibility_mode=8192 67108863 100 0 5466 5466 0 0

# scanned=45249

# found=34

# cleaned=34

# scan_time=5677

C:\WINDOWS\system32\lpad32.dll probably a variant of Win32/Spy.Agent trojan (cleaned by deleting (after the next restart) - quarantined) 00000000000000000000000000000000 C

C:\WINDOWS\system32\odbc_inc.DLL.306234 probably a variant of Win32/Agent trojan (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\WINDOWS\system32\odbc_inc.DLL.3376671 probably a variant of Win32/Agent trojan (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\WINDOWS\system32\odbc_inc.DLL.3921937 probably a variant of Win32/Agent trojan (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_112329\C_\autorun.inf INF/Autorun.Gen virus (deleted - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_112329\C_Documents and Settings\Zlatan\Local Settings\Temp\jbaxlcczqghnumbmucza.exe Win32/AutoRun.Agent.UD worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_112329\C_Documents and Settings\Zlatan\Local Settings\Temp\jnyhhk.exe a variant of Win32/AutoRun.Agent.TG worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_112329\C_Documents and Settings\Zlatan\Local Settings\Temp\lbytfusncqptyobkqw.exe Win32/AutoRun.Agent.UD worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_112329\C_Documents and Settings\Zlatan\Local Settings\Temp\wnlhukjfvkkpvmakryu.exe Win32/AutoRun.Agent.UD worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_112329\C_Documents and Settings\Zlatan\Local Settings\Temp\yrrpewxvnegnvoeqzigiq.exe Win32/AutoRun.Agent.UD worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_112329\C_WINDOWS\crnhsgdxlywzdsemr.exe Win32/AutoRun.Agent.UD worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_112329\C_WINDOWS\jbaxlcczqghnumbmucza.exe Win32/AutoRun.Agent.UD worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_112329\C_WINDOWS\lbytfusncqptyobkqw.exe Win32/AutoRun.Agent.UD worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_112329\C_WINDOWS\pjkjzsutmehpysjwgqpsbq.exe Win32/AutoRun.Agent.UD worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_112329\C_WINDOWS\vjexhuqjwifhkyjq.exe Win32/AutoRun.Agent.UD worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_112329\C_WINDOWS\wnlhukjfvkkpvmakryu.exe Win32/AutoRun.Agent.UD worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_112329\C_WINDOWS\yrrpewxvnegnvoeqzigiq.exe Win32/AutoRun.Agent.UD worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_112329\C_WINDOWS\system32\crnhsgdxlywzdsemr.exe Win32/AutoRun.Agent.UD worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_112329\C_WINDOWS\system32\jbaxlcczqghnumbmucza.exe Win32/AutoRun.Agent.UD worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_112329\C_WINDOWS\system32\lbytfusncqptyobkqw.exe Win32/AutoRun.Agent.UD worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_112329\C_WINDOWS\system32\pjkjzsutmehpysjwgqpsbq.exe Win32/AutoRun.Agent.UD worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_112329\C_WINDOWS\system32\vjexhuqjwifhkyjq.exe Win32/AutoRun.Agent.UD worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_112329\C_WINDOWS\system32\wnlhukjfvkkpvmakryu.exe Win32/AutoRun.Agent.UD worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_112329\C_WINDOWS\system32\yrrpewxvnegnvoeqzigiq.exe Win32/AutoRun.Agent.UD worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_112329\D_\autorun.inf INF/Autorun.Gen virus (deleted - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_164440\C_\cjxjmshtz.bat Win32/AutoRun.Agent.UD worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_164440\C_\mxpfmwpfpysrr.bat Win32/AutoRun.Agent.UD worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_164440\C_\qzpdiqhvdkc.bat Win32/AutoRun.Agent.UD worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\_OTL\MovedFiles\03032010_164440\C_Documents and Settings\Zlatan\Desktop\_OTL.rar multiple threats (deleted - quarantined) 00000000000000000000000000000000 C

D:\cjxjmshtz.bat Win32/AutoRun.Agent.UD worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

D:\mxpfmwpfpysrr.bat Win32/AutoRun.Agent.UD worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

D:\qzpdiqhvdkc.bat Win32/AutoRun.Agent.UD worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

D:\SA Dictionary 2006 Pro Dict06t1 Full.zip a variant of Win32/Packed.Themida application (deleted - quarantined) 00000000000000000000000000000000 C

D:\New Folder\SA Dictionary 2006 Pro Dict06t1 Full.zip a variant of Win32/Packed.Themida application (deleted - quarantined) 00000000000000000000000000000000 C

[B-boy/StyLe/]

СТЪПКА 1

 

Стартирайтe програмата OTL.exe => и натиснете бутона вдясно => CleanUp.

 

http://i47.tinypic.com/35hfp21.jpg

 

СТЪПКА 2

 

Изтеглете файла WinDef_hosts.zip и го разархивирайте в папката => C:\WINDOWS\system32\drivers\etc\

 

СТЪПКА 3

 

Изтеглете Malwarebytes' Anti-Malware от тук

 

Кликнете два пъти върху mbam-setup.exe за да инсталирате програмата.

 

• * Уверете се, че има отметки на Update Malwarebytes' Anti-Malware и Launch Malwarebytes' Anti-Malware, след това кликнете на Finish.
  * Ако има намерени по-нови обновления, тя ще ги изтегли и инсталира.
  * Стартирайте програмата и изберете "Perform Quick Scan", след това кликнете на Scan.
  * Сканирането ще отнеме малко време, затова моля бъдете търпеливи.
  * Когато сканирането завърши, кликнете на OK, след това Show Results, за да видите резултата.
  * Уверете се, че на всички редове има отметки, и кликнете Remove Selected.
  * Когато всичко бъде премахнато, логът ще бъде отворен в Notepad. Копирайте лога и го публикувайте в следващия си коментар в темата.
  

 

Бележка: Ако MalwareBytes' Anti-Malware се затрудни в премахването на откритите вируси/заплахи, той ще поиска да рестартира компютъра Ви и по време на рестартирането да премахне проблемните вируси/заплахи. Ако бъдете попитани, потвърдете че желаете вашия компютър да бъде рестартиран.

[krasimirson]

Malwarebytes' Anti-Malware 1.44

Database version: 3822

Windows 5.1.2600 Service Pack 2

Internet Explorer 8.0.6001.18702

 

3/4/2010 12:18:34 AM

mbam-log-2010-03-04 (00-18-34).txt

 

Scan type: Quick Scan

Objects scanned: 113357

Time elapsed: 59 minute(s), 8 second(s)

 

Memory Processes Infected: 0

Memory Modules Infected: 0

Registry Keys Infected: 3

Registry Values Infected: 0

Registry Data Items Infected: 3

Folders Infected: 0

Files Infected: 1

 

Memory Processes Infected:

(No malicious items detected)

 

Memory Modules Infected:

(No malicious items detected)

 

Registry Keys Infected:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{100eb1fd-d03e-47fd-81f3-ee91287f9465} (Adware.ShopperReports) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{c5428486-50a0-4a02-9d20-520b59a9f9b2} (Adware.ShopperReports) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{c5428486-50a0-4a02-9d20-520b59a9f9b3} (Adware.ShopperReports) -> Quarantined and deleted successfully.

 

Registry Values Infected:

(No malicious items detected)

 

Registry Data Items Infected:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

 

Folders Infected:

(No malicious items detected)

 

Files Infected:

C:\WINDOWS\system32\drivers\oreans32.sys (Rootkit.Agent) -> Quarantined and deleted successfully.

[B-boy/StyLe/]

Дам, някои от намерените неща от ESET и MBAM затвърдиха подозренията ми.

 

Сега искам да публикувате един финален лог от OTL.exe за да проверим за остатъци:

 

Стартирайте файла http://billy-oneal.com/forums/Canned%20Speeches/speechimages/OTL/otlDesktopIcon.png с двукратен клик на мишката.

 

Направете следните настройки:

 

http://i47.tinypic.com/f1a78i.jpg

 

Под "Custom Scans/Fixes" с copy/paste въведете следната информация:

 

netsvcs

msconfig

safebootminimal

safebootnetwork

activex

drivers32

%SYSTEMDRIVE%\*.*

/md5start

eventlog.dll

scecli.dll

netlogon.dll

cngaudit.dll

sceclt.dll

ntelogon.dll

logevent.dll

sfcfiles.dll

iaStor.sys

nvstor.sys

atapi.sys

IdeChnDr.sys

viasraid.sys

AGP440.sys

vaxscsi.sys

nvatabus.sys

viamraid.sys

nvata.sys

nvgts.sys

iastorv.sys

ViPrt.sys

eNetHook.dll

ahcix86.sys

KR10N.sys

nvstor32.sys

ahcix86s.sys

nvrd32.sys

/md5stop

%systemroot%\*. /mp /s

%systemroot%\system32\*.dll /lockedfiles

%systemroot%\Tasks\*.job /lockedfiles

%PROGRAMFILES%\*.

%userprofile%\Desktop\*.*

%userprofile%\Desktop\*.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\Results\Install|LastSuccessTime /rs

 

Натиснете Run Scan.

Като приключи проверката публикувайте двата лог файла - OTL.Txt и Extras.Txt.

[krasimirson]

[B-boy/StyLe/]

Лог файла изглежда добре, като изключим възможния keylogger...

 

Какво е кейлогер (keylogger)?

 

Това е програма, разработена за следене на активността на потребителя, чрез записване на въвежданите от него символи от клавиатурата. Най-често кейлогерите записват всеки един натиснат клавиш във файл, който изпращат на създателите си. По този начин могат да бъдат откраднати паролите на потребителите за достъп до техните електронни пощи или дори банкови сметки!

 

Изпратете файла - C:\WINDOWS\System32\odbc_inc.DLL до http://www.virustotal.com/img/VirusTotal-logo.png за проверка и публикувайте резултатите.

 

Стартирайте OTL.exe => натиснете Cleanup! бутона => за да изтриете някои от използваните от нас програми. Това ще изтрие и папката C:\_OTL => карантинната папка на OTL.exe, както и самия инструмент.

 

http://i47.tinypic.com/35hfp21.jpg

 

Не е лоша идея да инсталирате Service Pack 3 за Windows XP.

 

Как чувствате сега системата си ?

[krasimirson]

Вече проблема го няма. Благодаря ти много, жив и здрав!

[ross.m]

B-boy/StyLe/ - помагай,приятелю!Компютъра на моята приятелка е лепнал грип,потребителка е с елементарни познания,а аз не мога много да и помогна,щото съм далеч,под linux съм и влизам в компа и с tightvnc,които не работи под safe mode.Отначало антивира разпознаваше trojan.killavxxik,но после показа и ..hydro?Общо взето деиствието на троянеца е да създава едноименни папки с .exe и .rar в моята музика,снимки,видео и документи.AVG-то разпознава заплахите,но не намира главния източник.Изключил съм рестора,пробвах и с mbam и още 2-3 други тула,ама ядец,не се оправя!Пък и не му разбирам толкоз на M$ XP,така че -помооооо...!

[Night_Raven]

Кажи какво точно си пробвал. Опитай отново да сканираш с програми за целта...

 

Сканирай с Malwarebytes' Anti-Malware и SUPERAntiSpyware Free. Ако вече имаш програмите, провери дали имаш последните версии и ако нямаш, премахни твоите и инсталирай най-новите. Ако тепърва инсталираш програмите, след инсталацията те ще предложат да се обновят автоматично, съгласи се. В противен случай обнови дефинициите им ръчно.

 

За Malwarebytes' Anti-Malware:

- стартирай програмата;

- избери Perform quick scan (Бързо сканиране) и кликни бутон Scan (Сканирай);

- като приключи сканирането кликни бутон OK и после Show results (Покажи резултатите);

- кликни бутон Remove Selected (Премахни избраните);

- ще се появи текстов файл (лог), копирай съдържанието му тук.

 

За SUPERAntiSpyware:

- стартирай програмата;

- кликни бутон Scan your Computer (Сканиране на компютъра);

- вляво избери само дял C:, а вдясно избери Perform Complete Scan (Извърши пълно сканиране);

- кликни Next и изчакай програмата да сканира;

- ако има засечени заплахи, кликни OK на съобщението;

- кликни Next, за да се премахнат гадинките, OK на потвърждението и накрая Finish;

- кликни бутон Preferences... (Настройки) и иди на подпрозорец Statistics/Logs (Дневници), маркирай последния лог по дата и кликни бутон View Log... (Покажи дневника);

- копирай съдържанието му тук.

 

Ако е нужен рестарт при някое от сканиранията, се съгласи и рестартирай веднага.

 

-----

 

Изтегли OTL и го запази на работния плот:

- в поле Custom Scans/Fixes (в долната част на програмата) постави следния текст (маркирай го, натисни Ctrl+C и после в полето на OTL натисни Ctrl+V):

netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%SYSTEMDRIVE%\*.*
/md5start
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
sceclt.dll
ntelogon.dll
logevent.dll
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
nvrd32.sys
/md5stop
CREATERESTOREPOINT
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%PROGRAMFILES%\*.
%userprofile%\Desktop\*.*
%userprofile%\Desktop\*.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\Results\Install|LastSuccessTime /rs

- в поле Output избери Minimal Output;

- увери се, че е избрана опцията Use SafeList във всичките 6 полета в лявата половина на прозореца;

- увери се, че е избрана опцията File Age в двете полета в дясната половина на прозореца;

- постави отметки на всички опции, налични в прозореца на програмата;

- кликни бутон Run Scan;

Изчакай сканирането да приключи. След края на сканирането автоматично ще се отворят двата новосъздадени на работния плот файла: OTL.txt и Extras.txt.

Моля, прикачи тези два файла (поотделно или в архив) към следващия си коментар.

[ross.m]

Здравей,NR!Сърдечно благодаря за светкавичната реакция!Започвам действия по инструкцията ти,а дали е удобно да ползвам pastebin вместо да флудвам форума?От друга страна май е добре да се виждат проблемите от всички с оглед важността и сложността им?

MBAM:

Malwarebytes' Anti-Malware 1.45

www.malwarebytes.org

 

Database version: 3961

 

Windows 5.1.2600 Service Pack 3

Internet Explorer 6.0.2900.5512

 

07.4.2010 �. 09:27:05

mbam-log-2010-04-07 (09-27-05).txt

 

Scan type: Quick scan

Objects scanned: 96818

Time elapsed: 1 minute(s), 57 second(s)

 

Memory Processes Infected: 0

Memory Modules Infected: 0

Registry Keys Infected: 0

Registry Values Infected: 0

Registry Data Items Infected: 0

Folders Infected: 0

Files Infected: 0

 

Memory Processes Infected:

(No malicious items detected)

 

Memory Modules Infected:

(No malicious items detected)

 

Registry Keys Infected:

(No malicious items detected)

 

Registry Values Infected:

(No malicious items detected)

 

Registry Data Items Infected:

(No malicious items detected)

 

Folders Infected:

(No malicious items detected)

 

Files Infected:

(No malicious items detected)

 

superantispyware не се инсталира-запъна на пресмятането на необходимото дисково пространство!

 

още нещо - не успях да изключа avg-то -не успях да намеря такава опция от програмата,трябва да я спра от процес...

 

апропо-тази сутрин паразитните папки още не са се появили...

 

ако имаш tightvnc,можеш да хвърлиш един поглед на заразения комп

[Night_Raven]

Моля, копирай отново и както трябва логовете от OTL или ги прикачи към коментара под формата на архив.

[ross.m]

NightRaven:И аз съм патриот и мразя да виждам латиница в Български форум!Но пред вид условията би трябвало да е ясно,че имам проблем с отдалечен достъп през два компа с различни операционни системи да кирилизирам!Архивите са на заразения компютър и за да избегна препращане през пощи или скайп ги пращам директно,а много ясно,че не мога да използвам клавиатурата на хоста.През моя не приема български фонетичен,не съм ровил да видя причината,сигурно ще се оправя ако се постарая,но все пак не текста и кодировката на съобщението бе важен,а прикрепените файлове.