Проблем след преинсталиране на XP

[cimex]

Изтегли HijackThis 1.99.1 (213KB), която съм преименувал нарочно, и:

1) стартирай програмата;

2) кликни Do a system scan and save a logfile, което ще създаде текстов файл в същата папка;

3) копирай съдържанието му тук или прикачи файла към коментара.

 

Изтегли ESET SysInspector и:

1) стартирай я и изчакай да събере информацията;

2) меню File -> Save Log;

3) потвърди с Yes;

4) не променяй изходния ZIP формат, запази файла на удобно за теб място и го прикачи после към коментара си в ZIP формат (не го разархивирай).

 

Изтегли GMER. Разархивирай и стартирай програмата. Тя ще направи начално сканиране за секунди. След като то приключи НЕ кликай бутон Scan, а кликни бутон Copy и после пейстни съдържанието тук (Ctrl+V). Ако програмата предложи да направи пълно сканиране, откажи.

Logfile of HijackThis v1.99.1

Scan saved at 12:44:27, on 14.3.2009 a.

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16674)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\RTHDCPL.EXE

C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE

C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\ccc.exe

C:\DOCUME~1\KAMENOV\LOCALS~1\Temp\batfte.exe

C:\DOCUME~1\KAMENOV\LOCALS~1\Temp\winpwckw.exe

C:\DOCUME~1\KAMENOV\LOCALS~1\Temp\winwdjty.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Documents and Settings\KAMENOV\Desktop\alabala.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - C:\Program Files\BitComet\tools\BitCometBHO_1.3.1.15.dll

O4 - HKLM\..\Run: [startCCC] C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Anti Trojan Elite] C:\Program Files\Anti Trojan Elite\TJEnder.exe :NO

O4 - HKLM\..\Run: [Ad-Watch] C:\Program Files\Lavasoft\Ad-Aware\AAWTray.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [sUPERAntiSpyware] C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe

O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

O8 - Extra context menu item: &С&валяне &с BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddLink.htm

O8 - Extra context menu item: &С&валяне на всички с BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddAllLink.htm

O8 - Extra context menu item: &С&валяне на всичкото видео с BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddVideo.htm

O9 - Extra button: BitComet - {D18A0B52-D63C-4ed0-AFC6-C1E3DC1AF43A} - res://C:\Program Files\BitComet\tools\BitCometBHO_1.3.1.15.dll/206 (file missing)

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O11 - Options group: [iNTERNATIONAL] International*

O11 - Options group: [TABS] Tabbed Browsing

O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll

O17 - HKLM\System\CCS\Services\Tcpip\..\{10B35C98-0AA3-40BD-9DDC-6D2B118B0393}: NameServer = 212.36.20.153,212.36.20.145

O17 - HKLM\System\CS1\Services\Tcpip\..\{10B35C98-0AA3-40BD-9DDC-6D2B118B0393}: NameServer = 212.36.20.153,212.36.20.145

O17 - HKLM\System\CS2\Services\Tcpip\..\{10B35C98-0AA3-40BD-9DDC-6D2B118B0393}: NameServer = 212.36.20.153,212.36.20.145

O20 - Winlogon Notify: dimsntfy - %SystemRoot%\System32\dimsntfy.dll (file missing)

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\wpdshserviceobj.dll

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe

 

Ето и лога от SysInspector

С GMER нищо не открива!

SysInspector_CIMEX_090314_1245.zip

[Night_Raven]

Не съм искал да кажеш какво открива, а да копираш лога, за да видя лично. Поредният потребител, който решава да не "следва рецептата", а да "добави свои подправки".

[cimex]

Не съм искал да кажеш какво открива, а да копираш лога, за да видя лично. Поредният потребител, който решава да не "следва рецептата", а да "добави свои подправки".

Извинявай,следвам Вашата инструкция:стартирам програмата,след няколко секунди сканиране не натискам бутон scan,копирам но излиза празен лог!

[Night_Raven]

Ох, божкеее. Хайде да ми посочиш къде съм написал да кликнеш Scan. Дори съм удебелил "НЕ"-то. Плисни малко вода на очите, моля.

[cimex]

Ох, божкеее. Хайде да ми посочиш къде съм написал да кликнеш Scan. Дори съм удебелил "НЕ"-то. Плисни малко вода на очите, моля.

Извинявай Niqht Raven,никъде не съм споменал,че съм натиснал бутон scan,отбелязах,че при стартиране на програмата се вижда че сканира автматично файлове но след няколко секунди лога остава празен,как да Ви го копирам?Благодаря,че се опитвате да ми помогнете,но може би не разбирам упътванията Ви!

[sergo75]

Извинявай Niqht Raven,никъде не съм споменал,че съм натиснал бутон scan,отбелязах,че при стартиране на програмата се вижда че сканира автматично файлове но след няколко секунди лога остава празен,как да Ви го копирам?Благодаря,че се опитвате да ми помогнете,но може би не разбирам упътванията Ви!

 

там долу на прозореца на GMER има един бутон COPY, натискаш го, след това отваряш един текстов редактор ( например NOTEPAD ) и му даваш PASTE или CTRL+V

Записваш получения текстови документ и го прикачваш тук, или операцията с PASTE я извършваш тук ( в полето в което пишеш )

[cimex]

там долу на прозореца на GMER има един бутон COPY, натискаш го, след това отваряш един текстов редактор ( например NOTEPAD ) и му даваш PASTE или CTRL+V

Записваш получения текстови документ и го прикачваш тук, или операцията с PASTE я извършваш тук ( в полето в което пишеш )

Здравей Serj,всичко го изпълнявам по инструкцията,но нищо не открива,проблема е че ми се блокират регистрите и Таск менеджера и ми отнема администраторските права и аз не мога да разбера защо нищо не показва с GMER

С Malwarebytes' Anti-Malware 1.34 ми открива че съм заразен с Hijack Regedit и Hijack TaskManager,но как мога да оправя проблема,не съм компютърен специалист и затова моля за помощ!!!

[sergo75]

Тогава влез в SAFE MODE ( след началните надписи на биос-а натискай F8, докато се появи менюто на зареждане на системата, най отгоре е SAFE MODE ) и тогава стартирай GMER, да видим дали ще стане

[cimex]

Тогава влез в SAFE MODE ( след началните надписи на биос-а натискай F8, докато се появи менюто на зареждане на системата, най отгоре е SAFE MODE ) и тогава стартирай GMER, да видим дали ще стане

Опитах да влезна в SAFE MODE,но като зарежда и стигне до....Driver\mup.sys компютъра рестартира и така е при всички опити!

[Night_Raven]

Изтегли и инсталирай следните ъпдейти:

Security Update for Windows XP (KB958644)

Security Update for Windows XP (KB957097)

Security Update for Windows XP (KB958687)

 

След това...

Спри всички антивирусни, които имаш активни, и всякакви други излишни програми. Изтегли ComboFix и го запази на десктопа. В меню Start -> Run -> напиши/пейстни следния текст:

"%userprofile%\desktop\combofix.exe" /killall

Потвърди с Yes на прозорците, които се появяват. Изчакай да сканира докрай и не закачай прозореца. Ако има нужда от рестарт, ще се рестартира автоматично. След рестарта трябва да продължи сканирането. Отново не закачай прозореца, докато не се самозатвори прозореца. След това пейстни съдържанието на текстовия файл C:\ComboFix.txt тук или прикачи файла към коментара си.

[cimex]

Изтегли и инсталирай следните ъпдейти:

Security Update for Windows XP (KB958644)

Security Update for Windows XP (KB957097)

Security Update for Windows XP (KB958687)

 

След това...

Спри всички антивирусни, които имаш активни, и всякакви други излишни програми. Изтегли ComboFix и го запази на десктопа. В меню Start -> Run -> напиши/пейстни следния текст:

"%userprofile%\desktop\combofix.exe" /killall

Потвърди с Yes на прозорците, които се появяват. Изчакай да сканира докрай и не закачай прозореца. Ако има нужда от рестарт, ще се рестартира автоматично. След рестарта трябва да продължи сканирането. Отново не закачай прозореца, докато не се самозатвори прозореца. След това пейстни съдържанието на текстовия файл C:\ComboFix.txt тук или прикачи файла към коментара си.

Здравей Night_Raven това е лога от Combofix

ComboFix 09-03-13.01 - KAMENOV 2009-03-15 9:34:20.1 - NTFSx86

Microsoft Windows XP Professional 5.1.2600.3.1251.1.1033.18.2047.1648 [GMT 2:00]

Running from: c:\documents and settings\KAMENOV\desktop\combofix.exe

Command switches used :: /killall

* Created a new restore point

 

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!

.

 

((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))

.

 

c:\windows\regedit.com

c:\windows\system32\taskmgr.com

 

.

((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.

 

-------\Legacy_DAC970NT

-------\Service_dac970nt

 

 

((((((((((((((((((((((((( Files Created from 2009-02-15 to 2009-03-15 )))))))))))))))))))))))))))))))

.

 

2009-03-15 09:10 . 455,296 c:\program files\mrxsmb.sys

2009-03-15 09:10 . 455,296 c:\program files\Common Files\mrxsmb.sys

2009-03-15 08:50 . 26,368 c:\program files\usbstor.sys

2009-03-15 08:50 . 26,368 c:\program files\Common Files\usbstor.sys

2009-03-14 20:23 . 2009-03-14 20:23 <DIR> d-------- c:\documents and settings\KAMENOV\Application Data\FastStone

2009-03-14 20:21 . 2009-03-14 20:21 <DIR> d-------- c:\program files\FastStone Capture

2009-03-14 18:30 . 2009-03-14 18:30 <DIR> d-------- c:\documents and settings\KAMENOV\Application Data\GRETECH

2009-03-14 18:29 . 2009-03-14 18:29 <DIR> d-------- c:\program files\GRETECH

2009-03-14 13:51 . 2009-03-14 13:51 <DIR> d-------- c:\program files\Crystal Player

2009-03-14 13:51 . 2009-03-14 13:52 <DIR> d-------- c:\documents and settings\KAMENOV\Application Data\Crystal Player

2009-03-14 12:17 . 2009-03-14 12:35 <DIR> d-------- c:\documents and settings\All Users\Application Data\Spybot - Search & Destroy

2009-03-14 12:08 . 2009-03-14 12:31 <DIR> d-------- c:\documents and settings\All Users\Application Data\Lavasoft

2009-03-14 00:45 . 2009-03-14 00:45 <DIR> d-------- c:\program files\Trend Micro

2009-03-14 00:33 . 2009-03-14 00:33 <DIR> d-------- c:\documents and settings\KAMENOV\Application Data\Malwarebytes

2009-03-14 00:33 . 2009-03-14 00:33 <DIR> d-------- c:\documents and settings\All Users\Application Data\Malwarebytes

2009-03-14 00:26 . 2009-03-14 00:26 <DIR> d-------- c:\documents and settings\All Users\Application Data\MicroWorld

2009-03-13 23:50 . 2009-03-14 12:34 <DIR> d-------- c:\documents and settings\KAMENOV\Application Data\SUPERAntiSpyware.com

2009-03-13 23:50 . 2009-03-13 23:50 <DIR> d-------- c:\documents and settings\All Users\Application Data\SUPERAntiSpyware.com

2009-03-13 23:39 . 2009-03-14 00:18 <DIR> d-------- c:\program files\Anti Trojan Elite

2009-03-13 22:39 . 2009-03-13 22:39 <DIR> d-------- c:\program files\Common Files\Ahead

2009-03-13 22:39 . 2009-03-13 22:39 <DIR> d-------- c:\program files\Ahead

2009-03-13 22:03 . 2009-03-13 22:24 <DIR> d-------- c:\documents and settings\KAMENOV\Application Data\uTorrent

 

.

(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-03-15 07:31 --------- d-----w c:\program files\BitComet

2009-03-14 10:33 --------- d-----w c:\program files\Free FLV Converter

2009-03-14 10:33 --------- d-----w c:\program files\CometBird

2009-03-14 10:13 402 ---ha-w C:\aaw7boot.cmd

2009-03-13 19:58 --------- d-----w c:\documents and settings\KAMENOV\Application Data\CometNetwork

2009-03-13 19:37 --------- d-----w c:\program files\Common Files\Adobe

2009-03-13 19:37 --------- d-----w c:\documents and settings\KAMENOV\Application Data\InterTrust

2009-03-13 19:35 --------- d-----w c:\program files\K-Lite Codec Pack

2009-03-13 19:32 --------- d-----w c:\program files\Winamp

2009-03-13 19:32 --------- d-----w c:\documents and settings\KAMENOV\Application Data\Winamp

2009-03-13 18:08 --------- d-----w c:\documents and settings\All Users\Application Data\ESET

2009-03-13 18:02 --------- d-----w c:\program files\Realtek

2009-03-13 17:54 --------- d-----w c:\documents and settings\KAMENOV\Application Data\ATI

2009-03-13 17:54 --------- d-----w c:\documents and settings\All Users\Application Data\ATI

2009-03-13 17:53 --------- d-----w c:\program files\My Company Name

2009-03-13 17:52 --------- d-----w c:\program files\ATI Technologies

2009-03-13 17:50 --------- d--h--w c:\program files\InstallShield Installation Information

2009-03-13 17:49 --------- d-----w c:\program files\Common Files\ATI Technologies

2009-03-13 17:45 --------- d-----w c:\program files\Common Files\InstallShield

2009-03-13 17:43 --------- d-----w c:\program files\Attansic

2009-03-13 17:40 315,392 ----a-w c:\windows\HideWin.exe

2009-03-13 17:33 --------- d-----w c:\program files\Intel

2009-03-13 17:27 --------- d-----w c:\program files\microsoft frontpage

2009-03-13 17:25 --------- d-----w c:\program files\MSXML 4.0

2009-03-13 17:19 --------- d-----w c:\program files\Windows Media Connect 2

2006-06-23 22:48 32,768 ----a-r c:\windows\inf\UpdateUSB.exe

.

 

((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Note* empty entries & legit default entries are not shown

REGEDIT4

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"StartCCC"="c:\program files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2006-11-10 163840]

"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 225280]

"RTHDCPL"="RTHDCPL.EXE" [2007-03-21 c:\windows\RTHDCPL.exe]

 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]

"nltide_2"="shell32" [X]

 

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"EnableLUA"= 0 (0x0)

 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]

"DisableTaskMgr"= 1 (0x1)

"DisableRegistryTools"= 1 (0x1)

 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"msacm.divxa32"= msaud32_divx.acm

 

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusDisableNotify"=dword:00000001

"UpdatesDisableNotify"=dword:00000001

"AntiVirusOverride"=dword:00000001

"FirewallOverride"=dword:00000001

"UacDisableNotify"=dword:00000001

 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc]

"AntiVirusOverride"=dword:00000001

"AntiVirusDisableNotify"=dword:00000001

"FirewallDisableNotify"=dword:00000001

"FirewallOverride"=dword:00000001

"UpdatesDisableNotify"=dword:00000001

"UacDisableNotify"=dword:00000001

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"%windir%\\system32\\sessmgr.exe"=

"c:\\Program Files\\ATI Technologies\\ATI.ACE\\Core-Static\\CLIStart.exe"=

"c:\\Program Files\\ATI Technologies\\ATI.ACE\\Core-Static\\ccc.exe"=

"c:\\Program Files\\Mozilla Firefox\\firefox.exe"=

"c:\\WINDOWS\\system32\\NeroCheck.exe"=

"c:\\WINDOWS\\RTHDCPL.EXE"=

"c:\\WINDOWS\\system32\\userinit.exe"=

"c:\\Program Files\\BitComet\\BitComet.exe"=

"c:\\WINDOWS\\system32\\CF20363.exe"=

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"16618:TCP"= 16618:TCP:BitComet 16618 TCP

"16618:UDP"= 16618:UDP:BitComet 16618 UDP

 

R3 AtcL001;NDIS Miniport Driver for Attansic L1 Gigabit Ethernet Controller;c:\windows\system32\drivers\atl01_xp.sys [2009-03-13 38656]

S3 ATE_PROCMON;ATE_PROCMON;\??\c:\program files\Anti Trojan Elite\ATEPMon.sys --> c:\program files\Anti Trojan Elite\ATEPMon.sys [?]

 

--- Other Services/Drivers In Memory ---

 

*NewlyCreated* - DAC970NT

.

Contents of the 'Scheduled Tasks' folder

 

2009-03-14 c:\windows\Tasks\Ad-Aware Update (Weekly).job

- c:\program files\Lavasoft\Ad-Aware\Ad-AwareAdmin.exe []

.

- - - - ORPHANS REMOVED - - - -

 

HKCU-Run-SpybotSD TeaTimer - c:\program files\Spybot - Search & Destroy\TeaTimer.exe

HKCU-Run-SUPERAntiSpyware - c:\program files\SUPERAntiSpyware\SUPERAntiSpyware.exe

HKLM-Run-Anti Trojan Elite - c:\program files\Anti Trojan Elite\TJEnder.exe

HKLM-Run-Ad-Watch - c:\program files\Lavasoft\Ad-Aware\AAWTray.exe

 

 

.

------- Supplementary Scan -------

.

IE: &С&валяне &с BitComet - c:\program files\BitComet\BitComet.exe/AddLink.htm

IE: &С&валяне на всички с BitComet - c:\program files\BitComet\BitComet.exe/AddAllLink.htm

IE: &С&валяне на всичкото видео с BitComet - c:\program files\BitComet\BitComet.exe/AddVideo.htm

TCP: {10B35C98-0AA3-40BD-9DDC-6D2B118B0393} = 212.36.20.153,212.36.20.145

FF - ProfilePath - c:\documents and settings\KAMENOV\Application Data\Mozilla\Firefox\Profiles\1br09cqw.default\

FF - prefs.js: browser.startup.homepage - hxxp://google.com

FF - component: c:\documents and settings\KAMENOV\Application Data\Mozilla\Firefox\Profiles\1br09cqw.default\extensions\{B042753D-F57E-4e8e-A01B-7379A6D4CEFB}\components\IBitCometExtension.dll

FF - plugin: c:\program files\K-Lite Codec Pack\Real\browser\plugins\nppl3260.dll

FF - plugin: c:\program files\K-Lite Codec Pack\Real\browser\plugins\nprpjplug.dll

.

 

**************************************************************************

 

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-03-15 09:36:26

Windows 5.1.2600 Service Pack 3 NTFS

 

scanning hidden processes ...

 

scanning hidden autostart entries ...

 

scanning hidden files ...

 

scan completed successfully

hidden files: 0

 

**************************************************************************

.

--------------------- DLLs Loaded Under Running Processes ---------------------

 

- - - - - - - > 'winlogon.exe'(776)

c:\windows\system32\Ati2evxx.dll

.

------------------------ Other Running Processes ------------------------

.

c:\windows\system32\ati2evxx.exe

c:\windows\system32\ati2evxx.exe

c:\program files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe

c:\program files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe

.

**************************************************************************

.

Completion time: 2009-03-15 9:37:57 - machine was rebooted

ComboFix-quarantined-files.txt 2009-03-15 07:37:54

 

Pre-Run: 69 011 644 416 bytes free

Post-Run: 68,895,178,752 bytes free

 

176

[Night_Raven]

Пейстни следния текст в нов текстов документ и го запази на десктопа под името CFScript (или CFScript.txt, ако работиш с показани разширения):

KillAll::

Driver::
DAC970NT

File::
C:\aaw7boot.cmd
c:\program files\mrxsmb.sys
c:\program files\Common Files\mrxsmb.sys
c:\program files\usbstor.sys
c:\program files\Common Files\usbstor.sys

Registry::
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"nltide_2"=-
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]

Провлачи текстовия файл върху ComboFix, както е показано тук:

http://www.softvisia.com/users/Night_Raven/Security/cfsdnd2.gif

 

Внимание: това са инструкции за конкретния потребител. Ако сте друг потребител със същия или подобен проблем, НЕ прилагайте текущите инструкции в действие.

 

След рестарта дай новия лог.

[cimex]

Пейстни следния текст в нов текстов документ и го запази на десктопа под името CFScript (или CFScript.txt, ако работиш с показани разширения):

KillAll::

Driver::
DAC970NT

File::
C:\aaw7boot.cmd
c:\program files\mrxsmb.sys
c:\program files\Common Files\mrxsmb.sys
c:\program files\usbstor.sys
c:\program files\Common Files\usbstor.sys

Registry::
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"nltide_2"=-
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]

Провлачи текстовия файл върху ComboFix, както е показано тук:

http://www.softvisia.com/users/Night_Raven/Security/cfsdnd2.gif

 

Внимание: това са инструкции за конкретния потребител. Ако сте друг потребител със същия или подобен проблем, НЕ прилагайте текущите инструкции в действие.

 

След рестарта дай новия лог.

Това е новия лог от ComboFix

ComboFix 09-03-14.01 - KAMENOV 2009-03-15 10:09:30.2 - NTFSx86

Microsoft Windows XP Professional 5.1.2600.3.1251.1.1033.18.2047.1524 [GMT 2:00]

Running from: c:\documents and settings\KAMENOV\Desktop\ComboFix.exe

Command switches used :: c:\documents and settings\KAMENOV\Desktop\CFScript.txt

* Created a new restore point

 

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!

 

FILE ::

C:\aaw7boot.cmd

c:\program files\Common Files\mrxsmb.sys

c:\program files\Common Files\usbstor.sys

c:\program files\mrxsmb.sys

c:\program files\usbstor.sys

.

 

((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))

.

 

C:\aaw7boot.cmd

 

.

((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.

 

-------\Legacy_DAC970NT

 

 

((((((((((((((((((((((((( Files Created from 2009-02-15 to 2009-03-15 )))))))))))))))))))))))))))))))

.

 

2009-03-15 09:10 . 2008-10-24 13:21 455,296 -----c--- c:\windows\system32\dllcache\mrxsmb.sys

2009-03-15 08:50 . 2008-04-13 21:15 26,368 --a--c--- c:\windows\system32\dllcache\usbstor.sys

2009-03-14 20:23 . 2009-03-14 20:23 <DIR> d-------- c:\documents and settings\KAMENOV\Application Data\FastStone

2009-03-14 20:21 . 2009-03-14 20:21 <DIR> d-------- c:\program files\FastStone Capture

2009-03-14 18:30 . 2009-03-14 18:30 <DIR> d-------- c:\documents and settings\KAMENOV\Application Data\GRETECH

2009-03-14 18:29 . 2009-03-14 18:29 <DIR> d-------- c:\program files\GRETECH

2009-03-14 13:51 . 2009-03-14 13:51 <DIR> d-------- c:\program files\Crystal Player

2009-03-14 13:51 . 2009-03-14 13:52 <DIR> d-------- c:\documents and settings\KAMENOV\Application Data\Crystal Player

2009-03-14 12:17 . 2009-03-14 12:35 <DIR> d-------- c:\documents and settings\All Users\Application Data\Spybot - Search & Destroy

2009-03-14 12:08 . 2009-03-14 12:31 <DIR> d-------- c:\documents and settings\All Users\Application Data\Lavasoft

2009-03-14 01:06 . 2009-03-14 01:06 <DIR> d--h----- c:\windows\system32\GroupPolicy

2009-03-14 00:45 . 2009-03-14 00:45 <DIR> d-------- c:\program files\Trend Micro

2009-03-14 00:33 . 2009-03-14 00:33 <DIR> d-------- c:\documents and settings\KAMENOV\Application Data\Malwarebytes

2009-03-14 00:33 . 2009-03-14 00:33 <DIR> d-------- c:\documents and settings\All Users\Application Data\Malwarebytes

2009-03-14 00:26 . 2009-03-14 00:26 <DIR> d-------- c:\documents and settings\All Users\Application Data\MicroWorld

2009-03-14 00:26 . 2009-03-14 00:26 626,688 --a------ c:\windows\system32\msvcr80.dll

2009-03-14 00:26 . 2009-03-14 00:26 548,864 --a------ c:\windows\system32\msvcp80.dll

2009-03-14 00:26 . 2008-04-14 04:42 146,432 --a------ c:\windows\R.COM

2009-03-14 00:26 . 2008-04-14 04:42 135,680 --a------ c:\windows\system32\T.COM

2009-03-14 00:26 . 2009-03-14 00:26 28,672 --a------ c:\windows\system32\eEmpty.exe

2009-03-14 00:26 . 2005-09-22 23:22 522 --a------ c:\windows\system32\Microsoft.VC80.CRT.manifest

2009-03-14 00:26 . 2009-03-14 00:26 28 --a------ c:\windows\Lic.xxx

2009-03-13 23:50 . 2009-03-14 12:34 <DIR> d-------- c:\documents and settings\KAMENOV\Application Data\SUPERAntiSpyware.com

2009-03-13 23:50 . 2009-03-13 23:50 <DIR> d-------- c:\documents and settings\All Users\Application Data\SUPERAntiSpyware.com

2009-03-13 23:39 . 2009-03-14 00:18 <DIR> d-------- c:\program files\Anti Trojan Elite

2009-03-13 22:53 . 2009-03-13 22:53 69 --a------ c:\windows\NeroDigital.ini

2009-03-13 22:39 . 2009-03-13 22:39 <DIR> d-------- c:\program files\Common Files\Ahead

2009-03-13 22:39 . 2009-03-13 22:39 <DIR> d-------- c:\program files\Ahead

2009-03-13 22:39 . 2004-07-26 16:16 1,568,768 --------- c:\windows\system32\ImagX7.dll

2009-03-13 22:39 . 2004-07-26 16:16 476,320 --------- c:\windows\system32\ImagXpr7.dll

2009-03-13 22:39 . 2004-07-26 16:16 471,040 --------- c:\windows\system32\ImagXRA7.dll

2009-03-13 22:39 . 2004-07-26 16:16 262,144 --------- c:\windows\system32\ImagXR7.dll

2009-03-13 22:39 . 2001-07-09 10:50 225,280 --a------ c:\windows\system32\NeroCheck.exe

2009-03-13 22:39 . 2004-03-02 16:37 125,184 --------- c:\windows\system32\drivers\imagesrv.sys

2009-03-13 22:39 . 2000-06-26 10:45 106,496 --a------ c:\windows\system32\TwnLib20.dll

2009-03-13 22:39 . 2004-03-02 16:37 5,504 --------- c:\windows\system32\drivers\imagedrv.sys

2009-03-13 22:03 . 2009-03-13 22:24 <DIR> d-------- c:\documents and settings\KAMENOV\Application Data\uTorrent

 

.

(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-03-15 08:05 --------- d-----w c:\program files\BitComet

2009-03-14 10:33 --------- d-----w c:\program files\Free FLV Converter

2009-03-14 10:33 --------- d-----w c:\program files\CometBird

2009-03-13 19:58 --------- d-----w c:\documents and settings\KAMENOV\Application Data\CometNetwork

2009-03-13 19:37 --------- d-----w c:\program files\Common Files\Adobe

2009-03-13 19:37 --------- d-----w c:\documents and settings\KAMENOV\Application Data\InterTrust

2009-03-13 19:35 --------- d-----w c:\program files\K-Lite Codec Pack

2009-03-13 19:32 --------- d-----w c:\program files\Winamp

2009-03-13 19:32 --------- d-----w c:\documents and settings\KAMENOV\Application Data\Winamp

2009-03-13 18:08 --------- d-----w c:\documents and settings\All Users\Application Data\ESET

2009-03-13 18:02 --------- d-----w c:\program files\Realtek

2009-03-13 17:54 --------- d-----w c:\documents and settings\KAMENOV\Application Data\ATI

2009-03-13 17:54 --------- d-----w c:\documents and settings\All Users\Application Data\ATI

2009-03-13 17:53 --------- d-----w c:\program files\My Company Name

2009-03-13 17:52 --------- d-----w c:\program files\ATI Technologies

2009-03-13 17:50 --------- d--h--w c:\program files\InstallShield Installation Information

2009-03-13 17:49 --------- d-----w c:\program files\Common Files\ATI Technologies

2009-03-13 17:45 --------- d-----w c:\program files\Common Files\InstallShield

2009-03-13 17:43 --------- d-----w c:\program files\Attansic

2009-03-13 17:40 315,392 ----a-w c:\windows\HideWin.exe

2009-03-13 17:33 --------- d-----w c:\program files\Intel

2009-03-13 17:27 --------- d-----w c:\program files\microsoft frontpage

2009-03-13 17:25 --------- d-----w c:\program files\MSXML 4.0

2009-03-13 17:19 --------- d-----w c:\program files\Windows Media Connect 2

2006-06-23 22:48 32,768 ----a-r c:\windows\inf\UpdateUSB.exe

.

 

((((((((((((((((((((((((((((( SnapShot@2009-03-15_ 9.36.51.85 )))))))))))))))))))))))))))))))))))))))))

.

+ 2009-03-15 07:02:29 12,736 ----a-w c:\windows\SoftwareDistribution\EventCache\{1FEC850F-16F7-4EEB-9211-D449AE40D04A}.bin

+ 2009-03-15 08:11:29 16,384 ----atw c:\windows\Temp\Perflib_Perfdata_9d0.dat

.

((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Note* empty entries & legit default entries are not shown

REGEDIT4

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"StartCCC"="c:\program files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2006-11-10 163840]

"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 225280]

"RTHDCPL"="RTHDCPL.EXE" [2007-03-21 c:\windows\RTHDCPL.exe]

 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

 

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"EnableLUA"= 0 (0x0)

 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]

"DisableTaskMgr"= 1 (0x1)

"DisableRegistryTools"= 1 (0x1)

 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"msacm.divxa32"= msaud32_divx.acm

 

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusDisableNotify"=dword:00000001

"UpdatesDisableNotify"=dword:00000001

"AntiVirusOverride"=dword:00000001

"FirewallOverride"=dword:00000001

"UacDisableNotify"=dword:00000001

 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc]

"AntiVirusOverride"=dword:00000001

"AntiVirusDisableNotify"=dword:00000001

"FirewallDisableNotify"=dword:00000001

"FirewallOverride"=dword:00000001

"UpdatesDisableNotify"=dword:00000001

"UacDisableNotify"=dword:00000001

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"%windir%\\system32\\sessmgr.exe"=

"c:\\Program Files\\ATI Technologies\\ATI.ACE\\Core-Static\\CLIStart.exe"=

"c:\\Program Files\\ATI Technologies\\ATI.ACE\\Core-Static\\ccc.exe"=

"c:\\Program Files\\Mozilla Firefox\\firefox.exe"=

"c:\\WINDOWS\\system32\\NeroCheck.exe"=

"c:\\WINDOWS\\RTHDCPL.EXE"=

"c:\\WINDOWS\\system32\\userinit.exe"=

"c:\\Program Files\\BitComet\\BitComet.exe"=

"c:\\WINDOWS\\system32\\wuauclt.exe"=

"c:\\WINDOWS\\system32\\CF27286.exe"=

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"16618:TCP"= 16618:TCP:BitComet 16618 TCP

"16618:UDP"= 16618:UDP:BitComet 16618 UDP

 

R3 AtcL001;NDIS Miniport Driver for Attansic L1 Gigabit Ethernet Controller;c:\windows\system32\drivers\atl01_xp.sys [2009-03-13 38656]

R3 dac970nt;dac970nt;\??\c:\windows\system32\drivers\nletpn.sys --> c:\windows\system32\drivers\nletpn.sys [?]

S3 ATE_PROCMON;ATE_PROCMON;\??\c:\program files\Anti Trojan Elite\ATEPMon.sys --> c:\program files\Anti Trojan Elite\ATEPMon.sys [?]

 

--- Other Services/Drivers In Memory ---

 

*NewlyCreated* - DAC970NT

.

Contents of the 'Scheduled Tasks' folder

 

2009-03-14 c:\windows\Tasks\Ad-Aware Update (Weekly).job

- c:\program files\Lavasoft\Ad-Aware\Ad-AwareAdmin.exe []

.

.

------- Supplementary Scan -------

.

IE: &С&валяне &с BitComet - c:\program files\BitComet\BitComet.exe/AddLink.htm

IE: &С&валяне на всички с BitComet - c:\program files\BitComet\BitComet.exe/AddAllLink.htm

IE: &С&валяне на всичкото видео с BitComet - c:\program files\BitComet\BitComet.exe/AddVideo.htm

TCP: {10B35C98-0AA3-40BD-9DDC-6D2B118B0393} = 212.36.20.153,212.36.20.145

FF - ProfilePath - c:\documents and settings\KAMENOV\Application Data\Mozilla\Firefox\Profiles\1br09cqw.default\

FF - prefs.js: browser.startup.homepage - hxxp://google.com

FF - component: c:\documents and settings\KAMENOV\Application Data\Mozilla\Firefox\Profiles\1br09cqw.default\extensions\{B042753D-F57E-4e8e-A01B-7379A6D4CEFB}\components\IBitCometExtension.dll

FF - plugin: c:\program files\K-Lite Codec Pack\Real\browser\plugins\nppl3260.dll

FF - plugin: c:\program files\K-Lite Codec Pack\Real\browser\plugins\nprpjplug.dll

.

 

**************************************************************************

 

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-03-15 10:11:22

Windows 5.1.2600 Service Pack 3 NTFS

 

scanning hidden processes ...

 

scanning hidden autostart entries ...

 

scanning hidden files ...

 

scan completed successfully

hidden files: 0

 

**************************************************************************

.

--------------------- DLLs Loaded Under Running Processes ---------------------

 

- - - - - - - > 'winlogon.exe'(780)

c:\windows\system32\Ati2evxx.dll

.

------------------------ Other Running Processes ------------------------

.

c:\windows\system32\ati2evxx.exe

c:\windows\system32\ati2evxx.exe

c:\program files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe

c:\program files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe

.

**************************************************************************

.

Completion time: 2009-03-15 10:12:35 - machine was rebooted [KAMENOV]

ComboFix-quarantined-files.txt 2009-03-15 08:12:33

ComboFix2.txt 2009-03-15 07:37:58

 

Pre-Run: 68,603,265,024 bytes free

Post-Run: 68,560,154,624 bytes free

 

195

[Night_Raven]

Сканирай със SUPERAntiSpyware Free и Malwarebytes' Anti-Malware

 

За SUPERAntiSpyware:

- стартирай програмата;

- кликни бутон Scan your Computer;

- вляво избери само дял C:, а вдясно избери Perform Complete Scan;

- кликни Next и изчакай да сканира;

- кликни Next, за да се премахнат гадинките и накрая Finish;

- кликни бутон Preferences... и иди на подпрозорец Statistics/Logs, маркирай последния лог и кликни бутон View Log...;

- копирай съдържанието му тук.

 

За Malwarebytes' Anti-Malware:

- стартирай програмата;

- избери Perform quick scan и кликни бутон Scan;

- като приключи сканирането кликни бутон Remove Selected;

- ще се появи текстов файл (лог), копирай съдържанието му тук.

 

Ако е нужен рестарт при някое от сканиранията, се съгласи и рестартирай веднага.

[cimex]

Сканирай със SUPERAntiSpyware Free и Malwarebytes' Anti-Malware

 

За SUPERAntiSpyware:

- стартирай програмата;

- кликни бутон Scan your Computer;

- вляво избери само дял C:, а вдясно избери Perform Complete Scan;

- кликни Next и изчакай да сканира;

- кликни Next, за да се премахнат гадинките и накрая Finish;

- кликни бутон Preferences... и иди на подпрозорец Statistics/Logs, маркирай последния лог и кликни бутон View Log...;

- копирай съдържанието му тук.

 

За Malwarebytes' Anti-Malware:

- стартирай програмата;

- избери Perform quick scan и кликни бутон Scan;

- като приключи сканирането кликни бутон Remove Selected;

- ще се появи текстов файл (лог), копирай съдържанието му тук.

 

Ако е нужен рестарт при някое от сканиранията, се съгласи и рестартирай веднага.

Ето логовете от SUPERAntiSpyware

SUPERAntiSpyware Scan Log

http://www.superantispyware.com

 

Generated 03/15/2009 at 10:55 AM

 

Application Version : 4.25.1014

 

Core Rules Database Version : 3795

Trace Rules Database Version: 1751

 

Scan type : Complete Scan

Total Scan Time : 00:10:43

 

Memory items scanned : 518

Memory threats detected : 2

Registry items scanned : 3937

Registry threats detected : 0

File items scanned : 12750

File threats detected : 5

 

Trojan.Unknown Origin

C:\DOCUME~1\KAMENOV\LOCALS~1\TEMP\WINMRUJ.EXE

C:\DOCUME~1\KAMENOV\LOCALS~1\TEMP\WINMRUJ.EXE

C:\DOCUME~1\KAMENOV\LOCALS~1\TEMP\BYIS.EXE

C:\DOCUME~1\KAMENOV\LOCALS~1\TEMP\BYIS.EXE

C:\DOCUMENTS AND SETTINGS\KAMENOV\LOCAL SETTINGS\TEMP\BYIS.EXE

C:\DOCUMENTS AND SETTINGS\KAMENOV\LOCAL SETTINGS\TEMP\WINMRUJ.EXE

 

Trojan.Agent/Gen-FSG

C:\DOWNLOADS\WINAMP 5 52 KGN [H33T] [DINGUSKULL]\KEYGEN.EXE

и от Malwarebytes' Anti-Malware

Malwarebytes' Anti-Malware 1.34

Версия на базата от данни: 1851

Windows 5.1.2600 Service Pack 3

 

2009-03-15 10:44:53

mbam-log-2009-03-15 (10-44-53).txt

 

Тип сканиране: Бързо сканиране

Сканирани обекти: 57192

Изминало време: 1 minute(s), 18 second(s)

 

Заразени процеси в паметта: 0

Заразени модули в паметта: 0

Заразени ключове в регистратурата: 0

Заразени стойности в регистратурата: 0

Заразени информационни обекти в регистратурата: 5

Заразени папки: 0

Заразени файлове: 0

 

Заразени процеси в паметта:

(Не бяха открити заплахи)

 

Заразени модули в паметта:

(Не бяха открити заплахи)

 

Заразени ключове в регистратурата:

(Не бяха открити заплахи)

 

Заразени стойности в регистратурата:

(Не бяха открити заплахи)

 

Заразени информационни обекти в регистратурата:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools (Hijack.Regedit) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr (Hijack.TaskManager) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Hijack.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Hijack.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Hijack.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

 

Заразени папки:

(Не бяха открити заплахи)

 

Заразени файлове:

(Не бяха открити заплахи)

mbam.txt