Хора имам следния проблем. Значи приятелката ми е ползвала флашката си на някакъв компютър и е хванала нещо което кара иконите на папките в преносимите устроиства за данни да изглеждат като преки пътища,а прекият път сочи system32,но данните в папките си ги има и се отварят в нов прозорец. След като си сложи флашката и на моя компютър за да видя какво става започна и на мен така да ми показва всичко в преносимия харддиск,та въпроса ми е някои знае ли какво става и как се оправя тази каша ??????????????

Привет, veselin_89. Този раздел има правила. Там е написано точно и ясно:

1. Моля да изпълните стриктно инструкциите от следната тема: Системата ми е инфектирана - Какво да правя сега?

Ще може ли лог от DDS, съгласно точки 5 и 6 от тази тема? След като изпълните инструкциите за DDS, ще продължим по темата. Успех!

Извинявам се че не сложих необходимата информация предварително ето я сега и нея DDS.TXT . DDS (Ver_11-03-05.01) - NTFSx86 Run by ivcho at 11:20:09.85 on ?????????? 05/02/2011 Internet Explorer: 6.0.2900.2180 Microsoft Windows XP Professional 5.1.2600.2.1252.1.1033.18.479.70 [GMT 3:00] . AV: avast! antivirus 4.8.1368 [VPS 110316-1] *Enabled/Outdated* {7591DB91-41F0-48A3-B128-1A293FD8233D} . ============== Running Processes =============== . C:\WINDOWS\system32\svchost -k DcomLaunch svchost.exe C:\WINDOWS\System32\svchost.exe -k netsvcs svchost.exe svchost.exe C:\WINDOWS\Explorer.EXE svchost.exe C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe C:\Program Files\Alwil Software\Avast4\ashServ.exe C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe C:\WINDOWS\system32\ctfmon.exe C:\Program Files\Skype\Phone\Skype.exe C:\WINDOWS\Datecs\Flex2K.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\nvsvc32.exe C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe C:\Program Files\Alwil Software\Avast4\ashWebSv.exe C:\WINDOWS\system32\wscntfy.exe C:\Program Files\Opera\opera.exe F:\dds.scr . ============== Pseudo HJT Report =============== . mWinlogon: Taskman=c:\documents and settings\ivcho\fswagz.exe BHO: Adobe PDF Link Helper: {18df081c-e8ad-4283-a596-fa578c2ebdc3} - c:\program files\common files\adobe\acrobat\activex\AcroIEHelperShim.dll BHO: Groove GFS Browser Helper: {72853161-30c5-4d22-b7f9-0bbc1d38a37e} - c:\progra~1\micros~2\office12\GRA8E1~1.DLL uRun: [ctfmon.exe] c:\windows\system32\ctfmon.exe uRun: [skype] "c:\program files\skype\phone\Skype.exe" /nosplash /minimized mRun: [avast!] c:\progra~1\alwils~1\avast4\ashDisp.exe mRun: [GrooveMonitor] "c:\program files\microsoft office\office12\GrooveMonitor.exe" mRun: [NvCplDaemon] RUNDLL32.EXE c:\windows\system32\NvCpl.dll,NvStartup mRun: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k StartupFolder: c:\docume~1\ivcho\startm~1\programs\startup\onenot~1.lnk - c:\program files\microsoft office\office12\ONENOTEM.EXE StartupFolder: c:\docume~1\alluse~1\startm~1\programs\startup\flexty~1.lnk - c:\windows\datecs\Flex2K.exe IE: E&xport to Microsoft Excel - c:\progra~1\micros~2\office12\EXCEL.EXE/3000 IE: {FB5F1910-F110-11d2-BB9E-00C04F795683} - c:\program files\messenger\msmsgs.exe IE: {2670000A-7350-4f3c-8081-5663EE0C6C49} - {48E73304-E1D6-4330-914C-F5F514E3486C} - c:\progra~1\micros~2\office12\ONBttnIE.dll IE: {92780B25-18CC-41C8-B9BE-3C9C571A8263} - {FF059E31-CC5A-4E2E-BF3B-96E929D65503} - c:\progra~1\micros~2\office12\REFIEBAR.DLL Handler: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - c:\progra~1\micros~2\office12\GR99D3~1.DLL Handler: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - c:\progra~1\common~1\skype\SKYPE4~1.DLL SEH: Groove GFS Stub Execution Hook: {b5a7f190-dda6-4420-b3ba-52453494e6cd} - c:\progra~1\micros~2\office12\GRA8E1~1.DLL . ============= SERVICES / DRIVERS =============== . R1 aswSP;avast! Self Protection;c:\windows\system32\drivers\aswSP.sys [2011-2-23 114768] R2 aswFsBlk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [2011-2-23 20560] R2 avast! Antivirus;avast! Antivirus;c:\program files\alwil software\avast4\ashServ.exe [2011-2-23 138680] R3 avast! Mail Scanner;avast! Mail Scanner;c:\program files\alwil software\avast4\ashMaiSv.exe [2011-2-23 254040] R3 avast! Web Scanner;avast! Web Scanner;c:\program files\alwil software\avast4\ashWebSv.exe [2011-2-23 352920] S2 imbpp;Universal Server;c:\windows\system32\svchost.exe -k netsvcs [2004-8-4 14336] . =============== Created Last 30 ================ . 2011-04-29 18:44:22 -------- d-----w- c:\docume~1\ivcho\applic~1\Design Science 2011-04-29 18:42:58 -------- d-----w- c:\program files\MathType 2011-04-29 18:39:47 -------- d-----w- c:\program files\MSECache 2011-04-28 15:39:55 -------- d-----w- c:\program files\Total Video Converter 2011-04-26 16:31:07 12160 -c--a-w- c:\windows\system32\dllcache\mouhid.sys 2011-04-26 16:31:07 12160 ----a-w- c:\windows\system32\drivers\mouhid.sys 2011-04-26 16:30:54 9600 -c--a-w- c:\windows\system32\dllcache\hidusb.sys 2011-04-26 16:30:54 9600 ----a-w- c:\windows\system32\drivers\hidusb.sys 2011-04-18 13:00:13 -------- d-----w- c:\docume~1\ivcho\applic~1\NevoSoft . ==================== Find3M ==================== . 2011-04-19 18:54:15 78336 --sh--r- c:\documents and settings\ivcho\fswagz.exe 2011-02-23 12:59:42 577536 ----a-w- c:\windows\soundman.exe 2011-02-23 12:59:42 10528768 ----a-w- c:\windows\system32\RTLCPL.exe 2011-02-23 12:59:41 18804736 ----a-w- c:\windows\system32\alsndmgr.cpl 2011-02-23 12:59:41 147456 ----a-w- c:\windows\system32\RtlCPAPI.dll 2011-02-23 12:59:35 217088 ----a-w- c:\windows\Alcrmv.exe 2011-02-23 12:59:34 49152 ----a-w- c:\windows\system32\ChCfg.exe 2011-02-23 12:59:34 315392 ----a-w- c:\windows\alcupd.exe 2011-02-23 12:32:08 208896 ----a-w- c:\windows\system32\NVUninst.exe 2011-02-23 12:32:08 208896 ----a-w- c:\windows\system32\nvuide.exe 2011-02-23 12:32:08 208896 ----a-w- c:\windows\system32\nvugart.exe 2011-02-23 12:32:08 208896 ----a-w- c:\windows\system32\nvuaudio.exe 2011-02-04 21:06:44 761152 ----a-w- c:\windows\system32\msvcr100.dll . ============= FINISH: 11:20:46.51 =============== Attach.TXT . UNLESS SPECIFICALLY INSTRUCTED, DO NOT POST THIS LOG. IF REQUESTED, ZIP IT UP & ATTACH IT . DDS (Ver_11-03-05.01) . Microsoft Windows XP Professional Boot Device: \Device\HarddiskVolume1 Install Date: 2/23/2011 1:40:35 PM System Uptime: 5/2/2011 11:07:56 AM (0 hours ago) . Motherboard: | | nVidia-nForce Processor: AMD Athlon | Socket A | 1102/100mhz . ==== Disk Partitions ========================= . A: is Removable C: is FIXED (NTFS) - 14 GiB total, 1.611 GiB free. D: is FIXED (NTFS) - 18 GiB total, 3.849 GiB free. E: is CDROM () F: is FIXED (NTFS) - 466 GiB total, 154.472 GiB free. . ==== Disabled Device Manager Items ============= . ==== System Restore Points =================== . RP13: 3/1/2011 10:40:09 PM - System Checkpoint RP14: 3/2/2011 10:48:34 PM - System Checkpoint RP15: 3/7/2011 5:58:27 PM - System Checkpoint RP16: 3/8/2011 6:05:10 PM - System Checkpoint RP17: 3/9/2011 8:33:57 PM - System Checkpoint RP18: 3/13/2011 10:38:41 PM - System Checkpoint RP19: 3/15/2011 7:28:04 AM - System Checkpoint RP20: 3/16/2011 10:43:02 AM - System Checkpoint RP21: 3/17/2011 12:19:52 PM - System Checkpoint RP22: 3/18/2011 12:41:33 PM - System Checkpoint RP23: 3/19/2011 1:44:08 PM - System Checkpoint RP24: 3/20/2011 9:54:07 PM - System Checkpoint RP25: 3/21/2011 10:19:43 PM - System Checkpoint RP26: 3/22/2011 10:35:41 PM - System Checkpoint RP27: 1/4/2003 10:40:27 AM - System Checkpoint RP28: 1/4/2003 12:27:30 PM - Installed Microsoft Visual C++ 2005 Redistributable RP29: 1/5/2003 3:46:55 PM - System Checkpoint RP30: 1/6/2003 7:09:04 PM - System Checkpoint RP31: 1/7/2003 7:25:47 PM - System Checkpoint RP32: 1/11/2003 12:13:43 PM - System Checkpoint RP33: 1/12/2003 12:34:23 PM - System Checkpoint RP34: 1/13/2003 6:38:34 PM - System Checkpoint RP35: 1/14/2003 9:52:43 PM - System Checkpoint RP36: 1/17/2003 9:53:42 PM - System Checkpoint RP37: 1/19/2003 1:43:27 PM - System Checkpoint RP38: 1/21/2003 1:45:50 AM - System Checkpoint RP39: 4/15/2011 3:47:57 PM - System Checkpoint RP40: 4/17/2011 2:24:06 PM - System Checkpoint RP41: 4/19/2011 6:58:20 PM - System Checkpoint RP42: 4/25/2011 8:43:43 PM - System Checkpoint RP43: 4/29/2011 5:13:35 PM - System Checkpoint RP44: 4/29/2011 9:41:20 PM - Installed Compatibility Pack for the 2007 Office system RP45: 5/1/2011 9:52:27 PM - System Checkpoint . ==== Installed Programs ====================== . . µTorrent Adobe Flash Player 10 Plugin Adobe Reader 9.4.0 AIMP2 Angry Birds Any Video Converter 3.1.7 avast! Antivirus BS.Player FREE powered by AdVantage Compatibility Pack for the 2007 Office system Driver Checker v2.7.4 ECHO ECHO - Secrets of The Lost Cavern 1.00 FlexType 2K IrfanView (remove only) K-Lite Mega Codec Pack 6.6.6 MathType 6 Microsoft Office Access MUI (English) 2007 Microsoft Office Access Setup Metadata MUI (English) 2007 Microsoft Office Enterprise 2007 Microsoft Office Excel MUI (English) 2007 Microsoft Office Groove MUI (English) 2007 Microsoft Office Groove Setup Metadata MUI (English) 2007 Microsoft Office InfoPath MUI (English) 2007 Microsoft Office OneNote MUI (English) 2007 Microsoft Office Outlook MUI (English) 2007 Microsoft Office PowerPoint MUI (English) 2007 Microsoft Office Proof (English) 2007 Microsoft Office Proof (French) 2007 Microsoft Office Proof (Spanish) 2007 Microsoft Office Proofing (English) 2007 Microsoft Office Publisher MUI (English) 2007 Microsoft Office Shared MUI (English) 2007 Microsoft Office Shared Setup Metadata MUI (English) 2007 Microsoft Office Word MUI (English) 2007 Microsoft Software Update for Web Folders (English) 12 Microsoft Visual C++ 2005 Redistributable Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17 NVIDIA Drivers NvMixer Opera 11.01 PatchBeam v1.10 PowerArchiver 2010 Realtek AC'97 Audio REALTEK GbE & FE Ethernet PCI NIC Driver Sacred Skype™ 4.1 Total Video Converter 3.71 100812 WebFldrs XP Windows Installer 3.1 (KB893803) Worms Reloaded . ==== Event Viewer Messages From Past Week ======== . 5/1/2011 1:57:14 AM, error: MRxSmb [8003] - The master browser has received a server announcement from the computer JOHNSON-PC that believes that it is the master browser for the domain on transport NetBT_Tcpip_{6C89676F-4B2B-4AD. The master browser is stopping or an election is being forced. 4/30/2011 1:46:54 AM, error: NetBT [4321] - The name "WORKGROUP :1d" could not be registered on the Interface with IP address 10.10.101.133. The machine with the IP address 10.10.101.35 did not allow the name to be claimed by this machine. 4/30/2011 1:42:34 AM, error: BROWSER [8007] - The browser was unable to update the service status bits. The data is the error. 4/27/2011 10:30:29 AM, error: Service Control Manager [7023] - The Universal Server service terminated with the following error: A dynamic link library (DLL) initialization routine failed. 4/26/2011 7:39:31 PM, error: DCOM [10005] - DCOM got error "%1058" attempting to start the service BITS with arguments "" in order to run the server: {4991D34B-80A1-4291-83B6-3328366B9097} . ==== End Of File =========================== дано да помогнат

Редактирано 2 май 201115 г. от veselin_89 (преглед на промените)

Вашият Windows е заразен с доста неприятна гадина: kazy или bflient. Следвайте инструкцията за работа с OTL:

• Изтеглете OTL.exe и го запазете на десктопа.
• Стартирайте файла с двукратен клик на мишката.
• Сложете отметка пред Scan All Users

• Под с Copy/ Paste въведете изцяло следната текстова информация (само това, което е поставено в карето):

netsvcs
drivers32 /all
%SYSTEMDRIVE%\*.*
%PROGRAMFILES%\*.*
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles

• Натиснете маркираният в синьо бутон: .
• Като приключи проверката, ще се създадат два файла - OTL.Txt и Extras.Txt. Прикачете тези два файла в следващия си коментар (погледнете опцията "прикачени файлове", когато публикувате мнение).

Ето новите 2 фаила имам още един въпрос. Ако си е включила флашката на нейния компютър заразена ли е и тя и трябва ли пак да правя цялата процедура с проверките ? още нещо след проверката като си оворих харддиска ми показа старите папки но като скрити , но след това пак изчезнаха , а ако дам да показва скритите папки ги няма.

Нека да свършим с почистването на този компютър и след това ще ще дам инструкции за флашката. Ако има друг компютър за проверка, отворете нова тема и дайте лог от DDS, както в тази.

Сега стартирайте пак OTL и с Copy/ Paste под колонката Custom Scans/Fixes въведете скриптовия текст от текстовото поле по-долу, като не забравяте да копирате скрипта 1 към 1, както и двете точки преди първия ред на скрипта!

:otl
O4 - HKLM..\Run: [KernelFaultCheck] File not found
O20 - HKLM Winlogon: TaskMan - (C:\Documents and Settings\ivcho\fswagz.exe) - C:\Documents and Settings\ivcho\fswagz.exe ()
:files
C:\Documents and Settings\ivcho\fswagz.exe
C:\WINDOWS\System32\iaksqh.dll
autorun.inf /alldrives
autorun.exe /alldrives
recycler /alldrives
ipconfig /flushdns /c
:reg
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
"6260:TCP" =- 
:commands
[purity]
[resethosts]
[clearallrestorepoints]
[emptytemp]
[emptyflash]
[Reboot]

След като въведете скрипта от цитата по-горе натиснете бутона, маркиран в червено: Run Fix

Когато като ОTL приключи работата си, Windows ще се рестартира и ще се създаде лог файл. Публикувайте съдържанието му с Copy/Paste в следващия си коментар.

ето новия файл

Добре, сега стартирайте отново OTL и направете същото, както в коментар №4 от тази тема. Вероятно ще има само един лог файл: OTL.txt. Прикачете го към следващия си коментар.

Ето го и между другото пак ми се показаха стаите папки като скрити дали ще се оявят вече наистина ???

Имаме още малко работа. Стартирайте пак OTL и с Copy/ Paste под колонката Custom Scans/Fixes въведете скриптовия текст от текстовото поле по-долу, като не забравяте да копирате скрипта 1 към 1, както и двете точки преди първия ред на скрипта!

:otl
SRV - File not found [Auto | Stopped] -- -- (imbpp)
SRV - File not found [Disabled | Stopped] -- -- (HidServ)
O20 - HKLM Winlogon: TaskMan - (c:\documents and settings\ivcho\fswagz.exe) - c:\Documents and Settings\ivcho\fswagz.exe ()
:files
c:\Documents and Settings\ivcho\fswagz.exe
C:\Documents and Settings\ivcho\Desktop\123td.bmp
C:\Documents and Settings\ivcho\Desktop\123.bmp
autorun.inf /alldrives
autorun.exe /alldrives
recycler /alldrives
ipconfig /flushdns /c
:commands
[purity]
[clearallrestorepoints]
[emptytemp]
[emptyflash]
[Reboot]

След като въведете скрипта от цитата по-горе натиснете бутона, маркиран в червено: Run Fix

Когато като ОTL приключи работата си, Windows ще се рестартира и ще се създаде лог файл. Публикувайте съдържанието му с Copy/Paste в следващия си коментар.

Ето

Сега изтеглете The Avenger и го разархивирайте на десктопа. Стартирайте avenger.exe, копирайте следния текст и го поставете в текстовото поле на програмата:

Files to delete:
c:\Documents and Settings\ivcho\fswagz.exe

Уверете се, че Scan for rootkits и Automatically disable any rootkits found имат отметки.

След това изберете Execute и при въпрос от страна на програмата, кликнете върху Yes, при което компютъра ще се рестартира. След рестартта копирайте и поставете съдържанието на лог файла от програмата, намиращ се в C:\avenger.txt в следващия си коментар в тази тема.

P.S. Ако The Avenger има проблем с антивирусната програма, изключете я временно.

ето файла надявам се че това вече е края

Супер! Сега ще качете папката C:\TheAvenger\backup.zip на rapidshare.com и дайте линк, за да я изтеглим.

https://rapidshare.com/files/460264623/backup.zip

има ли какво още да се прави

Редактирано 2 май 201115 г. от nologo
Обезопасяване на линк (преглед на промените)

Искам да проверя дали сме почистили. Най-лесно ще стане, като погледна лог от DDS. Затова стартирайте отново DDS и поставете съдържанието на DDS.txt в следващия си коментар.

eto имам един въпрос. Имам етдан папка _otl какво да я правя не мога да я изтрия а старите ми папки все още седят скрити и още нещо - разбрах че приятелката ми си е включила флашката и в тях . Трябва ли да правя нова тема или като съм там да постна рапортите тук и после да и оставя регистрацията за да може да поства и да прави каквото трябва ??????????

Този файл не ми върши работа, защото е attach.txt. Трябва ми последния лог - DDS.txt. Още не сме свършили. Когато приключим, ще пусна една програма за почистване. Сега не трийте нищо. P.S. Да, трябва нова тема за всеки нов случай. За другия комп отворете нова тема.

извинявам се не обърнах внимание че съм копирал грешния файл

Хм, за съжаление все още има проблем. Затова ще трябва да пуснем по-сериозна програма. Затова изтеглете ComboFix от: тук

ВАЖНО: Запазете ComboFix.exe на вашия десктоп!

• Изключете вашата антивирусна и антишпионска програма. Обикновено това става чрез натискане на десния бутон на мишката върху иконата на програма в системния трей.

  Забележка: Ако не можете я спрете или не сте сигурни коя програма да изключите, моля прегледайте информацията от този линк: How to Disable your Security Programs

• Стартирайте Combofix.exe и следвайте инструкциите.

Забележка:

• Моля, не движете мишката, докато ComboFix работи. Това може да наруши процеса на работа.
• ComboFix ще нулира всички настройки на Internet Explorer (IE), включително да направи IE браузър по подразбиране.
• ComboFix ще изключи autorun функцията на всички CD, Floppy и USB устройства, за да помогне при премахването на зловредния софтуер и защити системата от бъдещи вируси/заплахи, които поразяват посредством autorun. Ако това е проблем за вас - моля, уведомете ме.
• ComboFix ще изключи вашата интернет връзка. Интернет връзката ще се възстанови автоматично, преди ComboFix да завърши процеса на работа. При проблем, той също ще изключи интернет връзката. За да възстановите интернет връзката си, рестартирайте компютъра си.
• В случай на проблем с ComboFix, той може да създаде лог файл. Моля, включете съдържанието на C:\BUG.txt в следващия Ви коментар в тази тема.

Работата на ComboFix може да отнеме до 20-30 минути. Затова имайте имайте търпение. Когато процесът приключи успешно, ComboFix ще създаде лог файл. Моля, копирайте съдържанието на C:\ComboFix.txt и го поставете в следващия си коментар в тази тема.

ама нали ви казах че проблема доиде от преносимия ми харддиск комбофикц-а ако спре USB портовете ще оправи компютъра но във харда все още ще си седи вредителя

Не разбрах добре. Продължете с ComboFix. След като приключим с почистването, ще пусна инструкция за флашките и преносимите дискове.

добре но нали може утре да го направя че сега няма време