Проблем със скайп вирус [РЕШЕН]

12 декември 200916 г.

Съветвам ви всички поразени програми, които са видими в лога да се преинсталират.

Радостната новина, е че не виждам поразени системни файлове освен тези в бекъпа.

Въведете в Start => Run => %userprofile% => изтрийте папката на Dr.Web.

Изтрийте я и от коша.

изтрийте и следните инструменти - mbr.exe, sysprot.exe, otl.exe

Затова можете да пробвате да преинсталирате Service Pack 3 пакета (изтеглете го наново) + програмите си, които са поразени:

Adobe Reader го деинсталирайте и го заменете с Foxit Reader.

Изтеглете и преинсталирайте следните програми:

Winamp

Athlon 64 Processor Driver

Intel driver

AvRack (realtek driver)

Nokia PC Suite

FlexType (не ви я препоръчвам, тъй като прави много поразии, но ако ще я използвате я преинсталирайте и нея).Но СИЛНО препоръчвам използването на алтернативни фонетики...

http://www.kaldata.com/forums/index.php?showtopic=29819

К-lite Codec Pack

PC Connectivity Solution

SHOUTcast

The KMPlayer

Windows Media Player (изтеглете и преинсталирайте последната версия)

WinRaR

YouTube Downloader

Ако не ползвате MSN и Messanger => можете да ги деинсталирате от => Control Panel => ADD/remove Programs => Add/remove Windows Components

Намерете от списъка MSN Explorer и Windows Messanger => махнете им отметките и изберете => Next.

От Control Panel => Add/Remove Programs => деинсталирайте

HijackThis

Алтернативния вариант на преинсталирането на Service Pack 3 е да направите Repair Install (но свалянето и преинсталирането на споменатите програми описано по-нагоре си остава в пълна сила).

С REPAIR INSTALL-a, ще се възстановят файловете, които липсват или са повредени и ще се запазят поне повечето ви настройки и инсталирани програми. Да, сигурно някои програми ще се наложи да ги преинсталирате отново, но е трудно да се предскаже кои ще са те.

Заредете от диска с Windows XP, но не натискайте "R", а натиснете "Enter"

Там вече по-стандартната процедура натиснете "F8" за да се съгласите с лицензионното споразумение.

След като се появи това меню тук натиснете "R"

Продължете все едно правите стандартна преинсталация...

След тези процедури е добре отново да проверим как е положението и дали има нова ре-инфекция.

Ако не ви се занимава и решите, че е по-бързо, лесно и най-вече сигурно да направите ПЪЛЕН формат (за предпочитане на целия хардиск) ме уведомети за да знам.

Поздрави. Просто от вчера до днес (най-вероятно при сърфиране) сте прихванали Sality.

Повече информация за разпространението на тези нови варианти прочетете тук:

Sality.AO – нов вирус, който съчетава стари и нови техники за зараза

Поздрави !

12 декември 200916 г.

' date='12 декември 2009 - 02:01 ' timestamp='1260576077' post='1579097']
Съветвам ви всички поразени програми, които са видими в лога да се преинсталират.

Радостната новина, е че не виждам поразени системни файлове освен тези в бекъпа.

Въведете в Start => Run => %userprofile% => изтрийте папката на Dr.Web.

Изтрийте я и от коша.

изтрийте и следните инструменти - mbr.exe, sysprot.exe, otl.exe

Затова можете да пробвате да преинсталирате Service Pack 3 пакета (изтеглете го наново) + програмите си, които са поразени:

Adobe Reader го деинсталирайте и го заменете с Foxit Reader.

Изтеглете и преинсталирайте следните програми:

Winamp

Athlon 64 Processor Driver

Intel driver

AvRack (realtek driver)

Nokia PC Suite

FlexType (не ви я препоръчвам, тъй като прави много поразии, но ако ще я използвате я преинсталирайте и нея).Но СИЛНО препоръчвам използването на алтернативни фонетики...

http://www.kaldata.com/forums/index.php?showtopic=29819

К-lite Codec Pack

PC Connectivity Solution

SHOUTcast

The KMPlayer

Windows Media Player (изтеглете и преинсталирайте последната версия)

WinRaR

YouTube Downloader

Ако не ползвате MSN и Messanger => можете да ги деинсталирате от => Control Panel => ADD/remove Programs => Add/remove Windows Components

Намерете от списъка MSN Explorer и Windows Messanger => махнете им отметките и изберете => Next.

От Control Panel => Add/Remove Programs => деинсталирайте

HijackThis

Алтернативния вариант на преинсталирането на Service Pack 3 е да направите Repair Install (но свалянето и преинсталирането на споменатите програми описано по-нагоре си остава в пълна сила).

С REPAIR INSTALL-a, ще се възстановят файловете, които липсват или са повредени и ще се запазят поне повечето ви настройки и инсталирани програми. Да, сигурно някои програми ще се наложи да ги преинсталирате отново, но е трудно да се предскаже кои ще са те.

Заредете от диска с Windows XP, но не натискайте "R", а натиснете "Enter"

Там вече по-стандартната процедура натиснете "F8" за да се съгласите с лицензионното споразумение.

След като се появи това меню тук натиснете "R"

Продължете все едно правите стандартна преинсталация...

След тези процедури е добре отново да проверим как е положението и дали има нова ре-инфекция.

Ако не ви се занимава и решите, че е по-бързо, лесно и най-вече сигурно да направите ПЪЛЕН формат (за предпочитане на целия хардиск) ме уведомети за да знам.

Поздрави. Просто от вчера до днес (най-вероятно при сърфиране) сте прихванали Sality.

Повече информация за разпространението на тези нови варианти прочетете тук:

Sality.AO – нов вирус, който съчетава стари и нови техники за зараза

Поздрави !

Най - добре няма ли да е да направя преиснталиране на Windows-a ?

12 декември 200916 г.

Това няма да реши проблемите със засегнатия софтуер...тях трябва да ги преинсталирате така или иначе...

Най-добре си остава ПЪЛЕН формат...изтегляне наново на всички програми които ще се използват и така...

Но ако се цели "замазване" на положението можете да опитате с това което ви написах.

12 декември 200916 г.

' date='12 декември 2009 - 02:09 ' timestamp='1260576586' post='1579104']
Това няма да реши проблемите със засегнатия софтуер...тях трябва да ги преинсталирате така или иначе...

Най-добре си остава ПЪЛЕН формат...изтегляне наново на всички програми които ще се използват и така...

Но ако се цели "замазване" на положението можете да опитате с това което ви написах.

Под пълен формат да разбирам всички дискове ли ?

Или само C; ..

И след repair-a да направим нова проверка :>

12 декември 200916 г.

Под пълен формат да разбирам всички дискове ли ?

Или само C; ..

И след repair-a да направим нова проверка :>

Под пълен имам предвид точно...на всички дискове.Защото Sality атакува всички *.exe и *.scr файлове на хардиска.

Добре, преминете към Repair Install-a и ще проверим как е положението.

Имайте предвид, че съм ви предупредил да преинсталирате и софтуерта който съм споменал по-нагоре.

12 декември 200916 г.

Пускам Repair Install-a ..

Махнах програмите,които трябваше.. пак ще пиша

12 декември 200916 г.

Пускам Repair Install-a ..

Махнах програмите,които трябваше.. пак ще пиша

Ok. Надявам се да сте махнали всичко, което съм посочил...в ЦЕЛИЯ си пост.

Тук съм и малко ще хапна.

12 декември 200916 г.

Това Sality тшк работа ..

12 декември 200916 г.

Това Sality тшк работа ..

Определено...и не само той...всички файлови инфектори...parite, sality, virut и т.н.

Напоследък пак има силна вълна от тях.

12 декември 200916 г.

Значи Repair-а е готов ... сега да пусна една проверка а ?

12 декември 200916 г.

Значи Repair-а е готов ... сега да пусна една проверка а ?

Задължително проверете с Dr.Web, но моля изтеглете го наново за да е с по-актуални дефиниции:

Dr.Web CureIt

Проверете и с този инструмент от AVG специално за Sality:

AVG Sality Remover

12 декември 200916 г.

' date='12 декември 2009 - 02:58 ' timestamp='1260579522' post='1579150']
Задължително проверете с Dr.Web, но моля изтеглете го наново за да е с по-актуални дефиниции:

Dr.Web CureIt

Проверете и с този инструмент от AVG специално за Sality:

AVG Sality Remover

Пуснах проверката и тъй като ще трае със сигурност над 1 час си лягам утре ще пиша пак.

Лека от мен

12 декември 200916 г.

Пуснах проверката и тъй като ще трае със сигурност над 1 час си лягам утре ще пиша пак.
Лека от мен

Лека и от мен.

Дръжте ни в течение.

12 декември 200916 г.

Днешната проверка - не откри никакви вируси

Malwarebytes' Anti-Malware 1.42

Database version: 3340

Windows 5.1.2600 Service Pack 2

Internet Explorer 6.0.2900.2180

12.12.2009 г. 12:39:38

mbam-log-2009-12-12 (12-39-38).txt

Scan type: Full Scan (C:\|D:\|E:\|F:\|G:\|)

Objects scanned: 179440

Time elapsed: 31 minute(s), 26 second(s)

Memory Processes Infected: 0

Memory Modules Infected: 0

Registry Keys Infected: 0

Registry Values Infected: 0

Registry Data Items Infected: 0

Folders Infected: 0

Files Infected: 0

Memory Processes Infected:

(No malicious items detected)

Memory Modules Infected:

(No malicious items detected)

Registry Keys Infected:

(No malicious items detected)

Registry Values Infected:

(No malicious items detected)

Registry Data Items Infected:

(No malicious items detected)

Folders Infected:

(No malicious items detected)

Files Infected:

(No malicious items detected)

12 декември 200916 г.

Здравейте!!!

Аз имам същия проблем с вирусите от скайпа!!! Преинсталирах компа и нищо, не мога да си инсталирам антивирусни програми, изключва ми автоматично сайта, когато влизам да изтеглям антивирусни програми. Пробвах с различни браузери но нищо. прочетах коментарите преди мен, но предполагам опциите, коита са дадени на Владимир са само за негов комп, но много си приличат с моите. Имах запометена антивирусна онлайн на езет НОД, в момента сканира и ми откри 21 вируса. Моля помогнете!!! Би трябвало да преинсталирам и secondari D, но там имам много информация, не ми се иска да се стига чак до там.

12 декември 200916 г.

Здравейте!!!
Аз имам същия проблем с вирусите от скайпа!!! Преинсталирах компа и нищо, не мога да си инсталирам антивирусни програми, изключва ми автоматично сайта, когато влизам да изтеглям антивирусни програми. Пробвах с различни браузери но нищо. прочетах коментарите преди мен, но предполагам опциите, коита са дадени на Владимир са само за негов комп, но много си приличат с моите. Имах запометена антивирусна онлайн на езет НОД, в момента сканира и ми откри 21 вируса. Моля помогнете!!! Би трябвало да преинсталирам и secondari D, но там имам много информация, не ми се иска да се стига чак до там.

Създаваш нова тема тук http://www.kaldata.com/forums/index.php?

За всеки проблем и случай се създава нова тема!

12 декември 200916 г.

Създаваш нова тема тук http://www.kaldata.c...rums/index.php?

За всеки проблем и случай се създава нова тема!

-----------------------------------------------

Да, но проблема ми е единтичен с тозе на Владимиров, за това и не съм създал нова тема!!

12 декември 200916 г.

Няма значение от това дали е идентичен! Още повече, ти няма да от къде да знаеш дали това е единствения проблем.

12 декември 200916 г.

Няма значение от това дали е идентичен! Още повече, ти няма да от къде да знаеш дали това е единствения проблем.
[/
Публикувах темата, където сметнах за добре, от днес съм на този сайт, нормално да не знам неговите изисквания

12 декември 200916 г.

Ами няма проблем, но затова е направена тази тема важна и отдолу съм сложил един надпис: "ПРОЧЕТЕТЕ ПРЕДИ ДА ПОПИТАТЕ!". И вътре съм описал всичко, стъпка по стъпка, не знам какъв е проблема:

http://www.kaldata.com/forums/index.php?showtopic=132819

12 декември 200916 г.

Ами няма проблем, но затова е направена тази тема важна и отдолу съм сложил един надпис: "ПРОЧЕТЕТЕ ПРЕДИ ДА ПОПИТАТЕ!". И вътре съм описал всичко, стъпка по стъпка, не знам какъв е проблема:
http://www.kaldata.com/forums/index.php?showtopic=132819

Благодаря че помагате!!! но като писах, изобщо не мога да си инсталирам кавато и да е антивирусна програма,изхвърля ми от сайта,дори и онлайн!

12 декември 200916 г.

karamba, направи следното:

Изтеглете ComboFix от някой от следните линкове:

Линк 1

Линк 2

* ВАЖНО !!! Запазете ComboFix.exe на вашия десктоп

Изключете вашата антивирусна и антишпионска програма, обикновено това става чрез натискане на десния бутон на мишката върху иконата на програма в системния трей.

Бележка: Ако не можете я спрете или не сте сигурни коя програма да изключите, моля прегледайте информацията от този линк: How to Disable your Security Programs

Преименувайте ComboFix.exe на Tool.exe

Стартирайте Tool.exe и следвайте инструкциите.

Бележка: ComboFix ще се стартира без инсталирана Recovery Console.

Като част от неговата работа, ComboFix ще провери дали Microsoft Windows Recovery Console е инсталирана. Предвид бързо развиващия се зловреден софтуер е силно препоръчително да бъде инсталирана преди премахването на зловредния софтуер. Това ще Ви позволи да влезете в специален recovery/repair режим, който ще ни позволи по-лесно да решите проблем, който би могъл да възникне при премахване на зловредния софтуер.

Следвайте инструкциите, за да позволите на ComboFix да изтегли и инсталира Microsoft Windows Recovery Console. В един момент ще бъдете попитани дали сте съгласни с лицензното споразумение. Необходимо е да потвърдите, че сте съгласни, за да инсталирате Microsoft Windows Recovery Console.

** Забележете: Ако Microsoft Windows Recovery Console е вече инсталирана, ComboFix ще продължи към процеса по премахване на зловредния софтуер.

След като Microsoft Windows Recovery Console е инсталирана, използвайки ComboFix, Вие ще видите следното съобщение:

Изберете Yes, за да продължи сканирането за зловреден софтуер.

Когато процесът приключи успешно, инструментът ще създаде лог файл. Моля, включете съдържанието на C:\ComboFix.txt в следващия Ви коментар в тази тема.

Бележка:

Моля, не движете мишката, докато ComboFix работи. Това може да наруши процеса на работа.
ComboFix ще нулира всички настройки на Microsoft Internet Explorer, включително да направи IE браузър по подразбиране.
ComboFix ще изключи autorun функцията на ВСИЧКИ CD, Floppy и USB устройства, за да помогне при премахването на зловредния софтуер и Ви защити от бъдещи вируси/заплахи, които поразяват чрез autorun. Ако това е проблем за вас - моля, уведомете ме.
ComboFix ще изключи вашата интернет връзка. Интернет връзката ще се възстанови автоматично, преди ComboFix да завърши процеса на работа. При проблем, той ще прекрати интернет връзката. За да възстановите интернет връзката си, рестартирайте компютъра си.
В случай на проблем с ComboFix, той може да създаде лог файл. Моля, включете съдържанието на C:\BUG.txt в следващия Ви коментар в тази тема.

Работата на ComboFix, може да отнеме до 20-30 минути, за да завърши, моля имайте търпение.

Моля, не прикачвайте лог файла/овете от програмата, а го/ги копирайте и поставете в следващия Ви коментар в тази тема.

12 декември 200916 г.

karamba, направи следното:

Изтеглете ComboFix от някой от следните линкове:

Линк 1

Линк 2

* ВАЖНО !!! Запазете ComboFix.exe на вашия десктоп

Изключете вашата антивирусна и антишпионска програма, обикновено това става чрез натискане на десния бутон на мишката върху иконата на програма в системния трей.

Бележка: Ако не можете я спрете или не сте сигурни коя програма да изключите, моля прегледайте информацията от този линк: How to Disable your Security Programs

Преименувайте ComboFix.exe на Tool.exe

Стартирайте Tool.exe и следвайте инструкциите.

Бележка: ComboFix ще се стартира без инсталирана Recovery Console.

Като част от неговата работа, ComboFix ще провери дали Microsoft Windows Recovery Console е инсталирана. Предвид бързо развиващия се зловреден софтуер е силно препоръчително да бъде инсталирана преди премахването на зловредния софтуер. Това ще Ви позволи да влезете в специален recovery/repair режим, който ще ни позволи по-лесно да решите проблем, който би могъл да възникне при премахване на зловредния софтуер.

Следвайте инструкциите, за да позволите на ComboFix да изтегли и инсталира Microsoft Windows Recovery Console. В един момент ще бъдете попитани дали сте съгласни с лицензното споразумение. Необходимо е да потвърдите, че сте съгласни, за да инсталирате Microsoft Windows Recovery Console.

** Забележете: Ако Microsoft Windows Recovery Console е вече инсталирана, ComboFix ще продължи към процеса по премахване на зловредния софтуер.

След като Microsoft Windows Recovery Console е инсталирана, използвайки ComboFix, Вие ще видите следното съобщение:

Изберете Yes, за да продължи сканирането за зловреден софтуер.

Когато процесът приключи успешно, инструментът ще създаде лог файл. Моля, включете съдържанието на C:\ComboFix.txt в следващия Ви коментар в тази тема.

Бележка:

Моля, не движете мишката, докато ComboFix работи. Това може да наруши процеса на работа.

ComboFix ще нулира всички настройки на Microsoft Internet Explorer, включително да направи IE браузър по подразбиране.

ComboFix ще изключи autorun функцията на ВСИЧКИ CD, Floppy и USB устройства, за да помогне при премахването на зловредния софтуер и Ви защити от бъдещи вируси/заплахи, които поразяват чрез autorun. Ако това е проблем за вас - моля, уведомете ме.

ComboFix ще изключи вашата интернет връзка. Интернет връзката ще се възстанови автоматично, преди ComboFix да завърши процеса на работа. При проблем, той ще прекрати интернет връзката. За да възстановите интернет връзката си, рестартирайте компютъра си.

В случай на проблем с ComboFix, той може да създаде лог файл. Моля, включете съдържанието на C:\BUG.txt в следващия Ви коментар в тази тема.

Работата на ComboFix, може да отнеме до 20-30 минути, за да завърши, моля имайте търпение.

Моля, не прикачвайте лог файла/овете от програмата, а го/ги копирайте и поставете в следващия Ви коментар в тази тема.

ComboFix 09-12-11.05 - andrey 12/12/2009 15:08:28.3.1 - x86

Microsoft Windows XP Professional 5.1.2600.3.1252.1.1033.18.1015.541 [GMT 2:00]

Running from: c:\documents and settings\andrey\Desktop\Tool.exe

.

((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))

.

C:\autorun.inf

c:\docume~1\andrey\LOCALS~1\Temp\oskxilivrff.exe

c:\documents and settings\andrey\Local Settings\temp\oskxilivrff.exe

C:\pyoasapypxkqk.bat

C:\taoyouhodju.bat

C:\tewkeofqjtiqmds.bat

D:\Autorun.inf

D:\pyoasapypxkqk.bat

D:\taoyouhodju.bat

D:\tewkeofqjtiqmds.bat

.

((((((((((((((((((((((((( Files Created from 2009-11-12 to 2009-12-12 )))))))))))))))))))))))))))))))

.

2009-12-12 11:32 . 2009-12-12 13:10 753664 --sh--r- c:\windows\skjefwummdzorplzhfmlwl.exe

2009-12-12 11:32 . 2009-12-12 13:10 753664 --sh--r- c:\windows\bsqkkaxondymolgtaxdbl.exe

2009-12-12 11:32 . 2009-12-12 13:10 753664 --sh--r- c:\windows\zokcaojyvjcoojcnsnr.exe

2009-12-12 11:32 . 2009-12-12 13:10 753664 --sh--r- c:\windows\mczsrgcsqfzmnjdpvrwt.exe

2009-12-12 11:32 . 2009-12-12 13:10 753664 --sh--r- c:\windows\ykdsnyqcwhxgdvlt.exe

2009-12-12 11:32 . 2009-12-12 13:10 753664 --sh--r- c:\windows\ocxolysgcphsrldnrl.exe

2009-12-12 11:32 . 2009-12-12 13:10 753664 --sh--r- c:\windows\fsmcykdqlxoywpgps.exe

2009-12-12 11:07 . 2009-12-12 11:07 -------- d-----w- C:\_OTL

2009-12-12 08:13 . 2009-12-12 08:13 -------- d-----w- c:\documents and settings\andrey\Local Settings\Application Data\Google

2009-12-11 22:31 . 2009-12-11 22:31 13664 ----a-w- c:\documents and settings\andrey\Local Settings\Application Data\GDIPFONTCACHEV1.DAT

2009-12-11 20:55 . 2009-12-11 20:55 -------- d-----w- c:\documents and settings\andrey\Local Settings\Application Data\CometNetwork

2009-12-11 20:55 . 2009-12-11 20:55 -------- d-----w- c:\documents and settings\andrey\Application Data\CometNetwork

2009-12-11 20:55 . 2009-12-12 12:58 -------- d-----w- c:\program files\CometBird

2009-12-11 20:40 . 2005-09-20 02:31 135168 ----a-w- c:\windows\system32\igfxres.dll

2009-12-11 20:25 . 2009-12-11 20:25 56 ---ha-w- c:\windows\system32\ezsidmv.dat

2009-12-11 20:25 . 2009-12-12 08:09 -------- d-----w- c:\documents and settings\andrey\Application Data\skypePM

2009-12-11 20:24 . 2009-12-11 20:24 -------- d-----w- c:\documents and settings\andrey\Local Settings\Application Data\Adobe

2009-12-11 20:23 . 2009-12-11 20:23 -------- d-----w- c:\program files\uTorrent

2009-12-11 20:23 . 2009-12-12 13:10 -------- d-----w- c:\documents and settings\andrey\Application Data\uTorrent

2009-12-11 20:23 . 2009-12-11 20:23 -------- d-----w- c:\program files\Common Files\Adobe

2009-12-11 20:18 . 2009-12-11 20:18 -------- d-s---w- c:\documents and settings\andrey\UserData

2009-12-11 20:04 . 2009-12-11 20:04 -------- d-----w- c:\program files\Essentials Codec Pack

2009-12-11 20:03 . 2009-12-11 20:03 -------- d-----w- c:\documents and settings\andrey\Application Data\Media Player Classic

2009-12-11 06:50 . 2009-12-12 13:13 -------- d-----w- c:\documents and settings\andrey\Application Data\Skype

2009-12-11 06:50 . 2009-12-11 06:50 -------- d-----w- c:\program files\Common Files\Skype

2009-12-11 06:50 . 2009-12-11 06:50 -------- d-----r- c:\program files\Skype

2009-12-11 06:49 . 2009-12-11 06:50 -------- d-----w- c:\documents and settings\All Users\Application Data\Skype

.

(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-12-12 13:09 . 2009-12-10 22:33 753664 --sh--r- c:\windows\system32\skjefwummdzorplzhfmlwl.exe

2009-12-12 13:09 . 2009-12-10 22:33 753664 --sh--r- c:\windows\system32\bsqkkaxondymolgtaxdbl.exe

2009-12-12 13:09 . 2009-12-10 22:33 753664 --sh--r- c:\windows\system32\zokcaojyvjcoojcnsnr.exe

2009-12-12 13:09 . 2009-12-10 22:33 753664 --sh--r- c:\windows\system32\mczsrgcsqfzmnjdpvrwt.exe

2009-12-12 13:09 . 2009-12-10 22:33 753664 --sh--r- c:\windows\system32\ykdsnyqcwhxgdvlt.exe

2009-12-12 13:09 . 2009-12-10 22:33 753664 --sh--r- c:\windows\system32\ocxolysgcphsrldnrl.exe

2009-12-12 13:09 . 2009-12-10 22:33 753664 --sh--r- c:\windows\system32\fsmcykdqlxoywpgps.exe

2009-12-12 13:08 . 2009-12-10 22:37 2390 ---h--w- c:\program files\qynypwksipbgznzdbpmbchpvvembmdkygw.pun

2009-12-12 13:08 . 2009-12-10 22:33 272 ---h--w- c:\program files\gejkrosqwtvqzdfznrejavtp.ech

2009-12-11 20:13 . 2009-12-11 20:12 -------- d-----w- c:\documents and settings\andrey\Application Data\Winamp

2009-12-11 20:13 . 2009-12-11 20:12 -------- d-----w- c:\program files\Winamp

2009-12-10 22:38 . 2009-12-10 22:38 -------- d-----w- c:\program files\ESET

2009-12-10 22:35 . 2009-12-10 22:35 -------- d-----w- c:\program files\C-Media

2009-12-10 22:33 . 2009-12-10 22:33 4008 ---h--w- c:\program files\pyoasapypxkqkzmrqfdtvbkrsclbnfnclck.dxm

2009-12-10 22:20 . 2009-12-10 22:20 -------- d-----w- c:\program files\microsoft frontpage

2009-12-10 22:18 . 2009-12-10 22:18 86327 ----a-w- c:\windows\pchealth\helpctr\OfflineCache\index.dat

2009-12-10 22:15 . 2009-12-10 22:15 21640 ----a-w- c:\windows\system32\emptyregdb.dat

2009-11-08 09:44 . 2001-08-17 20:37 77891 ----a-w- c:\windows\system32\usrmlnka.exe

2009-11-08 09:37 . 2009-11-08 09:37 938496 ----a-w- c:\windows\system32\wmnetmgr.dll

2009-11-08 09:37 . 2009-11-08 09:37 100864 ----a-w- c:\windows\system32\logagent.exe

2009-11-08 09:37 . 2009-11-08 09:37 204800 ----a-w- c:\windows\system32\mswebdvd.dll

2009-11-08 09:37 . 2009-11-08 09:37 58880 ----a-w- c:\windows\system32\atl.dll

2009-11-08 09:37 . 2009-11-08 09:37 668160 ------w- c:\windows\system32\wininet.dll

2009-11-08 09:37 . 2009-11-08 09:37 81920 ----a-w- c:\windows\system32\ieencode.dll

2009-11-08 09:37 . 2009-11-08 09:37 134144 ----a-w- c:\windows\system32\wkssvc.dll

2009-11-08 09:37 . 2009-11-08 09:37 1291264 ----a-w- c:\windows\system32\quartz.dll

2009-11-08 09:37 . 2009-11-08 09:37 84992 ----a-w- c:\windows\system32\avifil32.dll

2009-11-08 09:37 . 2009-11-08 09:37 585216 ----a-w- c:\windows\system32\rpcrt4.dll

2009-11-08 09:36 . 2009-11-08 09:36 1847808 ----a-w- c:\windows\system32\win32k.sys

2009-11-08 09:36 . 2009-11-08 09:36 56832 ----a-w- c:\windows\system32\secur32.dll

2009-11-08 09:36 . 2009-11-08 09:36 54272 ----a-w- c:\windows\system32\wdigest.dll

2009-11-08 09:36 . 2009-11-08 09:36 147456 ----a-w- c:\windows\system32\schannel.dll

2009-11-08 09:36 . 2009-11-08 09:36 730112 ----a-w- c:\windows\system32\lsasrv.dll

2009-11-08 09:36 . 2009-11-08 09:36 136704 ----a-w- c:\windows\system32\msv1_0.dll

2009-11-08 09:36 . 2009-11-08 09:36 301568 ----a-w- c:\windows\system32\kerberos.dll

2009-11-08 09:36 . 2009-11-08 09:36 346112 ----a-w- c:\windows\system32\localspl.dll

2009-11-08 09:36 . 2009-11-08 09:36 81920 ----a-w- c:\windows\system32\fontsub.dll

2009-11-08 09:36 . 2009-11-08 09:36 119808 ----a-w- c:\windows\system32\t2embed.dll

2009-11-08 09:35 . 2009-11-08 09:35 80896 ----a-w- c:\windows\system32\tlntsess.exe

2009-11-08 09:35 . 2009-11-08 09:35 354304 ----a-w- c:\windows\system32\winhttp.dll

2009-11-08 09:35 . 2009-11-08 09:35 333952 ----a-w- c:\windows\system32\drivers\srv.sys

2009-11-08 09:35 . 2009-11-08 09:35 455936 ----a-w- c:\windows\system32\drivers\mrxsmb.sys

2009-11-08 09:35 . 2009-11-08 09:35 138496 ----a-w- c:\windows\system32\drivers\afd.sys

2009-11-08 09:35 . 2009-11-08 09:35 286720 ----a-w- c:\windows\system32\gdi32.dll

2009-11-08 09:35 . 2009-12-10 22:13 2067968 ----a-w- c:\windows\system32\mstscax.dll

2009-11-08 09:33 . 2009-11-08 09:33 74240 ----a-w- c:\windows\system32\mscms.dll

2009-11-08 09:32 . 2009-12-10 22:15 691712 ----a-w- c:\windows\system32\inetcomm.dll

2009-11-08 09:32 . 2009-11-08 09:32 253952 ------w- c:\windows\system32\es.dll

2009-11-08 09:32 . 2009-11-08 09:32 203136 ----a-w- c:\windows\system32\drivers\RMCast.sys

2009-11-08 09:32 . 2009-11-08 09:32 2560 ----a-w- c:\windows\system32\xpsp4res.dll

.

((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))

.

*Note* empty entries & legit default entries are not shown

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Skype"="c:\program files\Skype\Phone\Skype.exe" [2009-10-09 25623336]

"uTorrent"="c:\program files\uTorrent\uTorrent.exe" [2009-12-11 289584]

"taoyouhodju"="ocxolysgcphsrldnrl.exe" [2009-12-12 753664]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]

"qynypwksipbg"="ykdsnyqcwhxgdvlt.exe ." [X]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"C-Media Mixer"="Mixer.exe" [2002-07-13 1581056]

"Media Codec Update Service"="c:\program files\Essentials Codec Pack\update.exe" [2007-04-08 303104]

"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 35696]

"igfxtray"="c:\windows\system32\igfxtray.exe" [2005-09-20 94208]

"igfxhkcmd"="c:\windows\system32\hkcmd.exe" [2005-09-20 77824]

"igfxpers"="c:\windows\system32\igfxpers.exe" [2005-09-20 114688]

"osdkxako"="bsqkkaxondymolgtaxdbl.exe" [2009-12-12 753664]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]

"fkweswhmz"="ocxolysgcphsrldnrl.exe ." [X]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\Currentversion\policies\explorer\Run]

"yerapugmaf"="ocxolysgcphsrldnrl.exe" [2009-12-12 753664]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"ConsentPromptBehaviorAdmin"= 0 (0x0)

"ConsentPromptBehaviorUser"= 0 (0x0)

"EnableInstallerDetection"= 0 (0x0)

"EnableSecureUIAPaths"= 0 (0x0)

"EnableVirtualization"= 0 (0x0)

"PromptOnSecureDesktop"= 0 (0x0)

SafeBoot registry key needs repairs. This machine cannot enter Safe Mode.

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\File system]

@="Driver Group"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\vgasave.sys]

@="Driver"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}]

@="DiskDrive"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E96A-E325-11CE-BFC1-08002BE10318}]

@="Hdc"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E96B-E325-11CE-BFC1-08002BE10318}]

@="Keyboard"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E96F-E325-11CE-BFC1-08002BE10318}]

@="Mouse"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E97D-E325-11CE-BFC1-08002BE10318}]

@="System"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{71A27CDD-812A-11D0-BEC7-08002BE2092F}]

@="Volume"

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"%windir%\\system32\\sessmgr.exe"=

"c:\\Program Files\\Skype\\Phone\\Skype.exe"=

"c:\\Program Files\\uTorrent\\uTorrent.exe"=

S3 GPU-Z;GPU-Z;\??\c:\docume~1\andrey\LOCALS~1\Temp\GPU-Z.sys --> c:\docume~1\andrey\LOCALS~1\Temp\GPU-Z.sys [?]

--- Other Services/Drivers In Memory ---

*NewlyCreated* - FFXDRAOW

*Deregistered* - ffxdraow

.

------- Supplementary Scan -------

.

uStart Page = hxxp://www.google.bg/

TCP: {63993F23-DD1C-4434-A988-295B45AB07FC} = 212.50.10.50 212.50.10.50

.

- - - - ORPHANS REMOVED - - - -

HKCU-RunOnce-fkweswhmz - c:\docume~1\andrey\LOCALS~1\Temp\bsqkkaxondymolgtaxdbl.exe

HKLM-RunOnce-pyoasapypxkqk - c:\docume~1\andrey\LOCALS~1\Temp\fsmcykdqlxoywpgps.exe

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-12-12 15:13

Windows 5.1.2600 Service Pack 3 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully

hidden files: 0

**************************************************************************

.

Completion time: 2009-12-12 15:15:29

ComboFix-quarantined-files.txt 2009-12-12 13:15

Pre-Run: 17,397,825,536 bytes free

Post-Run: 17,370,222,592 bytes free

- - End Of File - - 170D79B6512C2E0DF16F6B0BC0A404B2

12 декември 200916 г.

Отворете Notepad и чрез комбинацията copy/paste поставете следния текст:

http://www.kaldata.com/forums/index.php?showtopic=141557&st=135


Killall::


Collect::

c:\windows\skjefwummdzorplzhfmlwl.exe

c:\windows\bsqkkaxondymolgtaxdbl.exe

c:\windows\zokcaojyvjcoojcnsnr.exe

c:\windows\mczsrgcsqfzmnjdpvrwt.exe

c:\windows\ykdsnyqcwhxgdvlt.exe

c:\windows\ocxolysgcphsrldnrl.exe

c:\windows\fsmcykdqlxoywpgps.exe

c:\windows\system32\skjefwummdzorplzhfmlwl.exe

c:\windows\system32\bsqkkaxondymolgtaxdbl.exe

c:\windows\system32\zokcaojyvjcoojcnsnr.exe

c:\windows\system32\mczsrgcsqfzmnjdpvrwt.exe

c:\windows\system32\ykdsnyqcwhxgdvlt.exe

c:\windows\system32\ocxolysgcphsrldnrl.exe

c:\windows\system32\fsmcykdqlxoywpgps.exe

c:\program files\qynypwksipbgznzdbpmbchpvvembmdkygw.pun

c:\program files\gejkrosqwtvqzdfznrejavtp.ech

c:\program files\pyoasapypxkqkzmrqfdtvbkrsclbnfnclck.dxm


Registry::

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"taoyouhodju"=-

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]

"qynypwksipbg"=-

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"osdkxako"=-

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]

"fkweswhmz"=-

[HKEY_LOCAL_MACHINE\software\microsoft\windows\Currentversion\policies\explorer\Run]

"yerapugmaf"=-

Запазете файла с името CFScript.txt и го поставете върху ComboFix.

След като, програмата приключи ще Ви изведе лог файла. Отново чрез комбинацията от Copy/Paste поставете информацията тук.

12 декември 200916 г.

ComboFix 09-12-11.05 - andrey 12/12/2009 15:29:38.4.1 - x86

Microsoft Windows XP Professional 5.1.2600.3.1252.1.1033.18.1015.541 [GMT 2:00]

Running from: c:\documents and settings\andrey\Desktop\Tool.exe

Command switches used :: c:\documents and settings\andrey\Desktop\CFScript.txt.txt

file zipped: c:\program files\gejkrosqwtvqzdfznrejavtp.ech

file zipped: c:\program files\pyoasapypxkqkzmrqfdtvbkrsclbnfnclck.dxm

file zipped: c:\program files\qynypwksipbgznzdbpmbchpvvembmdkygw.pun

file zipped: c:\windows\bsqkkaxondymolgtaxdbl.exe

file zipped: c:\windows\fsmcykdqlxoywpgps.exe

file zipped: c:\windows\mczsrgcsqfzmnjdpvrwt.exe

file zipped: c:\windows\ocxolysgcphsrldnrl.exe

file zipped: c:\windows\skjefwummdzorplzhfmlwl.exe

file zipped: c:\windows\system32\bsqkkaxondymolgtaxdbl.exe

file zipped: c:\windows\system32\fsmcykdqlxoywpgps.exe

file zipped: c:\windows\system32\mczsrgcsqfzmnjdpvrwt.exe

file zipped: c:\windows\system32\ocxolysgcphsrldnrl.exe

file zipped: c:\windows\system32\skjefwummdzorplzhfmlwl.exe

file zipped: c:\windows\system32\ykdsnyqcwhxgdvlt.exe

file zipped: c:\windows\system32\zokcaojyvjcoojcnsnr.exe

file zipped: c:\windows\ykdsnyqcwhxgdvlt.exe

file zipped: c:\windows\zokcaojyvjcoojcnsnr.exe

.

((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))

.

C:\autorun.inf

c:\program files\gejkrosqwtvqzdfznrejavtp.ech

c:\program files\pyoasapypxkqkzmrqfdtvbkrsclbnfnclck.dxm

c:\program files\qynypwksipbgznzdbpmbchpvvembmdkygw.pun

C:\pyoasapypxkqk.bat

C:\taoyouhodju.bat

C:\tewkeofqjtiqmds.bat

c:\windows\bsqkkaxondymolgtaxdbl.exe

c:\windows\fsmcykdqlxoywpgps.exe

c:\windows\mczsrgcsqfzmnjdpvrwt.exe

c:\windows\ocxolysgcphsrldnrl.exe

c:\windows\skjefwummdzorplzhfmlwl.exe

c:\windows\system32\bsqkkaxondymolgtaxdbl.exe

c:\windows\system32\fsmcykdqlxoywpgps.exe

c:\windows\system32\mczsrgcsqfzmnjdpvrwt.exe

c:\windows\system32\ocxolysgcphsrldnrl.exe

c:\windows\system32\skjefwummdzorplzhfmlwl.exe

c:\windows\system32\ykdsnyqcwhxgdvlt.exe

c:\windows\system32\zokcaojyvjcoojcnsnr.exe

c:\windows\ykdsnyqcwhxgdvlt.exe

c:\windows\zokcaojyvjcoojcnsnr.exe

D:\autorun.inf