Компютърът ми е инфектиран

7 март 201115 г.

Автор

Давай нататък със Service Pack 3.

При опит да сваля Servise Pack 3 от линка, който сте дал, малко след започването спира да се сваля. Опитах с Мозила и с Опера, но и с двата браузъра се прекратява. Като разгледам свалянията от Опера, за грешка на свалянето ми изписва "Неуспех при пускане на приложение"

Редактирано 7 март 201115 г. от TpuHuTu (преглед на промените)

7 март 201115 г.

Това е нормално, след като има толкова счупени регистри. Пробвай "Как се използва "Възстановяване на системата" за възстановяване на Windows XP до предишно състояние", справка: тук. Направихме точка за възстановяване преди време.

1

7 март 201115 г.

Автор

System Tools->System Restore! Ето тук ми се появява ето тази грешка:

Публикувано изображение

Рестартирах, но се появи същото.

Не знам дали това има връзка с действието, което ме карате да извърша, но трябва да вметна, че докато се пуска РС-то имам избор от Windows Xp и Windows Recovery Console, или нещо от сорта. За секунда имам избор да цъкна нещо или РС-то просто си продължава и се включва.

7 март 201115 г.

Да, разбирам. Сега ще опитаме, след като махнахме MBR проблема да оправим системата. Ето как:

Сега отворете notepad.exe и с copy/paste въведете следната информация:

DDS::

uInternet Settings,ProxyServer = http=127.0.0.1:63636

Запазете файла с име CFScript (преди това изтрийте предишния CFScript) и го провлачете и пуснете в Combofix, както е показано на снимката:

Публикувано изображение

Забележка: По време на сканиране от страна на ComboFix не стартирайте никакви други приложения, не натискайте клавиши от клавиатурата и не местете мишката !

Публикувайте лог файла, който ще се създаде след рестарта на компютъра в следващия си коментар.

1

7 март 201115 г.

Автор

След извършеното действие, нямаше рестарт, затова рестартирах ръчно. Отново прикачвам лог-а, тъй като коментара ми става прекалено голям!

l2og.txt

1

7 март 201115 г.

Сега виж пак Internet Explorer (IE). Понеже шибаното прокси (ProxyServer = http=127.0.0.1:63636) го няма и не го виждам в лога на ComboFix. Опитай се да изтеглиш файл през IE.

1

7 март 201115 г.

Автор

Сега виж пак Internet Explorer (IE). Понеже шибаното прокси (ProxyServer = http=127.0.0.1:63636) го няма и не го виждам в лога на ComboFix. Опитай се да изтеглиш файл през IE.

Аз изобщо не мога да се свържа през него, камо ли да тегля. Просто си знае, че "Internet Explorer cannot display the webpage" и това е.

Skype и той - "Cannot load the DLL (POWRPROF.dll)!"

Други програми дали са се прецакали, не знам, или поне не съм видял все още. Firewall изчезна и той някъде - не се пуска с РС-то.

Редактирано 7 март 201115 г. от TpuHuTu (преглед на промените)

1

7 март 201115 г.

Ще опитаме да отключим регистрите, това остана. Дано да имаме успех, но ще ми трябва малко време. Благодаря ти за коректните логове и за добрата работа.

2

7 март 201115 г.

Автор

Ще опитаме да отключим регистрите, това остана. Дано да имаме успех, но ще ми трябва малко време. Благодаря ти за коректните логове и за добрата работа.

Ще изчакам, няма проблем.

8 март 201115 г.

Съжалявам, но днес през деня имах много работа и пиша чак сега. Ето какво следва, да оправим регистрите:

Сега отворете notepad.exe и с copy/paste въведете следната информация:

Reglock::
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\App Management]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\App Paths]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Applets]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Control Panel]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Controls Folder]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\CSCSettings]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\DateTime]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Dynamic Directory]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Explorer]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Ext]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Extensions]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\GameUX]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\H323TSP]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Internet Settings]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\IPConfTSP]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Media Center]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\MS-DOS Emulation]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\MSSHA]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Nls]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\OptimalLayout]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\PhotoPropertyHandler]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\policies\NonEnum]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\PropertySystem]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Reinstall]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Setup]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\SharedDlls]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Shell Extensions]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\ShellCompatibility]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\ShellScrap]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\SideBySide]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\SMDEn]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\StillImage]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Syncmgr]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\ThemeManager]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Themes]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Uninstall]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\URL]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\WebCheck]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\WindowsUpdate]
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Winevt]

Запазете файла с име CFScript (преди това изтрийте предишния CFScript) и го провлачете и пуснете в Combofix, както е показано на снимката:

Публикувано изображение

Забележка: По време на сканиране от страна на ComboFix не стартирайте никакви други приложения, не натискайте клавиши от клавиатурата и не местете мишката !

Публикувайте лог файла, който ще се създаде след рестарта на компютъра в следващия си коментар.

3

8 март 201115 г.

Автор

Хмм май този път нацелихме. Skype и Firewall се включиха, но проклетият IE все още не иска да се свърже. Ето го и лога от ComboFix :

ComboFix 11-03-08.02 - Puhi 03.2011 г.  23:57:41.6.2 - x86
Microsoft Windows XP Professional  5.1.2600.3.1251.359.1033.18.1023.366 [GMT 2:00]
Running from: c:\documents and settings\Puhi\Desktop\ComboFix.exe
Command switches used :: c:\documents and settings\Puhi\Desktop\CFScript.txt
.
WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.
.
(((((((((((((((((((((((((   Files Created from 2011-02-08 to 2011-03-08  )))))))))))))))))))))))))))))))
.
.
2011-03-07 19:03 . 2011-03-07 19:06	--------	d-----w-	c:\program files\Ahead
2011-03-07 19:03 . 2011-03-07 19:03	--------	d-----w-	c:\program files\Common Files\Ahead
2011-03-04 15:15 . 2010-12-20 16:09	38224	----a-w-	c:\windows\system32\drivers\mbamswissarmy.sys
2011-03-04 15:14 . 2010-12-20 16:08	20952	----a-w-	c:\windows\system32\drivers\mbam.sys
2011-03-04 15:14 . 2011-03-04 15:15	--------	d-----w-	c:\program files\Malwarebytes' Anti-Malware
2011-03-03 08:07 . 2011-03-03 08:07	--------	d-----w-	c:\program files\Common Files\Java
2011-03-03 08:07 . 2011-02-02 19:40	472808	----a-w-	c:\program files\Mozilla Firefox\plugins\npdeployJava1.dll
2011-03-03 08:07 . 2011-02-02 19:40	472808	----a-w-	c:\windows\system32\deployJava1.dll
2011-03-03 08:06 . 2011-03-03 08:06	--------	d-----w-	c:\docume~1\ALLUSE~1\APPLIC~1\McAfee
2011-02-26 19:27 . 2011-02-26 19:27	--------	d-----w-	c:\program files\VideoLAN
2011-02-23 21:59 . 2011-03-08 19:03	--------	d-----w-	c:\documents and settings\Puhi\Application Data\goalbit
2011-02-23 21:58 . 2011-02-23 21:58	--------	d-----w-	c:\program files\InhatchTeam
.
.
((((((((((((((((((((((((((((((((((((((((   Find3M Report   ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-02-02 17:19 . 2009-05-27 09:53	73728	----a-w-	c:\windows\system32\javacpl.cpl
.
.
------- Sigcheck -------
.
[-] 2009-04-18 . 25A740D70E8007814A48D3FA1B34FA34 . 361600 . . [5.1.2600.5649] . . c:\windows\system32\drivers\tcpip.sys
.
[-] 2009-04-18 . C951DB3D9B6EF3CF4B82454D30A8BF59 . 1614848 . . [5.1.2600.5512] . . c:\windows\system32\sfcfiles.dll
.
(((((((((((((((((((((((((((((   SnapShot@2011-03-07_20.59.52   )))))))))))))))))))))))))))))))))))))))))
.
+ 2011-03-08 17:59 . 2011-03-08 17:59	16384              c:\windows\Temp\Perflib_Perfdata_5a4.dat
.
(((((((((((((((((((((((((((((((((((((   Reg Loading Points   ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown 
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RTHDCPL"="RTHDCPL.EXE" [2007-05-10 16342528]
"StartCCC"="c:\program files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2009-02-25 61440]
"WinampAgent"="c:\program files\Winamp\winampa.exe" [2009-04-10 37888]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2011-01-31 35760]
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2010-09-20 932288]
"SunJavaUpdateSched"="c:\program files\Common Files\Java\Java Update\jusched.exe" [2010-10-29 249064]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]
.
c:\docume~1\ALLUSE~1\STARTM~1\Programs\Startup\
FlexType 2K.lnk - c:\windows\Datecs\Flex2K.exe [2009-7-12 151552]
.
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]
"WRP"= 0 (0x0)
.
[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
"{56F9679E-7826-4C84-81F3-532071A8BCC5}"= "c:\program files\Windows Desktop Search\MSNLNamespaceMgr.dll" [2008-05-27 304128]
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]
@="Driver"
.
[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Start Menu^Programs^Startup^BlueSoleil.lnk]
path=c:\documents and settings\All Users\Start Menu\Programs\Startup\BlueSoleil.lnk
backup=c:\windows\pss\BlueSoleil.lnkCommon Startup
.
[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Start Menu^Programs^Startup^Windows Search.lnk]
path=c:\documents and settings\All Users\Start Menu\Programs\Startup\Windows Search.lnk
backup=c:\windows\pss\Windows Search.lnkCommon Startup
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe ARM]
2010-09-20 21:07	932288	----a-r-	c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
2011-01-31 08:44	35760	----a-w-	c:\program files\Adobe\Reader 9.0\Reader\reader_sl.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\amd_dc_opt]
2008-07-22 11:53	77824	----a-w-	c:\program files\AMD\Dual-Core Optimizer\amd_dc_opt.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DAEMON Tools-1033]
2004-08-22 14:05	81920	----a-w-	c:\program files\D-Tools\daemon.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
2008-04-14 02:42	1695232	------w-	c:\program files\Messenger\msmsgs.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]
2010-10-29 12:49	249064	----a-w-	c:\program files\Common Files\Java\Java Update\jusched.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\uTorrent\\uTorrent.exe"=
"c:\\Program Files\\Skype\\Plugin Manager\\skypePM.exe"=
"c:\\Program Files\\IVT Corporation\\BlueSoleil\\BlueSoleil.exe"=
"d:\\Games\\Heroes III all versions full\\Heroes 3\\h3wog.exe"=
"c:\\WINDOWS\\system32\\dplaysvr.exe"=
"c:\\Program Files\\Java\\jre6\\bin\\java.exe"=
"c:\\Program Files\\Mozilla Firefox\\firefox.exe"=
"c:\\Program Files\\Opera\\opera.exe"=
"c:\\Program Files\\Dream Match Tennis Pro Online\\FA.exe"=
"d:\\INSTALL\\malki\\GAMES\\volley\\volley.exe"=
"c:\\Program Files\\Java\\jre6\\bin\\javaw.exe"=
"c:\\Program Files\\SopCast\\adv\\SopAdver.exe"=
"c:\\Program Files\\SopCast\\SopCast.exe"=
"c:\\Program Files\\TeamViewer\\Version6\\TeamViewer.exe"=
"c:\\Program Files\\TeamViewer\\Version6\\TeamViewer_Service.exe"=
"c:\\Program Files\\Skype\\Phone\\Skype.exe"=
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"2706:TCP"= 2706:TCP:Inhatch P2P Streaming
"2707:TCP"= 2707:TCP:Inhatch P2P Streaming
"2708:TCP"= 2708:TCP:Inhatch P2P Streaming
"2709:TCP"= 2709:TCP:Inhatch P2P Streaming
.
R3 DynCal;Dynamic Calibration Service;c:\windows\system32\drivers\DynCal.sys [12.9.2004 і. 09:45 8320]
S2 gupdate;Ус»уі° Google Update (gupdate);"c:\program files\Google\Update\GoogleUpdate.exe" /svc --> c:\program files\Google\Update\GoogleUpdate.exe [?]
S3 ggflt;SEMC USB Flash Driver Filter;c:\windows\system32\drivers\ggflt.sys [06.4.2009 і. 08:13 13224]
S3 SE1008mdm;Sony Ericsson SE1008 Mobile Device Full USB Driver;c:\windows\system32\drivers\SE1008mdm.sys [02.11.2010 і. 23:19 58536]
S4 d347bus;d347bus;c:\windows\system32\drivers\d347bus.sys [01.6.2009 і. 22:36 155136]
S4 d347prt;d347prt;c:\windows\system32\drivers\d347prt.sys [01.6.2009 і. 22:36 5248]
.
.
------- Supplementary Scan -------
.
uInternet Connection Wizard,ShellNext = iexplore
TCP: {0CF875B8-F761-4EBB-A9E0-A02372AB26A6} = 213.231.128.30 213.231.128.190
FF - ProfilePath - c:\documents and settings\Puhi\Application Data\Mozilla\Firefox\Profiles\6fajuafp.default\
FF - prefs.js: browser.search.selectedEngine - ZiggyTV
FF - prefs.js: browser.startup.homepage - hxxp://www.google.bg/
FF - prefs.js: network.proxy.type - 4
FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\program files\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}
FF - Ext: Java Console: {CAFEEFAC-0016-0000-0018-ABCDEFFEDCBA} - c:\program files\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0018-ABCDEFFEDCBA}
FF - Ext: Java Console: {CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA} - c:\program files\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA}
FF - Ext: Java Quick Starter: [email protected] - c:\program files\Java\jre6\lib\deploy\jqs\ff
FF - Ext: Winamp Toolbar: {0b38152b-1b20-484d-a11f-5e04a9b0661f} - %profile%\extensions\{0b38152b-1b20-484d-a11f-5e04a9b0661f}
FF - Ext: vShare: vshare@toolbar - %profile%\extensions\vshare@toolbar
FF - Ext: TVU Web Player: [email protected] - %profile%\extensions\[email protected]
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2011-03-09 00:00
Windows 5.1.2600 Service Pack 3 NTFS
.
scanning hidden processes ...  
.
scanning hidden autostart entries ... 
.
scanning hidden files ...  
.
scan completed successfully
hidden files: 0
.
**************************************************************************
.
--------------------- LOCKED REGISTRY KEYS ---------------------
.
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Uninstall\NVIDIA Drivers\SubComponents]
@DACL=(02 0000)
"nvsmb.nvu"="NVIDIA nForce PCI System Management Driver"
.
--------------------- DLLs Loaded Under Running Processes ---------------------
.
- - - - - - - > 'winlogon.exe'(496)
c:\windows\system32\Ati2evxx.dll
.
- - - - - - - > 'explorer.exe'(3920)
c:\windows\system32\WININET.dll
c:\windows\system32\ieframe.dll
c:\program files\Creative\Creative Zen Micro\Zen Micro Media Explorer\CTJBNS2.dll
c:\program files\Creative\Creative Zen Micro\Zen Micro Media Explorer\CTIntrfc.dll
c:\program files\Creative\Creative Zen Micro\Zen Micro Media Explorer\CTConfig.DLL
c:\program files\Creative\Creative Zen Micro\Zen Micro Media Explorer\JBNSRES.DLL
c:\windows\system32\msi.dll
c:\windows\system32\webcheck.dll
c:\windows\system32\WPDShServiceObj.dll
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
.
Completion time: 2011-03-09  00:02:36
ComboFix-quarantined-files.txt  2011-03-08 22:02
ComboFix2.txt  2011-03-07 22:24
ComboFix3.txt  2011-03-07 21:00
.
Pre-Run: 56 050 540 544 bytes free
Post-Run: 56 037 359 616 bytes free
.
- - End Of File - - C3698AAAECE7673A15FB54511E32CF9E

1

8 март 201115 г.

Брей, голяма борба падна. Сега ще може ли да пробваш пак ето това. Най-много ме интересува дали ще тръгне инсталацията на SP3. Пак има малко проблеми, но май ще ги оправим.

1

8 март 201115 г.

Автор

Пак същото... Докато се тегли изведнъж спира, само че този път стига до 20%, всеки път. Преди стигаше до 7%. А ComboFix се деинсталира успешно.

Редактирано 8 март 201115 г. от TpuHuTu (преглед на промените)

8 март 201115 г.

Хм, пробвай някой download manager или изтегли на друг компютър SP3 и го прехвърли на твоя през CD или флашка. Но преди това виж дали ще може да инсталираш download manager, например Orbit Downloader и да изтеглиш SP3.

2

8 март 201115 г.

Автор

EDIT! Премина 20-тте процента и продължава да се тегли. Да видим. Оф писна ми.... сега пък стига до 50% и спира. Аман.

Редактирано 8 март 201115 г. от TpuHuTu (преглед на промените)

8 март 201115 г.

Тогава да побързаме. В такъв случай ще трябва да изтеглиш наново ComboFix и да го пуснеш ето така:

Сега отворете notepad.exe и с copy/paste въведете следната информация:

DDS::
TCP: {0CF875B8-F761-4EBB-A9E0-A02372AB26A6} = 213.231.128.30 213.231.128.190
Firefox::
FF - ProfilePath - c:\documents and settings\Puhi\Application Data\Mozilla\Firefox\Profiles\6fajuafp.default\
FF - prefs.js: network.proxy.type - 4
Reglock::
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Uninstall\NVIDIA Drivers\SubComponents]

Запазете файла с име CFScript (преди това изтрийте предишния CFScript) и го провлачете и пуснете в Combofix, както е показано на снимката:

Публикувано изображение

Забележка: По време на сканиране от страна на ComboFix не стартирайте никакви други приложения, не натискайте клавиши от клавиатурата и не местете мишката !

Публикувайте лог файла, който ще се създаде след рестарта на компютъра в следващия си коментар.

P.S. След това пиши, за да видим какво е положението. Май сме към финала. Ако можеш, изтегли SP3. Ето все пак директен линк: тук. Ще ни трябва малко по-късно...

Редактирано 8 март 201115 г. от nologo (преглед на промените)

8 март 201115 г.

Автор

ComboFix 11-03-08.02 - Puhi 03.2011 г.   1:05.7.2 - x86
Microsoft Windows XP Professional  5.1.2600.3.1251.359.1033.18.1023.194 [GMT 2:00]
Running from: c:\documents and settings\Puhi\Desktop\ComboFix.exe
Command switches used :: c:\documents and settings\Puhi\Desktop\CFScript.txt
.
.
(((((((((((((((((((((((((   Files Created from 2011-02-08 to 2011-03-08  )))))))))))))))))))))))))))))))
.
.
2011-03-04 15:15 . 2010-12-20 16:09	38224	----a-w-	c:\windows\system32\drivers\mbamswissarmy.sys
2011-03-04 15:14 . 2010-12-20 16:08	20952	----a-w-	c:\windows\system32\drivers\mbam.sys
2011-03-04 15:14 . 2011-03-04 15:15	--------	d-----w-	c:\program files\Malwarebytes' Anti-Malware
2011-03-03 08:07 . 2011-03-03 08:07	--------	d-----w-	c:\program files\Common Files\Java
2011-03-03 08:07 . 2011-02-02 19:40	472808	----a-w-	c:\program files\Mozilla Firefox\plugins\npdeployJava1.dll
2011-03-03 08:07 . 2011-02-02 19:40	472808	----a-w-	c:\windows\system32\deployJava1.dll
2011-03-03 08:06 . 2011-03-03 08:06	--------	d-----w-	c:\documents and settings\All Users\Application Data\McAfee
2011-02-26 19:27 . 2011-02-26 19:27	--------	d-----w-	c:\program files\VideoLAN
2011-02-23 21:59 . 2011-03-08 22:32	--------	d-----w-	c:\documents and settings\Puhi\Application Data\goalbit
2011-02-23 21:58 . 2011-02-23 21:58	--------	d-----w-	c:\program files\InhatchTeam
.
.
((((((((((((((((((((((((((((((((((((((((   Find3M Report   ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-02-02 17:19 . 2009-05-27 09:53	73728	----a-w-	c:\windows\system32\javacpl.cpl
.
.
------- Sigcheck -------
.
[-] 2009-04-18 . 25A740D70E8007814A48D3FA1B34FA34 . 361600 . . [5.1.2600.5649] . . c:\windows\system32\drivers\tcpip.sys
.
[-] 2009-04-18 . C951DB3D9B6EF3CF4B82454D30A8BF59 . 1614848 . . [5.1.2600.5512] . . c:\windows\system32\sfcfiles.dll
.
(((((((((((((((((((((((((((((((((((((   Reg Loading Points   ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown 
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RTHDCPL"="RTHDCPL.EXE" [2007-05-10 16342528]
"StartCCC"="c:\program files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2009-02-25 61440]
"WinampAgent"="c:\program files\Winamp\winampa.exe" [2009-04-10 37888]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2011-01-31 35760]
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2010-09-20 932288]
"SunJavaUpdateSched"="c:\program files\Common Files\Java\Java Update\jusched.exe" [2010-10-29 249064]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]
.
c:\documents and settings\All Users\Start Menu\Programs\Startup\
FlexType 2K.lnk - c:\windows\Datecs\Flex2K.exe [2009-7-12 151552]
Orbit.lnk - c:\program files\Orbitdownloader\orbitdm.exe [2011-3-9 1838904]
.
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]
"WRP"= 0 (0x0)
.
[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
"{56F9679E-7826-4C84-81F3-532071A8BCC5}"= "c:\program files\Windows Desktop Search\MSNLNamespaceMgr.dll" [2008-05-27 304128]
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]
@="Driver"
.
[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Start Menu^Programs^Startup^BlueSoleil.lnk]
path=c:\documents and settings\All Users\Start Menu\Programs\Startup\BlueSoleil.lnk
backup=c:\windows\pss\BlueSoleil.lnkCommon Startup
.
[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Start Menu^Programs^Startup^Windows Search.lnk]
path=c:\documents and settings\All Users\Start Menu\Programs\Startup\Windows Search.lnk
backup=c:\windows\pss\Windows Search.lnkCommon Startup
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe ARM]
2010-09-20 21:07	932288	----a-r-	c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
2011-01-31 08:44	35760	----a-w-	c:\program files\Adobe\Reader 9.0\Reader\reader_sl.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\amd_dc_opt]
2008-07-22 11:53	77824	----a-w-	c:\program files\AMD\Dual-Core Optimizer\amd_dc_opt.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DAEMON Tools-1033]
2004-08-22 14:05	81920	----a-w-	c:\program files\D-Tools\daemon.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
2008-04-14 02:42	1695232	------w-	c:\program files\Messenger\msmsgs.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]
2010-10-29 12:49	249064	----a-w-	c:\program files\Common Files\Java\Java Update\jusched.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\uTorrent\\uTorrent.exe"=
"c:\\Program Files\\Skype\\Plugin Manager\\skypePM.exe"=
"c:\\Program Files\\IVT Corporation\\BlueSoleil\\BlueSoleil.exe"=
"d:\\Games\\Heroes III all versions full\\Heroes 3\\h3wog.exe"=
"c:\\WINDOWS\\system32\\dplaysvr.exe"=
"c:\\Program Files\\Java\\jre6\\bin\\java.exe"=
"c:\\Program Files\\Mozilla Firefox\\firefox.exe"=
"c:\\Program Files\\Opera\\opera.exe"=
"c:\\Program Files\\Dream Match Tennis Pro Online\\FA.exe"=
"d:\\INSTALL\\malki\\GAMES\\volley\\volley.exe"=
"c:\\Program Files\\Java\\jre6\\bin\\javaw.exe"=
"c:\\Program Files\\SopCast\\adv\\SopAdver.exe"=
"c:\\Program Files\\SopCast\\SopCast.exe"=
"c:\\Program Files\\TeamViewer\\Version6\\TeamViewer.exe"=
"c:\\Program Files\\TeamViewer\\Version6\\TeamViewer_Service.exe"=
"c:\\Program Files\\Skype\\Phone\\Skype.exe"=
"c:\\Program Files\\Orbitdownloader\\orbitdm.exe"=
"c:\\Program Files\\Orbitdownloader\\orbitnet.exe"=
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"2706:TCP"= 2706:TCP:Inhatch P2P Streaming
"2707:TCP"= 2707:TCP:Inhatch P2P Streaming
"2708:TCP"= 2708:TCP:Inhatch P2P Streaming
"2709:TCP"= 2709:TCP:Inhatch P2P Streaming
.
R3 DynCal;Dynamic Calibration Service;c:\windows\system32\drivers\DynCal.sys [12.9.2004 і. 09:45 8320]
S2 gupdate;Ус»уі° Google Update (gupdate);"c:\program files\Google\Update\GoogleUpdate.exe" /svc --> c:\program files\Google\Update\GoogleUpdate.exe [?]
S3 ggflt;SEMC USB Flash Driver Filter;c:\windows\system32\drivers\ggflt.sys [06.4.2009 і. 08:13 13224]
S3 SE1008mdm;Sony Ericsson SE1008 Mobile Device Full USB Driver;c:\windows\system32\drivers\SE1008mdm.sys [02.11.2010 і. 23:19 58536]
S4 d347bus;d347bus;c:\windows\system32\drivers\d347bus.sys [01.6.2009 і. 22:36 155136]
S4 d347prt;d347prt;c:\windows\system32\drivers\d347prt.sys [01.6.2009 і. 22:36 5248]
.
.
------- Supplementary Scan -------
.
uInternet Connection Wizard,ShellNext = iexplore
uInternet Settings,ProxyServer = http=127.0.0.1:63636
IE: &Download by Orbit - c:\program files\Orbitdownloader\orbitmxt.dll/201
IE: &Grab video by Orbit - c:\program files\Orbitdownloader\orbitmxt.dll/204
IE: Do&wnload selected by Orbit - c:\program files\Orbitdownloader\orbitmxt.dll/203
IE: Down&load all by Orbit - c:\program files\Orbitdownloader\orbitmxt.dll/202
FF - ProfilePath - c:\documents and settings\Puhi\Application Data\Mozilla\Firefox\Profiles\6fajuafp.default\
FF - prefs.js: browser.search.selectedEngine - ZiggyTV
FF - prefs.js: browser.startup.homepage - hxxp://www.google.bg/
FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\program files\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}
FF - Ext: Java Console: {CAFEEFAC-0016-0000-0018-ABCDEFFEDCBA} - c:\program files\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0018-ABCDEFFEDCBA}
FF - Ext: Java Console: {CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA} - c:\program files\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA}
FF - Ext: Java Quick Starter: [email protected] - c:\program files\Java\jre6\lib\deploy\jqs\ff
FF - Ext: Winamp Toolbar: {0b38152b-1b20-484d-a11f-5e04a9b0661f} - %profile%\extensions\{0b38152b-1b20-484d-a11f-5e04a9b0661f}
FF - Ext: vShare: vshare@toolbar - %profile%\extensions\vshare@toolbar
FF - Ext: TVU Web Player: [email protected] - %profile%\extensions\[email protected]
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2011-03-09 01:07
Windows 5.1.2600 Service Pack 3 NTFS
.
scanning hidden processes ...  
.
scanning hidden autostart entries ... 
.
scanning hidden files ...  
.
scan completed successfully
hidden files: 0
.
**************************************************************************
.
--------------------- DLLs Loaded Under Running Processes ---------------------
.
- - - - - - - > 'winlogon.exe'(496)
c:\windows\system32\Ati2evxx.dll
.
- - - - - - - > 'explorer.exe'(3412)
c:\windows\system32\WININET.dll
c:\windows\system32\ieframe.dll
c:\program files\Creative\Creative Zen Micro\Zen Micro Media Explorer\CTJBNS2.dll
c:\program files\Creative\Creative Zen Micro\Zen Micro Media Explorer\CTIntrfc.dll
c:\program files\Creative\Creative Zen Micro\Zen Micro Media Explorer\CTConfig.DLL
c:\program files\Creative\Creative Zen Micro\Zen Micro Media Explorer\JBNSRES.DLL
c:\windows\system32\msi.dll
c:\windows\system32\webcheck.dll
c:\windows\system32\WPDShServiceObj.dll
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
.
Completion time: 2011-03-09  01:09:15
ComboFix-quarantined-files.txt  2011-03-08 23:09
ComboFix2.txt  2011-03-08 22:02
.
Pre-Run: 55 900 291 072 bytes free
Post-Run: 55 888 375 808 bytes free
.
- - End Of File - - FE8111C90E126B654C6821715A48915F

P.S. Евала!! Изтеглих SP3...

Редактирано 8 март 201115 г. от TpuHuTu (преглед на промените)

8 март 201115 г.

Супер! Преди да инсталираш SP3, ще може ли да пробваш инсталация на някоя антивирусна програма. Интересува ме дали се обновява. Дадох примери за антивируси по назад в темата. Лошото е, че заради липса на защита или заради IP атака в LAN все още имаш сериозни проблеми:

uInternet Settings,ProxyServer = http=127.0.0.1:63636

1

8 март 201115 г.

Автор

Искаш да кажеш да пробвам с EOS, или да инсталирам Авира, Касперски и т.н., някоя антивирусна?

8 март 201115 г.

Да, нещо такова. Пробвай като начало с avira, няма проблем да я почистим, ако не се получи.

1

8 март 201115 г.

Автор

Да, нещо такова. Пробвай като начало с avira, няма проблем да я почистим, ако не се получи.

Инсталирах AVG Internet Security успешно. Като гледам май си се обновява през няколко часа/минути :

Публикувано изображение

Сега накъде?

Редактирано 9 март 201115 г. от TpuHuTu (преглед на промените)

9 март 201115 г.

Следвайте следната инструкция за работа с OTM:

Изтеглете OTМ.exe или OTМ.scr го запазете на десктопа.
Стартирайте ОТМ с двукратен клик на мишката.
Маркирайте следната текстова информация (само това, което е поставено в карето) и я копирайте с десен клик - Copy (Копирай). Може да използвате Ctrl+C:
```
:Reg
[HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings]
"ProxyEnable"=-
"ProxyOverride"=-
"ProxyServer"=-
:files
recycler /alldrives
ipconfig /flushdns /c
:commands
[purity]
[resethosts]
[emptytemp]
[emptyflash]
[reboot]
```
Отидете отново на стартирания OTM и с десен клик в Paste Instructions for Items to be Moved (под жълтата лента) и изберете Paste (Постави).
Натиснете маркираният в червено бутон Moveit!.
Изчакайте програмата да завърши работата си. Маркирайте и копирайте с десен клик Copy (Копирай или Ctrl+С) изцяло текста, който ще се появи под сивата лента.
Публикувайте копирания текст с Paste (постави) в следващия си коментар.
Затворете OTM.

Забележка: Ако OTM изисква рестарт, изберете Yes. След рестарта отворете Notepad (Start-> All Programs -> Accessories -> Notepad) изберете File->Open, после в File Name въведете *.log и отидете в папка C:\_OTM\MovedFiles и отворете последния генериран файл с разширение log (mmddyyyy_hhmmss.log - тук mm е месец, dd - ден, yyyy - година, hh - час, mm - минута и ss - секунда). Маркирайте и копирайте с десен клик Copy (Копирай или Ctrl+С) изцяло текста, който се съдържа в този файл. Публикувайте копирания текст с Paste (Постави) в следващия си коментар.

3

9 март 201115 г.

Автор

Малко преди да започна работата по дадената задача, AVG ми изкара следното съобщение :

Публикувано изображение

Това мисля, че трябва да е лога от OTM :

All processes killed
========== REGISTRY ==========
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable deleted successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyOverride not found.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyServer deleted successfully.
========== FILES ==========
recycler not found in C:\
D:\RECYCLER\S-1-5-21-1214440339-515967899-682003330-1004 folder moved successfully.
D:\RECYCLER folder moved successfully.
[color=#A23BEC]< ipconfig /flushdns /c >[/color]
Windows IP Configuration
Successfully flushed the DNS Resolver Cache.
C:\Documents and Settings\Puhi\Desktop\cmd.bat deleted successfully.
C:\Documents and Settings\Puhi\Desktop\cmd.txt deleted successfully.
========== COMMANDS ==========
C:\WINDOWS\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully
 
[EMPTYTEMP]
 
User: Administrator
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: All Users
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: LocalService
->Temporary Internet Files folder emptied: 33170 bytes
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
User: Puhi
->Temp folder emptied: 590913 bytes
->Temporary Internet Files folder emptied: 327840 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 21035623 bytes
->Opera cache emptied: 24917619 bytes
->Flash cache emptied: 7428 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 3628777 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 45087946 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 0 bytes
RecycleBin emptied: 0 bytes
 
Total Files Cleaned = 91,00 mb
 
 
OTM by OldTimer - Version 3.1.17.2 log created on 03092011_202636

1

9 март 201115 г.

Дано да сме успели. Преди да инсталираме SP3, ще трябва да видя лог от DDS. Нали имаш изтеглен SP3?

P.S. За проблема с AVG пробвай Изтриване на точка на възстановяване -> прочети какво пише в упътването "Изтриване на всички точки на възстановяване" и го изпълни.

Редактирано 9 март 201115 г. от nologo (преглед на промените)

1

9 март 201115 г.

Автор

Дано да сме успели. Преди да инсталираме SP3, ще трябва да видя лог от DDS. Нали имаш изтеглен SP3?

P.S. За проблема с AVG пробвай Изтриване на точка на възстановяване -> прочети какво пише в упътването "Изтриване на всички точки на възстановяване" и го изпълни.

Снощи изписа, че се е свалило успешно, така че трябва да го имам.

Редактирано 9 март 201115 г. от TpuHuTu (преглед на промените)

Добре дошли!

Компютърът ми е инфектиран

Featured Replies

Потребители с най-много отговори

Популярни дни

Най-популярни публикации

nologo

nologo

nologo

Регистрирайте се или влезете в профила си за да коментирате

Разглеждащи това в момента 0

Дарение

Бюлетин

Профил

Навигация

Търсене

Конфигуриране на push известия в браузъра

Chrome (Android)

Chrome (Desktop)

Safari (iOS 16.4+)

Safari (macOS)

Edge (Android)

Edge (Desktop)

Firefox (Android)

Firefox (Desktop)