Показать полную графическую версию : [решено] Вирусы в :C:\WINDOWS\system32\.....C:\System Volume Information\_restore....
Здравствуйте, Ув. Хелперы)))
Главная проблема по которой я начала поиски помощи - это то, что мой комп. уж больно медленно работает и ....вирусы...( Чтобы вам все стало ясно и понятно почитайте пожалуйста здесь
http://forum.oszone.net/showthread.php?p=1007768#post1007768
Дело в том что я не в том разделе начала тему поэтому, думаю не стоит здесь повторяться.
И вот еще здесь приложен файл. Зделала все по инструкции.
Зараннее Всем Спасибо) Очень Жду вашей Помощи :jump: :)
Зделала все по инструкции. »
Еще раз прочтите инструкцию (http://forum.oszone.net/post-717373-2.html).
Думаю , теперь правильно :unsure:
Спасибо, за терпение )
Ylyana, Здравствуйте. Деинсталлируйте Target Marketing Agency (C:\Program Files\Common Files\Target Marketing Agency) и AskBar (С:\Program Files\AskBarDis\)
проверьте на virustotal.com файл D:\christmas\Christmas.exe и дайте ссылку на рез-т проверки.
Запустите AVZ, далее в меню файл - выполнить скрипт, выделите и скопируйте текст ниже в окно выполнения скрипта AVZ, временно выключите антивирус, firewall и другое защитное программное обеспечение (http://www.bleepingcomputer.com/forums/topic114351.html), отключите интернет (или включите временно брандмауэр windows), нажмите кнопку «Запустить».
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\progra~1\common~1\target~1\tmagent\tmasrv.exe','');
QuarantineFile('C:\Program Files\AskBarDis\bar\bin\askBar.dll','');
QuarantineFile('D:\christmas\Christmas.exe','');
QuarantineFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll','');
DeleteFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll');
DeleteFile('C:\Program Files\AskBarDis\bar\bin\askBar.dll');
DeleteFile('c:\progra~1\common~1\target~1\tmagent\tmasrv.exe');
DelBHO('{3041d03e-fd4b-44e0-b742-2d9b88305f98}');
DelBHO('{201f27d4-3704-41d6-89c1-aa35e39143ed}');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('TSW', 1, 1, true);
ExecuteWizard('BT', 1, 1, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTyp eAutoRun', 221);
RebootWindows(true);
end.
Запустите HiJackThis (http://www.trendsecure.com/portal/en-US/_download/HiJackThis.exe), нажмите кнопку "Do a system scan only", в открывшемся окне поставьте галочки напротив указанных строк и нажмите кнопку "Fix Checked".
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe
O2 - BHO: AskBar BHO - {201f27d4-3704-41d6-89c1-aa35e39143ed} - C:\Program Files\AskBarDis\bar\bin\askBar.dll
O3 - Toolbar: Foxit Toolbar - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Program Files\AskBarDis\bar\bin\askBar.dll
Скачайте Malwarebytes' Anti-Malware здесь (http://malwarebytes.gt500.org/mbam-setup.exe), здесь (http://www.besttechie.net/mbam/mbam-setup.exe), здесь (http://www.malwaresupport.com/mbam/program/mbam-setup.exe) или здесь (http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe). Установите, обновите базы, выберите Perform Full Scan (Провести полную проверку), нажмите Scan (Проверить), после сканирования выберите Ок и далее Show Results (Показать результаты), нажмите "Remove Selected" (Удалить выделенные). После удаления откройте лог и скопируйте в сообщение. Логи сканирования можно посмотреть во вкладке Logs (Отчеты), выбрав отчет и нажав кнопку Open (Открыть).
Включите AVZM и повторите логи
Thanks a lot , Pili!
проверьте на virustotal.com файл D:\christmas\Christmas.exe и дайте ссылку на рез-т проверки. »
http://www.virustotal.com/ru/reanalisis.html?5f3b2f2e706eb56178c4475e1c510aa6
Вообще-то эта папка не очень то мне и нужна так что я ее могу смело удалить если это нужно.
Запустите HiJackThis, нажмите кнопку "Do a system scan only", в открывшемся окне поставьте галочки напротив указанных строк и нажмите кнопку "Fix Checked".
Код:
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe
O2 - BHO: AskBar BHO - {201f27d4-3704-41d6-89c1-aa35e39143ed} - C:\Program Files\AskBarDis\bar\bin\askBar.dll
O3 - Toolbar: Foxit Toolbar - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Program Files\AskBarDis\bar\bin\askBar.dll »
Последних двух строк в списке НЕ БЫЛО!
А вот результата проверки Malwarebytes' Anti-Malware
Заражено модулей в памяти: 0
Заражено ключей реестра: 0
Заражено значений реестра: 0
Заражено параметров реестра: 1
Заражено папок: 0
Заражено файлов: 4
Заражено процессов в памяти:
(Вредоносные программы не обнаружены)
Заражено модулей в памяти:
(Вредоносные программы не обнаружены)
Заражено ключей реестра:
(Вредоносные программы не обнаружены)
Заражено значений реестра:
(Вредоносные программы не обнаружены)
Заражено параметров реестра:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\StartMenuLogOff (Hijack.StartMenu) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
Заражено папок:
(Вредоносные программы не обнаружены)
Заражено файлов:
D:\9860ad77d5ad121493\Torrents.Downlonds\Keygen 5.exe (Spyware.OnlineGames) -> Quarantined and deleted successfully.
D:\9860ad77d5ad121493\Torrents.Downlonds\Winamp 5.541 Build 2189\Keygen 5.exe (Spyware.OnlineGames) -> Quarantined and deleted successfully.
D:\9860ad77d5ad121493\Torrents.Downlonds\Nero 8.3.6.0\Activation\keygen.exe (Trojan.Agent) -> Quarantined and deleted successfully.
D:\9860ad77d5ad121493\Torrents.Downlonds\Activation\keygen.exe (Trojan.Agent) -> Quarantined and deleted successfully.
Сделала все как вы сказали :) Спасибо
Ожидаю Вердикт :)
Вообще-то эта папка не очень то мне и нужна так что я ее могу смело удалить если это нужно. »
Если не очень нужно можете удалить, если нужно, отправьте файл в вирлаб на проверку здесь (http://support.kaspersky.ru/virlab/helpdesk.html) и/или Отправьте файлы здесь (http://vms.drweb.com/sendvirus/)
Как себя чувствует компьютер?
Ожидаю Вердикт »
Включите AVZM и повторите логи »
По-моему что-то пошло не так.)
AVZ не захотел обновляться..
Здесь прикреплено два архива, но в папке LOG их три.Один не влазит сюда - объем 1мб.
Может заново скачать AVZ и все проделать снова?
Здесь прикреплено два архива, но в папке LOG их три.Один не влазит сюда - объем 1мб. »
это не лог, это карантин, он не нужен
Может заново скачать AVZ и все проделать снова? »
Не надо. Можете выполнить скрипт по удалению драйверов AVZ
begin
SetAVZPMStatus(false);
ExecuteStdScr(6);
RebootWindows(true);
end.
А вот лог hijackthis забыли, сделайте.
По логам AVZ ничего плохого. Проблемы ещё наблюдаются?
Спасибо!
Проблемы ещё наблюдаются? »
Ну, пока трудно сказать...Вроде бы стало лучше... Уже меньше ..., но все же томозит...Часто выскакивает окошко "эта программа не отвечает" особенно когда ему задаешь много дейсвий одновременно...не знаю..но мне кажется, что главная причина все же не вирусы, а просто ЭТО ТАКОЙ КОМП!И вот так вот он не очень быстро работает!Он всегда таким был, изначально. (хоть и вирусы у меня тоже всегда были в несметном количестве) ) Как вы считаете возможен такой вариант?( я уж было подумала может у него одно ядро работает...где-то я слашала такую историю..)
по логу HJT тоже чисто.
Цитата Pili:
Проблемы ещё наблюдаются? »
Ну, пока трудно сказать... »
т.е. вирусы в :C:\WINDOWS\system32\.....C:\System Volume ещё есть и проблема не решена?
Уже меньше ..., но все же томозит...Часто выскакивает окошко "эта программа не отвечает" особенно когда ему задаешь много дейсвий одновременно...не знаю..но мне кажется, что главная причина все же не вирусы, а просто ЭТО ТАКОЙ КОМП! »
У вас сборка windows и видимо кривая, рекомендую не использовать сборки, это зло.
я уж было подумала может у него одно ядро работает »
Нет, у вас 2 ядра работают, судя по логам AVZ
Попробуйте отключить неиспользуемые службы (http://www.oszone.net/2517/), по службам можно почитать здесь (http://www.oszone.net/2517/)
Если вы уверены, что у вас остались вирусы, можем продолжить лечение.
Скачайте Malwarebytes' Anti-Malware здесь (http://malwarebytes.gt500.org/mbam-setup.exe), здесь (http://www.besttechie.net/mbam/mbam-setup.exe), здесь (http://www.malwaresupport.com/mbam/program/mbam-setup.exe) или здесь (http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe). Установите, обновите базы, выберите Perform Full Scan (Провести полную проверку), нажмите Scan (Проверить), после сканирования выберите Ок и далее Show Results (Показать результаты), нажмите "Remove Selected" (Удалить выделенные). После удаления откройте лог и скопируйте в сообщение. Логи сканирования можно посмотреть во вкладке Logs (Отчеты), выбрав отчет и нажав кнопку Open (Открыть).
Скачайте SDFix (http://downloads.andymanchesta.com/RemovalTools/SDFix_ReadMe.htm) здесь (http://downloads.andymanchesta.com/RemovalTools/SDFix.exe) или здесь (http://www.downloads.andymanchesta.com/RemovalTools/SDFix.zip), загрузитесь в безопасном режиме, запустите утилиту (запустить RunThis.bat из папки SDFix - подтвердить, нажав "Y"), после окончания сканирования скопируйте (Ctrl+A, Ctrl+C) текст из C:\Report.txt и вставьте (Ctrl+V) в следующее сообщение, если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\Report.txt и прикрепите к сообщению
Описание SDFix есть здесь (http://www.saule-spb.ru/library/sdfix.html) и здесь (http://virusnet.info/forum/showthread.php?t=512)
Скачайте ComboFix здесь (http://subs.geekstogo.com/ComboFix.exe), здесь (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) или здесь (http://www.forospyware.com/sUBs/ComboFix.exe) и сохраните на рабочий стол.
Установите Recovery Console по инструкции (на англ.яз) - how-to-use-combofix (http://www.bleepingcomputer.com/combofix/how-to-use-combofix) и здесь (http://support.microsoft.com/kb/310994) - скачайте установочный файл для своей ОС (например Windows XP с пакетом обновления 2 (SP2) (http://support.microsoft.com/kb/310994#) - для Windows XP SP3 использовать этот же файл) на рабочий стол, закройте все остальные приложения и мышкой перенесите установочный файл на иконку ComboFix и установите Microsoft Recovery Console. Доп. см. Программа для Windows XP Professional с пакетом обновления 2 (SP2): Установочные диски для установки с гибкого диска (http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=535d248d-5e10-49b5-b80c-0a0205368124).
После установки консоли восстановления программа предложит запустить сканирование, подтвердите, нажав Yes.
Когда процесс сканирования завершится, скопируйте (Ctrl+A, Ctrl+C) текст из C:\ComboFix.txt и вставьте (Ctrl+V) в следующее сообщение если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Внимание! Перед запуском сканирования обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение (http://www.bleepingcomputer.com/forums/topic114351.html). Не запускайте других программ во время работы Combofix и не нажимайте кнопки мыши. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер.
Как использовать ComboFix - how-to-use-combofix (http://www.bleepingcomputer.com/combofix/how-to-use-combofix) (на англ.яз.) и здесь (http://www.spyware-ru.com/combofix/) (на русском)
Скачайте OTListIt2 (http://oldtimer.geekstogo.com/OTListIt2.exe), сохраните на рабочий стол и запустите, выберите File Age: 90 Days, поставьте галочку Scan All Users, LOP Check, Purity Check и в Extra Registry - Use Safe list. Нажмите Run Scan, когда закончится процесс сканирования, откроются два файла OTListIt.Txt и Extras.txt , скопируйте (Ctrl+A, Ctrl+C) текст из этих файлов и вставьте (Ctrl+V) в следующее сообщение, если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте полученные логи C:\OTListIt.Txt и C:\Extras.txt и прикрепите к сообщению.
Спасибо.Сделаю.
Но вот тут еще одна проблемка появилась.Очень сильно начал тормозить Интернет. Любая страничка открывается по 5-10 минут!
Я поменяла провайдера - то же самое.Проблема может быть в компъютере???
На speedtest.com скорость показывает нормальную от 2000- 4500 kbit\сек
Ylyana, логи сделайте.
Проблема может быть в компъютере??? »
может.
У вас сборка windows и видимо кривая, рекомендую не использовать сборки »
Сделаете логи и видно будет, есть вирусы или нет. Ещё сделайте новый лог virusinfo_syscheck.zip (2-ой стандартный скрипт AVZ) и лог hijackthis
Malwarebytes' Anti-Malware 1.33
Версия базы данных: 1714
Windows 5.1.2600 Service Pack 3
02.02.2009 17:22:13
mbam-log-2009-02-02 (17-22-13).txt
Тип проверки: Полная (C:\|D:\|)
Проверено объектов: 99059
Прошло времени: 26 minute(s), 4 second(s)
Заражено процессов в памяти: 0
Заражено модулей в памяти: 0
Заражено ключей реестра: 0
Заражено значений реестра: 0
Заражено параметров реестра: 0
Заражено папок: 0
Заражено файлов: 2
Заражено процессов в памяти:
(Вредоносные программы не обнаружены)
Заражено модулей в памяти:
(Вредоносные программы не обнаружены)
Заражено ключей реестра:
(Вредоносные программы не обнаружены)
Заражено значений реестра:
(Вредоносные программы не обнаружены)
Заражено параметров реестра:
(Вредоносные программы не обнаружены)
Заражено папок:
(Вредоносные программы не обнаружены)
Заражено файлов:
D:\eMule\eMule0.49b-Installer1.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
D:\eMule\Uninstall.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
ComboFix 09-02-01.01 - admin 2009-02-02 20:29:49.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.3.1251.1.1049.18.2047.1205 [GMT 2:00]
Running from: c:\documents and settings\admin\Рабочий стол\ComboFix.exe
AV: ESET NOD32 Antivirus 3.0 *On-access scanning disabled* (Updated)
* Created a new restore point
WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.
((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))
.
c:\program files\Common Files\Target Marketing Agency
c:\program files\Common Files\Target Marketing Agency\TMAgent\license.txt
c:\program files\Common Files\Target Marketing Agency\TMAgent\tma-setup.exe
c:\program files\Common Files\Target Marketing Agency\TMAgent\Uninstaller.exe
c:\windows\system32\Cache
.
((((((((((((((((((((((((( Files Created from 2009-01-02 to 2009-02-02 )))))))))))))))))))))))))))))))
.
2009-02-02 18:11 . 2009-02-02 18:11 <DIR> d-------- c:\windows\ERUNT
2009-02-02 17:27 . 2009-02-02 18:27 <DIR> d-------- C:\SDFix
2009-02-02 16:16 . 2009-01-14 16:11 38,496 --a------ c:\windows\system32\drivers\mbamswissarmy.sys
2009-02-02 16:16 . 2009-01-14 16:11 15,504 --a------ c:\windows\system32\drivers\mbam.sys
2009-02-01 02:01 . 2009-02-01 02:53 <DIR> d-------- c:\documents and settings\admin\Application Data\Winamp
2009-01-28 18:22 . 2009-01-28 18:22 11,264 --a------ c:\windows\system32\drivers\uziznzyw.sys
2009-01-28 14:16 . 2009-01-28 14:16 <DIR> d-------- c:\documents and settings\All Users\Application Data\Malwarebytes
2009-01-28 14:16 . 2009-01-28 14:16 <DIR> d-------- c:\documents and settings\admin\Application Data\Malwarebytes
2009-01-26 20:13 . 2009-01-26 20:13 304,528 --a------ c:\windows\system32\appdrvrem01.exe
2009-01-25 20:14 . 2009-01-25 20:14 2,915,944 --a------ c:\windows\system32\drivers\appdrv01.sys
2009-01-25 18:16 . 2009-01-25 18:16 <DIR> d-------- c:\documents and settings\admin\Application Data\XRay Engine
2009-01-24 13:31 . 2009-01-24 23:19 89,583,648 --ahs---- c:\windows\system32\drivers\fidbox.dat
2009-01-24 13:31 . 2009-01-24 23:19 1,051,928 --ahs---- c:\windows\system32\drivers\fidbox.idx
2009-01-23 23:11 . 2009-01-23 23:11 <DIR> d-------- C:\inetpub
2009-01-22 00:13 . 2009-01-22 00:13 <DIR> d-------- c:\program files\Opera
2009-01-18 23:30 . 2009-01-19 02:41 <DIR> d-------- c:\documents and settings\admin\DoctorWeb
2009-01-18 01:44 . 2009-01-18 01:46 1,341,277 --a------ C:\100_1495.jpg
2009-01-14 19:27 . 2007-06-29 14:47 34,304 --a------ c:\windows\system32\drivers\AmdLLD.sys
2009-01-13 11:59 . 2008-06-20 13:59 361,600 -----c--- c:\windows\system32\dllcache\tcpip.sys
2009-01-13 11:59 . 2008-06-20 19:45 247,296 -----c--- c:\windows\system32\dllcache\mswsock.dll
2009-01-13 11:59 . 2008-06-20 13:16 225,856 -----c--- c:\windows\system32\dllcache\tcpip6.sys
2009-01-13 11:59 . 2008-06-20 19:45 147,968 -----c--- c:\windows\system32\dllcache\dnsapi.dll
2009-01-13 01:14 . 2009-01-13 01:14 <DIR> d-------- c:\documents and settings\All Users\Application Data\PC Suite
2009-01-13 01:14 . 2009-01-13 01:14 <DIR> d-------- c:\documents and settings\admin\Application Data\PC Suite
2009-01-13 01:12 . 2008-03-21 13:57 14,640 --------- c:\windows\system32\spmsgXP_2k3.dll
2009-01-13 01:12 . 2009-01-13 01:12 0 --ah----- c:\windows\system32\drivers\MsftWdf_Kernel_01007_Coinstaller_Critical.Wdf
2009-01-13 01:12 . 2009-01-13 01:12 0 --ah----- c:\windows\system32\drivers\Msft_Kernel_ccdcmb_01007.Wdf
2009-01-13 01:02 . 2009-01-13 01:02 <DIR> d-------- c:\program files\PC Connectivity Solution
2009-01-13 01:02 . 2009-01-13 01:02 <DIR> d-------- c:\program files\DIFX
2009-01-13 01:02 . 2008-09-15 07:29 1,112,288 --a------ c:\windows\system32\wdfcoinstaller01007.dll
2009-01-13 01:02 . 2008-09-15 07:56 659,968 --a------ c:\windows\system32\nmwcdcocls.dll
2009-01-13 01:02 . 2008-09-15 07:56 22,016 --a------ c:\windows\system32\drivers\ccdcmbo.sys
2009-01-13 01:02 . 2008-08-26 09:26 18,816 --a------ c:\windows\system32\drivers\pccsmcfd.sys
2009-01-13 01:02 . 2008-09-15 07:56 17,664 --a------ c:\windows\system32\drivers\ccdcmb.sys
2009-01-13 01:02 . 2008-09-15 07:56 8,064 --a------ c:\windows\system32\drivers\usbser_lowerfltj.sys
2009-01-13 01:02 . 2008-09-15 07:56 8,064 --a------ c:\windows\system32\drivers\usbser_lowerflt.sys
2009-01-13 01:00 . 2009-01-13 01:00 <DIR> d-------- c:\documents and settings\All Users\Application Data\Installations
2009-01-13 00:58 . 2008-08-24 16:38 26,112 --a------ c:\windows\system32\drivers\usbser.sys
2009-01-13 00:58 . 2009-01-13 00:58 0 --ah----- c:\windows\system32\drivers\Msft_Kernel_ccdcmb_01005.Wdf
2009-01-13 00:57 . 2009-01-13 00:57 0 --ah----- c:\windows\system32\drivers\MsftWdf_Kernel_01005_Coinstaller_Critical.Wdf
2009-01-11 08:18 . 2009-01-11 08:18 <DIR> d-------- c:\program files\Microsoft CAPICOM 2.1.0.2
2009-01-10 20:30 . 2009-01-10 20:29 720,896 --a------ c:\windows\iun6002ev.exe
2009-01-09 20:25 . 2009-01-30 22:58 <DIR> d-------- c:\documents and settings\admin\Application Data\skypePM
2009-01-09 20:25 . 2009-01-09 20:25 56 --ah----- c:\windows\system32\ezsidmv.dat
2009-01-09 20:21 . 2009-02-02 18:43 <DIR> d-------- c:\documents and settings\admin\Application Data\Skype
2009-01-09 20:19 . 2009-01-09 20:19 <DIR> dr------- c:\program files\Skype
2009-01-09 20:19 . 2009-01-09 20:19 <DIR> d-------- c:\program files\Common Files\Skype
2009-01-09 19:56 . 2008-08-24 16:38 16,384 --a------ c:\windows\system32\ipsink.ax
2009-01-09 19:56 . 2008-08-24 16:38 15,232 --a------ c:\windows\system32\drivers\StreamIP.sys
2009-01-09 19:56 . 2008-08-24 16:38 10,880 --a------ c:\windows\system32\drivers\NdisIP.sys
2009-01-09 19:56 . 2008-08-24 16:38 5,504 --a------ c:\windows\system32\drivers\MSTEE.sys
2009-01-09 19:55 . 2008-08-24 16:38 85,248 --a------ c:\windows\system32\drivers\NABTSFEC.sys
2009-01-09 19:55 . 2008-08-24 16:38 19,200 --a------ c:\windows\system32\drivers\WSTCODEC.SYS
2009-01-09 19:55 . 2008-08-24 16:38 17,024 --a------ c:\windows\system32\drivers\CCDECODE.sys
2009-01-09 19:55 . 2008-08-24 16:38 11,136 --a------ c:\windows\system32\drivers\SLIP.sys
2009-01-09 19:50 . 2009-01-09 19:50 127,034 -r------- c:\windows\bwUnin-8.1.1.50-8876480SL.exe
2009-01-09 19:48 . 2009-01-09 20:19 <DIR> d-------- c:\documents and settings\All Users\Application Data\Skype
2009-01-09 19:44 . 2009-01-09 19:44 <DIR> d-------- c:\documents and settings\All Users\Application Data\Logitech
2009-01-09 19:44 . 2009-01-09 19:44 <DIR> d-------- c:\documents and settings\All Users\Application Data\Logishrd
2009-01-09 19:43 . 2009-01-09 19:43 <DIR> d-------- c:\program files\Logitech
2009-01-09 19:43 . 2009-01-09 19:53 <DIR> d-------- c:\program files\Common Files\LogiShrd
2009-01-05 16:52 . 2009-01-05 16:52 <DIR> d-------- c:\program files\Foxit Software
2009-01-05 16:52 . 2009-01-05 16:52 <DIR> d-------- c:\program files\AskBarDis
2009-01-05 16:52 . 2009-01-05 16:52 <DIR> d-------- c:\documents and settings\admin\Application Data\Foxit
2009-01-05 16:30 . 2009-01-05 16:30 <DIR> d-------- c:\program files\ESET
2009-01-05 16:30 . 2009-01-05 16:30 <DIR> d-------- c:\documents and settings\All Users\Application Data\ESET
.
(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-02-02 18:27 --------- d-----w c:\documents and settings\admin\Application Data\uTorrent
2009-02-02 16:43 --------- d-----w c:\documents and settings\admin\Application Data\Orbit
2009-01-26 15:46 --------- d-----w c:\program files\Google
2009-01-25 15:59 --------- d-----w c:\program files\GSC World Publishing
2009-01-23 20:46 --------- d-----w c:\program files\PowerOff
2009-01-17 23:04 --------- d-----w c:\program files\MyCentria
2009-01-14 11:44 --------- d-----w c:\documents and settings\All Users\Application Data\Microsoft Help
2008-12-30 12:22 --------- d-----w c:\documents and settings\admin\Application Data\rambler.ru
2008-12-27 17:56 --------- d-----w c:\documents and settings\admin\Application Data\HP
2008-12-27 17:42 --------- d-----w c:\documents and settings\All Users\Application Data\WEBREG
2008-12-27 17:36 --------- d-----w c:\documents and settings\All Users\Application Data\Hewlett-Packard
2008-12-27 17:24 --------- d-----w c:\program files\HP
2008-12-27 17:24 --------- d-----w c:\documents and settings\All Users\Application Data\HPSSUPPLY
2008-12-27 17:24 --------- d-----w c:\documents and settings\admin\Application Data\HPAppData
2008-12-27 17:20 --------- d-----w c:\documents and settings\All Users\Application Data\HP
2008-12-27 17:17 --------- d-----w c:\documents and settings\All Users\Application Data\HP Product Assistant
2008-12-27 17:16 --------- d-----w c:\program files\Common Files\HP
2008-12-27 17:14 --------- d-----w c:\program files\Hewlett-Packard
2008-12-27 17:14 --------- d-----w c:\program files\Common Files\Hewlett-Packard
2008-12-22 17:27 --------- d-----w c:\program files\Windows Media Player(2)
2008-12-22 17:27 --------- d-----w c:\program files\Windows Media Connect 2
2008-12-20 15:29 --------- d-----w c:\program files\S Luna KM-2080
2008-12-20 13:08 --------- d-----w c:\documents and settings\admin\Application Data\Thinstall
2008-12-20 12:12 --------- d-----w c:\program files\DivX
2008-12-16 08:58 --------- d-----w c:\documents and settings\admin\Application Data\Nero
2008-12-16 08:57 --------- d-----w c:\program files\Nero
2008-12-16 08:57 --------- d-----w c:\program files\Common Files\Nero
2008-12-16 08:57 --------- d-----w c:\documents and settings\All Users\Application Data\Nero
2008-12-15 21:26 --------- d-----w c:\program files\OpenOffice.org 3
2008-12-15 21:18 --------- d-----w c:\program files\MSBuild
2008-12-15 21:18 --------- d-----w c:\program files\Microsoft Works
2008-12-15 21:17 --------- d-----w c:\program files\Microsoft.NET
2008-12-15 20:06 --------- d--h--w c:\program files\InstallShield Installation Information
2008-12-15 20:06 --------- d-----w c:\program files\Netropa
2008-12-15 19:45 --------- d-----w c:\documents and settings\admin\Application Data\Media Player Classic
2008-12-12 18:41 --------- d-----w c:\documents and settings\All Users\Application Data\Apple Computer
2008-12-12 16:15 --------- d-----w c:\documents and settings\admin\Application Data\OpenOffice.org
2008-12-12 16:06 --------- d-----w c:\program files\Java
2008-12-12 15:36 --------- d-----w c:\documents and settings\admin\Application Data\ICQ
2008-12-12 15:26 --------- d-----w c:\program files\Common Files\Adobe
2008-12-12 14:10 --------- d-----w c:\documents and settings\All Users\Application Data\Kaspersky Lab Setup Files
2008-12-12 13:53 --------- d-----w c:\documents and settings\admin\Application Data\GrabPro
2008-12-11 17:24 --------- d-----w c:\documents and settings\admin\Application Data\DeepBurner
2008-12-11 10:57 333,952 ----a-w c:\windows\system32\drivers\srv.sys
2008-12-04 21:22 --------- d-----w c:\documents and settings\admin\Application Data\Logitech
2008-12-04 21:20 118,784 ------r c:\windows\bwUnin-7.2.0.137-8876480SL.exe
2008-12-04 21:20 --------- d-----w c:\program files\MUSICMATCH
2008-12-04 21:20 --------- d-----w c:\program files\Common Files\InstallShield
2008-12-04 21:19 --------- d-----w c:\program files\Common Files\Logitech
2008-12-03 10:07 1,571,840 ----a-w c:\windows\system32\SfcFiles.dll
2008-12-03 10:02 219,648 ----a-w c:\windows\system32\uxtheme.dll
2008-12-03 09:58 --------- d-----w c:\program files\AudioShell
2008-12-03 09:54 717,296 ----a-w c:\windows\system32\drivers\sptd.sys
2008-12-03 09:54 --------- d-----w c:\program files\Paint.NET
2008-12-03 09:52 --------- d-----w c:\program files\Common Files\Java
2008-12-03 09:48 --------- d-----w c:\program files\TaskSwitchXP
2008-12-03 09:48 --------- d-----w c:\program files\Photo Story 3 for Windows
2008-11-24 14:32 57,344 ----a-w c:\windows\system32\ff_vfw.dll
.
------- Sigcheck -------
2008-04-14 19:40 581632 884de990c498d77c28f8608e09d4dfe1 c:\windows\system32\user32.dll
2008-04-14 19:40 581632 884de990c498d77c28f8608e09d4dfe1 c:\windows\system32\dllcache\user32.dll
2008-04-15 14:00 1520640 79e70da275556696f4b821d2d1b7f22b c:\windows\explorer.exe
2008-04-15 14:00 1520640 79e70da275556696f4b821d2d1b7f22b c:\windows\system32\dllcache\explorer.exe
2008-04-15 14:00 37376 0de18690e4223998e471048889f09b8b c:\windows\system32\ctfmon.exe
2008-04-15 14:00 37376 0de18690e4223998e471048889f09b8b c:\windows\system32\dllcache\ctfmon.exe
.
((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown
REGEDIT4
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-15 37376]
"LDM"="d:\desktop messenger\8876480\Program\LogitechDesktopMessenger.exe" [2009-01-09 67128]
"IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\program files\Common Files\Nero\Lib\NMIndexStoreSvr.exe" [2008-06-24 1840424]
"ICQ"="d:\программы\ICQ6.5\ICQ.exe" [2008-11-30 172792]
"uTorrent"="d:\программы\uTorrent.exe" [2008-10-08 270128]
"Skype"="c:\program files\Skype\Phone\Skype.exe" [2008-12-20 24262440]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"TaskSwitchXP"="c:\program files\TaskSwitchXP\TaskSwitchXP.exe" [2007-03-09 62976]
"MULTIMEDIA KEYBOARD"="c:\program files\Netropa\Multimedia Keyboard\MMKeybd.exe" [2003-09-30 425984]
"NeroFilterCheck"="c:\program files\Common Files\Nero\Lib\NeroCheck.exe" [2008-06-19 570664]
"NBKeyScan"="c:\program files\Nero\Nero8\Nero BackItUp\NBKeyScan.exe" [2008-06-08 2221352]
"HP Software Update"="c:\program files\HP\HP Software Update\HPWuSchd2.exe" [2007-03-11 49152]
"egui"="c:\program files\ESET\ESET NOD32 Antivirus\egui.exe" [2008-06-10 1447168]
"LogitechCommunicationsManager"="c:\program files\Common Files\LogiShrd\LComMgr\Communications_Helper.exe" [2007-02-08 488984]
"LogitechQuickCamRibbon"="c:\program files\Logitech\QuickCam10\QuickCam10.exe" [2007-02-08 774168]
"amd_dc_opt"="d:\программы\amd_dc_opt.exe" [2007-07-23 77824]
"RTHDCPL"="RTHDCPL.EXE" [2008-04-10 c:\windows\RTHDCPL.EXE]
"Logitech Hardware Abstraction Layer"="KHALMNPR.EXE" [2005-03-10 c:\windows\KHALMNPR.Exe]
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-15 37376]
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"IE7_011"="shell32" [X]
"IE7_012"="advpack.dll" [2008-10-16 c:\windows\system32\advpack.dll]
"IE7_013"="rebuild.exe" [2007-11-01 c:\windows\system32\rebuild.exe]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]
@="Driver"
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
"DisableUnicastResponsesToMulticastBroadcast"= 0 (0x0)
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"d:\\Программы\\Orbitdownloader\\orbitdm.exe"=
"c:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"d:\\программы\\ICQ6.5\\ICQ.exe"=
"d:\\программы\\Orbitdownloader\\orbitnet.exe"=
"d:\\Desktop Messenger\\8876480\\Program\\LogitechDesktopMessenger.exe"=
"c:\\WINDOWS\\system32\\dpvsetup.exe"=
"c:\\Program Files\\GSC World Publishing\\С.Т.А.Л.К.Е.Р. - Чистое Небо\\bin\\xrEngine.exe"=
"c:\\Program Files\\GSC World Publishing\\С.Т.А.Л.К.Е.Р. - Чистое Небо\\bin\\dedicated\\xrEngine.exe"=
"c:\\Program Files\\Opera\\opera.exe"=
"c:\\Program Files\\Skype\\Phone\\Skype.exe"=
"d:\\программы\\utorrent.exe"=
R1 appdrv01;Application Driver (01);c:\windows\system32\drivers\appdrv01.sys [2009-01-25 2915944]
R1 epfwtdir;epfwtdir;c:\windows\system32\drivers\epfwtdir.sys [2008-06-10 34312]
R1 msikbd2k;Multimedia Keyboard Filter Driver;c:\windows\system32\drivers\Msikbd2k.sys [2008-12-15 6656]
R1 uziznzyw;AVZ-RK Kernel Driver;c:\windows\system32\drivers\uziznzyw.sys [2009-01-28 11264]
R2 ekrn;Eset Service;c:\program files\ESET\ESET NOD32 Antivirus\ekrn.exe [2008-06-10 468224]
R2 nhksrv;Netropa NHK Server;c:\program files\Netropa\Multimedia Keyboard\nhksrv.exe [2008-12-15 28672]
S2 appdrvrem01;Application Driver Auto Removal Service (01);c:\windows\System32\appdrvrem01.exe svc --> c:\windows\System32\appdrvrem01.exe svc [?]
S3 vmmouse;VMware Pointing Device;c:\windows\system32\drivers\vmmouse.sys [2008-12-03 11696]
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
HPZ12 REG_MULTI_SZ Pml Driver HPZ12 Net Driver HPZ12
hpdevmgmt REG_MULTI_SZ hpqcxs08 hpqddsvc
.
- - - - ORPHANS REMOVED - - - -
Toolbar-ITBar7Position - (no file)
WebBrowser-{3041D03E-FD4B-44E0-B742-2D9B88305F98} - c:\program files\AskBarDis\bar\bin\askBar.dll
HKCU-Run-swg - c:\program files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
HKCU-Run-ChristmasTree - d:\christmas\Christmas.exe
HKLM-Run-KXT01_Keyboard - d:\4a66~1\KXT01KB.EXE
HKLM-Run-KXT01_KPDrv4XP - d:\4a66~1\KPDrv4XP.exe
.
------- Supplementary Scan -------
.
uStart Page = about:blank
mStart Page = about:blank
IE: &Download by Orbit - d:\программы\Orbitdownloader\orbitmxt.dll/201
IE: &Grab video by Orbit - d:\программы\Orbitdownloader\orbitmxt.dll/204
IE: &Экспорт в Microsoft Excel - c:\progra~1\MICROS~1\Office12\EXCEL.EXE/3000
IE: Do&wnload selected by Orbit - d:\программы\Orbitdownloader\orbitmxt.dll/203
IE: Down&load all by Orbit - d:\программы\Orbitdownloader\orbitmxt.dll/202
Handler: bwfile-8876480 - {9462A756-7B47-47BC-8C80-C34B9B80B32B} - d:\desktop messenger\8876480\Program\GAPlugProtocol-8876480.dll
.
**************************************************************************
catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-02-02 20:31:09
Windows 5.1.2600 Service Pack 3 NTFS
scanning hidden processes ...
scanning hidden autostart entries ...
scanning hidden files ...
scan completed successfully
hidden files: 0
**************************************************************************
.
--------------------- LOCKED REGISTRY KEYS ---------------------
[HKEY_USERS\S-1-5-21-436374069-861567501-1177238915-1006\Software\Microsoft\SystemCertificates\AddressBook*]
@Allowed: (Read) (RestrictedCode)
@Allowed: (Read) (RestrictedCode)
.
--------------------- DLLs Loaded Under Running Processes ---------------------
- - - - - - - > 'winlogon.exe'(728)
c:\windows\system32\SETUPAPI.dll
c:\windows\system32\Ati2evxx.dll
c:\windows\system32\COMRes.dll
c:\windows\system32\cscui.dll
- - - - - - - > 'lsass.exe'(784)
c:\windows\system32\setupapi.dll
.
Completion time: 2009-02-02 20:32:25
ComboFix-quarantined-files.txt 2009-02-02 18:32:22
Pre-Run: 21,608,902,656 байт свободно
Post-Run: 21,652,955,136 байт свободно
262 --- E O F --- 2009-01-14 11:44:32
Деинсталлируйте Target Marketing Agency (C:\Program Files\Common Files\Target Marketing Agency) и AskBar (С:\Program Files\AskBarDis\) »
говорил вам раньше, вы эти программы сами деинсталлировали? Судя по логу - нет
c:\program files\MyCentria
c:\program files\AskBarDis
Папки остались. Деинсталлируйте эти программы.
Файлы
c:\windows\system32\user32.dll
c:\windows\system32\ctfmon.exe
проверьте на virustotal.com
Жду остальные логи.
C:\Qoobox\Quarantine\C\Program Files\Common Files \Target Marketing Agency - вот здесь расположен ..Можно удалить все это смело?
AskBar (С:\Program Files\AskBarDis\) - удалила
c:\program files\MyCentria - удалила
© OSzone.net 2001-2012
vBulletin v3.6.4, Copyright ©2000-2025, Jelsoft Enterprises Ltd.