Wirus powrócił???

[Gość: joanna]

Hej,
Około 2 tygodnie temu miałam na kompie W32.Sasser.B. Worma. Jak przeczytałam
tutaj na forum, tak zrobiłam. Wywaliłam go narzędziem Nortpna pobranym ze
stronki, a potem ściągnęłam łatkę na XP. I przez te 2 tyg. było ok.
Ale od paru dni włącza się aletr Nortona, że jest ten wirus na moim kompie.
Po przeskanowaniu Nortonem, nic nie wskazuje. Ściągnęłam Pandę i okazało się,
że jest wirus w lokalizacji C:\WINDOWS\System32\cmd.ftp - disinfected. W
sumie nie wiem o co chodzi. Czy usuwać ten plik? Czy jest ten wirus? Czy może
jakieś pozostałości?

Pozdrawiam!

[netsec]

Gość portalu: joanna napisał(a):

> Hej,
> Około 2 tygodnie temu miałam na kompie W32.Sasser.B. Worma. Jak przeczytałam
> tutaj na forum, tak zrobiłam. Wywaliłam go narzędziem Nortpna pobranym ze
> stronki, a potem ściągnęłam łatkę na XP. I przez te 2 tyg. było ok.
> Ale od paru dni włącza się aletr Nortona, że jest ten wirus na moim kompie.
> Po przeskanowaniu Nortonem, nic nie wskazuje. Ściągnęłam Pandę i okazało się,
> że jest wirus w lokalizacji C:\WINDOWS\System32\cmd.ftp - disinfected. W
> sumie nie wiem o co chodzi. Czy usuwać ten plik? Czy jest ten wirus? Czy może
> jakieś pozostałości?

Wyłącz przywracanie systemu i usuń wirusa :)

[Gość: joanna]

Właśnie przed chwilą wyłączyłam przywracanie systemu i próbowałam usunąć go
narzędziem Symantec W32.Sasser.Worm Fix Tool 1.0.2. I po tej operacji wyskoczył
mi komunikat, że nie znaleziono wirusa. Więc sama nie wiem co jest.
Może usuwam nie tym co trzeba? Czy ten plik, który podałam usunąć?

[netsec]

Gość portalu: joanna napisał(a):

> Właśnie przed chwilą wyłączyłam przywracanie systemu i próbowałam usunąć go
> narzędziem Symantec W32.Sasser.Worm Fix Tool 1.0.2. I po
> tej operacji wyskoczył mi komunikat, że nie znaleziono wirusa.
> Więc sama nie wiem co jest.
> Może usuwam nie tym co trzeba? Czy ten plik, który podałam usunąć?


Sprawdź na początek czy masz włączoną zaporę internetową.
Znajdziesz ją we właściwościach twojego połączenia do Internetu w zakładce
Zaawansowane. Po włączeniu zapory uruchom komputer ponownie,
Ściągnij HijackThis 209.133.47.200/~merijn/files/HijackThis.exe
Uruchom i wykonaj Scan i po tym Save Log.
Zawartość pliku z save log wklej na forum, zobaczymy co się tam dzieje.

[netsec]

netsec napisał:

> Ściągnij HijackThis 209.133.47.200/~merijn/files/HijackThis.exe

Zmienił się link do aktualnej wersji HiJackThis
209.133.47.12/~merijn/files/HijackThis.exe

[Gość: joanna]

Logfile of HijackThis v1.97.7
Scan saved at 18:06:34, on 2004-05-22
Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\GStartUp.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb05.exe
C:\Program Files\Winamp\Winampa.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Tlen.pl\Tlen.exe
C:\Program Files\22M WLAN Adapter\WLANMON.exe
C:\Program Files\DAP\DAP.exe
C:\zip\HijackThis.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar =
szukaj.wp.pl
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
www.onet.pl/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =
www.vobis.pl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program
Files\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} -
C:\Program Files\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [zzzHPSETUP] D:\Setup.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32
\spool\drivers\w32x86\3\hpztsb05.exe
O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec
Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Common Files\Symantec
Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [Hidder] "C:\program files\g data software\sekretnik 2004
\Hidder.exe" /start
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Komunikator] C:\Program Files\Tlen.pl\Tlen.exe
O4 - Global Startup: 22M WLAN Adapter.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft
Office\Office10\OSA.EXE
O8 - Extra context menu item: &Download with &DAP - C:\PROGRA~1\DAP\dapextie.htm
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: ING Bank Online - ssl.bsk.com.pl/bskonl/component/INGOnl.cab
O16 - DPF: Notowania ONET - gielda.onet.pl/notowania.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) -
www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) -
download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E7544C6C-CFD6-43EA-B4E9-360CEE20BDF7} (MainControl Class) -
bezpieczenstwo.onet.pl/skaner/SkanerOnline.cab

[netsec]

Gość portalu: joanna napisał(a):

> Logfile of HijackThis v1.97.7
> Scan saved at 18:06:34, on 2004-05-22
> Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)
> MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Po pierwsze włącz zaporę we właściwościach połączenia do Internetu!!!

Uruchom HijackThis zrób SCAN i zaznacz pozycje jak niżej:

O4 - HKLM\..\Run: [zzzHPSETUP] D:\Setup.exe
O4 - Global Startup: 22M WLAN Adapter.lnk = ?

Po tym zrób FixChecked i uruchom komputer ponownie.

Zainstaluj tę poprawke
www.microsoft.com/downloads/details.aspx?displaylang=pl&FamilyID=D488BBBB-DA77-448D-8FF0-0A649A0D8FC3

Z menu START wybierz Uruchom wpisz %TEMP% i wykasuj wszystkie pliki
które można skasować. Przed tym musisz sprawdzic czy
w Opcje folderów w menu Narzędzia jest zaznaczona opcja
Pokaż ukryte pliki i foldery, a następnie kliknij przycisk OK.

Wyczyść w Opcjach Internetowych w Panelu sterowania Tymczasowe pliki
Internetowe i Cooki.

Zaktualizuj system o WSZYSTKIE krytyczne poprawki w WindowsUpdate,
inaczej ciągle będziesz coś łapać.

[Gość: joanna]

Dzięki za pomoc i cierpliwość :-)
Życzę miłego wieczoru.

Pozdrawiam serdecznie!

Joanna