Bardzo proszęo sprawdzenie LOGA

[dominig]

Logfile of HijackThis v1.99.1
Scan saved at 15:17:51, on 2006-09-05
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\RunDll32.exe
C:\WINDOWS\System32\wgp.exe
C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Winamp\winampa.exe
C:\WINDOWS\System32\svcchost.exe
C:\WINDOWS\System32\oasdkgylwi.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\system32\rundll32.exe
C:\Documents and Settings\DGolec\Pulpit\hijackthis\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
www.wp.pl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} -
C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} -
C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [WinGuard Pro] C:\WINDOWS\System32\wgp.exe
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition
Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [Outpost Firewall] C:\Program Files\Agnitum\Outpost
Firewall 1.0\outpost.exe /waitservice
O4 - HKLM\..\Run: [msvcc25] svcchost.exe
O4 - HKLM\..\Run: [Windows Help 32] oasdkgylwi.exe
O4 - HKLM\..\RunServices: [msvcc25] svcchost.exe
O4 - HKLM\..\RunServices: [Windows Help 32] oasdkgylwi.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Windows Help 32] oasdkgylwi.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{BFFE06F3-5623-47CD-8DD6-
1FB0124E5DB8}: NameServer = 217.30.129.149,217.30.137.200
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) -
Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA
GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner -
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil
Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil
Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil
Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum -
C:\PROGRA~1\AGNITUM\OUTPOS~1.0\outpost.exe

[Gość: Kolobos]

Zostaw tylko JEDEN antyvirus, reszte odinstaluj.
Odinstaluj Yahoo Toolbar.

Zamknij porty przy pomocy wwdc, zmien przegladarke na Opere lub Firefox i nie uzywaj IE.

Zakoncz procesy:
C:\WINDOWS\System32\svcchost.exe
C:\WINDOWS\System32\oasdkgylwi.exe

W hjt usun:
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} -
C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} -
C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [msvcc25] svcchost.exe
O4 - HKLM\..\Run: [Windows Help 32] oasdkgylwi.exe
O4 - HKLM\..\RunServices: [msvcc25] svcchost.exe
O4 - HKLM\..\RunServices: [Windows Help 32] oasdkgylwi.exe
O4 - HKCU\..\Run: [Windows Help 32] oasdkgylwi.exe

Pliki usun z dysku, do tego przeskanuj system przy pomocy ewido.

[dominig]

Witam !
Dzięki za pomoc, mam jeszcze jedno pytanko, jak należy zamknąć porty za pomocą
wwdc ?
Serdecznie pozdrawiam !

[kolobos]

Tak jak masz to opisane.

[dominig]

Postąpiłem zgodnie z instrukcją, jednak w dalszym ciągu są ataki na kompa, które
blokuje avast, coś spowalnia łącze, wkradl sie rowniez kon trojanski, dalej jest
tak jak było przed. Proszę o pomoc, pozdrawiam !

[Gość: Kolobos]

Wklej nowy log z hjt, napisz w jakim pliku masz tego trojana, podaj szczegoly tych atakow (co dokladnie sie dzieje, jaki komunikat sie wyswietla).

[Gość: dominig]

Logfile of HijackThis v1.99.1
Scan saved at 21:34:21, on 2006-09-05
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\RunDll32.exe
C:\WINDOWS\System32\wgp.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Winamp\winampa.exe
C:\Program Files\ewido anti-spyware 4.0\ewido.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\ewido anti-spyware 4.0\guard.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\system32\ftp.exe
C:\Documents and Settings\DGolec\Pulpit\hijackthis\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.wp.pl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [WinGuard Pro] C:\WINDOWS\System32\wgp.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [Outpost Firewall] C:\Program Files\Agnitum\Outpost Firewall
1.0\outpost.exe /waitservice
O4 - HKLM\..\Run: [!ewido] "C:\Program Files\ewido anti-spyware 4.0\ewido.exe"
/minimized
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O8 - Extra context menu item: E&ksport do programu Microsoft Excel -
res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} -
C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O17 - HKLM\System\CCS\Services\Tcpip\..\{BFFE06F3-5623-47CD-8DD6-1FB0124E5DB8}:
NameServer = 217.30.129.149,217.30.137.200
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner -
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil
Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil
Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil
Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. -
C:\Program Files\ewido anti-spyware 4.0\guard.exe
O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum -
C:\PROGRA~1\AGNITUM\OUTPOS~1.0\outpost.exe
_______________________________________________________________________________
Cały czas Avast wykrywa ataki z zewnątrz, cały czas z adresów IP zaczynających
się od cyfr 87.105. itd.
Wykrywa Trojany, robaki itp. teraz wykryto np. C:\WINDOWS\system32\14026_netapi.exe
Spowalnia łącze, czasami następuje restart systemu, ale to rzadko kiedy,
wyskakuje standardowo komunikat i odliczanie czasu.
Nigdy jeszcze z czyms takim sie nie spotkalem, do tej pory radzilem sobie ze
wszystkimi infekcjami, teraz nie wiem co to za nowosc.
Prosze o pomoc !!!
Pozdrawiam !!!

[Gość: Kolobos]

> Cały czas Avast wykrywa ataki z zewnątrz, cały czas z adresów IP zaczynających
> się od cyfr 87.105. itd.

Wlacz firewall to przestanie + wylacz powiadomienia o "atakach".

> C:\WINDOWS\system32\14026_netapi.exe

Wiec usun ten plik.

> Spowalnia łącze, czasami następuje restart systemu, ale to rzadko kiedy,
> wyskakuje standardowo komunikat i odliczanie czasu.

Nic dziwnego skoro masz piracki windows bez aktualizacji, ale po zamknieciu portow powinno byc ok.

Wklej na log z:
www.silentrunners.org/Silent%20Runners.vbs (zapisz na dysku i uruchom).

[Gość: dominig]

Po usunieciu pojawiaja sie inne wirusy. Nie moge dokonac zadnej aktualizacji,
servis packa z windowsa, nic.
Plik Silent Runners tez nie dziala, wyskakuje blad.
Zasypuje kompa az do zablokowania calosci systemu.

[Gość: Kolobos]

Czy potrafisz sam napisac sensowny post? Bez zmuszania Cie do odpowiedzi?!

> Po usunieciu pojawiaja sie inne wirusy.

Jakie? W jakich plikach?

> Nie moge dokonac zadnej aktualizacji, servis packa z windowsa, nic.

Dlaczego? Sciagnij SP2 i zainstaluj przy odlaczonym internecie.

> Plik Silent Runners tez nie dziala, wyskakuje blad.

Jaki?

> Zasypuje kompa az do zablokowania calosci systemu.

?

[Gość: dominig]

Witam !!!
Bardzo ciezko mi jest opisac wszystko, poniewaz bardzo szybko wkrada sie
infekcja i zawiesza kompa, gdy odłącze serwer wszystko jest OK.
Sprawdzalem podlaczenie kompa do lokalnego serweru, bez adresu IP i wszystko
dziala OK, tylko na DSL jest cale to zamieszanie.

Wykryte wirusy:
Win32:Small-BMT [Trj]
Win32:Agent-QJ [Trj]

Błędy podczas aktualizacji, mowia o zlym kodzie zaintalowanego Win XP.

Mam pytanie czy moze byc to atak na ta wersje WIN Xp, moja wersja jest juz dosyc
stara ?

Prosze o odpowiedz !!!

[Gość: Kolobos]

Czy napewno zamknales porty przy pomocy wwdc?
Prosilem o nazwy zainfekowanych plikow, a nie nazwy trojanow!

> Błędy podczas aktualizacji, mowia o zlym kodzie zaintalowanego Win XP.

Masz piracki windows to normalne...

> Mam pytanie czy moze byc to atak na ta wersje WIN Xp, moja wersja
> jest juz dosyc stara ?

Nie masz aktualizacji i tyle, a nie masz z powodu pirackiego systemu.

Jezeli w nastepnym poscie nie odpowiesz na pytania, ktore zadalem Ci w poprzednim poscie to moja pomoc zakonczy sie, nie ma sensu pomagac Ci na sile i pisac to samo pare razy.

[Gość: dominig]

Tak zamknalem.
Gdzie moge odczytac zainfekowane pliki ?

[Gość: Kolobos]

W programie, ktory Ci to wykrywa to chyba logiczne?
Dlaczego dalej nie napisales jaki masz problem z Silent Runners?

[wiewia1]

Użyj narzędzia w trybie awaryjnym SmitFraudFix siri.urz.free.fr/Fix/SmitfraudFix.php wklep opcje nr2(clean) Narzędzie utworzy log na dysku C:\raport.txt wklej go na forum

[Gość: dominig]

Witam !!!
Dzieki wielkie za pomoc, tak jak myslalem wszystkie ataki byly wysylane na moja
wersje Win XP, tak jak wczesniej pisalem posiadalem jedna z pierwszych wersji
tego systemu i nie moglem zrobic nic, zadnej aktualizacji, instalki SP. Teraz
zmienilem system na SP 2, jak narazie jest OK.
Wielkie dzieki za pomoc "kolobos", za to ze miales tyle cierpliwosci aby
poswiecic czas dla mnie, dobrze ze mozna liczyc na kogos, gdy ma sie problem,
jeszcze raz wielkie dzieki!
Pozdrawiam !!!
Acha a co do przegladarki, jakiej uzywacie IE czy Mozi ?

[Gość: dominig]

Mam jeszcze jedno pytanko czy ustawic automatyczne aktualizaje systemu ?

[Gość: Kolobos]

Mozesz zostawic wlaczone, chyba, ze wolisz sam wchodzic na www.windowsupdate.com i sciagac.
Zainstaluj sobie Opere albo Firefox.