Svchost.exe - zainfekowany

[Gość: Glodny]

Kaspersky pokazal mi komunikat ze wykryto wirusa Backdoor.Win32.Rbot.bnb w
pliku svchost.exe. Kliknalem na usun. Wiem ze nie byl to dobry pomysl bo caly
system sie posypal i nic nie chcialo sie uruchomic. Przeinstalowalem windowsa
i zaraz po uruchomieni wyskakuje mi ten sam komunikat. Komputer strasznie
zamula. Strony nie przewijaja sie gladko tylko jak na procesorze 200mhz.
Takie mi wyskakuje: img509.imageshack.us/img509/381/wirusykq7.jpg
Co mam robic? Prosze o pomoc

[kolobos]

Zgaduje, ze masz piracki windows bez aktualizacji?
Na poczatek wklej log z hijackthis.

[Gość: Glodny]

Dopiero zaczynam prace na XP bo wczesniej mialem kiepskiego kompa i sie nie znam
na XP. A oryginalny to pn raczej nie jest. Oto log:
Logfile of HijackThis v1.99.1
Scan saved at 18:16:05, on 2006-11-02
Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\AutoConnect\AutoConnect.exe
C:\Program Files\BySoft FreeRAM\FreeRAM.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Hacker\KAVPF.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Piotrek\Pulpit\Inne\Przeciwko
wirusom\hijackthis1.99.1\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} -
C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe"
-atboottime
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Program
Files\Thomson\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [gfncd7e7] RUNDLL32.EXE w023bf9c.dll,n 005cd7e20000000a023bf9c
O4 - HKLM\..\Run: [KAVPersonal50] "C:\Program Files\Kaspersky Lab\Kaspersky
Anti-Virus Personal Pro\kav.exe" /minimize
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\RunServices: [Windows Update] Windowsupfixer.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [AutoConnect] C:\Program Files\AutoConnect\AutoConnect.exe
O4 - HKCU\..\Run: [FreeRAM XP] "C:\Program Files\YourWare Solutions\FreeRAM XP
Pro\FreeRAM XP Pro.exe" -win
O4 - HKCU\..\Run: [BySoft FreeRAM] C:\Program Files\BySoft FreeRAM\FreeRAM.exe
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Common
Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Kaspersky Anti-Hacker.lnk = C:\Program Files\Kaspersky
Lab\Kaspersky Anti-Hacker\KAVPF.exe
O8 - Extra context menu item: Pobierz z &BitSpirit - C:\Program
Files\BitSpirit\bsurl.htm
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} -
C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links -
{c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{57F48034-C091-4C83-A122-53F7FCDF0A56}:
NameServer = 194.204.152.34 217.98.63.164
O23 - Service: Usługa Kaspersky Anti-Virus (kavsvc) - Kaspersky Lab - C:\Program
Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\kavsvc.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program
Files\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation -
C:\WINDOWS\System32\nvsvc32.exe

[kolobos]

Zamknij porty przy pomocy wwdc.exe + skan przy pomocy ewido.

W hjt usun:
O4 - HKLM\..\Run: [gfncd7e7] RUNDLL32.EXE w023bf9c.dll,n 005cd7e20000000a023bf9c <- plik w023bf9c.dll usun z dysku.
O4 - HKLM\..\RunServices: [Windows Update] Windowsupfixer.exe <- plik usun z dysku.
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} -
C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links -
{c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

Uruchom komputer z plyty instalacyjnej XP, wybierz konsole odzyskiwania i wpisz:
move C:\WINDOWS\system32\svchost.exe C:\
expand X:\i386\svchost.ex_ C:\WINDOWS\system32\svchost.exe

Za x wstawiasz litere swojego cdromu, po wszystkim skanujesz system i patrzysz czy dalej cos jest nie tak.

[Gość: Glodny]

Ok, dzieki. Zaraz tak zrobie i napisze czy pomoglo

[Gość: Glodny]

najlepiej odezwij sie na gg: 5515844
A wiec:
Po 1. WWDC juz uzywalem i wszystko bylo zamkniete
Po 2. jak mam wlaczyc komputer z obsluga CD? Przez dyskietke startowa? (tak
zrobilem)
Po 3. Probowalem wpisac ta komende ale wyskakuje zle polecenie.
Moglbys ja napisac jeszcze raz bo nie wiem jak mam wpisac czy tam ma byc spacja
czy z tym "move"
Przepraszam ale po prostu sie nie znam:P

[kolobos]

> najlepiej odezwij sie na gg: 5515844

Nie.

> Po 2. jak mam wlaczyc komputer z obsluga CD? Przez dyskietke startowa? (tak
> zrobilem)

Masz uruchomic komputer Z PLYTY INSTALACYJNEJ XP (ustawiasz w biosie bootowanie
na cdrom).

[Gość: Glodny]

:) jestem juz na etapie wpisywania komendy tyle ze po wpisaniu ukazuje sie ze
nie obsluguje takiej i zebym wpisal Help
Moglbys ja podac jeszcze raz bo tamta zawiera spacje i nie wiem czy dobrze
przepisuje. Przepraszam za problemy

[Gość: Kolobos]

Zamiast:
move C:\WINDOWS\system32\svchost.exe C:\
Wpisz:
ren C:\WINDOWS\system32\svchost.exe robak.ex_

[Gość: Kolobos]

W pierwszych linkach masz napisane jak uruchomic konsole:
www.google.pl/search?client=opera&rls=pl&q=konsola+odzyskiwania&sourceid=opera&ie=utf-8&oe=utf-8

[Gość: Glodny]

Konsole uruchomilem tylko nie moge wprowadzic wczesniej podanej komendy