trojan Win32:Agent-HDR

[febrero]

mam z nim problem, nie moge usunas avaste, ktory probuje skanowania przed
startem systemu i nic. zaraz wysle logi z hijack, prosze bardzo o pomoc

[Gość: @]

Napisz gdzie znajduje dokładną lokalizacje.
Przeczytaj to:
forum.gazeta.pl/forum/72,2.html?f=430&w=38051058

[febrero]

C:\WINDOWS\System32\lanmandrv.sys
C:\WINDOWS\system32\Com\tdec.exe

to jest log z hijack:
"

Logfile of HijackThis v1.99.1
Scan saved at 10:55:32, on 09.06.2007
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\twain32.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\Documents and Settings\muminka\Pulpit\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = L1cza
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program
Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] $$
O4 - HKLM\..\Run: [$$] $$
O4 - HKLM\..\Run: [j6221035] $$
O4 - HKLM\..\Run: [ApachInc] $$
O4 - HKLM\..\Run: [,realset] $$
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O8 - Extra context menu item: Convert link target to Adobe PDF -
res://C:\Program Files\Adobe\Acrobat
7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert link target to existing PDF -
res://C:\Program Files\Adobe\Acrobat
7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert selected links to Adobe PDF -
res://C:\Program Files\Adobe\Acrobat
7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convert selected links to existing PDF -
res://C:\Program Files\Adobe\Acrobat
7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Program
Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert selection to existing PDF -
res://C:\Program Files\Adobe\Acrobat
7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Program
Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert to existing PDF - res://C:\Program
Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: E&ksport do programu Microsoft Excel -
res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} -
C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole -
{08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program
Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} -
C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} -
C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} -
C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links -
{c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {3D8700FB-86A4-4CB4-B738-6F0FC016AC7D} (MainControl Class) -
arcaonline.arcabit.com/ArcaOnline.cab
O16 - DPF: {68282C51-9459-467B-95BF-3C0E89627E55} (MksSkanerOnline Class) -
www.mks.com.pl/skaner/SkanerOnline.cab
O16 - DPF: {DEB21AD3-FDA4-42F6-B57D-EE696A675EE8} (IPSUploader Control) -
as.photoprintit.de/ips-opdata/layout/default01/activex/IPSUploader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{BB45F374-E4EE-41BF-AF19-35B7B88A0D3B}:
NameServer = 134.99.128.2 134.99.128.5
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common
Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software -
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil
Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil
Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil
Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Remote Utility Services - Unknown owner -
C:\WINDOWS\system32\svshost.exe (file missing)
O23 - Service: Windows Automatic Update - Unknown owner - C:\WINDOWS\twain32.exe



"

[febrero]

febrero napisał:

> C:\WINDOWS\System32\lanmandrv.sys
> C:\WINDOWS\system32\Com\tdec.exe[UPX]

jest jeszcze trzeci plik wykryty przez avasta:
C:\cejbimjx.exe[UPX]

[Gość: Kolobos]

Heh, piracki windows bez aktualizacji i do tego jeszcze uzywasz IE, moje gratulacje...

Zamknij porty przy pomocy wwdc.exe zmien przegladarke na Opere i nie uzywaj wiecej IE.

Uzyj: download.bleepingcomputer.com/sUBs/ComboFix.exe log ktory sie utworzy po uzyciu wklej na wklej.org i daj link na forum. Do tego daj jeszcze log z gmera z zakladki rootkit (opis w linku z naglowka forum).

W hjt usun:
O4 - HKLM\..\Run: [SunJavaUpdateSched] $$
O4 - HKLM\..\Run: [$$] $$
O4 - HKLM\..\Run: [j6221035] $$
O4 - HKLM\..\Run: [ApachInc] $$
O4 - HKLM\..\Run: [,realset] $$
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} -
C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links -
{c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

Uslugi do kasacji:
O23 - Service: Remote Utility Services - Unknown owner -
C:\WINDOWS\system32\svshost.exe (file missing)
O23 - Service: Windows Automatic Update - Unknown owner - C:\WINDOWS\twain32.exe

Start->Uruchom->cmd i tam:
sc stop "Remote Utility Services"
sc delete "Remote Utility Services"
sc stop "Windows Automatic Update"
sc delete "Windows Automatic Update"

Z dysku usun:
C:\WINDOWS\System32\lanmandrv.sys
C:\WINDOWS\system32\Com\tdec.exe
C:\WINDOWS\twain32.exe

Do tego skan tym:
www.superantispyware.com/downloads/SUPERAntiSpyware.exe

[febrero]

wiec zrobilismy wszystko wg zalecen, usunieto w hjt wszystkie wskazane wpisy,
wykonano w cmd polecenia i usunieto pliki oprocz twain32 - nie mozna bylo usunac
procesu a zatem i pliku. Na koniec wykonalismy skan programem, ktory zaleciles -
wykryl ponad 200 zlych programow. Moze przez to ze twain zostal w komputerze
nadal sa trojany (wg avasta):
C:\Documents and Settings\muminka\Ustawienia lokalne\Temporar
Win32:Wopla-U [Trj]

C:\tpbv.exe[UPX]
Win32:Wopla-U [Trj]

C:\kskv.exe[UPX]
Win32:Agent-GSA [Trj]

C:\svhgxr.exe
Win32:Small-EKD [Trj]

C:\WINDOWS\system32\Com\tdec.exe[UPX]
Win32:Agent-HDR [Trj]

Jest jeden charakterystyczny objaw: po uruchomieniu skype komputer zwalnia, tak
samo dzieje sie podczas wlaczenia internetu - komputer jest mojej kobiety,
studiuje w niemczech i tam maja dostep za pomoca hasla i loginu ktory wpisuje
sie na stronie - trzeba sie zalogowac u operatora i po zalogowaniu dopiero
laczy. Ma ona takze dostep poprzez modem i wtedy wszystko dziala szybko. Jest to
wiec zwiazane z szybkim laczem.
Dzisiaj postaram sie jeszcze przekazac jej gmera i combofixa - zamieszcze logi z
tych programow.
Prosze na koniec o dystans do naszego komputerowego pirata, skrzynia trafila do
nas w spadku po kims tam - jest to polska wersja windy wiec mozliwe ze
zainstalowano pirata, w sklepach jest tylko wersja de:)
Pozdrawiam i z gory dziekuje za pomoc.
PS. Firefox dziala znacznie lepiej niz IE..

[wwwandal1]

[Gość: Kolobos]

Jezeli myslisz, ze inny antywirus cos by zmienil to jestes w bledzie (zreszta jak zawsze).

[febrero]

witam ponownie,
oto link do wklej.org, gdzie zamiescilem log z combofixa:
wklej.org/id/ec48c3e08d
z gmerem na razie nie wyszlo - komputer sie zresetowal kobiecie i trzeba robic
to od nowa:( postaramy sie powtorzyc proces.
jest w kazdym razie jedna prawidlowosc: po wlaczeniu lan'u trojany o ktorych
pisalem w poprzednim poscie sie uaktywniaja i w kolko macieju.Komuter jest
spowolniony a jest on i tak nie pierwszej mlodosci...
musimy cos zrobic z tym pudelkiem bo to nasza jedyna metoda kontaktu obecnie:)
wiem ze brzmi to rzewnie ale taka sytuacja:|

[Gość: Kolobos]

Ten log to tylko kawalek, ja poprosze o calosc.
W gmerze zrob log bez skanowania plikow moze wtedy sie nie zresetuje.

[febrero]

gmer:
GMER 1.0.12.12244 - www.gmer.net
Rootkit scan 2007-06-12 19:47:38
Windows 5.1.2600


--

[Gość: Kolobos]

> generalnie objawy pozostaly takie same

Nic dziwnego, bez logow nic sie nie da zrobic, a na te czekalem dosc dlugo..

Do kasacji te pliki:
C:\WINDOWS\system32\ntos.exe
C:\WINDOWS\system32\wsnpoem <- caly katalog wsnpoem
C:\cejbimjx.exe
C:\akikjrn.exe
C:\kskv.exe
C:\svhgxr.exe
C:\tpbv.exe
C:\wfuykr.exe
C:\WINDOWS\system32\nnwsceyt.dll
C:\WINDOWS\system32\jwnedffb.exe
C:\WINDOWS\system32\systs.exe
C:\WINDOWS\system32\erdgkbts.exe
C:\WINDOWS\system32\ps.dat
C:\WINDOWS\twain32.exe

Zeby je usunac nalezy uruchomic system w trybie awaryjnym, uruchomic killbox zaznaczyc opcje Delete on reboot do tego zaznaczyc All files i wkleic do niego liste plikow, ktora podalem (prawoklik na polu tekstowym w programie i wklej) na koniec nacisnac przycisk z bialym x'em na czerwonym tle.

Nastepnie wkleic do notatnika, zapisac jako fix.reg i uruchomic to:

REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"@"=-

[HKEY_USERS\.default\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"=-
"$$"=-


Po wszystkim daj link do nowego log'a z combofix.

[febrero]

> Zeby je usunac nalezy uruchomic system w trybie awaryjnym, uruchomic killbox

po wcisnieciu na ten krzyzyk program pokazuje komounikat ze nie moze skasowac
pliku w uzyciu i nie wykonuje resetu komputera. lista zostala skopiowana,
wklejona, zaznaczone wszystkie pliki oraz opcja kasowania podczas rebootu.

[Gość: Kolobos]

Po skopiowaniu plikow wybierz w killbox z menu Paste from Clipboard.
Ewentualnie dodaj pliki po jednym, jak dodasz wszystkie to reset.

[Gość: Kolobos]

Tutaj masz jeszcze dwa inne programy do usuwania wraz z opisem:
www.searchengines.pl/phpbb203/index.php?showtopic=12510
Uzyj ktorego chcesz byle usunac podane pliki.

[febrero]

wiec niestety ani w jednym ani w drugim nie poszlo.. :(
killbox:
Pending File Rename Operations Registry Data has been Removed by External Process
OTMovelt:
I/O error 1784
tego trzeciego nie probowalem jeszcze ale chyba nie ma sensu bo wydaje mi sie ze
problem jest tam podobny, niezalezny od programu.
wszystko bylo w trybie awaryjnym, bylo takze wylaczone przywracanie systemu,
probwalismy takze z wylaczona ta opcja..
chyba ktorys z procesow wciaz dziala w tle i blokuje usuniecie.. ?

[Gość: Kolobos]

Jednak warto sproobwac przy pomocy Avengera. Dziala on inaczej niz dwa poprzednie programy.

swandog46.geekstogo.com/avenger.exe
Sciagnij, uruchom zaznacz kropke przy "Input script manually", nacisnij na ikonke z lupa i wklej do okna, ktore sie otworzy to:

Files to delete:
C:\WINDOWS\system32\ntos.exe
C:\cejbimjx.exe
C:\akikjrn.exe
C:\kskv.exe
C:\svhgxr.exe
C:\tpbv.exe
C:\wfuykr.exe
C:\WINDOWS\system32\nnwsceyt.dll
C:\WINDOWS\system32\jwnedffb.exe
C:\WINDOWS\system32\systs.exe
C:\WINDOWS\system32\erdgkbts.exe
C:\WINDOWS\system32\ps.dat
C:\WINDOWS\twain32.exe

Folders to delete:
C:\WINDOWS\system32\wsnpoem


Naciskasz Done i na koniec ikonke z zielonym swiatlem, pozniej tylko pare razy klikasz TAK.

Po wszystkim zrob nowy log z combofix + dolacz log z Avenger'a (C:\Avenger.txt) i daj link do wklej.


PS. Usun tez z rejestru to co podalem wczesniej (fix.reg).

[febrero]

nowe combo po avengerze:
www.wklej.org/id/ddf5c77135
to jest jeszcze skan z dzisiaj z avasta:
www.wklej.org/id/028c9e1ce6

[Gość: Kolobos]

Gdzie jest log z Avenger, a o ktory prosilem?
Log z Avast nie jest potrzebny.
Dlaczego przegladarka nie zostala zmieniona na Opere lub Firefox?

Uzyj www.atribune.org/ccount/click.php?id=1 i usun wszystkie pliki z temp itd.

Do Avenger'a wklej:

Files to delete:
C:\WINDOWS\system32\TMcnt.bin
C:\WINDOWS\system32\nwbennvt.exe
C:\run23.bat
C:\ran.bat
C:\popper.exe
C:\pclient.exe
C:\WINDOWS\system32\xdrve9d.sys
C:\WINDOWS\system32\xtav3des.dll
c:\windows\retadpu2000171.exe
C:\WINDOWS\system32\lanmandrv.sys
C:\WINDOWS\system32\Com\tdec.exe

Registry values to delete:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run | "@"
HKEY_USERS\.default\software\microsoft\windows\currentversion\run | CTFMON.EXE
HKEY_USERS\.default\software\microsoft\windows\currentversion\run | "$$"

Registry keys to delete:
HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\xtav3des


Po wszystkim nowy log z combo i avengera, do tego log z:
downloads.andymanchesta.com/RemovalTools/SDFix.exe
do tego nowy log z gmera.

[febrero]

2 logi z avengera:
www.wklej.org/id/eea4600014
www.wklej.org/id/792969e877
obydwa pojawily sie po pracy avengera

to log z programu, ktory ostatnio przeslales:
www.wklej.org/id/98110eb606
log z gmera (znowu nie wiem czy to caly otrzymalem):
www.wklej.org/id/5559219ce6
log z combo:
www.wklej.org/id/c1a0ae95c7

[Gość: Kolobos]

Wkleiles stary log z Combofix, wklej nowy.
Log'a z SDFix nie wkleiles w ogole, a log z gmera nie jest caly.

Usun z dysku:
c:\program files\common files\microsoft shared\web folders\ibm00002.dll
C:\WINDOWS\system32\drivers\runtime2.sys

W razie problemow uzyj Avenger'a, juz chyba nie musze pisac co i jak..

Postaraj sie tym razem zrobic wszystko jak trzeba i nie odpisuj co pare dni jak mozesz tylko szybciej. Zanim zrobisz to co napisalem to juz masz nowe rootkity zainstalowane wiec to sie mija z celem.

[febrero]

w sdfix wybrac kolejno 1,2,3 czyli odpalic wszystkie skanery?

z gmerem mamy problemy poniewaz za kazdym razem nawet po odznaczeniu plikow
komputer sie resetuje nie konczac pracy, wyswietla komunikat o braku zasobow.

w combofixie pojawily sie dwa logi, szczerze mowiac pogubilem sie w plikach
ktore Karolina mi poprzesylala ale teraz wysle jej liste co i w jakim czasie ma
zrobic, spojrz i zweryfikuj ew:
"
tryb awaryjny:

1.usunac uzywajac avengera:
c:\program files\common files\microsoft shared\web folders\ibm00002.dll
C:\WINDOWS\system32\drivers\runtime2.sys

2.odpalic SDfix
musisz miec polaczenie z internetem (najlepiej lan)
na czarnym ekranie wybierz 11

tryb normalny:

3.wykonac logi z programow:
-gmer
-combofix
"
nie wiem co sie dzieje w SDfixie wiec bede musial polegac na jej pomyslowosci,
poza tym jak wczesniej pisalem nie wiem czy ma wykonac wszystkie trzy operacje i
czy pliki logow pojawia sie automatycznie po ukonczeniu operacji sciagania tych
skanerow.

[Gość: Kolobos]

> z gmerem mamy problemy poniewaz za kazdym razem nawet po odznaczeniu plikow
> komputer sie resetuje nie konczac pracy, wyswietla komunikat o braku zasobow.

W trybie awaryjnym rowniez? Najlepiej wszystko zrobic w trybie awaryjnym (chyba, ze dany program nie bedzie w nim dzialac to wtedy w to wykonac w normalnym).

SDFix nalezy uruchomic w trybie awaryjnym (plik RunThis.bat), nacisnac Y, poczekac az sie przeskanuje. Po wszystkim log bedzie w w katalogu sdfix (plik Report.txt).

[febrero]

combo:
www.wklej.org/id/d5101efa44
tu log z jednego ze skanow w SDFix (norman):
www.wklej.org/id/8fa3114c6b
pozostalych dwoch nie moglismy odpalic - program nie mogl sciagnac plikow

gmer chyba znowy jest za krotki..:
www.wklej.org/id/519e8db9d2

> W trybie awaryjnym rowniez? Najlepiej wszystko zrobic w trybie awaryjnym
>(chyba, ze dany program nie bedzie w nim dzialac to wtedy w to wykonac w
>normalnym).
w awaryjnym takze, do tego nie moglismy polaczyc sie z int w awaryjnym, nie wiem
moze mamy za mala wiedze w tym zakresie

> SDFix nalezy uruchomic w trybie awaryjnym (plik RunThis.bat), nacisnac Y,
w sdfix nie ma opcji Y, jest tylko 1,2 lub 3 i potem enter - sa to trzy inne
programy do skanowania. Uruchamiamy plikiem bat.

[Gość: Kolobos]

> w awaryjnym takze, do tego nie moglismy polaczyc sie z int w awaryjnym, nie
> wiem moze mamy za mala wiedze w tym zakresie

Trzeba wybrac Tryb awaryjny z obsluga sieci, chyba, ze tez nie dziala?

> w sdfix nie ma opcji Y, jest tylko 1,2 lub 3 i potem enter - sa to trzy inne
> programy do skanowania. Uruchamiamy plikiem bat.

Po uruchomieniu w trybie awaryjnym wyswietla sie inne menu.

Log z gmera wyglada ok.
Log z Sdfix nie jest caly, to chyba tylko poczatek.

Do kasacji z dysku te pliki:
C:\svhgxr.exe
C:\wfuykr.exe
C:\WINDOWS\system32\xniktibx.dll

Jak juz ich nie bedzie to daj nowe logi z combo, hjt oraz gmera i oby juz nic nie bylo.

Warto tez zainstalowac firewall www.personalfirewall.comodo.com/ i nie dopuscic do sciagniecia kolejnych smieci (w czasie usuwania).

[febrero]

wiec wszystko chyba chodzi dobrze :)
oto logi:
gmer:
www.wklej.org/id/ac11c71694
combo:
www.wklej.org/id/a1d884c7bb
sdfix:
www.wklej.org/id/224ae32df1
Zainstalowalismy firewalla przed wszystkim, tak jak radziles. Czy jest jakis
firewall, ktory obciaza w mniejszym stopniu system ? moze jest cos co laczy
antywirusa i firewalla w jednym, a moze zostawic sam firewall, zeby odciazyc system?

[Gość: Kolobos]

Jeszcze tylko zostal do kasacji wpis w hjt dotyczacy tego pliku: C:\WINDOWS\System32\xniktibx.dll.
Rozwiazania zintegrowane (firewall + antywirus) obciazaja system jeszcze bardziej. Warto pomyslec o kupnie ramu jezeli jest mniej niz 512MB.

koniec

[febrero]

chce podziekowac uzytkownikowi Kolobos za jego pomoc, cierpliwosc i tez
zyczliwosc:) dzieki niemu to miejsce jest jednym z niewielu, gdzie nikt ze swoim
czasami powaznym problemem nie zostanie sam.
Jeszcze raz dziekuje i pozdrawiam.
Nastepnym razem postaram sie sprawniej wypelniac zalecenia;) i oby nie bylo
nastepnych razow zbyt wiele;)
pozdrawiamy (Karolina jest juz szczesliwa:))
PS. sprawa skonczy sie definitywnie na dokupieniu RAM-u:)