Bardzo proszę o pomoc-jest źle, nawet bardzo....:(

[betty_julcia]

Dzis zainstalowałam program antuwirusowy po długiej nieaktywności
mojego i po prostu komputer wariuje.
A ze i ja średnio sie znam, to co sie dzieje przerasta mnie.

Udało mi się zrobić log z hijack natomaist nie wiem dlaczego nie
mogę uruchomić u mnie combofix.

Jak uruchamiam komputer pojawia się informacja ze nie może znaleźć
pliku actvexdebugger.exe, ze brak tego pliku

Poza tym drugi komunikat: amvo.exe w aplikacji wystąpił wyjątek
unknown software exception (0xc0000096)pod adresem OX1001431f

Nie moge uruchomić tego wklej.org wiec tu wklejam loga

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:05, on 2008-03-06
Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Common Files\Symantec Shared\ccProxy.exe
C:\WINDOWS\system32\slserv.exe
C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\Java\j2re1.4.2_13\bin\jusched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Gadu-Gadu\gg.exe
C:\DOCUME~1\spv\wcescomm.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\DOCUME~1\spv\rapimgr.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar =
szukaj.wp.pl
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL
= www.gericom.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title =
Neostrada TP
R0 - HKCU\Software\Microsoft\Internet
Explorer\Toolbar,LinksFolderName = Łącza
R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-
BE1A89362C85} - C:\PROGRA~1\NEOSTR~1\SEARCH~1.DLL
F2 - REG:system.ini: Shell=Explorer.exe activexdebugger32.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-
784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0
CE\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} -
C:\Program Files\Common Files\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} -
C:\Program Files\Norton Internet Security\Norton
AntiVirus\NavShExt.dll
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-
A37C9A5676A7} - C:\Program Files\Common Files\Symantec
Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-
7859DF00B1D6} - C:\Program Files\Norton Internet Security\Norton
AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec
Shared\ccApp.exe"
O4 - HKLM\..\Run: [URLLSTCK.exe] C:\Program Files\Norton Internet
Security\UrlLstCk.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program
Files\Java\j2re1.4.2_13\bin\jusched.exe
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir
PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program
Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-
Gadu\gg.exe" /tray
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\DOCUME~1
\spv\wcescomm.exe"
O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32
\CTFMON.EXE (User 'USŁUGA LOKALNA')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32
\CTFMON.EXE (User 'USŁUGA SIECIOWA')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32
\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32
\CTFMON.EXE (User 'Default user')
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st
800-840\dslmon.exe
O9 - Extra button: Messenger - -{FB5F1910-F110-11d2-BB9E-
00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - -{FB5F1910-F110-
11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-
00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-
AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-
00C04FAE2D4F} - C:\DOCUME~1\spv\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-
00C04FAE2D4F} - C:\DOCUME~1\spv\INetRepl.dll
O9 - Extra 'Tools' menuitem: Utwórz łącze Ulubione dla urządzenia
przenośnego... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\DOCUME~1
\spv\INetRepl.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-
3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O12 - Plugin for .mid: C:\Program Files\Internet
Explorer\PLUGINS\npqtplugin.dll
O12 - Plugin for .pdf: C:\Program Files\Internet
Explorer\PLUGINS\nppdf32.dll
O14 - IERESET.INF: START_PAGE_URL=www.gericom.com
O23 - Service: AntiVir PersonalEdition Classic Scheduler
(AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir
PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard
(AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir
PersonalEdition Classic\avguard.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec
Corporation - C:\Program Files\Common Files\Symantec
Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec
Corporation - C:\Program Files\Common Files\Symantec
Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec
Corporation - C:\Program Files\Common Files\Symantec
Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec
Corporation - C:\Program Files\Common Files\Symantec
Shared\ccSetMgr.exe
O23 - Service: Usługa Auto Protect programu Norton AntiVirus
(navapsvc) - Symantec Corporation - C:\Program Files\Norton Internet
Security\Norton AntiVirus\navapsvc.exe
O23 - Service: Network Client Monitor - Unknown owner -
C:\WINDOWS\system32\nvchost.exe (file missing)
O23 - Service: SAVScan - Symantec Corporation - C:\Program
Files\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec
Corporation - C:\PROGRA~1\COMMON~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32
\slserv.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec
Corporation - C:\Program Files\Common Files\Symantec
Shared\SNDSrvc.exe

--
End of file - 6721 bytes

[Gość: Kolobos]

Typowa infekcja z pendrive'a.
Daj log z hijackthis oraz DSS oba wklej na wklej.org i podaj link.

[betty_julcia]

Nie mogę znaleźć co to jest DDS.

Dlaczego nie moge przeskanować combofixem?
Za każdym razem jak uruchamiam combo robi sie takie niebieskie tlo,
na nim okienko z informacją ze skanuje, pisze:
Completed Stage _1 do _7 i dalej nic, tak jakby sie zawiesił,
czekalm 25 min i nic. Czy on tak długo pracuje, czy zawiesza się?
Musze go na twardo zresetować.

[Gość: Kolobos]

Tutaj masz DSS:
cybertrash.pl/images/tata/ComboScan/ComboScan.html
> Dlaczego nie moge przeskanować combofixem?

Nie wiem, ale to nie jest wazne. Uzyj DSS.

log z hijackthis

[betty_julcia]

ma nadzieję ze dobrze zrobiłam
wklej.org/id/41e6b2a6b1

log z dds

[betty_julcia]

main wklej.org/id/247101ee3b

extra wklej.org/id/cff92d65d2

[Gość: Kolobos]

Odinstaluj Nortona i nigdy nie instaluj wiecej niz jednego programu antywirusowego.

Podlacz zainfekowany pendrive.
Uzyj Avengera: cybertrash.pl/images/tata/Avenger/Avenger.html
wklej do niego taki skrypt:

Files to delete:
H:\activexdebugger32.exe
H:\autorun.inf
G:\activexdebugger32.exe
G:\autorun.inf
C:\a3g3.bat
C:\autorun.inf
F:\activexdebugger32.exe
F:\d6fagcs8.cmd
F:\autorun.inf

Drivers to unload:
Network Client Monitor

Po uzyciu daj log z avenger'a na wklej i podaj link.

Wklej tez do notatnika:
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"amva"=-

[HKEY_USERS\.default\software\microsoft\windows\currentversion\run]
"Microsoft Services"=-

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Microsoft Services]

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Online Service]

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SoundControl]

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{09a29a3c-1ff3-11dc-868b-a38aa07ff91c}]

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{62c75aef-ddfd-11dc-885c-00030d0468e5}]

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{93502b44-bd39-11dc-880b-00030d0468e5}]

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{9ee6a65f-d89b-11dc-8854-00030d0468e5}]

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{d719b282-0e02-11dc-867a-d99b1834a31d}]

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{e876bd59-1e75-11dc-8689-df6d6423941c}]

Zapisz jako fix.reg i uruchom. Na koniec uzyj ATF Cleaner i usun wszystko z temp itd + daj nowy log z dss. Nie zaszkodzi tez skan przy pomocy SuperAntiSpyware.

Próbuję i...

[betty_julcia]

Wywaliłam nortona, zainstalowałam the Avengera, wklejam to co
podałeś a tam wyskakuje okienko z tekstem:
Erroe. Invalid skript. A valid skript must begin with a command
directive. Aborting executive.

Aha

[betty_julcia]

Wklejam to całe ?

Files to delete:
H:\activexdebugger32.exe
H:\autorun.inf
G:\activexdebugger32.exe
G:\autorun.inf
C:\a3g3.bat
C:\autorun.inf
F:\activexdebugger32.exe
F:\d6fagcs8.cmd
F:\autorun.inf

Drivers to unload:
Network Client Monitor

Czy bez dwóch ostatnich linijek?

[Gość: Kolobos]

Wklejasz to:
Files to delete:

H:\activexdebugger32.exe
H:\autorun.inf
G:\activexdebugger32.exe
G:\autorun.inf
C:\a3g3.bat
C:\autorun.inf
F:\activexdebugger32.exe
F:\d6fagcs8.cmd
F:\autorun.inf

Drivers to unload:

Network Client Monitor

Najlepiej wklej wczeniej do notatnika i dopiero z niego do avenger'a lub napisz recznie w oknie skryptu: Files to delete: i wklej nazwy plikow.

[Gość: Kolobos]

Widze, ze w nowej wersji zmienilo sie: Drivers to unload: na Drivers to delete: wiec popraw w tym co podalem.

[betty_julcia]

Witaj.
Odzywam sie dopiero teraz bo wcześniej nie mialam dostępu do
laptopa. Wykonalam instrukcje do Avengera i coś wyszło. Ale chyba
nie tak jak powinno bo grzebałam wcześniej w pendrivie (mp3). W
każdyma razie wysyłam LOG z Avengera, proszę o sprawdzenie i
instrukcjer co dalej. Czy wykonywać teraz tą instrukcję z fix.reg
czy sie wstrzymać na razie?

LOG z Avengera wklej.org/id/43ead5fbb6

[Gość: Kolobos]

Daj nowy log z combofix, oczywiscie wczesniej uzyj fix.reg (co powinnas zrobic juz dawno..).

ATF Cleaner

[betty_julcia]

nie do końca wiem co mam zaznaczyć w tym ATF Cleaner. Czy mam cos
pozaznacza? Napisałeś temp itd. Czyli wszystkie punkty gdzie jest
napisane temporary? czy wszystko zaznaczyć? I co wcisnąć? Empty
selected?

Ok, mam LOG z dds

[betty_julcia]

wklej.org/id/6e0de2e0d1

[Gość: Kolobos]

W ATF zaznacz wszystkie Temp*.

Wklej do notatanika:
REGEDIT4

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{f0dfcfdc-0221-11db-84f5-00030d0468e5}]

Zapisz jako fix.reg i uruchom.

Reszta jest ok.

Ps. Mam nadzieje, ze usunelas trojany z F: (chyba pendrive tak?).

Nowy LOG

[betty_julcia]

www.wklej.org/id/0fc96c60ba
to mp3 która słuzy mi za pendriva:)

teraz przeskanuję kompa i zobaczę co z tych moich poczynań wyszło:)

Aha

[betty_julcia]

Czy mogę mieć na kompie SuperAntiSpyware i Avirę czy z czegoś
zrezygnować?

[Gość: Kolobos]

Moze miec oba.

[betty_julcia]

Skanuję SuperAntiSpyware i juz mi powykrywał coś zainfekowane...

[Gość: Kolobos]

> Skanuję SuperAntiSpyware i juz mi powykrywał coś zainfekowane...

Jak juz skonczy skanowac to usun wszystko co wykryl i nie nudz, a jak juz chcesz nudzic to pisz co DOKLADNIE wykryl pewnie same ciastka..

Zatem konkrety

[betty_julcia]

bez przynudzania ;)

www.wklej.org/id/c5739f46be

Log z CoboFix

[betty_julcia]

udało się go uruchomić

www.wklej.org/id/02471d2090

[Gość: Kolobos]

Znowu masz wpis:
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{93502b44-bd39-11dc-880b-00030d0468e5}]
\Shell\Auto\command - F:\activexdebugger32.exe f
\Shell\AutoRun\command - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL activexdebugger32.exe f
\Shell\explore\Command - F:\activexdebugger32.exe f
\Shell\open\Command - F:\activexdebugger32.exe f

Wyglada na to, ze podlaczasz caly czas ten zainfekownay pendrive/mp3 i wpis Ci sie dodaje. Zostaw go podlaczonego.

Utworz na pulpicie plik CFScript.txt i wklej do niego:

File::
C:\WINDOWS\SYSTEM32\CONFIG\SYSTEMPROFILE\USTAWIENIA LOKALNE\TEMPORARY INTERNET FILES\CONTENT.IE5\816V4H2V\NVCHOST[1].EXE
C:\WINDOWS\MSREG.EXE
F:\autorun.inf
F:\activexdebugger32.exe

Registry::
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{93502b44-bd39-11dc-880b-00030d0468e5}]

Zapisz i przeciagnij go na ikone combofix.exe, po uzyciu daj log z combofix.

[betty_julcia]

www.wklej.org/id/7f907ab719

[Gość: Kolobos]

Juz wszystko jest ok.

Dziękuję:) Jestem ci bardzo wdzięczna:)

[betty_julcia]