Problem z wirusami + niedziałające gg [log]

**Posty:** 169 · przez **hakerek** 07 Lis 2009, 20:51

Witam, wczoraj zostałem "zaatakowany" przez jakieś wirusy. Nod od razu wykrył 2, w tym 1 z nich w liczbie 10:

Uruchomiłem potem pełny skan Nodem i już nic nie znalazł. Skanowałem kompa też Malwarebytes' Anti Malware i znalazł 6 zagrożeń, które usunałem. Chciałbym, abyscie sprawdzili loga czy komp jest zainfekowany czymś jeszcze. Dodam, że właśnie od wczorajszej infekcji nie działa mi GG. Włącza się na sekundę i od razu samoczynnie się zamyka (próbowałem reinstalacji). Oto log z OTL:
http://wklej.org/id/198288/

P.S. Czy wiecie jak mogę usunąć wirusy z kwarantanny Noda? Bo mam tam w sumie 18 wirusów i jedynie mogę je usunąć z kwarantanny (czyli przywrócić czego nie chciałbym robić).

Z góry dzięki za wszelką pomoc.

**Posty:** 18165 · przez **wojtas** 07 Lis 2009, 20:59

1.Uruchom OTL z opcji CleanUp
2. wykonaj optymalizację windowsa
3.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem]

**Posty:** 169 · przez **hakerek** 07 Lis 2009, 21:21

Optymalizację już wcześniej robiłem (problem jest od wczoraj), punkt 1 i 3 zrobione.

Nie jestem tylko pewien, czy komp jest już czysty bo jednak wirusków trochę było i się trochę boję bo kompa używam do internetowego konta bankowego, itp.. Na dodatek GG jak się wyłączało od razu po uruchomieniu tak i teraz robi (oczywiście próbowałem reinstalki).

Jak coś to daję nowy, kontrolny log z OTL: (daję na wklej.eu bo wklej.org nie działa):

http://www.wklej.eu/index.php?id=c5162b7d8f

**Posty:** 18165 · przez **wojtas** 08 Lis 2009, 18:25

Daj loga z combofixa ale zainstaluj wraz z nim konsolę odzyskiwania ( instrukcja programu )

**Posty:** 169 · przez **hakerek** 08 Lis 2009, 19:51

Zrobione wszystko według instrukcji, log z Combofixa:

http://wklej.org/id/199278/

albo

Kod: Zaznacz wszystko: ComboFix 09-11-07.04 - tomek 08/11/2009 17:35.1.2 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.3.1252.44.1033.18.1023.518 [GMT 0:00] Running from: c:\documents and settings\tomek\Desktop\ComboFix.exe AV: BitDefender Antivirus *On-access scanning disabled* (Updated) {6C4BB89C-B0ED-4F41-A29C-4373888923BB} AV: ESET NOD32 Antivirus 4.0 *On-access scanning enabled* (Updated) {E5E70D32-0101-4F12-8FB0-D96ACA4F34C0} FW: BitDefender Firewall *disabled* {4055920F-2E99-48A8-A270-4243D2B8F242} . ((((((((((((((((((((((((((((((((((((((( Other Deletions ))))))))))))))))))))))))))))))))))))))))))))))))) . c:\documents and settings\tomek\Application Data\inst.exe c:\windows\kb913800.exe c:\windows\system32\logs c:\windows\system32\ws2_32.dll . . . is infected!! . ((((((((((((((((((((((((( Files Created from 2009-10-08 to 2009-11-08 ))))))))))))))))))))))))))))))) . 2009-11-07 19:57 . 2009-11-07 19:57 -------- d-----w- c:\program files\Konnekt 2009-11-07 19:44 . 2009-11-07 19:46 -------- d-----w- c:\documents and settings\tomek\Application Data\Nowe Gadu-Gadu 2009-11-07 19:44 . 2009-11-07 19:45 -------- d-----w- c:\program files\Nowe Gadu-Gadu 2009-11-07 17:12 . 2009-11-07 17:27 -------- d-----w- c:\program files\RegCleaner 2009-11-06 23:01 . 2009-11-06 23:01 -------- d-sh--w- c:\windows\system32\config\systemprofile\IETldCache 2009-11-04 14:05 . 2009-11-04 14:06 -------- d-----w- c:\program files\JDownloader 2009-10-28 12:44 . 2009-10-28 12:44 42088 ----a-w- c:\documents and settings\tomek\Application Data\Nowe Gadu-Gadu\_userdata\ggbho.1.dll 2009-10-28 12:04 . 2009-10-28 12:04 11264 ----a-w- c:\documents and settings\tomek\Application Data\Nowe Gadu-Gadu\_userdata\npgg.1.dll 2009-10-21 21:44 . 2004-11-14 05:27 212992 ----a-w- c:\windows\system32\sql.dll 2009-10-21 21:44 . 2009-10-21 21:44 -------- d-----w- c:\program files\MP3 Cutter 2009-10-21 15:47 . 2009-10-21 15:54 52141 ----a-w- c:\windows\War3Unin.dat 2009-10-21 15:47 . 2009-10-21 15:54 2829 ----a-w- c:\windows\War3Unin.pif 2009-10-21 15:47 . 2009-10-21 15:54 139264 ----a-w- c:\windows\War3Unin.exe 2009-10-21 15:45 . 2009-10-21 16:19 -------- d-----w- c:\program files\Warcraft III 2009-10-14 23:58 . 2009-10-14 23:58 41872 ----a-w- c:\windows\system32\xfcodec.dll . (((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2009-11-07 19:57 . 2009-03-06 16:32 -------- d-----w- c:\documents and settings\All Users\Application Data\stamina 2009-11-07 15:57 . 2009-09-07 19:58 -------- d-----w- c:\documents and settings\tomek\Application Data\Xfire 2009-11-06 23:03 . 2009-03-18 22:04 50056 ----a-w- c:\documents and settings\tomek\Local Settings\Application Data\GDIPFONTCACHEV1.DAT 2009-11-06 23:00 . 2009-11-06 23:00 96256 ----a-w- c:\windows\system32\3A3E.tmp 2009-11-06 16:17 . 2009-09-07 19:58 -------- d-----w- c:\program files\Xfire 2009-11-04 21:22 . 2009-08-07 17:46 -------- d-----w- c:\program files\Microsoft Games 2009-11-04 21:18 . 2009-03-06 16:21 -------- d-----w- c:\program files\Opera 2009-10-29 19:14 . 2009-05-01 17:58 -------- d-----w- c:\documents and settings\tomek\Application Data\Hamachi 2009-10-13 20:09 . 2009-03-06 15:11 -------- d--h--w- c:\program files\InstallShield Installation Information 2009-10-13 20:09 . 2009-08-17 12:38 -------- d-----w- c:\program files\LucasArts 2009-10-10 18:51 . 2009-08-28 12:23 -------- d-----w- c:\program files\ESET 2009-10-08 21:32 . 2009-10-08 21:32 -------- d-----w- c:\program files\Hearts of Iron 2 2009-10-08 21:14 . 2009-10-08 19:14 -------- d-----w- c:\program files\Odkurzacz 2009-10-08 19:27 . 2009-05-07 20:20 -------- d-----w- c:\documents and settings\tomek\Application Data\skypePM 2009-10-08 17:07 . 2009-10-08 17:07 -------- d-----w- c:\documents and settings\tomek\Application Data\Malwarebytes 2009-10-08 17:07 . 2009-10-08 17:07 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware 2009-10-08 17:07 . 2009-10-08 17:07 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes 2009-10-08 16:09 . 2009-03-19 13:26 -------- d-----w- c:\program files\SystemRequirementsLab 2009-10-08 16:09 . 2009-10-08 16:09 138240 ----a-w- c:\documents and settings\tomek\Application Data\SystemRequirementsLab\SRLProxy_srl_4_1_13_0_d.dll 2009-10-08 16:09 . 2009-10-08 16:09 138240 ----a-w- c:\documents and settings\tomek\Application Data\SystemRequirementsLab\SRLProxy_srl_4_1_13_0_c.dll 2009-10-08 16:09 . 2009-10-08 16:09 138240 ----a-w- c:\documents and settings\tomek\Application Data\SystemRequirementsLab\SRLProxy_srl_4_1_13_0_b.dll 2009-10-08 16:09 . 2009-10-08 16:09 138240 ----a-w- c:\documents and settings\tomek\Application Data\SystemRequirementsLab\SRLProxy_srl_4_1_13_0_a.dll 2009-10-08 16:09 . 2009-03-19 13:26 -------- d-----w- c:\documents and settings\tomek\Application Data\SystemRequirementsLab 2009-10-07 14:00 . 2009-10-07 14:00 -------- d-----w- c:\documents and settings\All Users\Application Data\NCH Software 2009-10-07 13:47 . 2009-10-07 13:47 -------- d-----w- c:\program files\Common Files\Vbox 2009-10-07 13:46 . 2009-10-07 13:46 -------- d-----w- c:\program files\directx 2009-10-02 17:26 . 2009-08-29 20:15 -------- d-----w- c:\program files\Morrowind 2009-10-01 22:57 . 2009-03-10 22:05 -------- d-----w- c:\documents and settings\tomek\Application Data\Winamp 2009-10-01 20:47 . 2009-03-07 17:04 -------- d-----w- c:\program files\Winamp 2009-09-27 19:29 . 2009-09-27 19:29 -------- d-----w- c:\program files\Microsoft 2009-09-27 19:29 . 2009-09-27 19:28 -------- d-----w- c:\program files\Windows Live 2009-09-27 19:28 . 2009-09-27 19:28 -------- d-----w- c:\program files\Windows Live SkyDrive 2009-09-27 19:14 . 2009-09-27 19:14 -------- d-----w- c:\program files\Common Files\Windows Live 2009-09-25 18:50 . 2009-09-25 18:50 45 ----a-w- c:\documents and settings\tomek\jagex_runescape_preferences2.dat 2009-09-25 18:50 . 2009-09-25 18:49 38 ----a-w- c:\documents and settings\tomek\jagex_runescape_preferences.dat 2009-09-16 17:42 . 2009-05-07 20:16 -------- d-----w- c:\documents and settings\tomek\Application Data\Skype 2009-09-11 17:41 . 2009-09-11 17:30 -------- d-----w- c:\documents and settings\tomek\Application Data\BESTplayer 2009-09-11 16:46 . 2009-09-11 16:46 -------- d-----w- c:\documents and settings\tomek\Application Data\Media Player Classic 2009-09-11 16:44 . 2009-09-11 16:44 -------- d-----w- c:\program files\Real Alternative 2009-09-11 14:18 . 2004-08-10 19:00 136192 ----a-w- c:\windows\system32\msv1_0.dll 2009-09-10 13:54 . 2009-10-08 17:07 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys 2009-09-10 13:53 . 2009-10-08 17:07 19160 ----a-w- c:\windows\system32\drivers\mbam.sys 2009-09-04 21:03 . 2004-08-10 19:00 58880 ----a-w- c:\windows\system32\msasn1.dll 2009-08-29 08:08 . 2004-08-10 19:00 916480 ----a-w- c:\windows\system32\wininet.dll 2009-08-28 11:41 . 2009-08-28 11:41 39424 ----a-w- c:\windows\ia32.dll 2009-08-27 11:47 . 2009-08-27 11:47 0 ----a-w- c:\windows\nsreg.dat 2009-08-26 08:00 . 2004-08-10 19:00 247326 ----a-w- c:\windows\system32\strmdll.dll 2009-08-12 14:15 . 2009-08-12 13:50 81984 ----a-w- c:\windows\system32\bdod.bin . ------- Sigcheck ------- [-] 2008-04-14 . D9E13D433D21498EB4E89E330ECB4A0C . 82432 . . [5.1.2600.5512] . . c:\windows\ServicePackFiles\i386\ws2_32.dll [-] 2008-04-14 . D9E13D433D21498EB4E89E330ECB4A0C . 82432 . . [5.1.2600.5512] . . c:\windows\system32\ws2_32.dll [-] 2004-08-10 . 2ED0B7F12A60F90092081C50FA0EC2B2 . 82944 . . [5.1.2600.2180] . . c:\windows\$NtServicePackUninstall$\ws2_32.dll . ((((((((((((((((((((((((((((((((((((( Reg Loading Points )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Note* empty entries & legit default entries are not shown REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "DAEMON Tools Lite"="c:\program files\DAEMON Tools Lite\daemon.exe" [2009-04-23 691656] "Konnekt"="c:\program files\Konnekt\konnekt.exe" [2005-05-24 503808] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "ehTray"="c:\windows\ehome\ehtray.exe" [2005-08-05 64512] "VX1000"="c:\windows\vVX1000.exe" [2006-06-29 707376] "egui"="c:\program files\ESET\ESET NOD32 Antivirus\egui.exe" [2009-02-06 2021400] "Malwarebytes Anti-Malware (reboot)"="c:\program files\Malwarebytes' Anti-Malware\mbam.exe" [2009-09-10 1312080] "High Definition Audio Property Page Shortcut"="HDAShCut.exe" - c:\windows\system32\HdAShCut.exe [2005-01-07 61952] "RTHDCPL"="RTHDCPL.EXE" - c:\windows\RTHDCPL.EXE [2005-09-22 14854144] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360] c:\documents and settings\tomek\Start Menu\Programs\Startup\ Shortcut to Xfire.lnk - c:\program files\Xfire\Xfire.exe [2009-10-14 3141008] [HKLM\~\startupfolder\C:^Documents and Settings^All Users^Start Menu^Programs^Startup^Adobe Reader Speed Launch.lnk] path=c:\documents and settings\All Users\Start Menu\Programs\Startup\Adobe Reader Speed Launch.lnk backup=c:\windows\pss\Adobe Reader Speed Launch.lnkCommon Startup [HKLM\~\startupfolder\C:^Documents and Settings^All Users^Start Menu^Programs^Startup^Extender Resource Monitor.lnk] path=c:\documents and settings\All Users\Start Menu\Programs\Startup\Extender Resource Monitor.lnk backup=c:\windows\pss\Extender Resource Monitor.lnkCommon Startup [HKLM\~\startupfolder\C:^Documents and Settings^tomek^Start Menu^Programs^Startup^Adobe Gamma.lnk] path=c:\documents and settings\tomek\Start Menu\Programs\Startup\Adobe Gamma.lnk backup=c:\windows\pss\Adobe Gamma.lnkStartup [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "%windir%\\Network Diagnostic\\xpnetdiag.exe"= "c:\\Program Files\\Messenger\\msmsgs.exe"= "c:\\Program Files\\Valve\\hl.exe"= "c:\\Program Files\\Team17\\Worms World Party\\Wwp.exe"= "c:\\Program Files\\Microsoft LifeCam\\LifeCam.exe"= "c:\\Program Files\\Microsoft Games\\Age of Empires\\EMPIRESX.EXE"= "c:\\WINDOWS\\system32\\dplaysvr.exe"= "c:\\Program Files\\Java\\jre6\\bin\\javaw.exe"= "c:\\Program Files\\Java\\jre6\\bin\\java.exe"= "c:\\Program Files\\Xfire\\Xfire.exe"= "c:\\Program Files\\LucasArts\\Star Wars Jedi Knight Jedi Academy\\GameData\\jamp.exe"= "c:\\Program Files\\Skype\\Phone\\Skype.exe"= "c:\\Program Files\\Windows Live\\Messenger\\wlcsdk.exe"= "c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"= "c:\\Program Files\\Microsoft Games\\Age of Empires II\\empires2.exe"= "c:\\Program Files\\Bonjour\\mDNSResponder.exe"= "c:\\Program Files\\Nowe Gadu-Gadu\\gg.exe"= "c:\\Program Files\\Konnekt\\konnekt.exe"= [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List] "3776:UDP"= 3776:UDP:Media Center Extender Service "3390:TCP"= 3390:TCP:*:Disabled:Remote Media Center Experience R1 ehdrv;ehdrv;c:\windows\system32\drivers\ehdrv.sys [06/02/2009 13:23 106208] R1 epfwtdir;epfwtdir;c:\windows\system32\drivers\epfwtdir.sys [06/02/2009 13:24 93336] R2 ekrn;ESET Service;c:\program files\ESET\ESET NOD32 Antivirus\ekrn.exe [06/02/2009 13:23 727720] S3 npggsvc;nProtect GameGuard Service;c:\windows\system32\GameMon.des -service --> c:\windows\system32\GameMon.des -service [?] --- Other Services/Drivers In Memory --- *NewlyCreated* - MBR *NewlyCreated* - PROCEXP113 *Deregistered* - mbr *Deregistered* - PROCEXP113 [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost] QWAVE REG_MULTI_SZ QWAVE . . ------- Supplementary Scan ------- . uInternet Settings,ProxyOverride = *.local uInternet Settings,ProxyServer = 80.249.185.2:3128 IE: E&ksport do programu Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 FF - ProfilePath - c:\documents and settings\tomek\Application Data\Mozilla\Firefox\Profiles\1itr13tr.default\ FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\ . - - - - ORPHANS REMOVED - - - - HKLM-Run-StartCCC - c:\program files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe AddRemove-DAEMON Tools Toolbar - c:\program files\DAEMON Tools Toolbar\uninst.exe AddRemove-Spolszczenie - c:\program files\Mount&Blade\uninst.exe ************************************************************************** catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2009-11-08 17:43 Windows 5.1.2600 Service Pack 3 NTFS scanning hidden processes ... scanning hidden autostart entries ... scanning hidden files ... scan completed successfully hidden files: 0 ************************************************************************** Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net device: opened successfully user: MBR read successfully called modules: ntoskrnl.exe catchme.sys CLASSPNP.SYS disk.sys ACPI.sys hal.dll atapi.sys spgr.sys >>UNKNOWN [0x87388938]<< kernel: MBR read successfully user & kernel MBR OK Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net atapi.sys @ 0x0 0x0 bytes \Driver\atapi [ IRP_MJ_CREATE ] 0xA6F2 != 0xF7616B40 atapi.sys \Driver\atapi [ IRP_MJ_CLOSE ] 0xA6F2 != 0xF7616B40 atapi.sys \Driver\atapi [ IRP_MJ_DEVICE_CONTROL ] 0xA712 != 0xF7616B40 atapi.sys \Driver\atapi [ IRP_MJ_INTERNAL_DEVICE_CONTROL ] 0x6852 != 0xF7616B40 atapi.sys \Driver\atapi [ IRP_MJ_POWER ] 0xA73C != 0xF7616B40 atapi.sys \Driver\atapi [ IRP_MJ_SYSTEM_CONTROL ] 0x11336 != 0xF7616B40 atapi.sys \Driver\atapi IRP hooks detected ! ************************************************************************** [HKEY_LOCAL_MACHINE\System\ControlSet003\Services\npggsvc] "ImagePath"="c:\windows\system32\GameMon.des -service" . --------------------- DLLs Loaded Under Running Processes --------------------- - - - - - - - > 'winlogon.exe'(600) c:\windows\system32\Ati2evxx.dll . Completion time: 2009-11-08 17:46 ComboFix-quarantined-files.txt 2009-11-08 17:46 Pre-Run: 137,376,403,456 bytes free Post-Run: 137,302,667,264 bytes free WindowsXP-KB310994-SP2-Pro-BootDisk-ENU.exe [boot loader] timeout=2 default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS [operating systems] c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Windows XP Media Center Edition" /noexecute=optin /fastdetect - - End Of File - - 95C72AFBBF1D772621FE87CD79D3B461

**Posty:** 18165 · przez **wojtas** 08 Lis 2009, 22:32

wrzuć ten plik do system32:
http://www.dll-files.com/dllindex/dll-files.shtml?ws2_32
(podmień)

**Posty:** 169 · przez **hakerek** 08 Lis 2009, 23:12

Wyświetla mi, ze ten plik jest uzywany przez jakiś inny program. Czy mam go zastąpić w trybie awaryjnym, czy możee jest na to jakiś inny sposób?

**Posty:** 18165 · przez **wojtas** 08 Lis 2009, 23:14

sprobuj w awaryjnym lub programem:

http://www.searchengines.pl/Replacer-t89288.html

**Posty:** 169 · przez **hakerek** 08 Lis 2009, 23:35

Teraz po restarcie mam 2 opcje do wyboru:

1. Normalne uruchomienie systemu, gdzie od razu komp sie restartuje po pasku ladowania Windowsa.

2. Konsola przywracania, gdzie mam pole do wpisywania komend.

Plik zastapilem tym programikem, ktory cos mowil o kopii zapasowej, ale nie wiem czy da rade jakos naprawic systrem?

**Posty:** 18165 · przez **wojtas** 09 Lis 2009, 15:47

hakerek napisał(a):Teraz po restarcie mam 2 opcje do wyboru:

tak powinno być

efekt combofixa

daj jeszcze dla pewnosci loga z comobofixa nowego

**Posty:** 169 · przez **hakerek** 09 Lis 2009, 16:49

No tak, ale system sie nie uruchamia

**Posty:** 18165 · przez **wojtas** 09 Lis 2009, 17:42

wejdz do konsoli odzyskiwania:

http://www.searchengines.pl/phpbb203/index.php?showtopic=14270

i wpisz:

chkdsk c: /p /r

potem exit. i napisz jak sytuacja

**Posty:** 169 · przez **hakerek** 09 Lis 2009, 20:27

Sprawdzal ten dysk bardzo dlugo i niby naparawil "jeden lub wiecej bledow", ale system ciagle sie nie uruchamia. Po pasku bootwania Windows XP komp sie restartuje.

**Posty:** 18165 · przez **wojtas** 09 Lis 2009, 21:23

wpisz jeszcze polecenie ,

fixboot
potem
fixmbr
potem exit

**Posty:** 169 · przez **hakerek** 09 Lis 2009, 21:29

Wpisalem i zatwierdzilem obie komendy. Niestety nie pomoglo

Chyba bede musial zrobic formata...

**Posty:** 18165 · przez **wojtas** 09 Lis 2009, 21:52

a awaryjny działa?

**Posty:** 169 · przez **hakerek** 09 Lis 2009, 21:57

Nie, tez sie resetuje

**Posty:** 18165 · przez **wojtas** 09 Lis 2009, 22:05

jak mialem taki problem to wpisanie po kolei chkdsk , fixboot i fixmbr mi pomogło.. nie wiem co w tej sytuacji zrobić.. może ktos bedzie wiedział

Kto jest na forum