Комбофикс

[Andrew281]

Здравствуйте ,воспользовался программой косбофикс.
Возникло пара вопросов:
1.не установил Recovery console — это сильно сташно?
2.удалил программу ,но процедура удаления была такая же как и поиск вирусов ,делал все правильно.
Это так и должно быть?
3.осталась папка C:Qoobox в ней папка Quarantine ,а в ней я на сколько понимаю обнаруженные вирусы .Их надо удалять?
Извините за нубский вопросы
На всякий пожарный логи :

ComboFix 09-12-19.03 — Admin 22.12.2009 10:15:31.1.1 — x86
Microsoft Windows XP Professional 5.1.2600.3.1251.7.1049.18.2047.1677 [GMT 3:00]
Running from: c:documents and settingsAdminРабочий столComboFix.exe
AV: Антивирус Касперского *On-access scanning disabled* (Updated) {2C4D4BC6-0793-4956-A9F9-E252435469C0}

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))
.

c:documents and settingsAdminCookiesuserlib.dll
c:windowsstmtrace.exe
c:windowssystem32setup.ini

.
((((((((((((((((((((((((( Files Created from 2009-11-22 to 2009-12-22 )))))))))))))))))))))))))))))))
.

2009-12-22 07:10 . 2009-12-22 07:11

---

d

---

w- C:32788R22FWJFW.0.tmp
2009-12-20 14:14 . 2009-12-20 14:14

---

d-sh—w- c:documents and settingsAdminIECompatCache
2009-12-20 13:38 . 2009-12-20 13:38

---

d-sh—w- c:documents and settingsAdminPrivacIE
2009-12-20 13:35 . 2009-12-20 13:35

---

d-sh—w- c:documents and settingsAdminIETldCache
2009-12-20 13:27 . 2009-12-20 13:27

---

dc-h—w- c:windowsie8

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-12-22 07:30 . 2008-05-31 10:25 35872 —sha-w- c:windowssystem32driversfidbox.dat
2009-12-22 07:29 . 2008-05-31 10:25 32 —sha-w- c:windowssystem32driversfidbox.idx
2009-12-22 07:28 . 2008-05-31 10:25 2647072 —sha-w- c:windowssystem32driversfidbox2.dat
2009-12-22 07:26 . 2008-05-31 10:25 253340 —sha-w- c:windowssystem32driversfidbox2.idx
2009-12-22 07:10 . 2008-05-31 10:25

---

d

---

w- c:documents and settingsAll UsersApplication DataKaspersky Lab
2009-12-21 19:21 . 2008-05-31 08:33

---

d

---

w- c:documents and settingsAdminApplication DatauTorrent
2009-11-17 12:56 . 2009-11-17 12:56

---

d

---

w- c:documents and settingsAll UsersApplication DataATI
2009-11-17 12:56 . 2009-11-17 12:56

---

d

---

w- c:documents and settingsAdminApplication DataATI
2009-11-17 12:52 . 2009-11-17 12:50

---

d

---

w- c:program filesATI Technologies
2009-11-17 12:51 . 2008-05-30 08:07

---

d—h—w- c:program filesInstallShield Installation Information
2009-11-10 18:37 . 2008-12-12 13:45 715680 —-a-w- c:documents and settingsLocalServiceLocal SettingsApplication DataFontCache3.0.0.0.dat
2009-10-25 13:19 . 2004-08-18 12:00 84458 —-a-w- c:windowssystem32perfc019.dat
2009-10-25 13:19 . 2004-08-18 12:00 484934 —-a-w- c:windowssystem32perfh019.dat
2009-10-14 15:50 . 2008-05-31 10:26 95259 —-a-w- c:windowssystem32driversklick.dat
2009-10-14 15:50 . 2008-05-31 10:26 108059 —-a-w- c:windowssystem32driversklin.dat
2009-10-10 11:37 . 2009-10-10 11:37 626688 —-a-w- c:documents and settingsAdminApplication DataAdobeShockwave Player 11xtrasdownloadmetaioGmbHUnifeyeViewermsvcr80.dll
2009-10-10 11:37 . 2009-10-10 11:37 548864 —-a-w- c:documents and settingsAdminApplication DataAdobeShockwave Player 11xtrasdownloadmetaioGmbHUnifeyeViewermsvcp80.dll
2009-10-10 11:37 . 2009-10-10 11:37 933888 —-a-w- c:documents and settingsAdminApplication DataAdobeShockwave Player 11xtrasdownloadmetaioGmbHUnifeyeViewercxcore100.dll
2009-10-10 11:37 . 2009-10-10 11:37 724992 —-a-w- c:documents and settingsAdminApplication DataAdobeShockwave Player 11xtrasdownloadmetaioGmbHUnifeyeViewercv100.dll
2009-10-10 11:37 . 2009-10-10 11:37 598016 —-a-w- c:documents and settingsAdminApplication DataAdobeShockwave Player 11xtrasdownloadmetaioGmbHUnifeyeViewerhighgui100.dll
2009-10-10 11:37 . 2009-10-10 11:37 24064 —-a-w- c:documents and settingsAdminApplication DataAdobeShockwave Player 11xtrasdownloadmetaioGmbHUnifeyeViewerESMlib.dll
.

---

Sigcheck

---

[-] 2007-12-21 . 6EBEAE64113900F24318B02D3A87C112 . 360576 . . [5.1.2600.2892] . . c:windowssystem32driverstcpip.sys

[-] 2007-12-21 . 7A1DB08674B329BA2104BB90C9CD9BC5 . 80216 . . [7.0.6000.381] . . c:windowssystem32wuauclt.exe

[-] 2007-12-21 . 196B409A7C1C39A5A0F7566C2741FAD1 . 578560 . . [5.1.2600.3099] . . c:windowssystem32user32.dll

[-] 2007-12-21 . 907712EC5AE77486FC4DB8DD917C731A . 1720832 . . [6.00.2900.3156] . . c:windowsexplorer.exe

[-] 2007-12-21 . 9E62E0CDEC5617D03A1598040E73A70B . 1548288 . . [5.1.2600.2180] . . c:windowssystem32sfcfiles.dll

[-] 2007-12-21 . ACC544D628A758A445DF844269E803A7 . 30208 . . [5.1.2600.2180] . . c:windowssystem32ctfmon.exe
.
((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown
REGEDIT4

[HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun]
«Punto Switcher»=»c:program filesPunto Switcherps.exe» [2007-01-25 201728]
«VistaIcon»=»c:program filesVistaDriveIconVistaDrv.exe» [2007-07-02 132608]
«AdobeUpdater»=»c:program filesCommon FilesAdobeUpdater5AdobeUpdater.exe» [2008-12-21 2356088]
«DAEMON Tools Lite»=»d:program filesDAEMON Tools Litedaemon.exe» [2009-04-23 691656]
«Steam»=»d:program filessteamsteam.exe» [2009-11-18 1217808]

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]
«Device Detector»=»DevDetect.exe -autorun» [X]
«SoundMan»=»SOUNDMAN.EXE» [2007-04-16 577536]
«NeroFilterCheck»=»c:windowssystem32NeroCheck.exe» [2006-01-12 155648]
«MagicKey»=»d:progra~1MEDIAK~1MagicKey.exe» [2004-03-15 45056]
«AdslTaskBar»=»stmctrl.dll» [2005-10-22 151552]
«cFosSpeed»=»d:program filescFosSpeedcFosSpeed.exe» [2008-05-02 863448]
«Adobe Reader Speed Launcher»=»d:program filesAdobeReader 8.0ReaderReader_sl.exe» [2008-01-11 39792]
«PCSuiteTrayApplication»=»d:program filesNokiaNokia PC Suite 6LaunchApplication.exe» [2007-03-23 227328]
«QuickTime Task»=»c:program filesQuickTimeqttask.exe» [2008-09-06 413696]
«iTunesHelper»=»c:program filesiTunesiTunesHelper.exe» [2008-10-01 289576]
«StartCCC»=»c:program filesATI TechnologiesATI.ACECore-StaticCLIStart.exe» [2009-07-21 61440]
«AVP»=»c:program filesKaspersky LabKaspersky Anti-Virus 7.0avp.exe» [2008-02-08 227856]

[HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersionRun]
«Punto Switcher»=»c:program filesPunto Switcherps.exe» [2007-01-25 201728]
«VistaIcon»=»c:program filesVistaDriveIconVistaDrv.exe» [2007-07-02 132608]
«Nokia.PCSync»=»d:program filesNokiaNokia PC Suite 6PcSync2.exe» [2007-03-27 1744896]

[HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersionRunOnce]
«IE7_011″=»shell32» [X]
«ZZZZ2_FirstLogonSetting»=»advpack.dll» [2009-03-08 128512]
«IE7_012″=»advpack.dll» [2009-03-08 128512]

[HKEY_CURRENT_USERsoftwaremicrosoftwindowscurrentversionpoliciesexplorer]
«NoThumbnailCache»= 1 (0x1)
«NoSMConfigurePrograms»= 1 (0x1)

[HKEY_USERS.defaultsoftwaremicrosoftwindowscurrentversionpoliciesexplorer]
«NoThumbnailCache»= 1 (0x1)
«NoSMConfigurePrograms»= 1 (0x1)

[HKEY_LOCAL_MACHINEsoftwaremicrosoftsecurity center]
«FirewallOverride»=dword:00000001
«UpdatesOverride»=dword:00000001
«AntiVirusOverride»=dword:00000001

[HKEY_LOCAL_MACHINEsoftwaremicrosoftsecurity centerMonitoringKasperskyAntiVirus]
«DisableMonitoring»=dword:00000001

[HKLM~servicessharedaccessparametersfirewallpolicystandardprofile]
«EnableFirewall»= 0 (0x0)

[HKLM~servicessharedaccessparametersfirewallpolicystandardprofileAuthorizedApplicationsList]
«%windir%\system32\sessmgr.exe»=
«%windir%\Network Diagnostic\xpnetdiag.exe»=
«d:\Program Files\uTorrent\utorrent.exe»=
«c:\Program Files\Bonjour\mDNSResponder.exe»=
«c:\Program Files\iTunes\iTunes.exe»=
«c:\WINDOWS\system32\PnkBstrA.exe»=
«c:\WINDOWS\system32\PnkBstrB.exe»=
«d:\Program Files\Steam\Steam.exe»=

R0 nvcchflt;NVIDIA Disk Cache Filter Driver;c:windowssystem32driversnvcchflt.sys [30.05.2008 14:51 16640]
R0 sptd;sptd;c:windowssystem32driverssptd.sys [30.05.2008 11:01 721904]
R1 appdrv01;Application Driver (01);c:windowssystem32driversappdrv01.sys [31.08.2009 19:25 3110512]
R3 FStarForce;FStarForce;c:windowssystem32driversFStarForce.sys [16.11.2008 11:11 8704]
R3 klim5;Kaspersky Anti-Virus NDIS Filter;c:windowssystem32driversklim5.sys [13.12.2007 12:28 24592]
R3 Stmatm;ZyXEL P-630S EE Минипорт;c:windowssystem32driversstmatm.sys [30.05.2008 20:31 60255]
R3 TaurusUsb;Сервис ADSL-модема ZyXEL P-630S EE;c:windowssystem32driverstorususb.sys [30.05.2008 20:31 675849]
S2 appdrvrem01;Application Driver Auto Removal Service (01);c:windowsSystem32appdrvrem01.exe svc —> c:windowsSystem32appdrvrem01.exe svc [?]
S3 L6PODX3LV;POD X3 Live Service;c:windowssystem32driversL6PODX3LV.sys [26.01.2009 18:38 530560]

— Other Services/Drivers In Memory —

*NewlyCreated* — WUAUSERV
.

---

Supplementary Scan

---

.
uStart Page = hxxp://www.rambler.ru/
uDefault_Search_URL = hxxp://search.qip.ru
uInternet Settings,ProxyOverride = *.local
uSearchURL,(Default) = hxxp://search.qip.ru/search?query=%s&from=IE
IE: &Экспорт в Microsoft Excel — c:progra~1MICROS~2OFFICE11EXCEL.EXE/3000
Trusted Zone: line6.net
.
— — — — ORPHANS REMOVED — — — —

HKCU-Run-RGSC — d:program filesRockstar GamesRockstar Games Social ClubRGSCLauncher.exe
AddRemove-Empire — Total War 1.00 — d:gamesEmpire — Total WarUninstall.exe
AddRemove-Microsoft .NET Framework 2.0 Language Pack — RUS — c:windowsMicrosoft.NETFrameworkv2.0.50727Microsoft .NET Framework 2.0 Language Pack — RUSinstall.exe

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista — rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-12-22 10:29
Windows 5.1.2600 Service Pack 3 NTFS

scanning hidden processes …

scanning hidden autostart entries …

scanning hidden files …

scan completed successfully
hidden files: 0

**************************************************************************

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll nvatabus.sys spko.sys >>UNKNOWN [0x89D83938]<<
kernel: MBR read successfully
detected MBR rootkit hooks:
DriverDisk -> CLASSPNP.SYS @ 0xba0ecfc3
DriverACPI -> ACPI.sys @ 0xb9e66cb8
Driveratapi -> 0x89dd01f8
IoDeviceObjectType -> DeleteProcedure -> ntkrnlpa.exe @ 0x80578262
ParseProcedure -> ntkrnlpa.exe @ 0x80576ec4
DeviceHarddisk0DR0 -> DeleteProcedure -> ntkrnlpa.exe @ 0x80578262
ParseProcedure -> ntkrnlpa.exe @ 0x80576ec4
NDIS: NVIDIA nForce Networking Controller -> SendCompleteHandler -> NDIS.sys @ 0xb9cdbbb0
PacketIndicateHandler -> NDIS.sys @ 0xb9ccaa0d
SendHandler -> NDIS.sys @ 0xb9cdeb40
Warning: possible MBR rootkit infection !
user & kernel MBR OK

**************************************************************************
.

---

LOCKED REGISTRY KEYS

---

[HKEY_USERSS-1-5-21-1078081533-1606980848-725345543-500SoftwareMicrosoftInternet ExplorerUser Preferences]
@Denied: (2) (Administrator)
«88D7D0879DAB32E14DE5B3A805A34F98AFF34F5977″=hex:01,00,00,00,d0,8c,9d,df,01,15,
d1,11,8c,7a,00,c0,4f,c2,97,eb,01,00,00,00,19,98,e7,eb,fd,bb,23,44,82,11,f1,
«2D53CFFC5C1A3DD2E97B7979AC2A92BD59BC839E81″=hex:01,00,00,00,d0,8c,9d,df,01,15,
d1,11,8c,7a,00,c0,4f,c2,97,eb,01,00,00,00,19,98,e7,eb,fd,bb,23,44,82,11,f1,
.

---

DLLs Loaded Under Running Processes

---

— — — — — — — > ‘winlogon.exe'(1392)
c:windowssystem32SETUPAPI.dll
c:program filesKaspersky LabKaspersky Anti-Virus 7.0miscr3.dll
c:windowssystem32Ati2evxx.dll
c:windowssystem32klogon.dll
c:windowssystem32cscui.dll
c:windowssystem32COMRes.dll

— — — — — — — > ‘lsass.exe'(1448)
c:program filesKaspersky LabKaspersky Anti-Virus 7.0dnsq.dll
c:windowssystem32setupapi.dll
c:program filesKaspersky LabKaspersky Anti-Virus 7.0miscr3.dll
c:program filesKaspersky LabKaspersky Anti-Virus 7.0fssync.dll

— — — — — — — > ‘explorer.exe'(2748)
c:windowssystem32COMRes.dll
c:windowsSystem32cscui.dll
c:program filesKaspersky LabKaspersky Anti-Virus 7.0miscr3.dll
c:program filesKaspersky LabKaspersky Anti-Virus 7.0fssync.dll
c:program filesPunto Switchercorrect.dll
c:windowssystem32msi.dll
c:windowssystem32ieframe.dll
c:program filesKaspersky LabKaspersky Anti-Virus 7.0scrchpg.dll
c:windowssystem32SETUPAPI.dll
c:windowssystem32NETSHELL.dll
c:windowssystem32WPDShServiceObj.dll
c:windowssystem32webcheck.dll
d:program filesNokiaNokia PC Suite 6PhoneBrowser.dll
d:program filesNokiaNokia PC Suite 6PCSCM.dll
d:program filesNokiaNokia PC Suite 6LangPhoneBrowser_rus.nlr
d:program filesNokiaNokia PC Suite 6ResourcePhoneBrowser_Nokia.ngr
c:windowssystem32PortableDeviceTypes.dll
c:windowssystem32PortableDeviceApi.dll
.

---

Other Running Processes

---

.
c:windowssystem32Ati2evxx.exe
c:windowssystem32Ati2evxx.exe
c:program filesCommon FilesAppleMobile Device SupportbinAppleMobileDeviceService.exe
c:program filesBonjourmDNSResponder.exe
c:windowssystem32driversCDAC11BA.EXE
d:program filescFosSpeedspd.exe
c:program filesCommon FilesMicrosoft SharedVS7DEBUGMDM.EXE
c:windowssystem32PnkBstrA.exe
c:windowsSOUNDMAN.EXE
c:windowssystem32rundll32.exe
c:program filesCommon FilesACD SystemsENDevDetect.exe
c:program filesATI TechnologiesATI.ACECore-StaticMOM.exe
c:program filesPC Connectivity SolutionServiceLayer.exe
c:windowssystem32wscntfy.exe
c:program filesiPodbiniPodService.exe
c:program filesATI TechnologiesATI.ACECore-Staticccc.exe
.
**************************************************************************
.
Completion time: 2009-12-22 10:32:40 — machine was rebooted
ComboFix-quarantined-files.txt 2009-12-22 07:32

Pre-Run: 1 731 923 968 байт свободно
Post-Run: 10 144 681 984 байт свободно

— — End Of File — — 0981B3D356DC0E39D6E1A529C482CB03

[Admin]

Здравствуйте, добро пожаловать на Spyware-ru форум.

1.не установил Recovery console — это сильно сташно?

В случае возникновения проблем, у вас не будет возможности запустить Recovery console без установочного диска Windows

2.удалил программу ,но процедура удаления была такая же как и поиск вирусов ,делал все правильно.

Попробуйте ещё раз, используйте команду combofix /uninstall

3.осталась папка C:Qoobox в ней папка Quarantine ,а в ней я на сколько понимаю обнаруженные вирусы .Их надо удалять?

Папки удаляются автоматически при деинсталляции программы.

Лог выглядит нормально.

[Andrew281]

после удаления комбофикса перестал запускаться демон тулз
Пишет:
Для этого прилодения необходима,как минимум, windows 2000 и SPDT 1/51 или выше,
Отладчик ядра должен быть декативирован

У меня windows xp

[Автор]

Сообщения