- This topic has 5 ответов, 2 участника, and was last updated 16 years, 3 months назад by
.
-
Сообщения
-
ComboFix 09-01-21.04 — Администратор 2009-01-25 20:49:28.2 — NTFSx86
Microsoft Windows XP Professional 5.1.2600.1.1251.1.1049.18.1023.717 [GMT 3:00]
Running from: c:documents and settingsАдминистратор.HOME-EOGNL3PPVKРабочий столComboFix.exe
* Resident AV is active.
((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))
.c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files0EB9F12C_6E6B_4c03_AEBA_8C04CFA98AA4.jpg
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files15913497_F86C_4218_8817_F50940D1E1B2.jpg
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files29887DDE_00B9_4011_9CF7_59511F1ECC1B.jpg
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files35B7DFFA_884F_4fbc_8E60_DA601BDC7BF7.gif
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files362FD6E8_8CDA_4c2a_A8AA-BDA22B321711.gif
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files3DF04940_9866_4241_A998_0CDDFAFD147A.jpg
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files426500D7_0FF3_426c_828D_065DBAEA0581.gif
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files478BD4AE_2691_438d_BDCA_3485DC022700.gif
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files5C6C645F_BAA8_4149_BFEB_2031230FF0FD.jpg
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files61EA7D69_19D4_421a_A899_0DF4D58CD119.gif
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files777FDAFB_83CF_4960_AA71_4E5D7BCD8E57.gif
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files8DA878D5_E80B_4721_B75A_17EFFAF1A700.gif
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files98F6DF79_7171_452d_9C26_C0193E12DBDF.gif
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet FilesA2B240D6_0386_419e_91C5_3F7D90437CD0.gif
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet FilesC75CEF8D_5AF4_4563_8594_C45A45E14E63.gif
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet FilesE21285C1_40E6_435c_A69F_3387E7BD89CB.jpg
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet FilesE9A4D648_ED73_4ea7_88B2_18332DBA4F3E.gif.
((((((((((((((((((((((((( Files Created from 2008-12-25 to 2009-01-25 )))))))))))))))))))))))))))))))
.2009-01-25 19:55 . 2009-01-25 19:56
d
C:rsit
2009-01-25 19:55 . 2009-01-25 19:56d
c:program filestrend micro
2009-01-15 15:38 . 2009-01-15 15:39 2,880 —a
c:windowssystem32wmsoft57060.exe
2009-01-15 15:18 . 2009-01-15 15:18 322,048 —a
c:documents and settingsAll Users.WINDOWSApplication Datazymlib.dll
2009-01-15 15:17 . 2009-01-15 15:17 323,584 —a
c:documents and settingsAll Users.WINDOWSApplication Datakkmlib.dll.
(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-12-16 12:43 83,232 —-a-w c:windowssystem32wmsoft83315.exe
2008-12-16 12:42 38,096 —-a-w c:windowssystem32wmsoft35508.exe
.((((((((((((((((((((((((((((( snapshot@2009-01-25_20.40.18,67 )))))))))))))))))))))))))))))))))))))))))
.
— 2008-10-26 06:47:13 39,992 —-a-w c:windowssystem32perfc009.dat
+ 2009-01-25 17:48:20 39,992 —-a-w c:windowssystem32perfc009.dat
— 2008-10-26 06:47:13 49,350 —-a-w c:windowssystem32perfc019.dat
+ 2009-01-25 17:48:20 49,350 —-a-w c:windowssystem32perfc019.dat
— 2008-10-26 06:47:13 311,604 —-a-w c:windowssystem32perfh009.dat
+ 2009-01-25 17:48:20 311,604 —-a-w c:windowssystem32perfh009.dat
— 2008-10-26 06:47:13 346,144 —-a-w c:windowssystem32perfh019.dat
+ 2009-01-25 17:48:20 346,144 —-a-w c:windowssystem32perfh019.dat
.
((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown
REGEDIT4[HKEY_LOCAL_MACHINE~Browser Helper Objects{22F63A47-6957-4CF7-BCC4-634B1A93D568}]
2009-01-15 15:17 323584 —a
c:documents and settingsAll Users.WINDOWSApplication Datakkmlib.dll[HKEY_LOCAL_MACHINE~Browser Helper Objects{E8041DF8-E765-4DA8-A46A-9D5EDB9736FD}]
2009-01-15 15:18 322048 —a
c:documents and settingsAll Users.WINDOWSApplication Datazymlib.dll[HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun]
«CTFMON.EXE»=»c:windowsSystem32ctfmon.exe» [2003-02-23 13312]
«BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}»=»c:program filesCommon FilesAheadlibNMBgMonitor.exe» [2005-12-16 94208]
«Download Master»=»c:program filesDownload Masterdmaster.exe» [2007-07-20 3088384][HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]
«egui»=»c:program filesESETESET NOD32 Antivirusegui.exe» [2008-05-17 1445888]
«NvCplDaemon»=»c:windowsSystem32NvCpl.dll» [2007-10-28 8531968]
«NvMediaCenter»=»c:windowsSystem32NvMcTray.dll» [2007-10-28 81920]
«WinampAgent»=»c:program filesWinampwinampa.exe» [2003-12-13 33792]
«NeroFilterCheck»=»c:windowsSystem32NeroCheck.exe» [2001-07-09 155648]
«RTHDCPL»=»RTHDCPL.EXE» [2007-04-12 c:windowsRTHDCPL.exe]
«SkyTel»=»SkyTel.EXE» [2007-04-13 c:windowsSkyTel.exe]
«nwiz»=»nwiz.exe» [2007-10-28 c:windowssystem32nwiz.exe][HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersionRun]
«CTFMON.EXE»=»c:windowsSystem32CTFMON.EXE» [2003-02-23 13312][HKEY_LOCAL_MACHINEsoftwaremicrosoftwindows ntcurrentversiondrivers32]
«msacm.ac3filter»= ac3filter.acmR1 epfwtdir;epfwtdir;c:windowssystem32driversepfwtdir.sys [2007-12-21 33800]
R4 ekrn;Eset Service;c:program filesESETESET NOD32 Antivirusekrn.exe [2007-12-21 462848]— Other Services/Drivers In Memory —
*NewlyCreated* — ALG
*NewlyCreated* — IPNAT
.
.
Supplementary Scan
.
uStart Page = hxxp://www.championat.ru/
uInternet Connection Wizard,ShellNext = hxxp://www.westbyte.com/dm/
IE: &Экспорт в Microsoft Excel — c:progra~1MICROS~2OFFICE11EXCEL.EXE/3000
IE: Закачать ВСЕ при помощи Download Master — c:program filesDownload Masterdmieall.htm
IE: Закачать при помощи Download Master — c:program filesDownload Masterdmie.htm
IE: {{7558B7E5-7B26-4201-BEDB-00D5FF534523} — c:program filesMail.RuAgentMAgent.exe
IE: {{8DAE90AD-4583-4977-9DD4-4360F7A45C74} — c:program filesDownload Masterdmaster.exe
IE: {{c95fe080-8f5d-11d2-a20b-00aa003c157a} — %SystemRoot%webrelated.htm
DPF: DirectAnimation Java Classes — file://c:windowsJavaclassesdajava.cab
DPF: Microsoft XML Parser for Java — file://c:windowsJavaclassesxmldso.cab
.**************************************************************************
catchme 0.3.1367 W2K/XP/Vista — rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-01-25 20:50:18
Windows 5.1.2600 Service Pack 1 NTFSscanning hidden processes …
scanning hidden autostart entries …
scanning hidden files …
scan completed successfully
hidden files: 0**************************************************************************
.
DLLs Loaded Under Running Processes
— — — — — — — > ‘winlogon.exe'(688)
c:windowsSystem32ODBC32.dll— — — — — — — > ‘lsass.exe'(744)
c:windowsSystem32dssenh.dll
.
Completion time: 2009-01-25 20:51:02
ComboFix-quarantined-files.txt 2009-01-25 17:51:00
ComboFix2.txt 2009-01-25 17:40:46Pre-Run: 30 129 811 456 байт свободно
Post-Run: 30,120,394,752 байт свободно117
Logfile of random’s system information tool 1.05 (written by random/random)
Run by Администратор at 2009-01-25 23:43:15
Microsoft Windows XP Professional Service Pack 1
System drive C: has 29 GB (90%) free of 32 GB
Total RAM: 1023 MB (64% free)Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23:43:17, on 25.01.2009
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Boot mode: NormalRunning processes:
C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSsystem32spoolsv.exe
C:Program FilesESETESET NOD32 Antivirusekrn.exe
C:Program FilesCommon FilesMicrosoft SharedVS7DEBUGMDM.EXE
C:WINDOWSSystem32nvsvc32.exe
C:WINDOWSRTHDCPL.EXE
C:Program FilesESETESET NOD32 Antivirusegui.exe
C:Program FilesWinampwinampa.exe
C:WINDOWSSystem32ctfmon.exe
C:Program FilesCommon FilesAheadlibNMBgMonitor.exe
C:Program FilesDownload Masterdmaster.exe
C:WINDOWSsystem32notepad.exe
C:WINDOWSexplorer.exe
C:Program Filesinternet exploreriexplore.exe
C:Program FilesMYiE2 RUMyIE.exe
C:Documents and SettingsАдминистратор.HOME-EOGNL3PPVKРабочий столRSIT.exe
C:Program Filestrend microАдминистратор.exeR0 — HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page = http://www.championat.ru/
R1 — HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 — HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 — HKLMSoftwareMicrosoftInternet ExplorerMain,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R1 — HKCUSoftwareMicrosoftInternet Connection Wizard,ShellNext = http://www.westbyte.com/dm/
R0 — HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = Ссылки
O2 — BHO: kkmlibP — {22F63A47-6957-4CF7-BCC4-634B1A93D568} — C:Documents and SettingsAll Users.WINDOWSApplication Datakkmlib.dll
O2 — BHO: IE 4.x-6.x BHO for Download Master — {9961627E-4059-41B4-8E0E-A7D6B3854ADF} — C:PROGRA~1DOWNLO~1dmiehlp.dll
O2 — BHO: zymlibP — {E8041DF8-E765-4DA8-A46A-9D5EDB9736FD} — C:Documents and SettingsAll Users.WINDOWSApplication Datazymlib.dll
O3 — Toolbar: &Радио — {8E718888-423F-11D2-876E-00A0C9082467} — C:WINDOWSSystem32msdxm.ocx
O3 — Toolbar: DM Bar — {0E1230F8-EA50-42A9-983C-D22ABC2EED3C} — C:Program FilesDownload Masterdmbar.dll
O4 — HKLM..Run: [RTHDCPL] RTHDCPL.EXE
O4 — HKLM..Run: [SkyTel] SkyTel.EXE
O4 — HKLM..Run: [egui] «C:Program FilesESETESET NOD32 Antivirusegui.exe» /hide /waitservice
O4 — HKLM..Run: [NvCplDaemon] RUNDLL32.EXE C:WINDOWSSystem32NvCpl.dll,NvStartup
O4 — HKLM..Run: [nwiz] nwiz.exe /install
O4 — HKLM..Run: [NvMediaCenter] RUNDLL32.EXE C:WINDOWSSystem32NvMcTray.dll,NvTaskbarInit
O4 — HKLM..Run: [WinampAgent] C:Program FilesWinampwinampa.exe
O4 — HKLM..Run: [NeroFilterCheck] C:WINDOWSSystem32NeroCheck.exe
O4 — HKCU..Run: [CTFMON.EXE] C:WINDOWSSystem32ctfmon.exe
O4 — HKCU..Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] «C:Program FilesCommon FilesAheadlibNMBgMonitor.exe»
O4 — HKCU..Run: [Download Master] C:Program FilesDownload Masterdmaster.exe -autorun
O4 — HKUSS-1-5-18..Run: [CTFMON.EXE] C:WINDOWSSystem32CTFMON.EXE (User ‘SYSTEM’)
O4 — HKUS.DEFAULT..Run: [CTFMON.EXE] C:WINDOWSSystem32CTFMON.EXE (User ‘Default user’)
O8 — Extra context menu item: &Экспорт в Microsoft Excel — res://C:PROGRA~1MICROS~2OFFICE11EXCEL.EXE/3000
O8 — Extra context menu item: Закачать ВСЕ при помощи Download Master — C:Program FilesDownload Masterdmieall.htm
O8 — Extra context menu item: Закачать при помощи Download Master — C:Program FilesDownload Masterdmie.htm
O9 — Extra button: Mail.Ru Agent — {7558B7E5-7B26-4201-BEDB-00D5FF534523} — C:Program FilesMail.RuAgentMAgent.exe (file missing)
O9 — Extra button: Download Master — {8DAE90AD-4583-4977-9DD4-4360F7A45C74} — C:Program FilesDownload Masterdmaster.exe
O9 — Extra ‘Tools’ menuitem: &Download Master — {8DAE90AD-4583-4977-9DD4-4360F7A45C74} — C:Program FilesDownload Masterdmaster.exe
O9 — Extra button: Справочные материалы — {92780B25-18CC-41C8-B9BE-3C9C571A8263} — C:PROGRA~1MICROS~2OFFICE11REFIEBAR.DLL
O9 — Extra button: Related — {c95fe080-8f5d-11d2-a20b-00aa003c157a} — C:WINDOWSwebrelated.htm
O9 — Extra ‘Tools’ menuitem: Show &Related Links — {c95fe080-8f5d-11d2-a20b-00aa003c157a} — C:WINDOWSwebrelated.htm
O16 — DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) — http://www.cult3d.com/download/cult.cab
O17 — HKLMSystemCCSServicesTcpip..{5B44C889-83B9-4962-BD05-46C32E4DB930}: NameServer = 89.109.191.42 79.105.254.42
O17 — HKLMSystemCS1ServicesTcpip..{5B44C889-83B9-4962-BD05-46C32E4DB930}: NameServer = 89.109.191.42 79.105.254.42
O23 — Service: Eset HTTP Server (EhttpSrv) — ESET — C:Program FilesESETESET NOD32 AntivirusEHttpSrv.exe
O23 — Service: Eset Service (ekrn) — ESET — C:Program FilesESETESET NOD32 Antivirusekrn.exe
O23 — Service: Журнал событий (Eventlog) — Корпорация Майкрософт — C:WINDOWSsystem32services.exe
O23 — Service: Служба COM записи компакт-дисков IMAPI (ImapiService) — Корпорация Майкрософт — C:WINDOWSsystem32imapi.exe
O23 — Service: NetMeeting Remote Desktop Sharing (mnmsrvc) — Корпорация Майкрософт — C:WINDOWSSystem32mnmsrvc.exe
O23 — Service: Служба сетевого DDE (NetDDE) — Корпорация Майкрософт — C:WINDOWSsystem32netdde.exe
O23 — Service: Диспетчер сетевого DDE (NetDDEdsdm) — Корпорация Майкрософт — C:WINDOWSsystem32netdde.exe
O23 — Service: NVIDIA Display Driver Service (NVSvc) — NVIDIA Corporation — C:WINDOWSSystem32nvsvc32.exe
O23 — Service: Plug and Play (PlugPlay) — Корпорация Майкрософт — C:WINDOWSsystem32services.exe
O23 — Service: Диспетчер сеанса справки для удаленного рабочего стола (RDSessMgr) — Корпорация Майкрософт — C:WINDOWSsystem32sessmgr.exe
O23 — Service: Reset 5 — Unknown owner — C:WINDOWSsystem32srvany.exe
O23 — Service: Модуль поддержки смарт-карт (SCardDrv) — Корпорация Майкрософт — C:WINDOWSSystem32SCardSvr.exe
O23 — Service: Смарт-карты (SCardSvr) — Корпорация Майкрософт — C:WINDOWSSystem32SCardSvr.exe
O23 — Service: Журналы и оповещения производительности (SysmonLog) — Корпорация Майкрософт — C:WINDOWSsystem32smlogsvc.exe
O23 — Service: Теневое копирование тома (VSS) — Корпорация Майкрософт — C:WINDOWSSystem32vssvc.exe
O23 — Service: Адаптер производительности WMI (WmiApSrv) — Корпорация Майкрософт — C:WINDOWSSystem32wbemwmiapsrv.exe
O24 — Desktop Component 0: (no name) — http://www.smeshariki.ru/RegisteredUsersContent/downloadcontent/downloadcontent161/file275.jpg—
End of file — 6691 bytes======Registry dump======
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerBrowser Helper Objects{22F63A47-6957-4CF7-BCC4-634B1A93D568}]
Compressed Video Helper Object — C:Documents and SettingsAll Users.WINDOWSApplication Datakkmlib.dll [2009-01-15 323584][HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerBrowser Helper Objects{9961627E-4059-41B4-8E0E-A7D6B3854ADF}]
IE 4.x-6.x BHO for Download Master — C:PROGRA~1DOWNLO~1dmiehlp.dll [2007-07-20 152064][HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerBrowser Helper Objects{E8041DF8-E765-4DA8-A46A-9D5EDB9736FD}]
AAC-SLS Data Decoder — C:Documents and SettingsAll Users.WINDOWSApplication Datazymlib.dll [2009-01-15 322048][HKEY_LOCAL_MACHINESOFTWAREMicrosoftInternet ExplorerToolbar]
{8E718888-423F-11D2-876E-00A0C9082467} — &Радио — C:WINDOWSSystem32msdxm.ocx [2003-02-23 843804]
{0E1230F8-EA50-42A9-983C-D22ABC2EED3C} — DM Bar — C:Program FilesDownload Masterdmbar.dll [2007-05-15 180224][HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun]
«RTHDCPL»=C:WINDOWSRTHDCPL.EXE [2007-04-12 16132608]
«SkyTel»=C:WINDOWSSkyTel.EXE [2007-04-13 1822720]
«egui»=C:Program FilesESETESET NOD32 Antivirusegui.exe [2008-05-17 1445888]
«NvCplDaemon»=C:WINDOWSSystem32NvCpl.dll [2007-10-28 8531968]
«nwiz»=nwiz.exe /install []
«NvMediaCenter»=C:WINDOWSSystem32NvMcTray.dll [2007-10-28 81920]
«WinampAgent»=C:Program FilesWinampwinampa.exe [2003-12-13 33792]
«NeroFilterCheck»=C:WINDOWSSystem32NeroCheck.exe [2001-07-09 155648][HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun]
«CTFMON.EXE»=C:WINDOWSSystem32ctfmon.exe [2003-02-23 13312]
«BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}»=C:Program FilesCommon FilesAheadlibNMBgMonitor.exe [2005-12-16 94208]
«Download Master»=C:Program FilesDownload Masterdmaster.exe [2007-07-20 3088384][HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSafeBootnetworkUploadMgr]
[HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionPoliciesSystem]
«dontdisplaylastusername»=0
«legalnoticecaption»=
«legalnoticetext»=
«shutdownwithoutlogon»=1
«undockwithoutlogon»=1[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesexplorer]
«NoDriveTypeAutoRun»=323
«NoDriveAutoRun»=67108863
«NoDrives»=0[HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionPoliciesexplorer]
«NoDriveAutoRun»=
«NoDriveTypeAutoRun»=
«NoDrives»=[HKEY_LOCAL_MACHINEsystemcurrentcontrolsetservicessharedaccessparametersfirewallpolicystandardprofileauthorizedapplicationslist]
[HKEY_LOCAL_MACHINEsystemcurrentcontrolsetservicessharedaccessparametersfirewallpolicydomainprofileauthorizedapplicationslist]
======List of files/folders created in the last 1 months======
2009-01-25 20:51:03 —-D—- C:WINDOWStemp
2009-01-25 20:51:02 —-A—- C:ComboFix.txt
2009-01-25 20:49:05 —-D—- C:ComboFix
2009-01-25 20:39:12 —-A—- C:Boot.bak
2009-01-25 20:39:08 —-RASHD—- C:cmdcons
2009-01-25 20:38:50 —-A—- C:WINDOWSNIRCMD.exe
2009-01-25 20:38:49 —-A—- C:WINDOWSzip.exe
2009-01-25 20:38:49 —-A—- C:WINDOWSVFIND.exe
2009-01-25 20:38:49 —-A—- C:WINDOWSSWXCACLS.exe
2009-01-25 20:38:49 —-A—- C:WINDOWSSWSC.exe
2009-01-25 20:38:49 —-A—- C:WINDOWSSWREG.exe
2009-01-25 20:38:49 —-A—- C:WINDOWSsed.exe
2009-01-25 20:38:49 —-A—- C:WINDOWSgrep.exe
2009-01-25 20:38:49 —-A—- C:WINDOWSfdsv.exe
2009-01-25 20:38:45 —-D—- C:WINDOWSERDNT
2009-01-25 20:38:45 —-D—- C:Qoobox
2009-01-25 19:55:26 —-D—- C:Program Filestrend micro
2009-01-25 19:55:25 —-D—- C:rsit
2009-01-15 15:38:21 —-A—- C:WINDOWSSystem32wmsoft57060.exe
2009-01-15 15:18:25 —-A—- C:Documents and SettingsAll Users.WINDOWSApplication Datazymlib.dll
2009-01-15 15:17:08 —-A—- C:Documents and SettingsAll Users.WINDOWSApplication Datakkmlib.dll======List of files/folders modified in the last 1 months======
2009-01-25 20:51:04 —-AD—- C:WINDOWSsystem32
2009-01-25 20:51:03 —-D—- C:WINDOWS
2009-01-25 20:50:29 —-D—- C:WINDOWSSystem32CatRoot2
2009-01-25 20:50:18 —-A—- C:WINDOWSsystem.ini
2009-01-25 20:49:58 —-D—- C:WINDOWSSystem32drivers
2009-01-25 20:49:57 —-D—- C:WINDOWSAppPatch
2009-01-25 20:49:57 —-D—- C:Program FilesCommon Files
2009-01-25 20:48:20 —-A—- C:WINDOWSSystem32PerfStringBackup.INI
2009-01-25 20:47:17 —-D—- C:WINDOWSDebug
2009-01-25 20:39:12 —-RASH—- C:boot.ini
2009-01-25 20:38:49 —-SHD—- C:System Volume Information
2009-01-25 20:38:49 —-D—- C:WINDOWSSystem32Restore
2009-01-25 19:55:26 —-RD—- C:Program Files
2009-01-25 19:12:39 —-D—- C:Documents and Settings
2009-01-25 18:39:20 —-D—- C:WINDOWSHelp
2009-01-25 18:23:22 —-A—- C:WINDOWSwinamp.ini
2009-01-25 18:23:19 —-A—- C:WINDOWSNeroDigital.ini
2009-01-25 18:22:31 —-D—- C:Downloads
2009-01-13 15:09:14 —-SHD—- C:WINDOWSInstaller
2009-01-09 17:46:03 —-SD—- C:Documents and SettingsАдминистратор.HOME-EOGNL3PPVKApplication DataMicrosoft
2009-01-02 13:30:00 —-HD—- C:WINDOWSinf
2008-12-29 21:12:22 —-SD—- C:Documents and SettingsAll Users.WINDOWSApplication DataMicrosoft======List of drivers (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======
R1 easdrv;easdrv; C:WINDOWSSystem32DRIVERSeasdrv.sys [2007-12-21 30216]
R1 epfwtdir;epfwtdir; C:WINDOWSSystem32DRIVERSepfwtdir.sys [2007-12-21 33800]
R2 eamon;EAMON; C:WINDOWSSystem32DRIVERSeamon.sys [2007-12-21 39944]
R3 HDAudBus;Microsoft UAA Bus Driver for High Definition Audio; C:WINDOWSSystem32DRIVERSHDAudBus.sys [2005-01-07 138752]
R3 IntcAzAudAddService;Service for Realtek HD Audio (WDM); C:WINDOWSsystem32driversRtkHDAud.sys [2007-04-23 4402176]
R3 nv;nv; C:WINDOWSSystem32DRIVERSnv4_mini.sys [2007-10-28 7424992]
R3 RTLE8023xp;Realtek 10/100/1000 PCI-E NIC Family NDIS XP Driver; C:WINDOWSSystem32DRIVERSRtenicxp.sys [2007-02-06 90880]
R3 usbehci;Драйвер минипорта Microsoft USB 2.0 расширенного хост-контроллера; C:WINDOWSSystem32DRIVERSusbehci.sys [2002-08-29 19328]
R3 usbhub;USB2 концентратор; C:WINDOWSSystem32DRIVERSusbhub.sys [2002-08-29 51968]
R3 usbuhci;Драйвер минипорта Microsoft USB универсального хост-контроллера; C:WINDOWSSystem32DRIVERSusbuhci.sys [2002-08-29 19328]
S1 InCDPass;InCDPass; C:WINDOWSsystem32driversInCDPass.sys []
S1 InCDRm;InCD Reader; C:WINDOWSsystem32driversInCDRm.sys []
S3 USBSTOR;Драйвер запоминающих устройств для USB; C:WINDOWSSystem32DRIVERSUSBSTOR.SYS [2002-08-29 21760]
S4 InCDFs;InCD File System; C:WINDOWSsystem32driversInCDFs.sys []
S4 IntelIde;IntelIde; C:WINDOWSSystem32driversIntelIde.sys []======List of services (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======
R2 ekrn;Eset Service; C:Program FilesESETESET NOD32 Antivirusekrn.exe [2008-05-17 462848]
R2 MDM;Machine Debug Manager; C:Program FilesCommon FilesMicrosoft SharedVS7DEBUGMDM.EXE [2003-06-19 322120]
R2 NVSvc;NVIDIA Display Driver Service; C:WINDOWSSystem32nvsvc32.exe [2007-10-28 155716]
S2 Reset 5;Reset 5; C:WINDOWSsystem32srvany.exe [2002-05-03 7168]
S3 EhttpSrv;Eset HTTP Server; C:Program FilesESETESET NOD32 AntivirusEHttpSrv.exe [2007-12-21 19200]
S3 ose;Office Source Engine; C:Program FilesCommon FilesMicrosoft SharedSource EngineOSE.EXE [2003-07-28 89136]
EOF
Откройте блокнот (Кликните Пуск, Выполнить, в строке ввода введите notepad и нажмите Enter) и вставьте в него следующий текст:
Registry::
[-HKEY_LOCAL_MACHINE~Browser Helper Objects{22F63A47-6957-4CF7-BCC4-634B1A93D568}]
[-HKEY_LOCAL_MACHINE~Browser Helper Objects{E8041DF8-E765-4DA8-A46A-9D5EDB9736FD}]
File::
c:documents and settingsAll Users.WINDOWSApplication Datazymlib.dll
c:documents and settingsAll Users.WINDOWSApplication Datakkmlib.dllЗапишите получившийся файл на ваш рабочий стол под именем CFScript
Далее перетащите получившийся файл на иконку Combofix, как показано на картинке ниже.
Сombofix запуститься и выполнит процедуры описанные в созданном нами файле.
По результатам работы Combofix будет создан новый лог, его и вставьте в свой следующий ответ.
И конечно-же проверьте InternetExplorer в работе.ComboFix 09-01-21.04 — Администратор 2009-01-28 21:07:41.3 — NTFSx86
Microsoft Windows XP Professional 5.1.2600.1.1251.1.1049.18.1023.690 [GMT 3:00]
Running from: c:documents and settingsАдминистратор.HOME-EOGNL3PPVKРабочий столComboFix.exe
Command switches used :: c:documents and settingsАдминистратор.HOME-EOGNL3PPVKРабочий столCFScript.txt
* Created a new restore point
* Resident AV is activeFILE ::
c:documents and settingsAll Users.WINDOWSApplication Datakkmlib.dll
c:documents and settingsAll Users.WINDOWSApplication Datazymlib.dll
.((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))
.c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files0EB9F12C_6E6B_4c03_AEBA_8C04CFA98AA4.jpg
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files15913497_F86C_4218_8817_F50940D1E1B2.jpg
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files29887DDE_00B9_4011_9CF7_59511F1ECC1B.jpg
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files35B7DFFA_884F_4fbc_8E60_DA601BDC7BF7.gif
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files362FD6E8_8CDA_4c2a_A8AA-BDA22B321711.gif
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files3DF04940_9866_4241_A998_0CDDFAFD147A.jpg
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files426500D7_0FF3_426c_828D_065DBAEA0581.gif
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files478BD4AE_2691_438d_BDCA_3485DC022700.gif
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files5C6C645F_BAA8_4149_BFEB_2031230FF0FD.jpg
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files61EA7D69_19D4_421a_A899_0DF4D58CD119.gif
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files777FDAFB_83CF_4960_AA71_4E5D7BCD8E57.gif
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files8DA878D5_E80B_4721_B75A_17EFFAF1A700.gif
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet Files98F6DF79_7171_452d_9C26_C0193E12DBDF.gif
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet FilesA2B240D6_0386_419e_91C5_3F7D90437CD0.gif
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet FilesC75CEF8D_5AF4_4563_8594_C45A45E14E63.gif
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet FilesE21285C1_40E6_435c_A69F_3387E7BD89CB.jpg
c:documents and settingsАдминистратор.HOME-EOGNL3PPVKLocal SettingsTemporary Internet FilesE9A4D648_ED73_4ea7_88B2_18332DBA4F3E.gif
c:documents and settingsAll Users.WINDOWSApplication Datakkmlib.dll
c:documents and settingsAll Users.WINDOWSApplication Datazymlib.dll.
((((((((((((((((((((((((( Files Created from 2008-12-28 to 2009-01-28 )))))))))))))))))))))))))))))))
.2009-01-25 19:55 . 2009-01-25 19:56
d
C:rsit
2009-01-25 19:55 . 2009-01-25 23:43d
c:program filestrend micro
2009-01-15 15:38 . 2009-01-15 15:39 2,880 —a
c:windowssystem32wmsoft57060.exe.
(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-12-16 12:43 83,232 —-a-w c:windowssystem32wmsoft83315.exe
2008-12-16 12:42 38,096 —-a-w c:windowssystem32wmsoft35508.exe
.((((((((((((((((((((((((((((( snapshot@2009-01-25_20.40.18,67 )))))))))))))))))))))))))))))))))))))))))
.
— 2008-10-26 06:47:13 39,992 —-a-w c:windowssystem32perfc009.dat
+ 2009-01-25 17:48:20 39,992 —-a-w c:windowssystem32perfc009.dat
— 2008-10-26 06:47:13 49,350 —-a-w c:windowssystem32perfc019.dat
+ 2009-01-25 17:48:20 49,350 —-a-w c:windowssystem32perfc019.dat
— 2008-10-26 06:47:13 311,604 —-a-w c:windowssystem32perfh009.dat
+ 2009-01-25 17:48:20 311,604 —-a-w c:windowssystem32perfh009.dat
— 2008-10-26 06:47:13 346,144 —-a-w c:windowssystem32perfh019.dat
+ 2009-01-25 17:48:20 346,144 —-a-w c:windowssystem32perfh019.dat
.
((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown
REGEDIT4[HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun]
«CTFMON.EXE»=»c:windowsSystem32ctfmon.exe» [2003-02-23 13312]
«BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}»=»c:program filesCommon FilesAheadlibNMBgMonitor.exe» [2005-12-16 94208]
«Download Master»=»c:program filesDownload Masterdmaster.exe» [2007-07-20 3088384][HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]
«egui»=»c:program filesESETESET NOD32 Antivirusegui.exe» [2008-05-17 1445888]
«NvCplDaemon»=»c:windowsSystem32NvCpl.dll» [2007-10-28 8531968]
«NvMediaCenter»=»c:windowsSystem32NvMcTray.dll» [2007-10-28 81920]
«WinampAgent»=»c:program filesWinampwinampa.exe» [2003-12-13 33792]
«NeroFilterCheck»=»c:windowsSystem32NeroCheck.exe» [2001-07-09 155648]
«RTHDCPL»=»RTHDCPL.EXE» [2007-04-12 c:windowsRTHDCPL.exe]
«SkyTel»=»SkyTel.EXE» [2007-04-13 c:windowsSkyTel.exe]
«nwiz»=»nwiz.exe» [2007-10-28 c:windowssystem32nwiz.exe][HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersionRun]
«CTFMON.EXE»=»c:windowsSystem32CTFMON.EXE» [2003-02-23 13312][HKEY_LOCAL_MACHINEsoftwaremicrosoftwindows ntcurrentversiondrivers32]
«msacm.ac3filter»= ac3filter.acmR1 epfwtdir;epfwtdir;c:windowssystem32driversepfwtdir.sys [2007-12-21 33800]
R4 ekrn;Eset Service;c:program filesESETESET NOD32 Antivirusekrn.exe [2007-12-21 462848]
.
.
Supplementary Scan
.
uStart Page = hxxp://www.championat.ru/
uInternet Connection Wizard,ShellNext = hxxp://www.westbyte.com/dm/
IE: &Экспорт в Microsoft Excel — c:progra~1MICROS~2OFFICE11EXCEL.EXE/3000
IE: Закачать ВСЕ при помощи Download Master — c:program filesDownload Masterdmieall.htm
IE: Закачать при помощи Download Master — c:program filesDownload Masterdmie.htm
IE: {{7558B7E5-7B26-4201-BEDB-00D5FF534523} — c:program filesMail.RuAgentMAgent.exe
IE: {{8DAE90AD-4583-4977-9DD4-4360F7A45C74} — c:program filesDownload Masterdmaster.exe
IE: {{c95fe080-8f5d-11d2-a20b-00aa003c157a} — %SystemRoot%webrelated.htm
TCP: {5B44C889-83B9-4962-BD05-46C32E4DB930} = 89.109.191.42 79.105.254.42
DPF: DirectAnimation Java Classes — file://c:windowsJavaclassesdajava.cab
DPF: Microsoft XML Parser for Java — file://c:windowsJavaclassesxmldso.cab
.**************************************************************************
catchme 0.3.1367 W2K/XP/Vista — rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-01-28 21:08:30
Windows 5.1.2600 Service Pack 1 NTFSscanning hidden processes …
scanning hidden autostart entries …
scanning hidden files …
scan completed successfully
hidden files: 0**************************************************************************
.
DLLs Loaded Under Running Processes
— — — — — — — > ‘winlogon.exe'(688)
c:windowsSystem32ODBC32.dll— — — — — — — > ‘lsass.exe'(744)
c:windowsSystem32dssenh.dll
.
Completion time: 2009-01-28 21:09:14
ComboFix-quarantined-files.txt 2009-01-28 18:09:13
ComboFix2.txt 2009-01-25 17:51:02
ComboFix3.txt 2009-01-25 17:40:46Pre-Run: 30 089 093 120 байт свободно
Post-Run: 30,081,343,488 байт свободно117
Большое спасибо после ваших инструкций все нормально заработало Нод 32 определил и вылечил вирус. Подскажите надо ли удалять комбофикс
Последний лог выглядит нормально.
Несколько завершающих действий.
Удалите Combofix с вашего компьютера, действуйте согласно инструкции: Как правильно удалить combofix с компьютера.
Установите программу Spybot Search and Destroy, это довольно неплохая дополнительная защита от шпионских и других вредоносных программ..
Запустите ваш антивирус и проверьте состояние автоматической защиты. Включите, если она выключена.
Удалите старые точки восстановления, так как в них возможно нахождения инфицированных файлов, троянов и других вредоносных программ. Для этого кликните по иконке Мой компьютер, выберите пункт Свойства. В открывшемся окне выберите вкладку Восстановление системы. Поставьте галочку напротив пункта Отключить восстановление системы на всех дисках. Кликните по кнопке Применить. Подтвердите свои действия кликнув по кнопке OK в открывшемся диалоге. Закройте окно Свойства системы, кликнув по кнопке OK.
После загрузки компьютера выполните действия описанные выше, только в этот раз снимите галочку.
Создайте новую точку восстановления. Это поможет вам в случае необходимости загрузить текущую конфигурацию Windows и быстро излечиться от спайваре/вируса. Для этого кликните по кнопке Пуск, далее выберите пункт Стандартные, в нём Служебные и запустите программу Восстановление системы. В открывшемся окне выберите задачу Создать точку восстановления и нажмите кнопку Далее и следуйте указаниям.
Не забывайте обновлять Windows, ваши программы и особенно ваш антивирус.
Всего доброго!
- Тема ‘ЛЕНТА С ФОТОГРАФИЯМИ E21285C1_40E6_435c_A69F_3387E7BD89CB.jp’ закрыта для новых сообщений.
