- This topic has 6 ответов, 2 участника, and was last updated 16 years, 6 months назад by
.
-
Сообщения
-
ComboFix 08-12-14.04 — User 2008-12-17 21:15:40.4 — FAT32x86
Microsoft Windows XP Professional 5.1.2600.2.1251.1.1049.18.255.58 [GMT 3:00]
Running from: c:documents and settingsUserРабочий столComboFix.exe
Command switches used :: c:documents and settingsUserРабочий столCFScript.txt
* Created a new restore point
* Resident AV is activeWARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
FILE ::
c:windowssystem32emolib.dll
.((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))
.c:documents and settingsUserLocal SettingsTemporary Internet Files0EB9F12C_6E6B_4c03_AEBA_8C04CFA98AA4.gif
c:documents and settingsUserLocal SettingsTemporary Internet Files15913497_F86C_4218_8817_F50940D1E1B2.gif
c:documents and settingsUserLocal SettingsTemporary Internet Files29887DDE_00B9_4011_9CF7_59511F1ECC1B.gif
c:documents and settingsUserLocal SettingsTemporary Internet Files2A665EDD_5758_480c_8366_66DFC5F23877.gif
c:documents and settingsUserLocal SettingsTemporary Internet Files35B7DFFA_884F_4fbc_8E60_DA601BDC7BF7.gif
c:documents and settingsUserLocal SettingsTemporary Internet Files362FD6E8_8CDA_4c2a_A8AA-BDA22B321711.jpg
c:documents and settingsUserLocal SettingsTemporary Internet Files3DF04940_9866_4241_A998_0CDDFAFD147A.gif
c:documents and settingsUserLocal SettingsTemporary Internet Files426500D7_0FF3_426c_828D_065DBAEA0581.gif
c:documents and settingsUserLocal SettingsTemporary Internet Files5C6C645F_BAA8_4149_BFEB_2031230FF0FD.gif
c:documents and settingsUserLocal SettingsTemporary Internet Files61EA7D69_19D4_421a_A899_0DF4D58CD119.jpg
c:documents and settingsUserLocal SettingsTemporary Internet Files777FDAFB_83CF_4960_AA71_4E5D7BCD8E57.gif
c:documents and settingsUserLocal SettingsTemporary Internet Files8DA878D5_E80B_4721_B75A_17EFFAF1A700.gif
c:documents and settingsUserLocal SettingsTemporary Internet FilesA2B240D6_0386_419e_91C5_3F7D90437CD0.jpg
c:documents and settingsUserLocal SettingsTemporary Internet FilesC75CEF8D_5AF4_4563_8594_C45A45E14E63.gif
c:documents and settingsUserLocal SettingsTemporary Internet FilesE21285C1_40E6_435c_A69F_3387E7BD89CB.gif
c:documents and settingsUserLocal SettingsTemporary Internet FilesE9A4D648_ED73_4ea7_88B2_18332DBA4F3E.jpg.
((((((((((((((((((((((((( Files Created from 2008-11-17 to 2008-12-17 )))))))))))))))))))))))))))))))
.2008-12-15 16:57 . 2008-12-15 16:57
d—hs—- C:FOUND.001
2008-12-09 13:57 . 2008-12-09 13:57d—hs—- C:FOUND.000
2008-11-29 17:17 . 2008-11-29 17:17d
c:program filesИбис
2008-11-29 17:17 . 2008-11-29 17:19 13,030 —a
C:PDOXUSRS.NET
2008-11-28 00:34 . 2008-11-28 00:34d
c:program filesICQ6.
(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-10-24 11:10 453,632 —-a-w c:windowssystem32driversmrxsmb.sys
2008-10-24 11:10 453,632
w c:windowssystem32dllcachemrxsmb.sys
2008-10-23 13:01 283,648 —-a-w c:windowssystem32gdi32.dll
2008-10-23 13:01 283,648 —-a-w c:windowssystem32dllcachegdi32.dll
2008-10-21 09:58 481,792 —-a-w c:windowssystem32rwilib.dll
2008-10-16 11:13 202,776 —-a-w c:windowssystem32wuweb.dll
2008-10-16 11:13 202,776 —-a-w c:windowssystem32dllcachewuweb.dll
2008-10-16 11:13 1,809,944 —-a-w c:windowssystem32wuaueng.dll
2008-10-16 11:13 1,809,944 —-a-w c:windowssystem32dllcachewuaueng.dll
2008-10-16 11:12 561,688 —-a-w c:windowssystem32wuapi.dll
2008-10-16 11:12 561,688 —-a-w c:windowssystem32dllcachewuapi.dll
2008-10-16 11:12 323,608 —-a-w c:windowssystem32wucltui.dll
2008-10-16 11:12 323,608 —-a-w c:windowssystem32dllcachewucltui.dll
2008-10-16 11:09 92,696 —-a-w c:windowssystem32dllcachecdm.dll
2008-10-16 11:09 92,696 —-a-w c:windowssystem32cdm.dll
2008-10-16 11:09 51,224 —-a-w c:windowssystem32wuauclt.exe
2008-10-16 11:09 51,224 —-a-w c:windowssystem32dllcachewuauclt.exe
2008-10-16 11:09 43,544 —-a-w c:windowssystem32wups2.dll
2008-10-16 11:08 34,328 —-a-w c:windowssystem32wups.dll
2008-10-16 11:08 34,328 —-a-w c:windowssystem32dllcachewups.dll
2008-10-15 17:00 332,800 —-a-w c:windowssystem32dllcachenetapi32.dll
2008-10-03 10:17 247,326 —-a-w c:windowssystem32strmdll.dll
2008-10-03 10:17 247,326 —-a-w c:windowssystem32dllcachestrmdll.dll
2008-01-18 16:37 18,480 —-a-w c:documents and settingsUserApplication DataGDIPFONTCACHEV1.DAT
.((((((((((((((((((((((((((((( snapshot@2008-12-15_16.45.07,08 )))))))))))))))))))))))))))))))))))))))))
.
— 2006-05-05 09:41:46 453,120
w c:windowsDriver Cachei386mrxsmb.sys
+ 2008-10-24 11:10:42 453,632
w c:windowsDriver Cachei386mrxsmb.sys
— 2007-06-26 06:10:34 1,104,896 —-a-w c:windowssystem32dllcachemsxml3.dll
+ 2008-09-04 16:46:00 1,106,944 —-a-w c:windowssystem32dllcachemsxml3.dll
— 2007-06-26 06:10:34 1,104,896 —-a-w c:windowssystem32msxml3.dll
+ 2008-09-04 16:46:00 1,106,944 —-a-w c:windowssystem32msxml3.dll
— 2007-11-30 11:21:40 17,784
w c:windowssystem32spmsg.dll
+ 2007-11-30 12:40:54 17,784
w c:windowssystem32spmsg.dll
— 2008-07-14 12:09:18 62,976
w c:windowssystem32tzchange.exe
+ 2008-10-22 09:47:08 62,976
w c:windowssystem32tzchange.exe
.
((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown
REGEDIT4[HKEY_LOCAL_MACHINE~Browser Helper Objects{F040D5C4-4A4A-40AF-94D5-B82D9DD7BA19}]
2008-10-21 12:58 481792 —a
c:windowssystem32rwilib.dll[HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun]
«CTFMON.EXE»=»c:windowssystem32ctfmon.exe» [2004-08-17 15360]
«MSMSGS»=»c:program filesMessengermsmsgs.exe» [2004-10-13 1694208][HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]
«NeroFilterCheck»=»c:program filesCommon FilesAheadLibNeroCheck.exe» [2006-01-12 155648]
«nod32kui»=»c:program filesEsetnod32kui.exe» [2008-01-17 949376]
«Adobe Reader Speed Launcher»=»c:program filesAdobeReader 8.0ReaderReader_sl.exe» [2007-03-08 40048]
«WinampAgent»=»c:program filesWinampwinampa.exe» [2006-11-21 35328]
«OSSelectorReinstall»=»c:program filesCommon FilesAcronisAcronis Disk Directoross_reinstall.exe» [2005-11-30 1558037][HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices]
«ADSS»=»ADSS.exe» [2008-03-02 c:windowssystem32adss.exe][HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersionRun]
«CTFMON.EXE»=»c:windowssystem32CTFMON.EXE» [2004-08-17 15360]c:documents and settingsAll Usersѓ« ў®Ґ ¬ҐоЏа®Ја ¬¬лЂўв®§ Јаг§Є
Microsoft Office.lnk — c:program filesMicrosoft OfficeOffice10OSA.EXE [2001-02-13 83360]
BlueSoleil.lnk — c:program filesIVT CorporationBlueSoleilBlueSoleil.exe [2008-01-18 1183744]
WinZip Quick Pick.lnk — c:program filesWinZipWzqkpick.exe [2002-05-30 106560][HKEY_LOCAL_MACHINEsoftwaremicrosoftwindows ntcurrentversiondrivers32]
«msacm.divxa32″= divxa32.acm[HKLM~servicessharedaccessparametersfirewallpolicystandardprofileAuthorizedApplicationsList]
«%windir%\system32\sessmgr.exe»=
«c:\Program Files\IVT Corporation\BlueSoleil\BlueSoleil.exe»=
«d:\Games\1\ICQ\Icq.exe»=
«c:\Program Files\PopCap Games\Zuma Deluxe\Zuma.exe»=
«c:\Program Files\Nero\Nero 7\Nero Home\NeroHome.exe»=
«c:\Program Files\ICQ6\ICQ.exe»=R1 nod32drv;nod32drv;c:windowssystem32driversnod32drv.sys [2008-01-17 15424]
.
.
Supplementary Scan
.
uStart Page = hxxp://www.rambler.ru/ri6
IE: &Экспорт в Microsoft Excel — c:progra~1MICROS~2Office10EXCEL.EXE/3000
IE: Easy-WebPrint Add To Print List — c:program filesCanonEasy-WebPrintResource.dll/RC_AddToList.html
IE: Easy-WebPrint High Speed Print — c:program filesCanonEasy-WebPrintResource.dll/RC_HSPrint.html
IE: Easy-WebPrint Preview — c:program filesCanonEasy-WebPrintResource.dll/RC_Preview.html
IE: Easy-WebPrint Print — c:program filesCanonEasy-WebPrintResource.dll/RC_Print.html
IE: Найти с помощью Рамблера — c:program filesRambler AssistantramblertoolbarU0.dll/search.htm
IE: Опубликовать в Дневнике — c:program filesRambler AssistantramblertoolbarU0.dll/planet.htm
IE: Перевести с помощью словарей Рамблера — c:program filesRambler AssistantramblertoolbarU0.dll/dic.htm
LSP: c:windowssystem32imon.dll
.**************************************************************************
catchme 0.3.1367 W2K/XP/Vista — rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-12-17 21:17:20
Windows 5.1.2600 Service Pack 2 FAT NTAPIscanning hidden processes …
scanning hidden autostart entries …
scanning hidden files …
scan completed successfully
hidden files: 0**************************************************************************
.
DLLs Loaded Under Running Processes
— — — — — — — > ‘lsass.exe'(668)
c:windowssystem32imon.dll
c:program filesEsetpr_imon.dll
.
Completion time: 2008-12-17 21:18:11
ComboFix-quarantined-files.txt 2008-12-17 18:18:10
ComboFix4.txt 2008-12-15 13:45:44
ComboFix3.txt 2008-12-15 13:54:06
ComboFix2.txt 2008-12-15 14:40:18Pre-Run: 250 949 632 байт свободно
Post-Run: 246,767,616 байт свободно149 — E O F — 2008-12-15 16:07:22
ComboFix 08-12-14.04 — User 2008-12-17 21:15:40.4 — FAT32x86
Microsoft Windows XP Professional 5.1.2600.2.1251.1.1049.18.255.58 [GMT 3:00]
Running from: c:documents and settingsUserРабочий столComboFix.exe
Command switches used :: c:documents and settingsUserРабочий столCFScript.txt
* Created a new restore point
* Resident AV is activeWARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
FILE ::
c:windowssystem32emolib.dll
.((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))
.c:documents and settingsUserLocal SettingsTemporary Internet Files0EB9F12C_6E6B_4c03_AEBA_8C04CFA98AA4.gif
c:documents and settingsUserLocal SettingsTemporary Internet Files15913497_F86C_4218_8817_F50940D1E1B2.gif
c:documents and settingsUserLocal SettingsTemporary Internet Files29887DDE_00B9_4011_9CF7_59511F1ECC1B.gif
c:documents and settingsUserLocal SettingsTemporary Internet Files2A665EDD_5758_480c_8366_66DFC5F23877.gif
c:documents and settingsUserLocal SettingsTemporary Internet Files35B7DFFA_884F_4fbc_8E60_DA601BDC7BF7.gif
c:documents and settingsUserLocal SettingsTemporary Internet Files362FD6E8_8CDA_4c2a_A8AA-BDA22B321711.jpg
c:documents and settingsUserLocal SettingsTemporary Internet Files3DF04940_9866_4241_A998_0CDDFAFD147A.gif
c:documents and settingsUserLocal SettingsTemporary Internet Files426500D7_0FF3_426c_828D_065DBAEA0581.gif
c:documents and settingsUserLocal SettingsTemporary Internet Files5C6C645F_BAA8_4149_BFEB_2031230FF0FD.gif
c:documents and settingsUserLocal SettingsTemporary Internet Files61EA7D69_19D4_421a_A899_0DF4D58CD119.jpg
c:documents and settingsUserLocal SettingsTemporary Internet Files777FDAFB_83CF_4960_AA71_4E5D7BCD8E57.gif
c:documents and settingsUserLocal SettingsTemporary Internet Files8DA878D5_E80B_4721_B75A_17EFFAF1A700.gif
c:documents and settingsUserLocal SettingsTemporary Internet FilesA2B240D6_0386_419e_91C5_3F7D90437CD0.jpg
c:documents and settingsUserLocal SettingsTemporary Internet FilesC75CEF8D_5AF4_4563_8594_C45A45E14E63.gif
c:documents and settingsUserLocal SettingsTemporary Internet FilesE21285C1_40E6_435c_A69F_3387E7BD89CB.gif
c:documents and settingsUserLocal SettingsTemporary Internet FilesE9A4D648_ED73_4ea7_88B2_18332DBA4F3E.jpg.
((((((((((((((((((((((((( Files Created from 2008-11-17 to 2008-12-17 )))))))))))))))))))))))))))))))
.2008-12-15 16:57 . 2008-12-15 16:57
d—hs—- C:FOUND.001
2008-12-09 13:57 . 2008-12-09 13:57d—hs—- C:FOUND.000
2008-11-29 17:17 . 2008-11-29 17:17d
c:program filesИбис
2008-11-29 17:17 . 2008-11-29 17:19 13,030 —a
C:PDOXUSRS.NET
2008-11-28 00:34 . 2008-11-28 00:34d
c:program filesICQ6.
(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-10-24 11:10 453,632 —-a-w c:windowssystem32driversmrxsmb.sys
2008-10-24 11:10 453,632
w c:windowssystem32dllcachemrxsmb.sys
2008-10-23 13:01 283,648 —-a-w c:windowssystem32gdi32.dll
2008-10-23 13:01 283,648 —-a-w c:windowssystem32dllcachegdi32.dll
2008-10-21 09:58 481,792 —-a-w c:windowssystem32rwilib.dll
2008-10-16 11:13 202,776 —-a-w c:windowssystem32wuweb.dll
2008-10-16 11:13 202,776 —-a-w c:windowssystem32dllcachewuweb.dll
2008-10-16 11:13 1,809,944 —-a-w c:windowssystem32wuaueng.dll
2008-10-16 11:13 1,809,944 —-a-w c:windowssystem32dllcachewuaueng.dll
2008-10-16 11:12 561,688 —-a-w c:windowssystem32wuapi.dll
2008-10-16 11:12 561,688 —-a-w c:windowssystem32dllcachewuapi.dll
2008-10-16 11:12 323,608 —-a-w c:windowssystem32wucltui.dll
2008-10-16 11:12 323,608 —-a-w c:windowssystem32dllcachewucltui.dll
2008-10-16 11:09 92,696 —-a-w c:windowssystem32dllcachecdm.dll
2008-10-16 11:09 92,696 —-a-w c:windowssystem32cdm.dll
2008-10-16 11:09 51,224 —-a-w c:windowssystem32wuauclt.exe
2008-10-16 11:09 51,224 —-a-w c:windowssystem32dllcachewuauclt.exe
2008-10-16 11:09 43,544 —-a-w c:windowssystem32wups2.dll
2008-10-16 11:08 34,328 —-a-w c:windowssystem32wups.dll
2008-10-16 11:08 34,328 —-a-w c:windowssystem32dllcachewups.dll
2008-10-15 17:00 332,800 —-a-w c:windowssystem32dllcachenetapi32.dll
2008-10-03 10:17 247,326 —-a-w c:windowssystem32strmdll.dll
2008-10-03 10:17 247,326 —-a-w c:windowssystem32dllcachestrmdll.dll
2008-01-18 16:37 18,480 —-a-w c:documents and settingsUserApplication DataGDIPFONTCACHEV1.DAT
.((((((((((((((((((((((((((((( snapshot@2008-12-15_16.45.07,08 )))))))))))))))))))))))))))))))))))))))))
.
— 2006-05-05 09:41:46 453,120
w c:windowsDriver Cachei386mrxsmb.sys
+ 2008-10-24 11:10:42 453,632
w c:windowsDriver Cachei386mrxsmb.sys
— 2007-06-26 06:10:34 1,104,896 —-a-w c:windowssystem32dllcachemsxml3.dll
+ 2008-09-04 16:46:00 1,106,944 —-a-w c:windowssystem32dllcachemsxml3.dll
— 2007-06-26 06:10:34 1,104,896 —-a-w c:windowssystem32msxml3.dll
+ 2008-09-04 16:46:00 1,106,944 —-a-w c:windowssystem32msxml3.dll
— 2007-11-30 11:21:40 17,784
w c:windowssystem32spmsg.dll
+ 2007-11-30 12:40:54 17,784
w c:windowssystem32spmsg.dll
— 2008-07-14 12:09:18 62,976
w c:windowssystem32tzchange.exe
+ 2008-10-22 09:47:08 62,976
w c:windowssystem32tzchange.exe
.
((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown
REGEDIT4[HKEY_LOCAL_MACHINE~Browser Helper Objects{F040D5C4-4A4A-40AF-94D5-B82D9DD7BA19}]
2008-10-21 12:58 481792 —a
c:windowssystem32rwilib.dll[HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun]
«CTFMON.EXE»=»c:windowssystem32ctfmon.exe» [2004-08-17 15360]
«MSMSGS»=»c:program filesMessengermsmsgs.exe» [2004-10-13 1694208][HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]
«NeroFilterCheck»=»c:program filesCommon FilesAheadLibNeroCheck.exe» [2006-01-12 155648]
«nod32kui»=»c:program filesEsetnod32kui.exe» [2008-01-17 949376]
«Adobe Reader Speed Launcher»=»c:program filesAdobeReader 8.0ReaderReader_sl.exe» [2007-03-08 40048]
«WinampAgent»=»c:program filesWinampwinampa.exe» [2006-11-21 35328]
«OSSelectorReinstall»=»c:program filesCommon FilesAcronisAcronis Disk Directoross_reinstall.exe» [2005-11-30 1558037][HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices]
«ADSS»=»ADSS.exe» [2008-03-02 c:windowssystem32adss.exe][HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersionRun]
«CTFMON.EXE»=»c:windowssystem32CTFMON.EXE» [2004-08-17 15360]c:documents and settingsAll Usersѓ« ў®Ґ ¬ҐоЏа®Ја ¬¬лЂўв®§ Јаг§Є
Microsoft Office.lnk — c:program filesMicrosoft OfficeOffice10OSA.EXE [2001-02-13 83360]
BlueSoleil.lnk — c:program filesIVT CorporationBlueSoleilBlueSoleil.exe [2008-01-18 1183744]
WinZip Quick Pick.lnk — c:program filesWinZipWzqkpick.exe [2002-05-30 106560][HKEY_LOCAL_MACHINEsoftwaremicrosoftwindows ntcurrentversiondrivers32]
«msacm.divxa32″= divxa32.acm[HKLM~servicessharedaccessparametersfirewallpolicystandardprofileAuthorizedApplicationsList]
«%windir%\system32\sessmgr.exe»=
«c:\Program Files\IVT Corporation\BlueSoleil\BlueSoleil.exe»=
«d:\Games\1\ICQ\Icq.exe»=
«c:\Program Files\PopCap Games\Zuma Deluxe\Zuma.exe»=
«c:\Program Files\Nero\Nero 7\Nero Home\NeroHome.exe»=
«c:\Program Files\ICQ6\ICQ.exe»=R1 nod32drv;nod32drv;c:windowssystem32driversnod32drv.sys [2008-01-17 15424]
.
.
Supplementary Scan
.
uStart Page = hxxp://www.rambler.ru/ri6
IE: &Экспорт в Microsoft Excel — c:progra~1MICROS~2Office10EXCEL.EXE/3000
IE: Easy-WebPrint Add To Print List — c:program filesCanonEasy-WebPrintResource.dll/RC_AddToList.html
IE: Easy-WebPrint High Speed Print — c:program filesCanonEasy-WebPrintResource.dll/RC_HSPrint.html
IE: Easy-WebPrint Preview — c:program filesCanonEasy-WebPrintResource.dll/RC_Preview.html
IE: Easy-WebPrint Print — c:program filesCanonEasy-WebPrintResource.dll/RC_Print.html
IE: Найти с помощью Рамблера — c:program filesRambler AssistantramblertoolbarU0.dll/search.htm
IE: Опубликовать в Дневнике — c:program filesRambler AssistantramblertoolbarU0.dll/planet.htm
IE: Перевести с помощью словарей Рамблера — c:program filesRambler AssistantramblertoolbarU0.dll/dic.htm
LSP: c:windowssystem32imon.dll
.**************************************************************************
catchme 0.3.1367 W2K/XP/Vista — rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-12-17 21:17:20
Windows 5.1.2600 Service Pack 2 FAT NTAPIscanning hidden processes …
scanning hidden autostart entries …
scanning hidden files …
scan completed successfully
hidden files: 0**************************************************************************
.
DLLs Loaded Under Running Processes
— — — — — — — > ‘lsass.exe'(668)
c:windowssystem32imon.dll
c:program filesEsetpr_imon.dll
.
Completion time: 2008-12-17 21:18:11
ComboFix-quarantined-files.txt 2008-12-17 18:18:10
ComboFix4.txt 2008-12-15 13:45:44
ComboFix3.txt 2008-12-15 13:54:06
ComboFix2.txt 2008-12-15 14:40:18Pre-Run: 250 949 632 байт свободно
Post-Run: 246,767,616 байт свободно149 — E O F — 2008-12-15 16:07:22
Откройте блокнот и вставьте в него следующий текст:
Registry::
[-HKEY_LOCAL_MACHINE~Browser Helper Objects{F040D5C4-4A4A-40AF-94D5-B82D9DD7BA19}]
File::
c:windowssystem32rwilib.dllЗапишите получившийся файл на ваш рабочий стол под именем CFScript. Далее перетащите получившийся файл на иконку Combofix.
Сombofix запуститься и выполнит процедуры описанные в созданном нами файле.
По результатам работы Combofix будет создан новый лог, его и вставьте в свой следующий ответ.ComboFix 08-12-14.04 — User 2008-12-24 1:25:09.5 — FAT32x86
Microsoft Windows XP Professional 5.1.2600.2.1251.1.1049.18.255.48 [GMT 3:00]
Running from: c:documents and settingsUserђ Ў®зЁ© бв®«ComboFix.exe
Command switches used :: c:documents and settingsUserђ Ў®зЁ© бв®«CFScript.txt
* Resident AV is activeWARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.
— REDUCED FUNCTIONALITY MODE —FILE ::
c:windowssystem32rwilib.dll
.((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))
.c:windowssystem32rwilib.dll
.
((((((((((((((((((((((((( Files Created from 2008-11-23 to 2008-12-23 )))))))))))))))))))))))))))))))
.2008-12-24 01:03 . 2008-12-24 01:03
d
c:windowssystem32CatRoot_bak
2008-12-15 16:57 . 2008-12-15 16:57d—hs—- C:FOUND.001
2008-12-09 13:57 . 2008-12-09 13:57d—hs—- C:FOUND.000
2008-11-29 17:17 . 2008-11-29 17:17d
c:program files€ЎЁб
2008-11-29 17:17 . 2008-11-29 17:19 13,030 —a
C:PDOXUSRS.NET
2008-11-28 00:34 . 2008-11-28 00:34d
c:program filesICQ6.
(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-11-29 14:17
d
w c:program filesИбис
2008-10-24 11:10 453,632 —-a-w c:windowssystem32driversmrxsmb.sys
2008-10-24 11:10 453,632
w c:windowssystem32dllcachemrxsmb.sys
2008-10-23 13:01 283,648 —-a-w c:windowssystem32gdi32.dll
2008-10-23 13:01 283,648 —-a-w c:windowssystem32dllcachegdi32.dll
2008-10-16 11:13 202,776 —-a-w c:windowssystem32wuweb.dll
2008-10-16 11:13 202,776 —-a-w c:windowssystem32dllcachewuweb.dll
2008-10-16 11:13 1,809,944 —-a-w c:windowssystem32wuaueng.dll
2008-10-16 11:13 1,809,944 —-a-w c:windowssystem32dllcachewuaueng.dll
2008-10-16 11:12 561,688 —-a-w c:windowssystem32wuapi.dll
2008-10-16 11:12 561,688 —-a-w c:windowssystem32dllcachewuapi.dll
2008-10-16 11:12 323,608 —-a-w c:windowssystem32wucltui.dll
2008-10-16 11:12 323,608 —-a-w c:windowssystem32dllcachewucltui.dll
2008-10-16 11:09 92,696 —-a-w c:windowssystem32dllcachecdm.dll
2008-10-16 11:09 92,696 —-a-w c:windowssystem32cdm.dll
2008-10-16 11:09 51,224 —-a-w c:windowssystem32wuauclt.exe
2008-10-16 11:09 51,224 —-a-w c:windowssystem32dllcachewuauclt.exe
2008-10-16 11:09 43,544 —-a-w c:windowssystem32wups2.dll
2008-10-16 11:08 34,328 —-a-w c:windowssystem32wups.dll
2008-10-16 11:08 34,328 —-a-w c:windowssystem32dllcachewups.dll
2008-10-15 17:00 332,800 —-a-w c:windowssystem32dllcachenetapi32.dll
2008-10-03 10:17 247,326 —-a-w c:windowssystem32strmdll.dll
2008-10-03 10:17 247,326 —-a-w c:windowssystem32dllcachestrmdll.dll
2008-01-18 16:37 18,480 —-a-w c:documents and settingsUserApplication DataGDIPFONTCACHEV1.DAT
.((((((((((((((((((((((((((((( snapshot@2008-12-15_16.45.07,08 )))))))))))))))))))))))))))))))))))))))))
.
— 2006-05-05 09:41:46 453,120
w c:windowsDriver Cachei386mrxsmb.sys
+ 2008-10-24 11:10:42 453,632
w c:windowsDriver Cachei386mrxsmb.sys
— 2007-06-26 06:10:34 1,104,896 —-a-w c:windowssystem32dllcachemsxml3.dll
+ 2008-09-04 16:46:00 1,106,944 —-a-w c:windowssystem32dllcachemsxml3.dll
— 2007-06-26 06:10:34 1,104,896 —-a-w c:windowssystem32msxml3.dll
+ 2008-09-04 16:46:00 1,106,944 —-a-w c:windowssystem32msxml3.dll
— 2007-11-30 11:21:40 17,784
w c:windowssystem32spmsg.dll
+ 2007-11-30 12:40:54 17,784
w c:windowssystem32spmsg.dll
— 2008-07-14 12:09:18 62,976
w c:windowssystem32tzchange.exe
+ 2008-10-22 09:47:08 62,976
w c:windowssystem32tzchange.exe
.
((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown
REGEDIT4[HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun]
«CTFMON.EXE»=»c:windowssystem32ctfmon.exe» [2004-08-17 15360]
«MSMSGS»=»c:program filesMessengermsmsgs.exe» [2004-10-13 1694208][HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]
«NeroFilterCheck»=»c:program filesCommon FilesAheadLibNeroCheck.exe» [2006-01-12 155648]
«nod32kui»=»c:program filesEsetnod32kui.exe» [2008-01-17 949376]
«Adobe Reader Speed Launcher»=»c:program filesAdobeReader 8.0ReaderReader_sl.exe» [2007-03-08 40048]
«WinampAgent»=»c:program filesWinampwinampa.exe» [2006-11-21 35328]
«OSSelectorReinstall»=»c:program filesCommon FilesAcronisAcronis Disk Directoross_reinstall.exe» [2005-11-30 1558037][HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices]
«ADSS»=»ADSS.exe» [2008-03-02 c:windowssystem32adss.exe][HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersionRun]
«CTFMON.EXE»=»c:windowssystem32CTFMON.EXE» [2004-08-17 15360][HKEY_LOCAL_MACHINEsoftwaremicrosoftwindows ntcurrentversiondrivers32]
«msacm.divxa32″= divxa32.acm[HKEY_LOCAL_MACHINEsoftwaremicrosoftsecurity center]
«AntiVirusOverride»=dword:00000001[HKLM~servicessharedaccessparametersfirewallpolicystandardprofileAuthorizedApplicationsList]
«%windir%\system32\sessmgr.exe»=
«c:\Program Files\IVT Corporation\BlueSoleil\BlueSoleil.exe»=
«d:\Games\1\ICQ\Icq.exe»=
«c:\Program Files\PopCap Games\Zuma Deluxe\Zuma.exe»=
«c:\Program Files\Nero\Nero 7\Nero Home\NeroHome.exe»=
«c:\Program Files\ICQ6\ICQ.exe»=R1 nod32drv;nod32drv;c:windowssystem32driversnod32drv.sys [2008-01-17 15424]
.
.
Supplementary Scan
.
uStart Page = hxxp://www.rambler.ru/ri6
IE: &Экспорт в Microsoft Excel — c:progra~1MICROS~2Office10EXCEL.EXE/3000
IE: Easy-WebPrint Add To Print List — c:program filesCanonEasy-WebPrintResource.dll/RC_AddToList.html
IE: Easy-WebPrint High Speed Print — c:program filesCanonEasy-WebPrintResource.dll/RC_HSPrint.html
IE: Easy-WebPrint Preview — c:program filesCanonEasy-WebPrintResource.dll/RC_Preview.html
IE: Easy-WebPrint Print — c:program filesCanonEasy-WebPrintResource.dll/RC_Print.html
IE: Найти с помощью Рамблера — c:program filesRambler AssistantramblertoolbarU0.dll/search.htm
IE: Опубликовать в Дневнике — c:program filesRambler AssistantramblertoolbarU0.dll/planet.htm
IE: Перевести с помощью словарей Рамблера — c:program filesRambler AssistantramblertoolbarU0.dll/dic.htm
LSP: c:windowssystem32imon.dll
TCP: {6AE33CC8-B937-4F8E-8B44-C19D340BBD76} = 84.42.48.10
.**************************************************************************
catchme 0.3.1367 W2K/XP/Vista — rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-12-24 01:25:39
Windows 5.1.2600 Service Pack 2 FAT NTAPIscanning hidden processes …
scanning hidden autostart entries …
scanning hidden files …
scan completed successfully
hidden files: 0**************************************************************************
.
DLLs Loaded Under Running Processes
— — — — — — — > ‘lsass.exe'(668)
c:windowssystem32imon.dll
c:program filesEsetpr_imon.dll
.
Completion time: 2008-12-24 1:26:58
ComboFix-quarantined-files.txt 2008-12-23 22:26:54
ComboFix4.txt 2008-12-15 13:54:06
ComboFix3.txt 2008-12-15 14:40:18
ComboFix5.txt 2008-12-23 22:23:30
ComboFix2.txt 2008-12-17 18:18:14Pre-Run: 180я789я248 Ў ©в бў®Ў®¤®
Post-Run: 176,918,528 Ў ©в бў®Ў®¤®134 — E O F — 2008-12-15 16:07:22
Несколько завершающих действий.
Удалите Combofix с вашего компьютера, действуйте согласно инструкции: Как правильно удалить combofix с компьютера.
Удалите другие скачанные вами сканеры и небольшие утилиты, а так же все файлы и каталоги который были созданы в процессе лечения компьютера.Установите программу Spybot Search and Destroy, это довольно неплохая дополнительная защита.
Запустите ваш антивирус и проверьте состояние автоматической защиты. Включите, если она выключена.
Удалите старые точки восстановления, так как в них возможно нахождения инфицированных файлов, троянов и других вредоносных программ. Для этого кликните по иконке Мой компьютер, выберите пункт Свойства. В открывшемся окне выберите вкладку Восстановление системы. Поставьте галочку напротив пункта Отключить восстановление системы на всех дисках. Кликните по кнопке Применить. Подтвердите свои действия кликнув по кнопке OK в открывшемся диалоге. Закройте окно Свойства системы, кликнув по кнопке OK.
После загрузки компьютера выполните действия описанные выше, только в этот раз снимите галочку.
Создайте новую точку восстановления. Это поможет вам в случае необходимости загрузить текущую конфигурацию Windows и быстро излечиться от спайваре/вируса. Для этого кликните по кнопке Пуск, далее выберите пункт Стандартные, в нём Служебные и запустите программу Восстановление системы. В открывшемся окне выберите задачу Создать точку восстановления и нажмите кнопку Далее и следуйте указаниям.
Не забывайте обновлять Windows, ваши программы и особенно ваш антивирус.
Всего доброго!
- Для ответа в этой теме необходимо авторизоваться.
