- This topic has 1 ответ, 2 участника, and was last updated 15 years, 10 months назад by
.
-
Сообщения
-
ЗАМУЧИЛА ПОРНО-РЕКЛАМА, ТРЕБУЮЩАЯ ОТПРАВИТЬ СМС ДЛЯ УДАЛЕНИЯ ИНФОРМЕРА. ЗАНИМАЕТ ПОЛСТРАНИЦЫ!! иЗ ТЕХ ПЕРЕЧИСЛЕННЫХ ВАМИ ПРОГРАММ, КОТОРЫЕ СЛЕДОВАЛО БЫ УДАЛИТЬ В ТАКОМ СЛУЧАЕ Я ИСПОЛЬЗОВАЛ ПРОГРАММУ COMBOFIX В РЕЗУЛЬТАТЕ ОНА МНЕ ВЫДАЛА LOG.TXT С СОДЕРЖИМЫМ
ComboFix 08-10-25.01 — Admin 2009-12-17 2:50:03.1 — NTFSx86
Microsoft Windows XP Professional 5.1.2600.3.1251.1.1049.18.1626 [GMT 3:00]
Running from: C:DOCUME~1AdminLOCALS~1TempRar$EX00.329ComboFix.exe
* Created a new restore pointWARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.
— REDUCED FUNCTIONALITY MODE —
.((((((((((((((((((((((((( Files Created from 2009-11-16 to 2009-12-16 )))))))))))))))))))))))))))))))
.2009-12-17 01:25 . 2009-12-17 01:25
d
C:TempЭскизы TotalCmd
2009-12-17 01:25 . 2009-12-17 01:25d
C:Temp
2009-12-16 20:43 . 2009-08-28 17:36 714,112 —a
C:WINDOWSsystem32driversSandBox.sys
2009-12-16 20:42 . 2009-12-17 00:59d
C:WINDOWSsystem32Filt
2009-12-16 20:42 . 2009-12-16 20:42d
C:Program FilesAgnitum
2009-12-16 20:42 . 2009-09-14 11:44 256,792 —a
C:WINDOWSsystem32driversafwcore.sys
2009-12-16 20:42 . 2009-02-18 16:30 31,128 —a
C:WINDOWSsystem32driversafw.sys
2009-12-16 20:42 . 2008-12-01 16:39 49 —a
C:WINDOWStransp.gif
2009-12-16 20:39 . 2009-12-16 20:39d
C:Documents and SettingsAll UsersApplication DataAgnitum
2009-12-16 14:09 . 2009-12-16 18:18d
C:Program FilesMixxx
2009-12-16 03:44 . 2009-12-16 03:44d
C:Downloads
2009-12-16 00:21 . 2009-12-16 00:21d
C:Program FilesAsk.com
2009-12-15 17:33 . 2009-12-15 17:33dr-h
C:Documents and SettingsAdminApplication DataSecuROM
2009-12-15 17:08 . 2009-12-15 17:08d
C:Documents and SettingsAll UsersApplication DataSports Interactive
2009-12-15 17:08 . 2009-12-15 17:08d
C:Documents and SettingsAdminApplication DataSports Interactive
2009-12-15 17:04 . 2009-12-15 17:07d—h
C:Program FilesZero G Registry
2009-12-15 17:04 . 2009-12-15 17:04d
C:Program FilesSports Interactive
2009-12-15 17:03 . 2009-12-15 17:03d—h
C:Documents and SettingsAdminInstallAnywhere
2009-12-15 16:59 . 2009-12-15 16:59d
C:Program FilesDAEMON Tools Lite
2009-12-15 16:59 . 2009-12-15 16:59d
C:Documents and SettingsAll UsersApplication DataDAEMON Tools Lite
2009-12-15 16:59 . 2009-12-15 17:26d
C:Documents and SettingsAdminApplication DataDAEMON Tools Lite
2009-12-15 12:57 . 2009-12-15 12:57d
C:Documents and SettingsAdminApplication Datatemp
2009-12-15 07:40 . 2009-12-15 07:40d
C:Program FilesAkella
2009-12-15 06:58 . 2009-12-15 07:14d
C:Documents and SettingsAll UsersApplication DataAlawarWrapper
2009-12-15 06:55 . 2009-12-15 07:21d
C:Program FilesAlawar
2009-12-14 15:15 . 2009-12-14 15:15d
C:Program FilesAttack on Pearl Harbor
2009-12-14 06:00 . 2009-12-14 06:00d
C:Program FilesMail.Ru
2009-12-14 06:00 . 2009-12-14 06:01d
C:Documents and SettingsAdminApplication DataMra
2009-12-14 04:57 . 2009-12-16 17:41d
C:Program FilesOpera
2009-12-13 21:10 . 2009-12-13 21:11d
C:Program FilesPokerStars
2009-12-13 20:05 . 2009-12-13 20:14d
C:Program FilesThe Suffering — Ties That Bind
2009-12-13 19:20 . 2009-12-13 19:20d
C:WINDOWSsystem32xlive
2009-12-13 19:17 . 2009-12-16 18:17d
C:Program FilesInstallShield Installation Information
2009-12-13 17:22 . 2009-12-13 17:38 38 —a
C:WINDOWSavisplitter.INI
2009-12-12 14:55 . 2009-12-12 14:55d
C:Documents and SettingsAdminApplication DataNero
2009-12-12 14:46 . 2009-12-12 14:46d
C:Documents and SettingsAdminApplication DataMedia Player Classic.
(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-12-16 18:20
d
w C:Program FilesAIMP2
2009-12-15 21:21
d
w C:Program FilesThe KMPlayer
2009-12-15 13:59 691,696 —-a-w C:WINDOWSsystem32driverssptd.sys
2009-12-12 12:23
d
w C:Program FilesAGEIA Technologies
2009-12-12 12:22
d
w C:Program FilesNVIDIA Corporation
2009-12-12 12:22
d
w C:Program FilesCommon FilesWise Installation Wizard
2009-12-12 12:22
d
w C:Documents and SettingsAll UsersApplication DataNVIDIA Corporation
2009-12-12 11:42
d
w C:Program FilesVista Games
2009-12-12 11:42
d
w C:Program FilesNero
2009-12-12 11:42
d
w C:Program FilesDownload Master
2009-12-12 11:42
d
w C:Program FilesCommon FilesNero
2009-12-12 11:41
d
w C:Program FilesK-Lite Codec Pack
2009-12-12 11:41
d
w C:Documents and SettingsAll UsersApplication DataMicrosoft Help
2009-12-12 11:38
d
w C:Program FilesMicrosoft.NET
2009-12-12 11:38
d
w C:Program FilesMicrosoft Works
2009-12-12 11:35
d
w C:Program FilesFoxit Reader
2009-12-12 10:07
d
w C:Program FilesTotal Commander Podarok Edition
2009-12-12 09:55
d
w C:Program FilesAlwil Software
2009-12-12 09:48
d
w C:Program FilesVistaDriveIcon
2009-12-12 09:48
d
w C:Program Filesmicrosoft frontpage
2009-12-12 09:47
d
w C:Program FilesJava
2009-12-12 09:47
d
w C:Program FilesCommon FilesJava
2009-12-12 09:45
d—a-w C:Program FilesAmlMaple
2009-12-12 09:42
d
w C:Program FilesWindows Media Connect 2
2009-12-12 09:42
d
w C:Program FilesPaint.NET
2009-09-27 15:19 86,016 —-a-w C:WINDOWSsystem32nvmctray.dll
2009-09-27 13:12 888,832 —-a-w C:WINDOWSsystem32nvapi.dll
2009-09-27 13:12 5,900,416 —-a-w C:WINDOWSsystem32nv4_disp.dll
2009-09-27 13:12 2,194,024 —-a-w C:WINDOWSsystem32nvcuvid.dll
2009-09-27 13:12 2,007,040 —-a-w C:WINDOWSsystem32nvcuda.dll
2009-09-27 13:12 170,600 —-a-w C:WINDOWSsystem32nvcodins.dll
2009-09-27 13:12 170,600 —-a-w C:WINDOWSsystem32nvcod.dll
2009-09-27 13:12 10,756,096 —-a-w C:WINDOWSsystem32nvoglnt.dll
2009-09-27 13:12 1,714,792 —-a-w C:WINDOWSsystem32nvcuvenc.dll
2009-09-27 13:12 1,604,482 —-a-w C:WINDOWSsystem32nvdata.bin
.
Sigcheck
2008-05-20 18:54 579072 23b7d3f3f5ec8feea75ec381c71cbd5e C:WINDOWSsystem32user32.dll2008-05-20 18:54 952320 7a737e1453d01ff94801272f13497362 C:WINDOWSsystem32wininet.dll
2008-05-20 18:52 361344 030dc4d48cc2b894fee2f390d8e66ad5 C:WINDOWSsystem32driverstcpip.sys
2008-05-20 18:53 1721344 dc5d73a9809b66026231a9d49de6987f C:WINDOWSexplorer.exe
2008-05-20 18:53 30208 ae0db25ee10900c73d923ad5880564cf C:WINDOWSsystem32ctfmon.exe
2008-05-20 18:55 80216 5f38b1b965527c6f5c30dedab0ab0550 C:WINDOWSsystem32wuauclt.exe
.
((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown
REGEDIT4[HKEY_LOCAL_MACHINE~Browser Helper Objects{D4027C7F-154A-4066-A1AD-4243D8127440}]
2009-07-10 17:28 1174920 —a
C:Program FilesAsk.comGenericAskToolbar.dll[HKEY_LOCAL_MACHINESOFTWAREMicrosoftInternet ExplorerToolbar]
«{D4027C7F-154A-4066-A1AD-4243D8127440}»= «C:Program FilesAsk.comGenericAskToolbar.dll» [2009-07-10 1174920][HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun]
«CTFMON.EXE»=»C:WINDOWSsystem32ctfmon.exe» [2008-05-20 30208]
«VistaIcon»=»C:Program FilesVistaDriveIconVistaDrv.exe» [2008-01-02 132096]
«DAEMON Tools Lite»=»C:Program FilesDAEMON Tools LiteDTLite.exe» [2009-10-30 369200]
«Download Master»=»C:Program FilesDownload Masterdmaster.exe» [2008-01-26 3266560][HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]
«AmlMaple»=»C:Program FilesAmlMapleAmlMaple.exe» [2008-04-24 91648]
«avast!»=»C:PROGRA~1ALWILS~1Avast4ashDisp.exe» [2009-02-06 81000]
«NvMediaCenter»=»C:WINDOWSsystem32NvMcTray.dll» [2009-09-27 86016]
«NvCplDaemon»=»C:WINDOWSsystem32NvCpl.dll» [2009-09-27 13918208]
«MAgent»=»C:Program FilesMail.RuAgentMAgent.exe» [2009-12-14 7975608]
«OutpostMonitor»=»C:PROGRA~1AgnitumOUTPOS~1op_mon.exe» [2009-12-10 1267560]
«OutpostFeedBack»=»C:Program FilesAgnitumOutpost Firewall Profeedback.exe» [2009-09-23 436552]
«RTHDCPL»=»RTHDCPL.EXE» [2008-04-10 C:WINDOWSRTHDCPL.EXE][HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersionRun]
«CTFMON.EXE»=»C:WINDOWSsystem32CTFMON.EXE» [2008-05-20 30208]
«VistaIcon»=»C:Program FilesVistaDriveIconVistaDrv.exe» [2008-01-02 132096][HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersionRunOnce]
«IE7_011″=»shell32» [X]
«ZZZZ2_FirstLogonSetting»=»advpack.dll» [2008-05-20 C:WINDOWSsystem32advpack.dll]
«IE7_012″=»advpack.dll» [2008-05-20 C:WINDOWSsystem32advpack.dll][HKEY_CURRENT_USERsoftwaremicrosoftwindowscurrentversionpoliciesexplorer]
«NoSMConfigurePrograms»= 1 (0x1)[HKEY_USERS.defaultsoftwaremicrosoftwindowscurrentversionpoliciesexplorer]
«NoSMConfigurePrograms»= 1 (0x1)[HKEY_LOCAL_MACHINEsoftwaremicrosoftwindows ntcurrentversionwinlogon]
«Userinit»=»C:\WINDOWS\system32\userinit.exe,C:\DOCUME~1\Admin\LOCALS~1\Temp\das1.tmp»[HKEY_LOCAL_MACHINEsoftwaremicrosoftwindows ntcurrentversionwindows]
«AppInit_DLLs»=c:progra~1agnitumoutpos~1wl_hook.dll[HKEY_LOCAL_MACHINEsoftwaremicrosoftsecurity center]
«FirewallOverride»=dword:00000001
«UpdatesDisableNotify»=dword:00000001
«UpdatesOverride»=dword:00000001
«AntiVirusDisableNotify»=dword:00000001
«AntiVirusOverride»=dword:00000001[HKLM~servicessharedaccessparametersfirewallpolicystandardprofile]
«EnableFirewall»= 0 (0x0)[HKLM~servicessharedaccessparametersfirewallpolicystandardprofileAuthorizedApplicationsList]
«%windir%\Network Diagnostic\xpnetdiag.exe»=
«%windir%\system32\sessmgr.exe»=
«C:\Program Files\Sports Interactive\Football Manager 2010\fm.exe»=R1 SandBox;SandBox;C:WINDOWSsystem32driversSandBox.sys [2009-08-28 714112]
R3 afw;Agnitum firewall driver;C:WINDOWSsystem32DRIVERSafw.sys [2009-02-18 31128]
S2 acssrv;Agnitum Client Security Service;C:PROGRA~1AgnitumOUTPOS~1acs.exe [2009-12-10 1338624]
S3 afwcore;afwcore;C:WINDOWSsystem32driversafwcore.sys [2009-09-14 256792]
S3 ASWFilt;ASWFilt;C:WINDOWSsystem32FiltASWFilt.dll [2009-08-28 33920][HKEY_CURRENT_USERsoftwaremicrosoftwindowscurrentversionexplorermountpoints2{6772b584-e7ec-11de-9d61-001d92984935}]
ShellAutoRuncommand — K:sfkn.exe
ShellopenCommand — K:sfkn.exe*Newly Created Service* — SRSERVICE
.
Contents of the ‘Scheduled Tasks’ folder2009-12-16 C:WINDOWSTasksScheduled Update for Ask Toolbar.job
— C:Program FilesAsk.comUpdateTask.exe [2009-07-10 17:29]
.
— — — — ORPHANS REMOVED — — — —HKLM-Run-nwiz — C:Program FilesNVIDIA CorporationnViewnwiz.exe
.
Supplementary Scan
.
FireFox -: Profile — C:Documents and SettingsAdminApplication DataMozillaFirefoxProfilesonuxmekx.default
FireFox -: prefs.js — SEARCH.DEFAULTURL — hxxp://go.mail.ru/search?fr=fftb&utf8in&q=
FireFox -: prefs.js — STARTUP.HOMEPAGE — hxxp://www.ask.com?o=15187&l=dis
.**************************************************************************
catchme 0.3.1367 W2K/XP/Vista — rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-12-17 02:50:12
Windows 5.1.2600 Service Pack 3 NTFSscanning hidden processes …
scanning hidden autostart entries …
scanning hidden files …
scan completed successfully
hidden files: 0**************************************************************************
.
DLLs Loaded Under Running Processes
PROCESS: C:WINDOWSsystem32lsass.exe
-> C:Documents and SettingsAdminCookiesuserlib.dll
.
Completion time: 2009-12-17 2:51:10
ComboFix-quarantined-files.txt 2009-12-16 23:50:57Pre-Run: 64 882 405 376 байт свободно
Post-Run: 65,183,399,936 байт свободно185
ПОДСКАЖИТЕ ПОЖАЛУЙСТА ЧТО ДЕЛАТЬ ,ЕСЛИ Я ПРАВИЛЬНО ПОНЯЛ НАДО УДАЛИТЬ ФАЙЛЫ ROCESS: C:WINDOWSsystem32lsass.exe
-> C:Documents and SettingsAdminCookiesuserlib.dll НО У МЕНЯ ПРОСИТ СНЯТЬ ЗАШИТУ ОТ ЗАПИСИ чТО ДЕЛАТЬ…..Здравствуйте, добро пожаловать на Spyware-ru форум.
Откройте блокнот (Кликните Пуск, Выполнить, в строке ввода введите notepad и нажмите Enter) и вставьте в него следующий текст:
Registry::
[HKEY_LOCAL_MACHINEsoftwaremicrosoftwindows ntcurrentversionwinlogon]
"Userinit"="C:\WINDOWS\system32\userinit.exe,"Запишите получившийся файл на ваш рабочий стол под именем CFScript
Далее перетащите получившийся файл на иконку Combofix, как показано на картинке ниже.
Сombofix запуститься и выполнит процедуры описанные в созданном нами файле.
По результатам работы Combofix будет создан новый лог, его и вставьте в свой следующий ответ.Кроме этого скачайте сканер RSIT кликнув по этой ссылке и сохраните файл на вашем рабочем столе.
* Дважды кликните по скачанному файлу.
* Если у вас есть файрвал (firewall) и он покажет, что программа RSIT пытается выйти в Интернет, то разрешите ей.
* Кликните по кнопке Continue.
* Когда программа закончит работу, будут показаны два лога (log.txt и info.txt).Вставьте оба RSIT лога (их содержимое) в ваш ответ. Каждый лог в отдельное сообщение.
- Для ответа в этой теме необходимо авторизоваться.
