problem s trojanem...

Majk44 · Příspěvek od **Majk44** » pon 7. bře 2005, 21:51

nedavno me kamard opet pozdal abych mu zlokvidoval vira...pred casem jsem mu tam daval noda 32...kdyz zapnu jeho komp tak nod nahodi tabulku ze detekoval trojana win32 trojan dropper.agent.fv trojský kůn (je vysvicena moznost odpojit) -jak kdybyb to naslo na nejaky strance... dam tea odpojit, vzapeti tam skoci znova tabulka.. tentokrat je napdenej soubor v systemu 32..dam smazat..
pri dalsim spusteni OS se tohle opakuje, vzdycky je napdenej jinej soubor napr.
oodhnpr.dll apod.
Jakmile odpojim sitovej kabel tak je to v pohode..
uz jsme se s tim setkal neco podobnyho delal blaster..akorat tady v tomhle pripade se mu nerestartuje komp.
je to teda nekde v reg. popripade traba v mailu jak se pripoji kabel tak se to spusti..
na toho blastra byly zaplaty.. nevite jestli jsou tedka nejaky novy, jak mam tenhle problem vyresit. uz jsme toho zkousel hafo.
jo internet je pres kabelovku ma XP pro SP2

Lemra · Příspěvek od **Lemra** » pon 7. bře 2005, 21:56

Postni sem výpis z HiJackThis.

http://forum.pctuning.cz/viewtopic.php?t=14269

hook · Příspěvek od **hook** » pon 7. bře 2005, 21:59

takze vypni obnovu systemu, smaz cache prohlizece a slozku temp, odpoj se od netu, proskenuj system v nouzovem rezimu a posli log HIJACKTHIS http://humanoid.chytrak.cz/HijackThis.exe

Majk44 · Příspěvek od **Majk44** » pon 7. bře 2005, 22:26

zitra to sem dam... momentalne nejsme u toho PC diky

Majk44 · Příspěvek od **Majk44** » stř 9. bře 2005, 17:37

tak tady je ten scan z hijacku- driv jsem se k tomu nedostal
Logfile of HijackThis v1.99.1
Scan saved at 17:30:38, on 9.3.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\system32\wfxslecf6.exe
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
C:\Program Files\Eset\nod32kui.exe
C:\Program Files\Microsoft Hardware\Keyboard\type32.exe
C:\Program Files\Microsoft Hardware\Mouse\point32.exe
C:\Program Files\Ahead\InCD\InCD.exe
C:\PROGRA~1\COMMON~1\PCSuite\DATALA~1\DATALA~1.EXE
C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\COMMON~1\PCSuite\Services\SERVIC~1.EXE
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Program Files\ICQLite\ICQLite.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\Deamon\Plocha\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.seznam.cz/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Program Files\ICQToolbar\toolbaru.dll
O2 - BHO: MyWay Search Assistant BHO - {04079851-5845-4dea-848C-3ECD647AA554} - C:\Program Files\MyWay\SrchAstt\1.bin\MYSRCHAS.DLL
O2 - BHO: myBar BHO - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - C:\Program Files\MyWay\myBar\1.bin\MYBAR.DLL
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {30A7A6D9-B386-0CEE-5760-E12F9857B8C2} - C:\WINDOWS\system32\hvqituhk.dll (file missing)
O2 - BHO: (no name) - {6CAC9815-3C19-DE3F-6B97-6BE17C7B07A3} - C:\WINDOWS\system32\mjddwjwk.dll (file missing)
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Program Files\ICQToolbar\toolbaru.dll
O3 - Toolbar: My &Search Bar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - C:\Program Files\MyWay\myBar\1.bin\MYBAR.DLL
O4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [IntelliType] "C:\Program Files\Microsoft Hardware\Keyboard\type32.exe"
O4 - HKLM\..\Run: [POINTER] point32.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Program Files\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [DataLayer] C:\PROGRA~1\COMMON~1\PCSuite\DATALA~1\DATALA~1.EXE
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
O4 - HKLM\..\Run: [Ad-aware] C:\Program Files\Lavasoft\Ad-aware 6\Ad-aware.exe +c
O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Program Files\ICQLite\ICQLite.exe -trayboot
O4 - Startup: PowerReg Scheduler.exe
O4 - Global Startup: hp psc 2000 Series.lnk = C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe
O4 - Global Startup: hpoddt01.exe.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Program Files\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: &Search - http://speedbar.myway.com/menusearch.html?p=MG2
O8 - Extra context menu item: E&xportovat do aplikace Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{92FA97BF-0F65-4B13-B867-CE012FD26CCC}: NameServer = 80.188.254.2
O23 - Service: InCD File System Service (InCDsrv) - AHEAD Software - C:\Program Files\Ahead\InCD\InCDsrv.exe
O23 - Service: xwzpaqvbomhq (kzddhpey6) - Unknown owner - C:\WINDOWS\system32\wfxslecf6.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Unknown owner - C:\Program Files\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

JanHavlicek · Příspěvek od **JanHavlicek** » stř 9. bře 2005, 18:18

hm, tak zkus zrušit tohle :

O2 - BHO: MyWay Search Assistant BHO - {04079851-5845-4dea-848C-3ECD647AA554} - C:\Program Files\MyWay\SrchAstt\1.bin\MYSRCHAS.DLL

O2 - BHO: myBar BHO - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - C:\Program Files\MyWay\myBar\1.bin\MYBAR.DLL

O2 - BHO: (no name) - {30A7A6D9-B386-0CEE-5760-E12F9857B8C2} - C:\WINDOWS\system32\hvqituhk.dll (file missing)

O2 - BHO: (no name) - {6CAC9815-3C19-DE3F-6B97-6BE17C7B07A3} - C:\WINDOWS\system32\mjddwjwk.dll (file missing)

O3 - Toolbar: My &Search Bar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - C:\Program Files\MyWay\myBar\1.bin\MYBAR.DLL

O8 - Extra context menu item: &Search - http://speedbar.myway.com/menusearch.html?p=MG2

O17 - HKLM\System\CCS\Services\Tcpip\..\{92FA97BF-0F65-4B13-B867-CE012FD26CCC}: NameServer = 80.188.254.2

O23 - Service: xwzpaqvbomhq (kzddhpey6) - Unknown owner - C:\WINDOWS\system32\wfxslecf6.exe

Majk44 · Příspěvek od **Majk44** » stř 9. bře 2005, 18:22

tak jsme to projel v nouzovym Nod32a aadawarw... naslo to 8 viru... vsechny smazany. po pripijeni sit kabelu se to objevi znovu...
vim ze jsme tohle driv resil nejakou zaplatou.. mam pocit ze by tady ani format nepomohl...
to: janhavlicek
urcite to zkusim promaznout..

Majk44 · Příspěvek od **Majk44** » stř 9. bře 2005, 18:50

tak jsem odstranil ty co jste vypsali, bouzel problem pretrvava

Majk44 · Příspěvek od **Majk44** » pát 11. bře 2005, 20:09

ani format nepomohl...
zajimavy je ze kdyz tam bylo AVG 7 tak to nic nehlasilo jakmile je tam ale nod tak to hlasi.

Shit · Příspěvek od **Shit** » pát 11. bře 2005, 23:23

Majk44 píše:ani format nepomohl...

A tzv. "LLF" ?

Majk44 · Příspěvek od **Majk44** » sob 12. bře 2005, 09:01

bouzel budes mi muset vysvetlit co je to LLF... nejak mi to nedochazi

Max Casper · Příspěvek od **Max Casper** » sob 12. bře 2005, 12:03

Majk44 píše:bouzel budes mi muset vysvetlit co je to LLF... nejak mi to nedochazi

Low Level Format

hook · Příspěvek od **hook** » sob 12. bře 2005, 13:00

C:\WINDOWS\system32\wfxslecf6.exe
C:\WINDOWS\system32\wuauclt.exe
ukonci procesy, najdi na disku a smaz

O2 - BHO: MyWay Search Assistant BHO - {04079851-5845-4dea-848C-3ECD647AA554} - C:\Program Files\MyWay\SrchAstt\1.bin\MYSRCHAS.DLL
O2 - BHO: myBar BHO - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - C:\Program Files\MyWay\myBar\1.bin\MYBAR.DLL
O2 - BHO: (no name) - {30A7A6D9-B386-0CEE-5760-E12F9857B8C2} - C:\WINDOWS\system32\hvqituhk.dll (file missing)
O2 - BHO: (no name) - {6CAC9815-3C19-DE3F-6B97-6BE17C7B07A3} - C:\WINDOWS\system32\mjddwjwk.dll (file missing)
O3 - Toolbar: My &Search Bar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - C:\Program Files\MyWay\myBar\1.bin\MYBAR.DLL
8 - Extra context menu item: &Search - http://speedbar.myway.com/menusearch.html?p=MG2
O23 - Service: xwzpaqvbomhq (kzddhpey6) - Unknown owner - C:\WINDOWS\system32\wfxslecf6.exe

fixni v hijacku

nevidim FW.....