prosim kontrolu logu - nalezen trojsky kun

[misako]

Dobry den, avast mi nasel nekolikrat za sebou trojskeho kone, davam vse do truhly, poradite co dal prosim?
Moc Vam dekuji!
Posilam log.



Logfile of HijackThis v1.99.1
Scan saved at 18:48:37, on 19.12.2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\System32\ScsiAccess.EXE
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\DAEMON Tools\daemon.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Kodak\Kodak EasyShare software\bin\EasyShare.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\CASIO\Photo Loader\Plauto.exe
C:\Program Files\Alwil Software\Avast4\ashSimpl.exe
C:\WINDOWS\system32\winlogon.exe
C:\Program Files\Kodak\KODAK Software Updater\7288971\Program\backWeb-7288971.exe
C:\Program Files\Messenger\MSMSGS.EXE
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Documents and Settings\Karel\Plocha\WindowsXP-KB835935-SP2-CSY.exe
d:\e6f07804dd00b3c5c5b49f9b310330\i386\update\update.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\Karel\LOCALS~1\Temp\Rar$EX00.547\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.seznam.cz/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Rádio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Program Files\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Kodak EasyShare software.lnk = C:\Program Files\Kodak\Kodak EasyShare software\bin\EasyShare.exe
O4 - Global Startup: KODAK Software Updater.lnk = C:\Program Files\Kodak\KODAK Software Updater\7288971\Program\backWeb-7288971.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Photo Loader supervisory.lnk = C:\Program Files\CASIO\Photo Loader\Plauto.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftup ... 5672114406
O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: ScsiAccess - Unknown owner - C:\WINDOWS\System32\ScsiAccess.EXE

[Baron Prášil]

instaluješ sp2 a to chválim.
nainstaluj i firewall a bude to dokonalý.
http://viry.cz/forum/viewtopic.php?t=65 ... b226c523ee

fixni v HijackThis
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

trojan tam vidět neni,kde ho avast hlásí?

[misako]

Tak uz pisu z jineho pocitace, tam to byl pocitac mych rodicu, snazila jsem se jim tam ztahnout service pack 2 atd a behem toho jsem mela pusteny test avast, bohuzel nemohu napsat, kde trojana nasel, detekoval ho asi 6x a nepamatuju si kde vsude. Byl to vir Win 32. Dala jsem vse do truhly, jenze mezitim se seknulo stahovani service packu 2 - tak jsem to musela cele uzavrit, pote restartovat, jenze od te chvile uz pocitac nenabehl, ani nejde spustit v nouzovem rezimu. Takze me rodice moc nepochvalili a ja vubec netusim co s tim dal. Pocitac reinstalovat neumim -je to slozite? Mame tam spoustu fotek, co by jsme radi zachovali.

Nemate jakoukoliv radu, prosiiim?
Moc dekuji.
Misa K.

[Baron Prášil]

instalace sp2 na napadenej počítač se nedoporučuje.
bude to asi chtít instalační cd a nechat to naject přes něj,asi to nastavit v biosu....(já sem to nikdy nedělal )
ale jsou tady chytřejší hlavy

[Shit]

fixni v HijackThis
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

To může fixnout, ale pokud se na to vys**e, tak se nic "špatného" nestane...

.. uz pocitac nenabehl, ani nejde spustit v nouzovem rezimu. Takze me rodice moc nepochvalili a ja vubec netusim co s tim dal. Pocitac reinstalovat neumim -je to slozite? Mame tam spoustu fotek, co by jsme radi zachovali.....

Pár dotazů:
1) FS máš jaký?
2) Konzoli pro zotavení jsi zkoušel?
3) Máš v PC jiný HDD (oddíl) ?
4) Reinstall systému není složitý, ale problém je v tom, jestli chceš (a asi chceš) nějaká data zachránit....
5) Nelze vyloučit ani shodu náhod => HW chybu (ale tomu osobně nevěřím).
6) Nepanikař, vše se dá na 99% v pohodě vyřešit....

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

Pro příště: Pošli Avast do "kša" a příště zkus AVS ... třeba s tím nebude hodně lidí souhlasit, ale já to vidím zcela jinak...

[NobodyLovesMe]

Pokud by selhaly veškeré pokusy pro obnovení,tak by bylo asi nejrozumnější ten harddisk vytáhnout,připojit do jiného počítače a vypálit aspoň nejdůležitější data a pak nemilosrdný format.
Vyzkoušel bych i konzolu pro zotavení systému.Prostě všechny dostupné možnosti,i když to asi nepomůže.Vypadá to na poškozený spouštěcí systémový soubor.

[misako]

Je mozne aby problem zapricinilo nechtene smazani Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll ??? Je pravda ze to jsem nechtene predtim udelala.
Dalo by se to do pocitace zase nejak dostat, napr pomoci te konzoly?
Dik moc

[Baron Prášil]

jak si ho smazala?

[misako]

fixnutim v hijackthis

[Baron Prášil]

nesmazala
spust HJT,klikni na View the list of backups
tam najdi tu O20 zaškrť a obnof.

[misako]

Ale jak to mam udelat kdyz mi ten pocitac nechce nabehnout? spustit v konzole jsem ho jeste nezkousela-nevim jak na to, v nouzovem rezimu to nejde. Na obrazovce je pri spusteni nouzoveho rezimu jen pomlcka, ktera blika, ale za ni uz nic nenabehne, prazdna cerna obrazovka.



Jeste odpovedi pro pana Shita:)
1) FS máš jaký? - netusim co je FS? vice rozepsat prosiiim, jestli myslite firewall, tak ten je pry integrovany v modemu, ale moc se tomu asi verit neda, ze?
2) Konzoli pro zotavení jsi zkoušel? ? -nevim jak se do ni dostat, zjistila jsem ze snad pri stisknuti pismene R po spusteni pocitace, ale nejak to nefunguje
3) Máš v PC jiný HDD (oddíl) ? -hardisk? - pevne disky jsou tam zrejme dva C/: a E/:, ale nevim, na to se me asi taky neptate,ze?
4) Reinstall systému není složitý, ale problém je v tom, jestli chceš (a asi chceš) nějaká data zachránit.... -data bych chtela zachranit - hlavne fotky
5) Nelze vyloučit ani shodu náhod => HW chybu (ale tomu osobně nevěřím) - to by byla vazne nahoda, nez jsem na pocitac ten den zacala sahat, pekne fungoval
6) Nepanikař, vše se dá na 99% v pohodě vyřešit.... - taky jsem optimista:)

[NobodyLovesMe]

poslední známá funkční konfigurace (nebo jak to tam je) to jsi asi zkoušela,viď?

[misako]

zkoušela:) vždy to vypadalo že se to začina načitat, jenže už se to pak nikdy nenačte, furt jen ta načitaci obrazovka.

[Baron Prášil]

co Oprava adresářové služby?
v nabídce nouz.režimů

[misako]

nouzovy režim nelze spustit, taky nenabehne, jen cerna obrazovka a jedna jedina pomlcka, nic vic v nouzovem rezimu nenabehne.

[NobodyLovesMe]

Nechala jsi to dost dlouho?Pokud nenaskočí nějaká chybová hláška nebo modrá obrazovka,tak by to mělo být ok.Harddisk při tom obnovení pracuje?

[misako]

no dejme tomu nechala jsem to nacitat treba 10 minut. Ale podle me pocitac vubec nepracoval - takovyto svetylko vubec neblikalo, ani zadnej zvuk, ze by se neco delo.

[NobodyLovesMe]

zkus ještě ten nouzák,po nějaké době co ti tam bude blikat ten kurzor zkus mačkat escape,třeba ti to najede aspoň tak,že spustíš task manager.Jsou to možná zoufalé pokusy,ale jednou jsem se takhle do systému dostal,když nechtěl naběhnout.Pak sice prázdná obrazovka,ale aspoń jsem přes ctrl,alt+delete spustil task managera a tam se už dá třeba vybrat i bod obnovení

[misako]

Ahoj, tak jsem se zas dostala na ten pocitac, co nejde spustit a vyzkousela ten esc a ctrl+alt +delete a vazne nouzovej rezim nabehl!! pak se me to zeptalo zda chci obnovit system - tak jsem to dala na datum, kdy nam pocitac jeste fungoval, pocitac pracoval, jako ze se obnovuje, po nejake dobe ale zase nabehla takova ta finalni obrazovka, ta co vzdycky predtim - takova ta tesne pred objevenim plochy ale dal nic. Tak jsem pak pocitac spustila znovu, v tom nouzovem rezimu - a chtela obnovit tu 20 - WgaLogon v hijackThis backups, ale to bylo prazdny, takze jsem to obnovit nemohla. Ale mozna by teda slo to nahrat z jineho pocitace a do tamtoho to zkopirovat z CD???
Jinak jestli to nejak pomuze, posilam z toho pocitace novy log , ktery jsem behem nouzoveho rezimu vytvorila:

Logfile of HijackThis v1.99.1
Scan saved at 15:35:33, on 26.12.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\ashSimpl.exe
C:\WINDOWS\system32\restore\rstrui.exe
C:\Program Files\Microsoft Office\Office\WINWORD.EXE
C:\WINDOWS\msagent\AgentSvr.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\Karel\LOCALS~1\Temp\Rar$EX00.921\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.seznam.cz/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Program Files\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\RunOnce: [spuninst] C:\WINDOWS\$NtServicePackUninstall$\spuninst\spuninst.exe /@
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Kodak EasyShare software.lnk = C:\Program Files\Kodak\Kodak EasyShare software\bin\EasyShare.exe
O4 - Global Startup: KODAK Software Updater.lnk = C:\Program Files\Kodak\KODAK Software Updater\7288971\Program\backWeb-7288971.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Photo Loader supervisory.lnk = C:\Program Files\CASIO\Photo Loader\Plauto.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftup ... 5672114406
O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: ScsiAccess - Unknown owner - C:\WINDOWS\System32\ScsiAccess.EXE

[Baron Prášil]

teď sem si to přečetl znova celý od začátku a bylo by dobrý kdyby si nám vysvětlila co si vlastně všechno udělala. stahovala si(nebo i nstalovala,protože tam je)SP2,přitom si dělala kontrolu Avastem a k tomu si ještě fixnula omylem O20 v HJT?

toto si psala potom co sem ti poradil aby si fixnula alexu na O9

Tak uz pisu z jineho pocitace, tam to byl pocitac mych rodicu, snazila jsem se jim tam ztahnout service pack 2 atd a behem toho jsem mela pusteny test avast, bohuzel nemohu napsat, kde trojana nasel, detekoval ho asi 6x a nepamatuju si kde vsude. Byl to vir Win 32. Dala jsem vse do truhly, jenze mezitim se seknulo stahovani service packu 2 - tak jsem to musela cele uzavrit, pote restartovat, jenze od te chvile uz pocitac nenabehl, ani nejde spustit v nouzovem rezimu. Takze me rodice moc nepochvalili a ja vubec netusim co s tim dal. Pocitac reinstalovat neumim -je to slozite? Mame tam spoustu fotek, co by jsme radi zachovali.

takže avast nejenom skenoval,ale i mazal