trojan Mebroot.K

[kaoru]

Ahojte, někde už jsem tu jednou zmínku tady o tom trojanovi našla. Už se tady s ním hraju několik dní a pořád se vrací zpátky (nebo je pořád někde zalezlý na disku..). Nedávno se mě po kontrole Nodem ukázala hláška po kontrole při startu, že tady mám v boot sektoru pravděpodobně neznámý TSR.BOOT virus. Bylo mě poraděno, ať znovu nabootuju win z cd. To jsem udělala. Dva dny na to se situace opakovala s tím, že tam už bylo jméno - Mebroot.K trojský kůň - tak jsem to nabootovala znovu. Za další asi dva nebo tři dny to byl Mebroot.H. Pár dnů jsem ho nechala a pak se najednou z toh bootsektoru vypařil, což se mě zdálo krajně podezřelé. To už jsem začala trochu pátrat na netu, ale jinou radu než tu co jsem už jednou použila, jsem nenašla. Kromě zformátování disku. Na to došlo za pár dní, když mě začal kolabovat internet. Jenomže jsem dala jenom rychlý formát a už po druhém restartu, když jsem tam dávala zpátky nějaké programu se objevila opět hláška o neznámém TSR.BOOT virusu... Nevíte prosím jak se toho mám zbavit? Mám provést znovu zformátování s tím, že to bude pořádně nebo existuje i jiný způsob? Moc díky za rady.

[rary]

Zdravím.

Zálohujte si důležitá data.
Pak použijte mbr - http://www2.gmer.net/mbr/mbr.exe a vložte sem log, který se vám vytvoří.
A také sem vložte log z HijackThisu.

[kaoru]

Zálohu mám sice na disku vytvořenou, ale problém je, že potřebuju zjistit, odkud se tam ten vir vždycky vrátí. log mám udělaný, ale jenom z jednoho disku. z toho druhého mě ho neudělal.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:17:12, on 21.6.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\devldr32.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\ATKKBService.exe
C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\CyberLink\Shared files\RichVideo.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe
C:\Program Files\Creative\SBLive\AudioHQ\AHQTB.EXE
C:\Program Files\Creative\SBLive\Program\CTAvTray.EXE
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\Program Files\Common Files\InstallShield\UpdateService\issch.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\QIP Infium\infium.exe
C:\Program Files\OpenOffice.org 2.4\program\soffice.exe
C:\Program Files\OpenOffice.org 2.4\program\soffice.BIN
C:\totalcmd\TOTALCMD.EXE
c:\Install\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
O2 - BHO: Alcohol Toolbar Helper - {8126A4A5-BFD3-46FE-BBDF-BFB5CF78E489} - C:\Program Files\Alcohol Toolbar\v3.2.0.0\Alcohol_Toolbar.dll
O3 - Toolbar: Alcohol Toolbar - {ED4BD629-C1B6-4399-8A34-02CCAA921DC9} - C:\Program Files\Alcohol Toolbar\v3.2.0.0\Alcohol_Toolbar.dll
O4 - HKLM\..\Run: [egui] "C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\Updreg.exe
O4 - HKLM\..\Run: [AHQInit] C:\Program Files\Creative\SBLive\Program\AHQInit.exe
O4 - HKLM\..\Run: [AudioHQ] C:\Program Files\Creative\SBLive\AudioHQ\AHQTB.EXE
O4 - HKLM\..\Run: [CTAvTray] C:\Program Files\Creative\SBLive\Program\CTAvTray.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [LanguageShortcut] "C:\Program Files\CyberLink\PowerDVD\Language\Language.exe"
O4 - HKLM\..\Run: [ISUSPM Startup] "C:\Program Files\Common Files\InstallShield\UpdateService\ISUSPM.exe" -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Program Files\Common Files\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\RunOnce: [CTAVTray] C:\Program Files\Creative\SBLive\Program\CTAvStub.EXE EAX.AVI
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Infium] "C:\Program Files\QIP Infium\infium.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 2.4.lnk = C:\Program Files\OpenOffice.org 2.4\program\quickstart.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{70B8CAED-A67E-4EF2-8955-910F6A40D8C8}: NameServer = 91.187.32.2,61.240.61.227
O17 - HKLM\System\CCS\Services\Tcpip\..\{9E430CC1-9E62-44B3-8318-1BFC6FCE79A7}: NameServer = 91.187.32.2,61.240.61.227
O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe
O23 - Service: Eset HTTP Server (EhttpSrv) - Unknown owner - C:\Program Files\ESET\ESET NOD32 Antivirus\EHttpSrv.exe
O23 - Service: Eset Service (ekrn) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared files\RichVideo.exe

--
End of file - 4502 bytes

No zítra to vezu na opravu, ať se na to podívají odborníci (já tomu moc nerozumím, tak bych si tam nechtěla něco zrušit), takže mrknout na to někdo můžete, ale už to není moc potřeba - i když třeba jim to helfne. řeknu jim kam se podívat. navíc mě zas něco nechtělo pustit celý víkend na net - počítám, že v tom může mít prsty právě ten vir... ale stejně dík za radu.

[kaoru]

Tak tady je ještě ten druhý. U toho něco je, konečně nějaký viditelný výsledek.

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
MBR rootkit code detected !
malicious code @ sector 0x12a18ac1 size 0x2c3 !
copy of MBR has been found in sector 62 !
MBR rootkit infection detected ! Use: "mbr.exe -f" to fix.

[rary]

OK. Takže mám se na to mrknou nebo jsi to dala již někomu jinému?

[kaoru]

Záleží jak se ti bude chtít. Už jsem někomu řekla ať se na to mrkne, takže pokud se ti nechce, tak nemusíš. Ale díky za ochotu.