prosim pomoc,jak na vir:win32.backdoor,win32trpack,win32zbot

[babajaga]

hups, krasne divery pandex/protec/cbldriver rootkitu

Sem zvedavy, zda-li SDfix odstrani vse, delsi dobu Andy ho neaktualizuje.

[jansv]

Ano, o delší neaktualizace vím. Samozřejmě, že zbytek domažeme CFScriptem nebo jinak.

[babajaga]

Ano, o delší neaktualizace vím. Samozřejmě, že zbytek domažeme CFScriptem nebo jinak.

Napada me v tem pripade recnicka otazka: Kdyz vis o neauktualizaci, proc neumazes zaznamy rovnou pres nekterou utilitu?

[jansv]

Chtěl jsem též kromě registrů vidět a mít jistotu, že jsou i všechny soubory OK.

[babajaga]

priznam se, ze obsahu tveho zdeleni nerozumim - asi chyba v komunikaci - ktere soubory mas na ymsli. Vsechny tj. vsechny soubory na HDD ci jen urcite, ktere kontroluje SDFix (zde se temer shoduje s CF) a zrovna je maze....

[jansv]

Nikde, protože odpovědi na takovéto nedůležité otázky dám jedině na SZ a ne za*írat forum. A hlavně nyní user stejně zatím nedělá co jsem řekl, takže až se ozve, dořeším.

[zelo]

ahoj,co že to mám za problém s ATI drivery? přiznám se,že tomu vubec nerozumím...
nu tady je to,co si chtěl:

SDFix: Version 1.240
Run by Oem on so 13.12.2008 at 18:32

Microsoft Windows XP [Verze 5.1.2600]
Running From: C:\SDFix

Checking Services :


Restoring Default Security Values
Restoring Default Hosts File

Rebooting


Checking Files :

No Trojan Files Found






Removing Temp Files

ADS Check :



Final Check :

catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-12-13 18:43:50
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden services & system hive ...

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg]
"s1"=dword:2df9c43f
"s2"=dword:110480d0
"h0"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4]
"p0"="C:\Program Files\DAEMON Tools Lite\"
"h0"=dword:00000000
"khjeh"=hex:c5,75,54,c0,57,f7,5d,f7,4d,ea,d4,99,c1,a6,cd,69,5f,af,11,14,d5,..

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001]
"a0"=hex:20,01,00,00,9b,5b,df,90,91,9c,62,a3,df,23,1c,3a,7d,74,ae,8c,8d,..
"khjeh"=hex:a6,cb,b0,4d,ec,0a,6b,24,6e,cb,7f,f4,92,ea,f7,c8,60,b5,0d,47,44,..

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40]
"khjeh"=hex:4f,d7,c1,2d,99,5b,70,10,d0,ed,a5,da,eb,58,2d,ec,e3,ed,b7,85,9f,..
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4]
"p0"="C:\Program Files\DAEMON Tools Lite\"
"h0"=dword:00000000
"khjeh"=hex:c5,75,54,c0,57,f7,5d,f7,4d,ea,d4,99,c1,a6,cd,69,5f,af,11,14,d5,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001]
"a0"=hex:20,01,00,00,9b,5b,df,90,91,9c,62,a3,df,23,1c,3a,7d,74,ae,8c,8d,..
"khjeh"=hex:a6,cb,b0,4d,ec,0a,6b,24,6e,cb,7f,f4,92,ea,f7,c8,60,b5,0d,47,44,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40]
"khjeh"=hex:4f,d7,c1,2d,99,5b,70,10,d0,ed,a5,da,eb,58,2d,ec,e3,ed,b7,85,9f,..

scanning hidden registry entries ...

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Control Panel\Cursors\Schemes]
"\f\1e?r?n?é? ?u?k?a?z?a?t?e?l?e? ?"="C:\WINDOWS\cursors\arrow_r.cur,C:\WINDOWS\cursors\help_r.cur,C:\WINDOWS\cursors\wait_r.cur,C:\WINDOWS\cursors\busy_r.cur,
C:\WINDOWS\cursors\cross_r.cur,C:\WINDOWS\cursors\beam_r.cur,C:\WINDOWS\cursors\pen_r.cur,
C:\WINDOWS\cursors\no_r.cur,C:\WINDOWS\cursors\size4_r.cur,C:\WINDOWS\cursors\size3_r.cur,
C:\WINDOWS\cursors\size2_r.cur,C:\WINDOWS\cursors\size1_r.cur,
C:\WINDOWS\cursors\move_r.cur,C:\WINDOWS\cursors\up_r.cur"
"\f\1e?r?n?é? ?u?k?a?z?a?t?e?l?e? ?(?v?e?l?k?é?)?"="C:\WINDOWS\cursors\arrow_rm.cur,C:\WINDOWS\cursors\help_rm.cur,
C:\WINDOWS\cursors\wait_rm.cur,C:\WINDOWS\cursors\busy_rm.cur,C:\WINDOWS\cursors\cross_rm.cur,
C:\WINDOWS\cursors\beam_rm.cur,C:\WINDOWS\cursors\pen_rm.cur,C:\WINDOWS\cursors\no_rm.cur,
C:\WINDOWS\cursors\size4_rm.cur,C:\WINDOWS\cursors\size3_rm.cur,C:\WINDOWS\cursors\size2_rm.cur,
C:\WINDOWS\cursors\size1_rm.cur,C:\WINDOWS\cursors\move_rm.cur,C:\WINDOWS\cursors\up_rm.cur"
"\f\1e?r?n?é? ?u?k?a?z?a?t?e?l?e? ?(?n?e?j?v?\e\1t?a\1í?)?"="C:\WINDOWS\cursors\arrow_rl.cur,C:\WINDOWS\cursors\help_rl.cur,
C:\WINDOWS\cursors\wait_rl.cur,C:\WINDOWS\cursors\busy_rl.cur,C:\WINDOWS\cursors\cross_rl.cur,
C:\WINDOWS\cursors\beam_rl.cur,C:\WINDOWS\cursors\pen_rl.cur,C:\WINDOWS\cursors\no_rl.cur,
C:\WINDOWS\cursors\size4_rl.cur,C:\WINDOWS\cursors\size3_rl.cur,C:\WINDOWS\cursors\size2_rl.cur,
C:\WINDOWS\cursors\size1_rl.cur,C:\WINDOWS\cursors\move_rl.cur,C:\WINDOWS\cursors\up_rl.cur"

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0


Remaining Services :




Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\\Program Files\\Codemasters\\Operation Flashpoint\\FlashpointResistance.exe"="C:\\Program Files\\Codemasters\\Operation Flashpoint\\FlashpointResistance.exe:*:Enabled:Operation Flashpoint"
"C:\\WINDOWS\\system32\\dpnsvr.exe"="C:\\WINDOWS\\system32\\dpnsvr.exe:*:Enabled:Microsoft DirectPlay8 Server"
"C:\\Program Files\\Codemasters\\Operation Flashpoint\\OperationFlashpoint.exe"="C:\\Program Files\\Codemasters\\Operation Flashpoint\\OperationFlashpoint.exe:*:Enabled:Operation Flashpoint"
"C:\\Program Files\\ICQ6\\ICQ.exe"="C:\\Program Files\\ICQ6\\ICQ.exe:*:Enabled:ICQ6"
"C:\\Valve\\hl.exe"="C:\\Valve\\hl.exe:*:Enabled:Half-Life Launcher"
"C:\\Program Files\\QIP\\qip.exe"="C:\\Program Files\\QIP\\qip.exe:*:Enabled:Quiet Internet Pager"
"C:\\Program Files\\EA SPORTS\\NHL 2001\\nhl2001.exe"="C:\\Program Files\\EA SPORTS\\NHL 2001\\nhl2001.exe:*:Enabled:nhl2001"
"C:\\WINDOWS\\system32\\dplaysvr.exe"="C:\\WINDOWS\\system32\\dplaysvr.exe:*:Enabled:Microsoft DirectPlay Helper"
"C:\\Documents and Settings\\Oem\\Plocha\\Stronghold Crusader\\Stronghold Crusader.exe"="C:\\Documents and Settings\\Oem\\Plocha\\Stronghold Crusader\\Stronghold Crusader.exe:*:Enabled:Stronghold Crusader"
"C:\\Valve\\hlds.exe"="C:\\Valve\\hlds.exe:*:Disabled:HLDS Launcher"
"C:\\Program Files\\Microsoft Games\\Midtown Madness 2\\Midtown2.exe"="C:\\Program Files\\Microsoft Games\\Midtown Madness 2\\Midtown2.exe:*:Enabled:Midtown Madness 2 Executable"
"C:\\WINDOWS\\system32\\dxdiag.exe"="C:\\WINDOWS\\system32\\dxdiag.exe:*:Enabled:Microsoft DirectX Diagnostic Tool"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

Remaining Files :



Files with Hidden Attributes :

Sat 22 Feb 2003 63,488 A..H. --- "C:\Documents and Settings\Oem\Dokumenty\Dokumenty\Aniźka -nemazat\trest smrti\~WRL0002.tmp"
Sat 22 Feb 2003 65,024 A..H. --- "C:\Documents and Settings\Oem\Dokumenty\Dokumenty\Aniźka -nemazat\trest smrti\~WRL0004.tmp"
Sat 22 Feb 2003 67,072 A..H. --- "C:\Documents and Settings\Oem\Dokumenty\Dokumenty\Aniźka -nemazat\trest smrti\~WRL1865.tmp"
Sat 22 Feb 2003 69,632 A..H. --- "C:\Documents and Settings\Oem\Dokumenty\Dokumenty\Aniźka -nemazat\trest smrti\~WRL2481.tmp"
Sat 22 Feb 2003 69,120 A..H. --- "C:\Documents and Settings\Oem\Dokumenty\Dokumenty\Aniźka -nemazat\trest smrti\~WRL2632.tmp"

Finished!

[jansv]

V pohodě, nyní udělej toto:

Citace:
Pokuď jste tak ještě neučinil, přesuňte ComboFix na Plochu.
Otevřete si Poznámkový Blok.
Do něj zkopírujte skript z následujícího okna (bez slova kód).

Kód: Vybrat vše

Registry::
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ati1glxx.sys]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ati1osxx.sys]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ati1puxx.sys]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ati2lqxx.sys]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ati2wbxx.sys]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ati3eixx.sys]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ati3fkxx.sys]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ati3puxx.sys]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ati4hlxx.sys]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ati4xcxx.sys]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ati5uyxx.sys]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ati6hlxx.sys]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ati7xcxx.sys]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ati8lpxx.sys]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ati8mrxx.sys]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ati8uaxx.sys]

Driver::
ati1glxx
ati1osxx
ati1puxx
ati2lqxx
ati2wbxx
ati3eixx
ati3fkxx
ati3puxx
ati4hlxx
ati4xcxx
ati5uyxx
ati6hlxx
ati7xcxx
ati8lpxx
ati8mrxx
ati8uaxx

Uložte Vámi vytvořený textový soubor s názvem CFScript.txt na plochu (Dávejte pozor, aby jste tam neměli dvakrát .txt).
Po uložení uchopte Vámi vytvořený skript levým tlačítkem myši a přesuňte jej nad ikonu Combofixu, nad niž skript upusťte:



Po apllikaci by na Vás měl vybafnout další log, vložte jej prosím sem.

+ ještě otestuj tento soubor (stejně jako předtím):
c:\windows\system32\drivers\rrssqqrr.sys

[zelo]

no ten komp se uplne posasil,nejde net..., uz mi dosly nervy,normalka premazu system.
diky moc za ochotu a za cas,ale myslim,ze to tak bude rychlejsi.

[jansv]

No, jak myslíš. Každopádně není zač.


//edit Wilik - promaz, dalsi OT a zbytecne navazeni se do uzivatelu fora = postih!