Skryty Windows

Iqwak · Napísal **Iqwak**: 13.11.2007 17:10

Mal by som ohladu windows dnes som totiz zistil ze tento priecinok sa mi skryl vobec sa mi zobrazuje, som pritom prihlaseny pod administratorskym uctom navyse ani ked ho dam vyhladat alebo akykolvek subor z neho tak mi ho nenajde, mozete pomoct?

Este by som sa chcel opytat co robi subor C:/windows/system32swsv.exe pretoze som si aj vsimol v kerio firewali ze tento subor odosiela nejake data cez ftp ak som to dobvre pochopil no predtym som tam nic take nevidel.

Dakuejm za odpovede

johny128 · Napísal **johny128**: 13.11.2007 17:24

Iqwak píše:

Mal by som ohladu windows dnes som totiz zistil ze tento priecinok sa mi skryl vobec sa mi zobrazuje, som pritom prihlaseny pod administratorskym uctom navyse ani ked ho dam vyhladat alebo akykolvek subor z neho tak mi ho nenajde, mozete pomoct?

http://www.microsoft.com/windowsxp/usin ... files.mspx

iqwak píše:

Este by som sa chcel opytat co robi subor C:/windows/system32swsv.exe pretoze som si aj vsimol v kerio firewali ze tento subor odosiela nejake data cez ftp ak som to dobvre pochopil no predtym som tam nic take nevidel.

Dakuejm za odpovede

Urcite je to system32swsv.exe ? Skryty Windows

Ani google taky subor nepozna, skor ci to nie je nejaky virus/spyware..

Nemyslel si za tym 32 este / ? akoze system32/swsv.exe ? Skryty Windows

To je trojsky kon mam taky pocit

Pouzivas antivirus ?

Iqwak · Napísal autor témy **Iqwak**: 13.11.2007 17:30

Ak som to dobre pochopil (neviem dobre anglicky) tak mam v nastaveniach zlozky nechat zobrazovat skryte subory a priecinky? Toto som skusal uz predtym ale nepomohlo to.

A je to tak ako som pisal C:/windows/system32swsv.exe ale je mi divne ze to zacalo len tak pretoze som v blizkej dobe neinstaloval ziadny program ani nic a zacalo to prave dnes, mam antivir nod32 a robil som kontrolu a nic

Iqwak · Napísal autor témy **Iqwak**: 13.11.2007 17:48

A co sa tyka toho ftp je tam k tomu suboru napisane ftp.angelfire.com, momentalne sa tam zacal napajat aj subor c:/windows/system32/alg.exe, nebol by probelm toto spojenie zakazat vo firewalli ale nemozem sa dostat do zlozky windows ani z firewallu

yaJohny · Napísal **yaJohny**: 13.11.2007 18:20

vloz hijack log

Iqwak · Napísal autor témy **Iqwak**: 13.11.2007 18:55

No zatial som sa cez ovladacie panely a zvuky dostal do zlozky windows a vymazal dany subor plus subory co k nemu patrili a nakoniec vymazal registre cez registry mechanic kde som zisitil ze bol nasstaveny na spustanie po starte takze to bol naozaj nejaky trojan ci keyloger. Tneto problem sa mi podarilo vyriesit ostava mi uz len s tym skrytym windowsom neviete ci je este nejaky sposob ako ho obnovit? Poslem este hijack log pre istotu

Iqwak · Napísal autor témy **Iqwak**: 13.11.2007 18:59

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:58:16, on 13.11.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\MSI\Star Key Bluetooth Software\bin\btwdins.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\CyberLink\Shared files\RichVideo.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\tsnpstd3.exe
C:\WINDOWS\vsnpstd3.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\Eset\nod32kui.exe
C:\Program Files\Winamp\winampa.exe
C:\HP\KBD\KBD.EXE
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\Program Files\DAEMON Tools\daemon.exe
C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\MICROS~3\wcescomm.exe
C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe
C:\Program Files\CursorXP\CursorXP.exe
C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe
C:\PROGRA~1\MICROS~3\rapimgr.exe
C:\Program Files\Common Files\Ahead\Lib\NMIndexStoreSvr.exe
C:\Program Files\MSI\Star Key Bluetooth Software\BTTray.exe
C:\Program Files\SaveSnap\SaveSnap.exe
C:\PROGRA~1\MSI\STARKE~1\BTSTAC~1.EXE
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Marcel\Desktop\HiJackThis.exe

O2 - BHO: WebTransBHO Class - {2DB66063-BB98-466A-AA0D-3E7ACF5ED853} - C:\Documents and Settings\All Users\Application Data\LangSoft\WebIE.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~2\Office12\GRA8E1~1.DLL
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O3 - Toolbar: WebTranslator - {BFC32E1D-EE75-4A48-BC60-104E11EE2431} - C:\Documents and Settings\All Users\Application Data\LangSoft\WebIE.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [tsnpstd3] C:\WINDOWS\tsnpstd3.exe
O4 - HKLM\..\Run: [snpstd3] C:\WINDOWS\vsnpstd3.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [KBD] C:\HP\KBD\KBD.EXE
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [LanguageShortcut] "C:\Program Files\CyberLink\PowerDVD\Language\Language.exe"
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [ISUSPM Startup] "C:\Program Files\Common Files\InstallShield\UpdateService\ISUSPM.exe" -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Program Files\Common Files\InstallShield\UpdateService\issch.exe" -start
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\PROGRA~1\MICROS~3\wcescomm.exe"
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [CursorXP] C:\Program Files\CursorXP\CursorXP.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: SaveSnap.lnk = C:\Program Files\SaveSnap\SaveSnap.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Bluetooth.lnk = ?
O8 - Extra context menu item: E&xportovať do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Send To &Bluetooth - C:\Program Files\MSI\Star Key Bluetooth Software\btsendto_ie_ctx.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Odoslať do programu OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: Od&oslať do programu OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra 'Tools' menuitem: Vytvoriť mobilnú obľúbenú položku... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra button: WebTran - {7E6A20FB-153F-402c-A84B-1A64E1955D3D} - C:\Documents and Settings\All Users\Application Data\LangSoft\WebIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra button: (no name) - {BFC32E1D-EE75-4A48-BC60-104E11EE2431} - (no file)
O9 - Extra button: (no name) - {CC963627-B1DC-40E0-B52A-CF21EE748449} - C:\Documents and Settings\All Users\Application Data\LangSoft\WebIE.dll
O9 - Extra 'Tools' menuitem: &Nastavit překladač - {CC963627-B1DC-40E0-B52A-CF21EE748449} - C:\Documents and Settings\All Users\Application Data\LangSoft\WebIE.dll
O9 - Extra button: (no name) - {CC963627-B1DC-40E0-B52A-CF21EE748450} - C:\Documents and Settings\All Users\Application Data\LangSoft\WebIE.dll
O9 - Extra 'Tools' menuitem: &Slovník - {CC963627-B1DC-40E0-B52A-CF21EE748450} - C:\Documents and Settings\All Users\Application Data\LangSoft\WebIE.dll
O9 - Extra button: (no name) - {CC963627-B1DC-40E0-B52A-CF21EE748451} - C:\Documents and Settings\All Users\Application Data\LangSoft\WebIE.dll
O9 - Extra 'Tools' menuitem: Přeložit &označený text - {CC963627-B1DC-40E0-B52A-CF21EE748451} - C:\Documents and Settings\All Users\Application Data\LangSoft\WebIE.dll
O9 - Extra button: (no name) - {CC963627-B1DC-40E0-B52A-CF21EE748452} - C:\Documents and Settings\All Users\Application Data\LangSoft\WebIE.dll
O9 - Extra 'Tools' menuitem: Přeložit &stránku - {CC963627-B1DC-40E0-B52A-CF21EE748452} - C:\Documents and Settings\All Users\Application Data\LangSoft\WebIE.dll
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\MSI\Star Key Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\MSI\Star Key Bluetooth Software\btsendto_ie.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {62789780-B744-11D0-986B-00609731A21D} (Autodesk MapGuide ActiveX Control) - http://195.28.70.134/kapor2/lib/mgaxctrl.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windows ... 8456338375
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~2\Office12\GR99D3~1.DLL
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Program Files\MSI\Star Key Bluetooth Software\bin\btwdins.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared files\RichVideo.exe

--
End of file - 9873 bytes

Roberbo · Napísal **Roberbo**: 13.11.2007 23:53

No ak to bude rootkit, tak to nebude nic jednoduche

Mohol by si zatial vyskusat:

Start - Spustit - msconfig [enter] .."Obecne" Prepni prepinac do polohy diagnosticke spustenie...

restartni pocitac a po prihlaseni do Windowsu nechaj nadalej len tento rezim a pozri ci je vidiet hladany priecinok,, pripadne ci nahodou nahodne nie je schovany iny "Tebe dobre znamy"

Potom Prepni prepinac do povodnej polohy ..restartny PC (vsetko by malo uz bezat ..aj net ) a daj vediet

//log pozriem potom

Iqwak · Napísal autor témy **Iqwak**: 13.11.2007 23:57

No skusal som zatial dostat sa do windowsu cez tie zvuky v ovladaciom paneli a tam som si pozrel atributy kde ja nastaveny na skryty, ale neni moznost tuto moznost odskrknut. Je nejaka ina moznost alebo jedine ten postup?

Iqwak · Napísal autor témy **Iqwak**: 14.11.2007 0:10

Skusil som teda ten postup ale nepomohlo ani pri diagnostickom spusteni sa dany priecinok nezobrazoval

Roberbo · Napísal **Roberbo**: 14.11.2007 0:16

Dobre..este vyskusaj v nudzovom rezime.. ..po zapnuti PC hned pocas jeho spustania opatovne stlacaj klaves F8 az sa dostanes do jednoducheho menu, kde vyber safe mod (nudzovy rezim)..

Po spusteni nudzoveho rezimu..samozrejme prihlaseny ako administrator ..dalej nechces riesit obnovu systemu ..a pozri ci vidis priecinok Windowsu.. zisti,,ako to je

Iqwak · Napísal autor témy **Iqwak**: 14.11.2007 0:19

Inak este co sa tyka ten zlozky je sice skryta ale antivirus ju pri testovani kontroluje cize v antiviraku skryta neni iba pri exploreri, pripadne v ostatnych programoch ked prehladavam zlozky tam je tiez skryty.

Iqwak · Napísal autor témy **Iqwak**: 14.11.2007 0:30

Skusal som teraz nudzovy rezim taktiez sa tam zlozka Windows neobjavila

/// skusal som sa hrabat v moznosti nastavenia priecinkov v ovladaciom paneli, ked som sia dal zobrazit aj skryte subory tak sa mi windows nezobrazil az pri moznosti zobrazenia "chranenych suborov operacneho systemu" sa mi priecinok zobrazil (samozrejme slabo zvyrazneny ako skryty) ale pokial viem tak tak tento priecinok by sa mal bezne zobrazovat aj bez tejto moznosti.

Iqwak · Napísal autor témy **Iqwak**: 14.11.2007 14:42

Inak nemohol toto sposobit dany subor C:/windows/system32swsv.exe? Pretoze pri nom bolo este dalsich 5 suborov C:/windows/system32swsv.dll a ostatne uz neviem ake mali koncovky ale vsetky som zmazal naraz.

Ak by to pomohlo mozem uploadnut instalacku programu ktory mi tam bokom hodil tohto trojana.

Roberbo · Napísal **Roberbo**: 16.11.2007 19:52

Co este si to nezformatoval?

Skus:

1. Odznac si "skryt zname pripony suborov.." v menu Tento pocitac. moznosti zlozky.
2. Na ploche vytvor novy textovy subor. Premenuj ho na zistim.bat
zistim.bat musi mat ikonu "servisne koliesko". Ak nema vrat sa k bodu 1.

Pravym tlacitkom daj nan - upravit a vloz tam toto:

Kód:

if exist mam.txt del mam.txt
echo Pozri (rb) c: >> mam.txt
echo ================================= >> mam.txt
for /f "delims=" %%a in ('dir /a:-d /o:-d c:') do echo C:\%%a >> 1.txt
for /f "delims=" %%b in (1.txt) do echo %%~azxntb >> 2.txt
findstr /n "\." 2.txt > 3.txt
for /l %%a in (1,1,50) do findstr /b "%%a:" 3.txt >> mam.txt
del 1.txt 2.txt 3.txt
echo Skryte schovane priamo na c: (rb) >> mam.txt
echo =================================>> mam.txt
dir "c:\" /A:S /A:H /O:N >> mam.txt
echo Pozri %Windir% co nove >> mam.txt
echo ================================= >> mam.txt
for /f "delims=" %%a in ('dir /a:-d /o:-d %Windir%') do echo %Windir%\%%a >> 1.txt
for /f "delims=" %%b in (1.txt) do echo %%~azxntb >> 2.txt
findstr /n "\." 2.txt > 3.txt
for /l %%a in (1,1,40) do findstr /b "%%a:" 3.txt >> mam.txt
del 1.txt 2.txt 3.txt
echo Pozri %Windir%\system32 >> mam.txt
echo ================================= >> mam.txt
for /f "delims=" %%a in ('dir /a:-d /o:-d %Windir%\system32') do echo %Windir%\system32\%%a >> 1.txt
for /f "delims=" %%b in (1.txt) do echo %%~azxntb >> 2.txt
findstr /n "\." 2.txt > 3.txt
for /l %%a in (1,1,40) do findstr /b "%%a:" 3.txt >> mam.txt
del 1.txt 2.txt 3.txt
notepad mam.txt

Uloz a spusti zistim.bat.
Zobrazeny obsah suboru mam.txt skopiruj sem do fora.,,

Iqwak · Napísal autor témy **Iqwak**: 17.11.2007 21:19

Zatial som si iba vytvoril odkaz na windows na zlozke c:// ale nic nove odvtedy. Podla logov to vyzera ze by som tam mal nieco co by tam byt nemalo?

Na tom vypise podla navodu bolo toto:

Pozri (rb) c:
=================================
4:17.11.2007 21:17 52 mam.txt
5:17.11.2007 21:17 1˙234 zistim.bat
6:11.11.2007 23:30 2˙579 Corel Photo-Paint.lnk
7:05.11.2007 00:21 93˙696 Thumbs.db
8:14.10.2007 11:57 1˙714 NHLR 08.lnk
9:04.10.2007 20:57 515 Slovnˇk.lnk
10:25.09.2007 01:39 830 Odkaz na rapget.lnk
11:01.09.2007 10:04 446 MOJE ZLOŤKY.lnk
12:31.08.2007 18:22 548 Total Commander.lnk
13:31.08.2007 17:27 1˙686 PowerDVD.lnk
14:30.08.2007 12:10 1˙693 Adobe Photoshop.lnk
15:30.08.2007 11:57 714 MV2Player.lnk
Skryte schovane priamo na c: (rb)
=================================
Zv„zok v jednotke C nem §iadnu menovku.
S‚riov‚ źˇslo zv„zku je 1012-57D2

Věpis adres ra c:\

14.11.2007 00:05 211 boot.ini
28.08.2007 15:12 0 IO.SYS
28.08.2007 15:12 0 MSDOS.SYS
08.09.2007 20:01 <DIR> MSOCache
28.02.2006 13:00 47˙564 NTDETECT.COM
28.02.2006 13:00 250˙032 ntldr
17.11.2007 18:34 2˙145˙386˙496 pagefile.sys
30.08.2007 12:52 <DIR> RECYCLER
14.11.2007 00:07 <DIR> System Volume Information
31.10.2007 23:48 375˙268 treeinfo.wc
15.11.2007 23:37 <DIR> WINDOWS
7 sŁborov, 2˙146˙059˙571 bajtov
4 adres rov, 229˙619˙638˙272 vo–něch bajtov
Pozri C:\WINDOWS co nove
=================================
4:17.11.2007 18:35 0 0.log
5:17.11.2007 18:34 51˙612 setupapi.log
6:17.11.2007 18:34 159 wiadebug.log
7:17.11.2007 18:34 52 wiaservc.log
8:17.11.2007 18:34 2˙048 bootstat.dat
9:17.11.2007 16:53 1˙177˙804 WindowsUpdate.log
10:17.11.2007 16:53 32˙538 SchedLgU.Txt
11:15.11.2007 15:14 69 NeroDigital.ini
12:14.11.2007 12:24 91˙174 iis6.log
13:14.11.2007 12:24 203˙982 comsetup.log
14:14.11.2007 12:24 1˙393 imsins.log
15:14.11.2007 12:24 122˙074 ntdtcsetup.log
16:14.11.2007 12:24 226˙919 tsoc.log
17:14.11.2007 12:24 32˙476 ocmsn.log
18:14.11.2007 12:24 7˙699 KB943460.log
19:14.11.2007 12:24 285˙770 ocgen.log
20:14.11.2007 12:24 29˙469 msgsocm.log
21:14.11.2007 12:24 580˙969 FaxSetup.log
22:14.11.2007 12:24 31˙374 updspapi.log
23:14.11.2007 00:24 98˙088 ntbtlog.txt
24:14.11.2007 00:05 729 win.ini
25:14.11.2007 00:05 227 system.ini
26:13.11.2007 22:45 42˙926 wmsetup.log
27:13.11.2007 22:40 3˙242 wincmd.ini
28:13.11.2007 21:11 2˙509 TRNCOM.INI
29:13.11.2007 19:52 201˙552 setupact.log
30:13.11.2007 16:40 933˙222 setuplog.txt
31:13.11.2007 15:17 1˙943 imsins.BAK
32:18.10.2007 23:27 0 XXLGSC
33:14.10.2007 03:47 212˙070 DirectX.log
34:10.10.2007 11:51 11˙076 KB933729.log
35:10.10.2007 11:51 17˙655 KB939653.log
36:10.10.2007 11:51 9˙930 KB941202.log
37:04.10.2007 20:57 2˙472 WDICT32.INI
38:30.09.2007 22:27 14˙602 WIC.log
39:29.09.2007 16:34 1˙024˙205 setupapi.log.0.old
40:20.09.2007 12:43 32 ntcheck3232bx1.dll
Pozri C:\WINDOWS\system32
=================================
4:14.11.2007 12:22 13˙646 wpa.dbl
5:14.11.2007 01:30 0 RootkitR.txt
6:13.11.2007 16:42 271˙784 FNTCACHE.DAT
7:02.11.2007 08:12 18˙238˙072 MRT.exe
8:01.11.2007 14:59 10˙752 BASSMOD.dll
9:31.10.2007 18:09 395˙336 perfh009.dat
10:31.10.2007 18:09 59˙576 perfc009.dat
11:31.10.2007 18:09 462˙344 PerfStringBackup.INI
12:29.10.2007 11:26 115˙712 xpsp3res.dll
13:26.10.2007 04:36 8˙454˙656 shell32.dll
14:24.10.2007 20:14 11 WinFX3.dll
15:18.10.2007 22:51 848 KGyGaAvL.sys
16:09.10.2007 11:42 5˙387 jupdate-1.6.0_03-b05.log
17:24.09.2007 22:31 139˙264 javaws.exe
18:24.09.2007 22:31 69˙632 javacpl.cpl
19:24.09.2007 21:30 135˙168 javaw.exe
20:24.09.2007 21:30 135˙168 java.exe
21:20.09.2007 14:53 42 imon1.dat
22:20.09.2007 12:43 93 nt32200ax1.dll
23:11.09.2007 10:17 81˙920 frapsvid.dll
24:06.09.2007 12:03 4˙937 jupdate-1.6.0_02-b06.log
25:05.09.2007 23:36 155˙648 libssl32.dll
26:31.08.2007 12:04 298˙104 imon.dll
27:30.08.2007 15:11 127˙254 nvapps.xml
28:30.08.2007 08:13 129˙078 TZLog.log
29:30.08.2007 07:43 13˙646 wpa.bak
30:28.08.2007 17:08 0 h323log.txt
31:28.08.2007 15:14 261 $winnt$.inf
32:28.08.2007 15:12 2˙577 CONFIG.NT
33:28.08.2007 15:12 23˙392 nscompat.tlb
34:28.08.2007 15:12 16˙832 amcompat.tlb
35:28.08.2007 15:12 488 logonui.exe.manifest
36:28.08.2007 15:12 488 WindowsLogon.manifest
37:28.08.2007 15:12 749 nwc.cpl.manifest
38:28.08.2007 15:12 749 sapi.cpl.manifest
39:28.08.2007 15:12 749 wuaucpl.cpl.manifest
40:28.08.2007 15:12 749 cdplayer.exe.manifest

Roberbo · Napísal **Roberbo**: 19.11.2007 23:28

Vypis pomohol.

V pc mas zakerny typ jedneho malware..

Da sa to vyriesit aj bez reinstalu win, potvrd, ci sa Ti do toho chce ist, ak ano, ja mozem v piatok po 20:00 hod a viem TA navigovat..,
alebo pripadne, ak niekto skor, tak mozte tiez hned riesit.

// zaroven (kvoli hore uvedenemu problemu) nedoporucujem uz mazat v pocitaci vacsi obsah suborov, nez je nastavena kapacita kosa Windowsu

Iqwak · Napísal autor témy **Iqwak**: 20.11.2007 17:04

Jasne suhlasim dik moc za pomoc mam tu v piatok byt alebo sa dohodneme nejako inak? Ak sa tu stretneme skor a budes mat cas tak tiez neni problem.
A je to na dlho pripadne to bude nejako zlozite?

Iqwak · Napísal autor témy **Iqwak**: 23.11.2007 19:07

No zatial mi s tym nikto nepomohol tak ta tu teda cakam snad dojdes a pomozes mi s tym :roll:

Roberbo · Napísal **Roberbo**: 23.11.2007 21:15

Teraz este skus:
Daj start "spustit" cmd [enter]
do spusteneho okna pis:
cd\ [enter]
attrib -h c:\windows [enter]

...pozri ci je vidiet priecinok windows

Iqwak · Napísal autor témy **Iqwak**: 23.11.2007 21:20

Zadal som to, priecinok sa aj tak neobjavil, vbehol som do windowsu cez ten odkaz ktory mam vytvoreny a pozrel atributy aj tak je skryty

A ten malware co si o nom pisal je co zac prosim ta?

Roberbo · Napísal **Roberbo**: 23.11.2007 22:48

Nieco so riesil,
...som konecne spat. U Teba sa nemam moc coho chytit.
S tym malware ..No este som si preveril nejake veci na strankach microsoft, takze nie je to jednoznacne,
..kludne moze byt aj ina varianta, ze si mal sice v minulosti napadnuty pc, ale teraz uz ten malware nemusi byt aktivny ..a v tom vypise ...mozu byt uz len nefunkcne pozostatky suborov.

..urcite by pomohla nejaka ina indicia ..este jednoznacny iny problem v Tvojom pc..lebo takto sa to na to malware, (co som myslel) neprejavuje..

A kedze sa jedna o najdolezitejsi priecinok celeho Tvojho pc (Windows)

..a nahodou je tam fakt rootkit, ..nerad by som Ti odfajcil (kvoli chybajucich info) cely Tvoj PC.

No a moze to byt nejaka ..ozaj len prkotina, ale mna momentalne nic nenapada..

Keby som mal pc u mna na stole..tak si toho dovolim omnoho viac

Takto by som asi najprv predsa len skusil este najprv hlbkovu kontrolu cez volne dostupny MWAV:

Neviem, ci to nebude zas len strata casu ale skus tento postup:

Stiahni si
ftp://ftp.microworldsystems.com/download/tools/mwav.exe

nezabudni vykonat najprv zobrazenym gombikom aktualizaciu a potom

postupuj podla:
http://www.pcforum.sk/aplikacia-dll-vt2 ... tml#196421

a uvidime

Skus
Robo

Iqwak · Napísal autor témy **Iqwak**: 23.11.2007 22:57

No pc som kupoval len pred dvoma mesiacmi, takze v minulosti som na nom problem nemal

Jedine co bol v poslednej dobe problem bol s tym virusom co som pisal na zaciatku ale ten som rucne vymazal je dost mozne ze z neho este niekde ostali pozostatky, pokial ale moj pc nikto nesleduje tak by som bol kludny,len s ma trochu vystrasil s tym co si pisal o tom mazani suborov ako je povolena kapacita kosa.

Idem teda na ten postup potom vlozim log

Iqwak · Napísal autor témy **Iqwak**: 23.11.2007 23:04

Inak pouzivam kerio firewall a neviem asi je to blbost ale ked s pc aj dlhsiu dobu nic nerobim cize ani s netom ani nemam pustene ziadne programy ktore by sa pripajali na internet tak firewall mi ukazuje neustale prichadzajuce spojenie kazdych par sekund v nejakych intervaloch. Je to bezne?

Iqwak · Napísal autor témy **Iqwak**: 23.11.2007 23:05

Tu je vysledok zo scanovania:

Objekt "spyware.imfmonitor Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "spyware.imfmonitor Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "spyware.imfmonitor Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "spyware.imfmonitor Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "spyware.imfmonitor Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "spyware.imfmonitor Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "spyware.imfmonitor Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "spyware.imfmonitor Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "spyware.imfmonitor Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "spyware.imfmonitor Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "spyware.imfmonitor Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "spyware.imfmonitor Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "spyware.imfmonitor Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "spyware.imfmonitor Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "spyware.imfmonitor Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "spyware.imfmonitor Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "spyware.imfmonitor Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "spyware.imfmonitor Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "spyware.imfmonitor Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "spyware.imfmonitor Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "cws.loadbat Browser Hijacker" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "cws.loadbat Browser Hijacker" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "cws.loadbat Browser Hijacker" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "cws.loadbat Browser Hijacker" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "cws.loadbat Browser Hijacker" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "cws.loadbat Browser Hijacker" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "cws.loadbat Browser Hijacker" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "cws.loadbat Browser Hijacker" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "saminside Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "saminside Spyware/Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Objekt "savenow Adware" nalezen v souborovém systému! Provedené akce: Nic nebylo provedeno.
Záznam "HKCR\ICQPhone.SipxPhoneManager" odkazuje na neplatný objekt "{82308D15-1A2C-416A-A5BE-21DAF85DDB75}". Provedené akce: Nic nebylo provedeno.
Záznam "HKCR\MailFileAtt" odkazuje na neplatný objekt "{00020D05-0000-0000-C000-000000000046}". Provedené akce: Nic nebylo provedeno.
Záznam "HKCR\mapifvbx.object" odkazuje na neplatný objekt "{41116C00-8B90-101B-96CD-00AA003B14FC}". Provedené akce: Nic nebylo provedeno.
Záznam "HKCR\mapifvbx.object.1" odkazuje na neplatný objekt "{41116C00-8B90-101B-96CD-00AA003B14FC}". Provedené akce: Nic nebylo provedeno.
Záznam "HKCR\NMUIEngine.NMUIResourceLoaderHarddisk" odkazuje na neplatný objekt "{03DC5606-EA66-4f02-AB52-2065524B03821}". Provedené akce: Nic nebylo provedeno.
Záznam "HKCR\SPhoneParser.FoundSkypeNumber" odkazuje na neplatný objekt "{E40A96CC-4A5B-47F4-9957-87CDED1DFF45}". Provedené akce: Nic nebylo provedeno.
Záznam "HKCR\SPhoneParser.FoundSkypeNumber.1" odkazuje na neplatný objekt "{E40A96CC-4A5B-47F4-9957-87CDED1DFF45}". Provedené akce: Nic nebylo provedeno.
Záznam "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" odkazuje na neplatný objekt ".". Provedené akce: Nic nebylo provedeno.
Záznam "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" odkazuje na neplatný objekt ".001". Provedené akce: Nic nebylo provedeno.
Záznam "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" odkazuje na neplatný objekt ".002". Provedené akce: Nic nebylo provedeno.
Záznam "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" odkazuje na neplatný objekt ".aut". Provedené akce: Nic nebylo provedeno.
Záznam "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" odkazuje na neplatný objekt ".Evil". Provedené akce: Nic nebylo provedeno.
Záznam "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" odkazuje na neplatný objekt ".php". Provedené akce: Nic nebylo provedeno.
Záznam "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" odkazuje na neplatný objekt ".rg". Provedené akce: Nic nebylo provedeno.
Záznam "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" odkazuje na neplatný objekt ".spd". Provedené akce: Nic nebylo provedeno.
Záznam "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" odkazuje na neplatný objekt ".srt". Provedené akce: Nic nebylo provedeno.
Záznam "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" odkazuje na neplatný objekt ".sub". Provedené akce: Nic nebylo provedeno.
Záznam "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" odkazuje na neplatný objekt ".xpi". Provedené akce: Nic nebylo provedeno.
Záznam "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" odkazuje na neplatný objekt "Bratia v Zbroji: Cesta na Kopec 30". Provedené akce: Nic nebylo provedeno.
Záznam "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" odkazuje na neplatný objekt "BrothersInArms". Provedené akce: Nic nebylo provedeno.
Záznam "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" odkazuje na neplatný objekt "Connective Tools CallJockey_is1". Provedené akce: Nic nebylo provedeno.
Záznam "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" odkazuje na neplatný objekt "Cool's_Codec_pack_4.12". Provedené akce: Nic nebylo provedeno.
Záznam "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" odkazuje na neplatný objekt "Magic ISO Maker v5.3 (build 0205)". Provedené akce: Nic nebylo provedeno.
Záznam "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" odkazuje na neplatný objekt "Magic ISO Maker v5.4 (build 0239)". Provedené akce: Nic nebylo provedeno.
Záznam "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" odkazuje na neplatný objekt "MagicIso v5.4 build 0239 Sk". Provedené akce: Nic nebylo provedeno.
Záznam "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" odkazuje na neplatný objekt "Mozilla Firefox (2.0.0.6)". Provedené akce: Nic nebylo provedeno.
Záznam "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" odkazuje na neplatný objekt "Mozilla Firefox (2.0.0.7)". Provedené akce: Nic nebylo provedeno.
Záznam "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" odkazuje na neplatný objekt "Mozilla Firefox (2.0.0.8)". Provedené akce: Nic nebylo provedeno.
Záznam "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" odkazuje na neplatný objekt "Need For Speed Most Wanted SK". Provedené akce: Nic nebylo provedeno.
Záznam "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" odkazuje na neplatný objekt "QIP2005". Provedené akce: Nic nebylo provedeno.
Záznam "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" odkazuje na neplatný objekt "RJShortcut". Provedené akce: Nic nebylo provedeno.
Záznam "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" odkazuje na neplatný objekt "{90120000-0030-0000-0000-0000000FF1CE}_ENTERPRISE_{0FC27B9D-5BCD-45C1-B9ED-9F0273F7A18D}". Provedené akce: Nic nebylo provedeno.
Záznam "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" odkazuje na neplatný objekt "{90120000-0030-0000-0000-0000000FF1CE}_ENTERPRISE_{2B581052-BF85-4AA6-91C5-7B0090712B65}". Provedené akce: Nic nebylo provedeno.
Záznam "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" odkazuje na neplatný objekt "{90120000-0030-0000-0000-0000000FF1CE}_ENTERPRISE_{ACB40B61-03E6-4F6F-AA5E-7B02A89E8AD3}". Provedené akce: Nic nebylo provedeno.
Záznam "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" odkazuje na neplatný objekt "{909F8EBC-EC7F-48FF-0085-475D818F0F31}". Provedené akce: Nic nebylo provedeno.
Záznam "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" odkazuje na neplatný objekt "{911A0409-6000-11D3-8CFE-0050048383C9}". Provedené akce: Nic nebylo provedeno.
Záznam "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" odkazuje na neplatný objekt "{AC76BA86-7AD7-1029-7B44-A80000000000}". Provedené akce: Nic nebylo provedeno.
Záznam "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" odkazuje na neplatný objekt "{C314764F-2C47-44DA-BE37-F48BB7322BE4}_is1". Provedené akce: Nic nebylo provedeno.
Záznam "HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache" odkazuje na neplatný objekt "{DED53B0B-B67C-4244-AE6A-D6FD3C28D1EF}". Provedené akce: Nic nebylo provedeno.

Iqwak · Napísal autor témy **Iqwak**: 23.11.2007 23:13

Vidim ze tam asi nieco mam ako by sa to dalo odstranit?

Iqwak · Napísal autor témy **Iqwak**: 23.11.2007 23:52

Dal som testovat cely disk log je rovnaky ale na konci pribudlo toto:

Soubor C:\Documents and Settings\Marcel\Application Data\MSNInstaller\msnauins.exe je infikovaný virem NULL.Corrupted !! Provedené akce: Nic nebylo provedeno.

Co s tym mam spravit?

Roberbo · Napísal **Roberbo**: 24.11.2007 0:13

Ten prvotny log z MWAV je cisty az na jednu chybicku, co, ale neriesi Tvoj problem..

..no a pockame, ci niekoho nieco nenapadne,,

a ja zas az po vikende, uvidim ci ma nieco napadne

(inak Tvoje PC je na tento typ testu ozaj cisty)

msnauins.exe ..nefunkcny subor ...takze tiez ciste ,,

..takze zostava nadalej uz len "prkotina" (prava Windowsu ), alebo rootkit

...tak po vikende

este napis, ci mas XP Profesional, alebo HOME inak tiez dolezite ..(prava)

Robo

Iqwak · Napísal autor témy **Iqwak**: 24.11.2007 0:17

Mam Xp Home puzivam ho iba ja cize som admistratorom.
Takze ten subor C:\Documents and Settings\Marcel\Application Data\MSNInstaller\msnauins.exe je infikovaný virem NULL.Corrupted mozem kludne rucne vymazat a potom vycistit registre?

A to s tym firewallom je normalne? (asi blba otazka)

Iqwak · Napísal autor témy **Iqwak**: 24.11.2007 0:27

Inak diky moc za pomoc a trpezlivost lebo si jediny kto mi tu s tym pomaha cez net co je tazsie ako sediet pri tom nazivo. Mas to u mna

Skryty Windows

Podobné témy