Virus v Startup/ctfmon

AReYco · Napísal **AReYco**: 22.09.2009 20:12

virus v "startup" a nedá sa mi s nim nič spraviť....
mal som chvílu nečinný antivir a teraz keď som dal Avira Antivir našlo mi v Startup/ctfmon - vraj je to trojan ale ak dam /Karantenu/vymazat/opravit/uzamknut pristup - tak tabulka vo vsetkych pripadoch vyskoci asi o 3 sekundy opäť....keď dám vlastnosti píše mi že je to CTF loader - Microsoft corporation.... vymazať ho ručne nemôžem pretože mi napíše chybu pri vymazoévanní, vraj sa použiva ...viete mi poradiť? je to vôbec trojan?

prandof · Napísal **prandof**: 22.09.2009 20:45

ctfmon.exe je "prepínač" jazykov, to je to SK (EN, CZ, podľa toho čo máš prepnuté, dole na lište vedľa systray). Odborne sa to nazýva panel jazykov. Pozri akú má príponu.

AReYco · Napísal autor témy **AReYco**: 22.09.2009 21:09

no ale prečo mi potom avira vypisuje ze je to trojan :-O
obr: bol to ctfmon, ale som ho skusil premenovať a potom vymazať:)

prandof · Napísal **prandof**: 22.09.2009 21:13

Skontroluj si príponu a presný názov súboru, ak je to cftmon.exe, nie je to vírus a je to planý poplach a môžeš to dať do výnimiek.
Myslíš, že Avira sa nemôže pomýliť ?

AReYco · Napísal autor témy **AReYco**: 22.09.2009 21:18

no je to .exe
ja som ho len premenoval (aby ťa neplietlo to pozor.exe)

Kód:

http://img399.imageshack.us/img399/6458/ctf.jpg

Kód:

http://img399.imageshack.us/img399/1615/ctf2.jpg

ved jasne ze neverim vsetkemu

keby mi to vyskocilo raz to upozornenie kaslem nato, ale neda sa mi to zatvorit cize mi to prekaza v praci

Tech · Napísal **Tech**: 22.09.2009 22:06

Stále nemožno vylúčiť že je súbor infikovaný pri zachovaní si pôvodného názvu, a musí sa nachádzať v "C:\Windows\System32" inak je nákaza veľmi pravdepodobná. Pošli Avirou označený súbor sem: VirusTotal

AReYco · Napísal autor témy **AReYco**: 23.09.2009 12:18

tak dal som a výsledok je asi zlý

Kód:

http://www.virustotal.com/cs/analisis/9527d26bfbbfc2c45f22c48258c790c1d27fb5cf67eb29fa7e49c8e02d116e18-1252728627

Fry · Napísal **Fry**: 23.09.2009 12:44

nieje zlý, je katastrofálny....

keby si mal Avriu funkčnú od začiatku určite by to blokla....

no zrejme RSIT a počkať na niekoho kto sa do toho rozumie a navrhnúť další postup...

AReYco · Napísal autor témy **AReYco**: 23.09.2009 14:21

preinštalovať win?

pitimir · Napísal **pitimir**: 23.09.2009 14:53

To je posledne riesenie.

Stiahni ComboFix, najlepsie na plochu. Vypni vsetky otvorene aplikacie, ako aj rezidenty antiviru, antispywaru a firewall. Spust program cez ucet s administratorskymi pravami a postupuj podla instrukcii. Cely sken bude trvat cca 10 minut. Pocas neho moze byt PC restartovane. Log, ktory ComboFix vytvori, najdes na adrese "C:\ComboFix.txt".
Ten vloz sem.

Pozor: Kym ComboFix nevytvori log, na nic neklikat, nic nestlacat !!

AReYco · Napísal autor témy **AReYco**: 23.09.2009 18:26

tak sem je ....čo nato hovoríte...dobre či veľmi zle?

Kód:

http://areyco.webovastranka.cz/forum/77/803?last_page=go&message_rnd=25467#last

pitimir · Napísal **pitimir**: 24.09.2009 16:32

No...az tak zle to zas nie je.

1) Napichaj do PC vsetky USB kluce, flash disky a podobne a pouzi Flash Desinfector.

2) Presun ikonu CF na plochu, vypni vsetky otvorene aplikacie, ako aj rezidenty antiviru, antispywaru a firewall a otvor poznamkovy blok. Donho skopiruj:

Kód:

KillAll::
File::
c:\documents and settings\Evicka\Start Menu\Programs\Startup\ctfmon.exe

DDS::
uStart Page = about:blank
DPF: DirectAnimation Java Classes - file://c:\windows\Java\classes\dajava.cab
DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab

RegLock::
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{19114156-8E9A-4D4E-9EE9-17A0E48D3BBB}]
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{19114156-8E9A-4D4E-9EE9-17A0E48D3BBB}\Elevation]
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{19114156-8E9A-4D4E-9EE9-17A0E48D3BBB}\LocalServer32]
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{19114156-8E9A-4D4E-9EE9-17A0E48D3BBB}\TypeLib]
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{1D4C8A81-B7AC-460A-8C23-98713C41D6B3}]
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{1D4C8A81-B7AC-460A-8C23-98713C41D6B3}\ProxyStubClsid32]
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{1D4C8A81-B7AC-460A-8C23-98713C41D6B3}\TypeLib]

Uloz na plochu ako CFScript.txt a mysou pretiahni nad ikonou CF.

Virus v Startup/ctfmon

Program script spracuje a spravi novy log.

Pozor: Ak po aplikacii skriptu nenabehne Windows, restartuj PC, stlac F8 a zvol Poslednu znamu funkcnu konfiguraciu.

AReYco · Napísal autor témy **AReYco**: 03.10.2009 12:11

tak vyzera ze je to vsetko uz v poriadku. postupoval som presne podla navodu a uz sa to v Startup nenachadza ani Avira mi nic nehlasi dakujem velmi pekne

pitimir · Napísal **pitimir**: 03.10.2009 18:53

A co keby mi sem vlozis vzniknuty log? Pre kontrolu

Ak bude vsetko OK, bude nasledovat cistenie.

Virus v Startup/ctfmon

Podobné témy