Win32/Mebroot.K

[stell]

ak vsetko slape tak ako ma mozes zlozku backup zmazat,tam je len zaloha HJt-co si fixnul a mame hotove.

[Sikec]

Dobře, vše, co jsme použili, smažu. Poraďte mi ještě, jak (čím) mám otestovat DVD, cd a USB Flash disk při připojení k PC. Jde mi o nějaký preventivní scan na MebRoot a jinou havěť. Chci si být jist, že jsem si to někam nezanesl před vyčištěním PC.

[stell]

jak (čím) mám otestovat DVD, cd a USB Flash disk při připojení k PC. Jde mi o nějaký preventivní scan na MebRoot a jinou havěť. Chci si být jist, že jsem si to někam nezanesl před vyčištěním PC.

aplikuj WEBCUREIT navod v podpise.

[Sikec]

Mohu mít Web Cureit a AVTool nainstalované stále? Nebudou se blokovat s NODem?

Jinak Vám mnohokrát děkuji a očekávejte platbu přes Sazka terminál.

Na USB mi to našlo Win32/VB.AQT Je to trojan. Cureitem jsem ho smazal a AVTool pak také už nic nenašel ale je to opravdu pryč?

[stell]

ano Win32/VB.AQT je opravdu prec,zbytocne nechat tieto programy nakolko mozes stale hocikedy stiahnut aktualnu verziu,odinstalovat AVPTOOL-postup je v navode ..cureit zmazat.
Dakujeme za platbu a nemas zaco..

[bio]

zdravím, tak sem toho parazita chytl taky

mám 2 pevné disky a na obou je

v konzoli pro zotavení jsem fixmbr zkoušel - marně
vychytávka od esetu na likvitaci mebrootu taky nefunguje (píše mi, že infikovaný nejsem ale nod si myslí něco jiného)

tady je log z combofixu

ComboFix 09-02-19.01 - biooo 2009-02-20 16:05:42.1 - NTFSx86
Systém Microsoft Windows XP Professional 5.1.2600.2.1250.1.1029.18.1023.715 [GMT 1:00]
Spuštěný z: c:\documents and settings\biooo\Plocha\ComboFix.exe
AV: ESET NOD32 Antivirus 3.0 *On-access scanning disabled* (Updated)
* Vytvořen nový Bod Obnovení
.

((((((((((((((((((((((((( Soubory vytvořené od 2009-01-20 do 2009-02-20 )))))))))))))))))))))))))))))))
.

2009-02-20 14:50 . 2002-09-23 13:00 13,463,552 --a--c--- c:\windows\system32\dllcache\hwxjpn.dll
2009-02-20 14:49 . 2004-08-17 14:49 2,134,528 --a--c--- c:\windows\system32\dllcache\smtpsnap.dll
2009-02-20 14:48 . 2009-02-20 14:48 749 -rah----- c:\windows\WindowsShell.Manifest
2009-02-20 14:48 . 2009-02-20 14:48 749 -rah----- c:\windows\system32\wuaucpl.cpl.manifest
2009-02-20 14:48 . 2009-02-20 14:48 749 -rah----- c:\windows\system32\sapi.cpl.manifest
2009-02-20 14:48 . 2009-02-20 14:48 749 -rah----- c:\windows\system32\nwc.cpl.manifest
2009-02-20 14:48 . 2009-02-20 14:48 749 -rah----- c:\windows\system32\ncpa.cpl.manifest
2009-02-20 14:48 . 2009-02-20 14:48 488 -rah----- c:\windows\system32\logonui.exe.manifest
2009-02-20 14:45 . 2001-08-17 20:12 19,017 --a------ c:\windows\system32\drivers\RTL8029.sys
2009-02-20 13:54 . 2009-02-20 13:54 <DIR> d-------- c:\documents and settings\biooo\Data aplikací\DAEMON Tools
2009-02-20 13:54 . 2009-02-20 13:54 717,296 --a------ c:\windows\system32\drivers\sptd.sys
2009-02-20 13:52 . 2009-02-20 13:52 <DIR> d-------- c:\program files\Valve
2009-02-20 12:22 . 2009-02-20 12:28 <DIR> d-------- c:\program files\BSplayer Pro
2009-02-20 12:22 . 2003-03-19 05:14 499,712 --a------ c:\windows\system32\msvcp71.dll
2009-02-20 12:22 . 2004-01-12 00:00 348,160 --a------ c:\windows\system32\msvcr71.dll
2009-02-20 12:16 . 2009-02-20 12:17 <DIR> d-------- c:\program files\Winamp
2009-02-20 12:16 . 2009-02-20 12:20 <DIR> d-------- c:\documents and settings\biooo\Data aplikací\Winamp
2009-02-20 12:15 . 2009-02-20 12:15 0 --a------ c:\windows\nsreg.dat
2009-02-20 12:09 . 2009-02-20 12:09 <DIR> d-------- c:\program files\Netropa
2009-02-20 12:09 . 2002-07-11 08:47 98,304 --a------ c:\windows\system32\Msikbd.dll
2009-02-20 12:09 . 2000-06-08 03:09 28,672 --a------ c:\windows\system32\msiosd32.dll
2009-02-20 12:09 . 2001-12-20 10:02 6,656 --a------ c:\windows\system32\drivers\Msikbd2k.sys
2009-02-20 12:09 . 2009-02-20 16:06 245 --a------ c:\windows\Msiosd.ini
2009-02-20 12:09 . 2009-02-20 12:09 0 --a------ c:\windows\WININIT.INI

.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-02-20 13:58 --------- d-----w c:\program files\Common Files\Adobe
2009-02-20 11:09 --------- d--h--w c:\program files\InstallShield Installation Information
2009-02-20 10:52 --------- d-----w c:\program files\ESET
2009-02-20 10:52 --------- d-----w c:\documents and settings\All Users\Data aplikací\ESET
2009-02-20 10:50 --------- d-----w c:\program files\Razer
2009-02-20 10:48 --------- d-----w c:\documents and settings\biooo\Data aplikací\InterTrust
2009-02-20 10:45 --------- d-----w c:\program files\Gamesurround Fortissimo 4 mixer
2009-02-20 10:43 --------- d-----w c:\documents and settings\All Users\Data aplikací\CyberLink
2009-02-20 10:42 --------- d-----w c:\program files\CyberLink
2009-02-20 10:42 --------- d-----w c:\program files\Common Files\InstallShield
2009-02-20 09:45 --------- d-----w c:\program files\microsoft frontpage
.

(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2004-08-17 15360]
"Steam"="c:\program files\Valve\Steam\Steam.exe" [2009-02-20 1410296]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2005-06-15 6803456]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2005-06-15 86016]
"RemoteControl"="c:\program files\CyberLink\PowerDVD\PDVDServ.exe" [2004-11-02 32768]
"EnvyHFCPL"="c:\program files\Gamesurround Fortissimo 4 mixer\EnMixCPL.exe" [2004-10-14 3893248]
"egui"="c:\program files\ESET\ESET NOD32 Antivirus\egui.exe" [2007-12-21 1443072]
"DeathAdder"="c:\program files\Razer\DeathAdder\razerhid.exe" [2006-12-06 159744]
"MULTIMEDIA KEYBOARD"="c:\program files\Netropa\Multimedia Keyboard\MMKeybd.exe" [2003-09-30 425984]
"WinampAgent"="c:\progra~1\Winamp\winampa.exe" [2008-08-04 36352]
"nwiz"="nwiz.exe" [2005-06-15 c:\windows\system32\nwiz.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-17 15360]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"e:\\Miranda\\miranda32.exe"=
"c:\\WINDOWS\\system32\\sessmgr.exe"=
"%windir%\\system32\\sessmgr.exe"=

R1 epfwtdir;epfwtdir;c:\windows\system32\drivers\epfwtdir.sys [2007-12-21 33800]
R1 msikbd2k;Multimedia Keyboard Filter Driver;c:\windows\system32\drivers\Msikbd2k.sys [2009-02-20 6656]
R2 ekrn;Eset Service;c:\program files\ESET\ESET NOD32 Antivirus\ekrn.exe [2007-12-21 468224]
R2 nhksrv;Netropa NHK Server;c:\program files\Netropa\Multimedia Keyboard\nhksrv.exe [2009-02-20 28672]
R3 Envy24HFS;Gamesurround Fortissimo 4 Audio Controller WDM;c:\windows\system32\drivers\Envy24HF.sys [2009-02-20 575424]
R3 PSched;Plánovač paketů technologie QoS;c:\windows\system32\drivers\psched.sys [2004-08-03 69120]
S3 DAdderFltr;DeathAdder Mouse;c:\windows\system32\drivers\dadder.sys [2009-02-20 22144]
S3 SetupNTGLM7X;SetupNTGLM7X;\??\f:\ntglm7x.sys --> f:\NTGLM7X.sys [?]
.
.
------- Doplňkový sken -------
.
FF - ProfilePath - c:\documents and settings\biooo\Data aplikací\Mozilla\Firefox\Profiles\5q7mol68.default\

---- NASTAVENÍ FIREFOXU ----
c:\program files\Mozilla Firefox\defaults\pref\firefox-l10n.js - pref("browser.fixup.alternate.suffix", ".cz");
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-02-20 16:06:22
Windows 5.1.2600 Service Pack 2 NTFS

skenování skrytých procesů ...

skenování skrytých položek 'Po spuštění' ...

skenování skrytých souborů ...

sken byl úspešně dokončen
skryté soubory: 0

**************************************************************************
.
Celkový čas: 2009-02-20 16:06:58
ComboFix-quarantined-files.txt 2009-02-20 15:06:56

Před spuštěním: Volných bajtů: 96,898,826,240
Po spuštění: Volných bajtů: 96,908,443,648

WindowsXP-KB310994-SP2-Pro-BootDisk-CSY.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect

109




a tady je log z HijackThis

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:01:07, on 20.2.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\Program Files\Gamesurround Fortissimo 4 mixer\EnMixCPL.exe
C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe
C:\Program Files\Razer\DeathAdder\razerhid.exe
C:\Program Files\Netropa\Multimedia Keyboard\MMKeybd.exe
C:\PROGRA~1\Winamp\winampa.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Valve\Steam\Steam.exe
C:\Program Files\Netropa\Multimedia Keyboard\TrayMon.exe
C:\Program Files\Netropa\Onscreen Display\OSD.exe
C:\Program Files\Razer\DeathAdder\razerofa.exe
C:\Program Files\Netropa\Multimedia Keyboard\nhksrv.exe
C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\wincmd\WINCMD32.EXE
D:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [EnvyHFCPL] C:\Program Files\Gamesurround Fortissimo 4 mixer\EnMixCPL.exe
O4 - HKLM\..\Run: [egui] "C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice
O4 - HKLM\..\Run: [DeathAdder] C:\Program Files\Razer\DeathAdder\razerhid.exe
O4 - HKLM\..\Run: [MULTIMEDIA KEYBOARD] C:\Program Files\Netropa\Multimedia Keyboard\MMKeybd.exe
O4 - HKLM\..\Run: [WinampAgent] C:\PROGRA~1\Winamp\winampa.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Steam] C:\Program Files\Valve\Steam\Steam.exe -silent
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\EHttpSrv.exe
O23 - Service: Eset Service (ekrn) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
O23 - Service: Netropa NHK Server (nhksrv) - Unknown owner - C:\Program Files\Netropa\Multimedia Keyboard\nhksrv.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

--
End of file - 3599 bytes




moc moc prosím o pomoc

[stell]

bio
zdravim
stale treba otvorit novy topic nakolko tvoj problem nikto si nevsimne ak ho zahrabes medzi vyriesenymi temami.Ja tu nevidim ziadny problem,
spust G-MER a SDFIX-v nudzovom rezime navod v podpise.
http://www.viry.cz/forum/viewtopic.php?f=29&t=62878

[bio]

jo sry, sem prvni zakladal novy topic ale pak sem si rekl ze vam tu nebudu delat zbytecny bordel, dik moc

[hubertsvk]

zdravim pani
mam ntb infikovany v pamati mebroot -om vase postupy do poslednej bodky mi zlyhavaju mam hdd kryptovany truecryptom, jedna sa o win xp pro

norman simova/MBR cleaner hlasi hned na zaciatku "unable to scan Simova|MBR hooks
Antirootkit hlasi "eror loading/opening driver"

MBR vypuise
"Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer
.net
Windows 5.1.2600

CreateFile("\\.\PHYSICALDRIVE0"): Proces nem˘×e zÝskaŁ prÝstup k s˙boru, preto×e
danř s˙bor prßve pou×Ýva inř proces.
device: opened successfully
user: error reading MBR
kernel: MBR read successfully
user != kernel MBR !!!"

emebremover od esetu vypise
"ESET Win32/Mebroot fixer v2.0.0.2 (Sep 23 2010 10:28:10)
Copyright (c) 1992-2010 ESET, spol. s r.o. All rights reserved.
system x86 Mj 5, Mn 1, Bd 2600, SP 3
Internal error: driver not started"

viete mi poradit? prosim

[vyosek]

Zdravim,

kolega vystihl vse potrebne