Nieusuwalny Wirus?

[Golish87]

Mam poważny problem: moj "niepelnosprytny" brat ściągnął jakieś badziewie, które mogę spotkać pod adresem: C:\Documents and Settings\Tomek\Ustawienia lokalne\Temporary Internet Files\Content.IE5\BSPFRVUL\p ů█t.;ˇ|. Właśnie to "p ů█t.;ˇ|" (dziwne znaki, nieprawdaż?) powoduje, że co chwile wyskakuje mi dymek ze stwierdzeniem o zainfekowaniu komputera. Próbowałem usunąć plik avastem, ale nie daje rady. Może znacie jakiś sposób...

[chojrakrock]

a-dawara a recznie wykasowac go nie idzie??

[Golish87]

Usunięcie ręcznym sposobem się nie powiodło już za pierwszym razem. Przed chwilą sprawdziłem ad-awerem, ale i to nie pomogło :mad:

[Gość SimooN]

IE -> opcje internetowe -> ogólne - -> tymczasowe pliki internetowe -> usuń pliki ???

[Golish87]

No, niestety, i to nie pomogło.

[pluszek]

Sprawdz dysk scandiskiem.....

Zarzuc tez test Hddregenerator...

[Golish87]

Scandisk sobie nie radzi, a z kolei ten Hddregenerator nie działa. Ściągnąłęm chyba wszystkie możliwe wersje od 1.3 do 1.5 (trzeba się rejestrować). A może da sie to jakoś usnąć, korzystając z dyskietki startowej (chyba za bardzo kombinuje :blink: )

[Kolobos]

Dymek wyswietla zapewne jakis trojan, a ten "plik" to tylko jakies uszkodzenie.

Wklej moze log z hijackthis na forum.

[Golish87]

Logfile of HijackThis v1.99.1

Scan saved at 08:21:15, on 2006-04-13

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\RUNDLL32.EXE

C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe

C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb12.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe

C:\WINDOWS\CTHELPER.EXE

C:\WINDOWS\System32\rundll32.exe

C:\Program Files\DAEMON Tools\daemon.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\QuickTime\qttask.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\Gadu-Gadu\gg.exe

C:\Program Files\Common Files\Ahead\lib\NMBgMonitor.exe

C:\Program Files\SEC\Natural Color\NaturalColorLoad.exe

C:\Program Files\SEC\MagicTune3.6\GammaTray.exe

C:\Program Files\SEC\MagicTune3.6\MagicTune.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqtra08.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqgalry.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\WinRAR\WinRAR.exe

C:\DOCUME~1\Tomek\USTAWI~1\Temp\Rar$EX00.204\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O2 - BHO: Nothing - {7a932ed2-1737-4ab8-b84d-c71779958551} - C:\WINDOWS\System32\hpDE33.tmp (file missing)

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb12.exe

O4 - HKLM\..\Run: [DeviceDiscovery] C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe

O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\System32\NeroCheck.exe

O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [spywareQuake] C:\Program Files\SpywareQuake\SpywareQuake.exe /h

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray

O4 - HKCU\..\Run: [bgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Ahead\lib\NMBgMonitor.exe"

O4 - Global Startup: NaturalColorLoad.lnk = ?

O4 - Global Startup: Color Calibration.lnk = ?

O4 - Global Startup: MagicTune 3.6.lnk = ?

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqtra08.exe

O4 - Global Startup: HP Image Zone - szybkie uruchamianie.lnk = C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqthb08.exe

O16 - DPF: {E7544C6C-CFD6-43EA-B4E9-360CEE20BDF7} (MainControl Class) - http://www.mks.com.pl/skaner/SkanerOnline.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{A609AAC5-9437-4F99-AD2B-C126067CA3EA}: NameServer = 195.225.36.2

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe

O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

 

-----

O to chodziło?

[avecezary]

jezeli to tylko ten plik to:

1 w awaryjnym

2 unlocker

3 regula mieszania w zasadach grupy

a HijackThis wklej tu- (loga)

http://www.hijackthis.de/

[Mujahideen]

Scandisk sobie nie radzi, a z kolei ten Hddregenerator nie działa. Ściągnąłęm chyba wszystkie możliwe wersje od 1.3 do 1.5 (trzeba się rejestrować). A może da sie to jakoś usnąć, korzystając z dyskietki startowej (chyba za bardzo kombinuje :blink: )

Ja bym za tym był by odpalić płytę z windowsem (tzn. zabootować) i tam chyba wybiera się "Napraw" w pewnym momencie, odpali się DOS i wykonać poniższe polecenia, pewnie z dyskietki startowej też by dało radę zrobić to, w każdym bądź razie ja tak kiedyś uczyniłem:

CD..CD Documents and SettingsCD TomekCD Ustawienia lokalneCD Temporary Internet FilesCD Content.IE5CD BSPFRVULDEL p ů█t.;ˇ|		 <--- nazwa pliku

Edytowane 14 Kwietnia 2006 przez Mujahideen

[Golish87]

jezeli to tylko ten plik to:

1 w awaryjnym

2 unlocker

3 regula mieszania w zasadach grupy

a HijackThis wklej tu- (loga)

http://www.hijackthis.de/

 

Próbowałem - niestety bez skutku.

[ed00s]

A moze odpal linuxa jakiegos z plytki i wtedy moze cos da sie zrobic tez mialem taki problem i pomoglo.

Ja mialem knopixa :D

[Kolobos]

Piracki windows bez aktualizacji, ech!

 

Zamknij otwarte porty:

http://www.firewallleaktester.com/tools/wwdc.exe

 

Tak jak pisalem, dymek wyswietla spywarequake:

O2 - BHO: Nothing - {7a932ed2-1737-4ab8-b84d-c71779958551} - C:\WINDOWS\System32\hpDE33.tmp (file missing)

O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)

O4 - HKLM\..\Run: [spywareQuake] C:\Program Files\SpywareQuake\SpywareQuake.exe /h

 

Tutaj masz opis usuwania:

http://www.bleepingcomputer.com/forums/topic47826.html

Jak usuniesz to dymek zniknie. Tylko nie pisz, ze nie znasz angielskiego... na forum sa obrazki co klikac oraz jest napisane co sciagnac.

[Golish87]

Piracki windows bez aktualizacji, ech!

 

Zamknij otwarte porty:

http://www.firewallleaktester.com/tools/wwdc.exe

 

Tak jak pisalem, dymek wyswietla spywarequake:

O2 - BHO: Nothing - {7a932ed2-1737-4ab8-b84d-c71779958551} - C:\WINDOWS\System32\hpDE33.tmp (file missing)

O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)

O4 - HKLM\..\Run: [spywareQuake] C:\Program Files\SpywareQuake\SpywareQuake.exe /h

 

Tutaj masz opis usuwania:

http://www.bleepingcomputer.com/forums/topic47826.html

Jak usuniesz to dymek zniknie. Tylko nie pisz, ze nie znasz angielskiego... na forum sa obrazki co klikac oraz jest napisane co sciagnac.

 

Odnośnie języka to jeszcze nie poznałem chińskiego i środkowonepalskiego, ale angielski nie jest mi obcy :-P A jeśli chodzi o opis, to znalazłem go już wcześniej w necie, owszem, dymek zniknął, ale nie mogę się pozbyć tego "p ů█t.;ˇ|".

[Kolobos]

Jaki masz system plikow na tym dysku? NTFS czy FAT?

[Golish87]

FAT32

[Kolobos]

Wiec na poczatek sprobuj uruchomic scandisk ale odznacz automatyczne naprawianie bledow. Jezeli scandisk wykryje blad to wybierz usun plik/katalog.

Jezeli nie wykryje to sprobuj uzyc diskeditora, program i krotka instrukcje masz tutaj:

http://www.elektroda.pl/rtvforum/viewtopic.php?t=232267

Oczywiscie radze Ci uwazac podczas uzywania tego programu ;-)

[Golish87]

Mam tylko "mały" problem: nie znam komend dosa, a jeśli nawet to jak mam wpisac: p ů█t.;ˇ|??? Może ktoś mnie chociaż poratuje cała komendową ścieżką dostępu do tego pliku? To dziadostwoj jest u mnie tu: C:\Documents and Settings\Tomek\Ustawienia lokalne\Temporary Internet Files\Content.IE5\BSPFRVUL\

[Aquarium]

próbowałeś Unlockerem?

[pluszek]

Scandisk sobie nie radzi

To nie mozliwe, ja tez kiedys to mialem i scnadisk sprawdzal mi te pliki 5 godz..... Ale je usunol....

 

Moze program unlocker..........

[Golish87]

próbowałeś Unlockerem?

"Nie udało się usunąć obiektu" - taki mnie komunikat spotyka, jak używam Unlockera. Próbowałem chociaż zmienić nazwę (i nawet sie wyświetla ramka o powodzeniu operacji), ale widać p ů█t.;ˇ| twardo się trzyma.

[konnik_tl]

a może spróbuj sobie zrobić butowalną płyte programem bart i odpal w ten sposób wina i wtedy powinieneś bez problemu usunąć.

u kolegi w ten sposób wszystkie śmieci usuwam.

 

Edit:

 

u siebie zresztą także

Edytowane 14 Kwietnia 2006 przez konnik_tl

[SZHRANC]

sprobuj odinstalowac avast, zainstalowac jeszcze raz i daj opcje skanuj podczas uruchomienia komputera

sprawdz tez SpyBot-Search&Destroy

[tomcio_wroc]

a ja jak ktorys z kolegow wczesniej zaproponuje knoppixa. system uruchomi sie z plytki CD i wszystko co na dysku sie znajduje mozna edytowac.. jedyny trudny krok to sciagniecie programu (600MB) - reszta banalnie prosta bo obsluga podobna do windowsa.

pozdrawiam

Edytowane 14 Kwietnia 2006 przez tomcio_wroc

[Aquarium]

wystarczy jakikolwiek linux w wersji livecd ... są dużo mniejsze wersje - wystarczty sama konsola plus sterownik dla fat32 .... Skoro to tylko fat, to na upartego można przegrać dane na inną partycję, zrobić format i zgrać ponownie ...

Edytowane 15 Kwietnia 2006 przez Myszaqu

[Maniek230]

Usun z procesów i postaraj sie ręcznie....albo na mks_vir skaner online!!!!!

Pozdr :blink:

[Kolobos]

Czytajac niektore odpowiedzi zaczynam sie zastanawiac czy czesc uzytkownikow umie w ogole czytac :(

 

Dla tych ktorzy nie umieja podpowiem, ze chodzi o usuniecie pliku ktory jest uszkodzony.

Wiec posty dotyczace jakiegos zamykania procesow, skanowania spybot'em, mks'em, avastem, uzywania unlockera itd maja sie do tego nijak!

Edytowane 15 Kwietnia 2006 przez Kolobos

[Gość SimooN]

Dla tych ktorzy nie umieja podpowiem, ze chodzi o usuniecie pliku ktory jest uszkodzony.

Nie tyle "uszkodzony", co ma w nazwie znaki specjalne powodujące że windows nie jest w stanie go usunąć (typowa sztuczka autorów różnego syfu).

Ja bym jeszcze sprawdził Spybot S&D -> narzedzia -> niszczyciel plików. W tym pogramie działa "przeciągnij i upuść", już tak kasowałem pliki o "dziwnych" nazwach sciągane emulem -> dla systemu "nieusuwalne".

Albo na chama: tryb "tylko wiersz poleceń" i komenda

del C:\Documents and Settings\Tomek\Ustawienia lokalne\Temporary Internet Files\Content.IE5\BSPFRVUL\ *.*

To są pliki tymczasowe IE, nic się nie stanie jak znikną wszystkie ;)

Albo coś takiego:

http://www.centrumxp.pl/WindowsXP/424,1,Czyszczenie.aspx

[Domik]

Zrób to co napisał Kolobos. Jeśli scandisk nie usunął no to już uszkodzenie fizyczne chyba wchodzi w rachube.