Problem Z Nodem, Jakiś Trojan

[peterpz]

Od piatku wyświetla mi się taki komunikat:

 

 

Mogę oczywiście kliknąć rozłącz i tak robie ale po kilku minutach komunikat powraca. Można ustawić zeby sam rozłączał to połączenie ale tak będzie tylko do restartu komputera... Jak to wywalić? :E

[YogiCK]

Coś ci cały czas próbuje pobrać na dysk trojana. Pewnie już jednego masz na dysku, więc radze sprawdzić system SpyBotem S&D oraz zrobić pełny skan dysku NODem. Na te próby może też tymczasowo pomóc jakiś firewall.

[Kolobos]

Wklej na forum log z hijackthis.

[peterpz]

Oto log (wiele rzeczy już usunąłem ale nie pomaga, teraz już nod nic nie wyświetla tylko jakiś trojan obciąża mi intenret - pakiety lecą jak szalone :( ):

 

Logfile of HijackThis v1.99.1

Scan saved at 10:40:36, on 2006-11-11

Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\Program Files\Eset\nod32krn.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\SYSTEM32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Tlen.pl\tlen.exe

C:\Program Files\WLAN\WConfig\WConfig.exe

D:\Moje dokumenty\Ferguson\Sharing\SBCL v1.0h\SBCL v1.0h.exe

C:\Program Files\ESET\nod32kui.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\WINDOWS\system32\cmd.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\Documents and Settings\peterpz\Pulpit\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = w3cache.icm.edu.pl:8080

O4 - HKCU\..\Run: [Komunikator] C:\Program Files\Tlen.pl\tlen.exe

O4 - Startup: SBCL v1.0h.lnk = D:\Moje dokumenty\Ferguson\Sharing\SBCL v1.0h\SBCL v1.0h.exe

O4 - Startup: System NOD32.lnk = C:\Program Files\ESET\nod32kui.exe

O4 - Global Startup: WConfig.lnk = C:\Program Files\WLAN\WConfig\WConfig.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{B14D5707-B855-46B0-B50C-DABF542ED654}: NameServer = 194.204.159.1,194.204.152.34

O20 - Winlogon Notify: rpcc - C:\WINDOWS\system32\rpcc.dll

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: SQL Server (SQLEXPRESS) (MSSQL$SQLEXPRESS) - Unknown owner - c:\Program Files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe" -sSQLEXPRESS (file missing)

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe

O23 - Service: Sandra Data Service (SandraDataSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005\RpcDataSrv.exe

O23 - Service: Sandra Service (SandraTheSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005\RpcSandraSrv.exe

[Kolobos]

Uslugi dotyczace Sandry mozesz wylaczyc jezeli ich nie potrzebujesz, a tutaj jest Twoj problem:

O20 - Winlogon Notify: rpcc - C:\WINDOWS\system32\rpcc.dll

Usun wpis w hjt oraz plik z dysku.

 

Do tego przeskanuj system przy pomocy ewido.

[peterpz]

Tak, tylko jak usuną ten dziadowski dll skoro używa go winlogon a to krytyczny proces używany nawet w trybie awaryjnym :(

[Kolobos]

Jak to jak? np. przy pomocy Killbox z uzyciem opcji Delete On reboot.

Miales tez przeskanowac system przy pomocy ewido czego jak widze nie zrobiles...

Edytowane 11 Listopada 2006 przez Kolobos