Virus - rezidentni procesi u task manageru

[Littlecrazy]

E, ovako, nakon dva dana pretrazivanja foruma i neuspesnog resavanja problema resih da ipak pitam strucnjake..
Problem je sledeci:
Jos pre nekog vremena komp je poceo da baguje, zakucava, i tako sve do momenta kad je jedva uspeo da se sistem podigne. Tad meni klikne lampica, da mi apdejt noda nije podesen, te da je verovatno u tome problem. Odradim apdejt, skeniram i naravno on nadje brdo nekih virusa, kaze da za neke mora da restartuje komp, i ja srecno zakljucim da je problem resen. Medjutim, posle toga, na svako konektovanje na net, u task menadzeru mi se pokrece nekoliko procesa za koje nemam pojma sta su, izmedju ostalog i IExplorer, koga dize System, (ja koristim iskljucivo mozilu vec godinama), a onda se tu javljaju i neki .tmp procesi. Onda se oglasava nod koji vristi da je sistemska memorija zarazena, da ocistim sve i da onda opet rebutujem komp. Tad ponovo nalazi nekoliko .tmp inficiranih fajlova i brise ih. Po restartu kompa, ja opet pustim scan, kaze sve u redu, nema nigde niceg. Dva klika na mozilu, i opet se problem ponavlja. Znaci sve dok sam off-line sve je ok, kako se okacim, iskacu virusi. Probala ja sve meni znane metode, ali nikako da resim problem. Brisala i rucno temp fajlove, i tu skontala da je mozda uzrok svih problema, jer postoji jedan koji je nemoguce obrisati jer ga, naravno koristi druga apllikacija ili sistem, a nod ne prijavljuje gresku. Onda resim da nadjem neki online skener ili nesto, kad nece nikako da se konektuje, probam bilo koju drugu stranicu, sve ok. Tad konacno dodjem ovde (o zasto, ali zasto to ne uradih ranije, spasila bih mnooooogo izgubljenih zivaca), nadjem ljude sa slicnim problemima, shvatim (tek tad) da nije dovoljan samo antivirus, vec i koje sta drugo. Probam na sve nacine da skinem malwarebytes, spybot, hijackthis,alli to ponovo postaje nemoguca misija, 'unable to load page', i kraj! E sad, vidim ja da ce mi mozda i brisanje onog fajla HOST u system32, drivers, pomoci, ali opet nista!
I tako, ocajna, cekam savet!

Zaboravih da napomemenem, za sve to vreme, i kad je komp prijavljivao viruse, i kad nije po ukljucivanju mi se javljalo obavestenje od RUNDLL da ne moze da nadje neki modul, za koji znam da je izbrisan jos u prvom hvatanju virusa, a i dok sam off-line, javljalo se ono obavestenje IExplorera Work offline, iako ja nisam htela na netu nista.

Pa ako ikako ima pomoci sem reinstalacije, ili nedajboze formatiranja...

[Basa Mrkalj]

Uradi ovako, skini program Hijack This sa ovog linka http://www.trendsecure.com/portal/en...HiJackThis.exe
Promeni ime "HiJackThis.exe" u nesto drugo recimo "Provera.exe"
Pokreni program i klikni na tab "Do a system scan and save the logfile"
Sacekaj malo dok program zavrsi skeniranje i izbaci log u notepadu, taj log koji dobijes zakaci ovde na forum.
Posle cemo videti sta dalje.

[Littlecrazy]

Bih ja to uradila, ali ne moze...
Page Load Error! Firefox can't establish connection to the server at www.trendsecure.com
A najnormalnije mi se otvara ova strana, kao i bilo koja druga, koja nema veze sa antivirusima i sl... Neko drugo resenje?

[Basa Mrkalj]

Sacemo da ga prevarimo, skini ga odavde http://rapidshare.com/files/194396074/Provera.zip.html
Samo ga raspakuj na desktop sve je spremno u folderu i pokreni ga.

[NIx Car]

Da li imas operu,ako imas probaj preko nje da udjes u http://www.malwarebytes.org
posto ti je IE zarazen

[Littlecrazy]

Ok, uspela

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 9:50:30 PM, on 2/5/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\ATKKBService.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\ASUSTeK\ASUSDVD\PDVDServ.exe
C:\WINDOWS\system32\qttask.exe
C:\Program Files\ClocX\ClocX.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\Google\Google Talk\googletalk.exe
C:\Program Files\Winamp\winampa.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe
C:\Program Files\Eset\nod32kui.exe
C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
C:\WINDOWS\system32\rundll32.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Common Files\Ahead\lib\NMBgMonitor.exe
C:\Program Files\stickies\stickies.exe
C:\WINDOWS\system32\WgaTray.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\rundll32.exe
C:\Documents and Settings\korisnik\Desktop\Provera\Provera.exe.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://runonce.msn.com/?v=msgrv75
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://home.netscape.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://home.netscape.com/home/winsearch.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://home.netscape.com/home/winsearch200.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://home.netscape.com/home/winsearch.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.netscape.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

[Littlecrazy]

I nastavak:

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG8\avgssie.dll (file missing)
O2 - BHO: (no name) - {6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} - C:\WINDOWS\system32\qomMFurQ.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: (no name) - {D612487B-4B6A-4826-90B6-ED8B85DE9ECC} - C:\WINDOWS\system32\jkkHBSIy.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O2 - BHO: AlxTB BHO - {F1FABE79-25FC-46de-8C5A-2C6DB9D64333} - C:\WINDOWS\system32\AlxTB2.dll (file missing)
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\ASUSTeK\ASUSDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [QuickTime Task] C:\WINDOWS\system32\qttask.exe
O4 - HKLM\..\Run: [ClocX] C:\Program Files\ClocX\ClocX.exe
O4 - HKLM\..\Run: [googletalk] C:\Program Files\Google\Google Talk\googletalk.exe /autostart
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe -startup
O4 - HKLM\..\Run: [Fmile] rundll32.exe "C:\WINDOWS\Cjofiliyojoqoziy.dll",e
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [1c10bb40] rundll32.exe "C:\WINDOWS\system32\kdlnykip.dll",b
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [BitTorrent] "C:\Program Files\BitTorrent\bittorrent.exe" --force_start_minimized
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Ahead\lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [updateMgr] "C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" AcRdB7_0_9 -reboot 1
O4 - HKCU\..\Run: [rs32net] C:\WINDOWS\System32\rs32net.exe
O4 - HKUS\S-1-5-18\..\Run: [Picasa Media Detector] C:\Program Files\Picasa2\PicasaMediaDetector.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [Nokia.PCSync] C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [Picasa Media Detector] C:\Program Files\Picasa2\PicasaMediaDetector.exe (User 'Default user')
O4 - Startup: Stickies.lnk = C:\Program Files\stickies\stickies.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Mail to a Friend... - http://client.alexa.com/holiday/scri...ons/mailto.htm
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O20 - Winlogon Notify: crypt - crypts.dll (file missing)
O20 - Winlogon Notify: pzarom - pzarom.dll (file missing)
O20 - Winlogon Notify: qomMFurQ - C:\WINDOWS\SYSTEM32\qomMFurQ.dll
O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe
O23 - Service: FCI - Unknown owner - C:\WINDOWS\system32\svchost.exe:ext.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset  - C:\Program Files\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: SmartLinkService (SLService) -   - C:\WINDOWS\SYSTEM32\slserv.exe

--
End of file - 8088 bytes

[Basa Mrkalj]

Nema veze preko kog browsera hoce da skine, ne dozvoljava, ni virusi nisu kao sto su bili

Edit:
Idemo dalje http://rapidshare.com/files/19440961...a.exe.zip.html skini ovaj program (odradjeno na istu foru)
Pokreni ga dvoklikom i dozvoli mu update na samom pocetku
Izaberi opciju Perform Quick Scan i klikni Scan.
Po završetku procesa klikni OK, Show Results
Zatim klikni Remove Selected

Najverovatnije ce doci do restarta i brisanja virusa.
Po zavrsetku procesa izbacice ti log koji ces zakaciti na forum i zakacices novi HijackThis log
Imas opciju da prikacis logove kao Atach fajl to je kao jedna spajalica iznad prozora za odgovor.

[nighthawk]

Restartuj komp i idi u safe mode (pritiskaj F8 posle paljenja dok ne dobije meni) i skeniraj NOD-om. Onda otvori u C:\windows\system32\drivers\etc\ fajl pod nazivom hosts (bez ekstenzije) u notepadu i obrisi sve linije koje ne pocinju sa # osim linije koja kaze

localhost     127.0.0.1

. To sto si vec brisala hosts fajl, a nije nista pomoglo, je verovatno zato sto ga je virus odmah vratio nazad. Restartuj komp i probaj da skines malwarebytes. Na brzinu sam pregledao log, i cini mi se da nemas firewall. Ako sam u pravu skini i instaliraj comodo (bez njegovog antivirusa i proactive defense sistema).

Btw formatiranje je sastavni deo reinstalacije. Repair je reinstalacija bez formatiranja, ali to tesko uspeva, pogotovo na ovako zarazenim sistemima.

[Basa Mrkalj]

Nije ovde slucaj sa hosts fajlom, ima vundo koji se zavukao u BHO (Browser Helper Objects) i ne dozvoljava skidanje antimalware alata. Tu Nod nema sta da trazi, ima jos neke infekcije ali otom potom, kad vidimo nove logove.

[Littlecrazy]

Uspela da skinem malwarebytes, ali na samom kraju instalacije zakucao, tj. kad sam kliknula na finish. Shortcut postoji na desktopu, ima ga u programs, ali ne mogu da ga pokrenem.. Sta sad? Je l' da odradim ovo sa safe modom sto preporucuje nighthawk?

off: a super su ove Provere i Prevare )

[Basa Mrkalj]

Udji u Safe Mode pa pokreni HijackThis
* Izaberi opciju "Do a system scan only"
* Stikliraj sledece linije:

Klikni "Fix checked"

O2 - BHO: (no name) - {6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} - C:\WINDOWS\system32\qomMFurQ.dll
O2 - BHO: (no name) - {D612487B-4B6A-4826-90B6-ED8B85DE9ECC} - C:\WINDOWS\system32\jkkHBSIy.dll
O2 - BHO: AlxTB BHO - {F1FABE79-25FC-46de-8C5A-2C6DB9D64333} - C:\WINDOWS\system32\AlxTB2.dll (file missing)
O4 - HKLM\..\Run: [Fmile] rundll32.exe "C:\WINDOWS\Cjofiliyojoqoziy.dll",e
O4 - HKLM\..\Run: [1c10bb40] rundll32.exe "C:\WINDOWS\system32\kdlnykip.dll",b
O4 - HKCU\..\Run: [rs32net] C:\WINDOWS\System32\rs32net.exe
O20 - Winlogon Notify: crypt - crypts.dll (file missing)
O20 - Winlogon Notify: pzarom - pzarom.dll (file missing)

Zatim restartuj komp pa ponovo pokreni malwarebytes

[Littlecrazy]

OK, odradila sve navedeno, ali kad nece, onda nece... Dakle, posle hijackthis u safe modu, i dalje ne moze da se pokrene malwarebytes, a novi izvestaj iz hijackthis glasi:

Pa ako ima nade...

[ukimafija]

Ma udari tu crkotinu programom unhack me, ubija te rootkitove ko nista evo ti link http://www.greatis.com/unhackme/buy.htm.

[krofnica84]

Definitivno si zarazila neki adware/spyware. Ja sam tako jednom imala slican problem. Evo ti jedan removal tool -Symantec Virtumonde . pokusacu da ga prikacim

[nighthawk]

@Littlecrazy
Log je sad mnogo cistiji. Udji u safe mode i obrisi rucno C:\WINDOWS\system32\qomMFurQ.dll. Sumnive stvar su jos i C:\WINDOWS\system32\jkkHBSIy.dll, verovatno je zaraza, ali iz imena fajla nista ne mogu da zakljucim. Za svaki slucaj zapakuj ga u .rar ili .zip arhivu i onda obrisi (dok si jos u safe modu). Restaruj kompjuter i probaj da pokrenes malwarebytes, ako nece probaj da ga reinstaliras. Ako ne uspe onda probaj ovo sto je Krofnica predlozila.

[Littlecrazy]

Samo da javim da je problem resen! ComboFix je na kraju uspeo da izbori sa svim stetocinama, a Malwarebytes zavrsio posao. Sad samo ostaje da vise vodim racuna o zastiti.
I HVALA svima koji su pomogli!!!

[- TERMINATOR -]

Littlecrazy kaže:

Uspela da skinem malwarebytes, ali na samom kraju instalacije zakucao, tj. kad sam kliknula na finish. Shortcut postoji na desktopu, ima ga u programs, ali ne mogu da ga pokrenem.. Sta sad? Je l' da odradim ovo sa safe modom sto preporucuje nighthawk?

off: a super su ove Provere i Prevare )

ISTO se i meni desilo! Al od kad sam njega skinuo, sve vise i vise virusa me napadalo. A kad sam siknuo hijackthis, jos vise virusa pocelo da me napada.
Pa kad sam i pokrenuo instalaciju Spybota, ESET mi je tad poceo da vristi od virusa. Obriso ESET, a sa kasperskim sam imao big problems with updates.
Nakacio ja jos vise tih spyware-a i ostalih domacih zivotinja. Nema spasa sem reinstalacije.
Mozda i ja da probam sa ComboFix...

[Danijela1]

Ne bih da otvaram novu temu.. Ovde sam okacila svoj log i molim da ga neko prokomentarise.

[DobroslaV]

lsass.exe je trojanac. Obriši ga i/ili skeniraj komp nekim antivirusom.
Sve je ostalo OK.