Ndisio.sys

14 februari, 2009

För c:\windows\system32\dllcache\ndis.sys så hittar jag inte mappen dllcache och hittar därför inte filen. Vet inte varför riktigt?

För c:\windows\system32\drivers\ndis.sys så tar det väldigt lång tid att ladda upp filen och den fastnar på 61 %. Har testat 3 gånger med IE och 1 gång med Firefox, det står bara "Internal server error" på sidan som kommer upp. Vet inte varför det blir så heller riktigt?

Sen hade jag en till fil på ...\drivers\ som hette ndis(2).sys, vet inte om det har någon betydelse men den filen funkade i virustotal. Även om den redan hade blivit scannad stod det och resultatet blev 0/39.

14 februari, 2009

Ok! Det får bli ännu en sväng med combo:)

Kopiera alla rader i rutan (använd markera kod)

Driver::
ntndis

och klistra in i Anteckningar.

Spara filen på Skrivbordet med namnet CFScript.

Förbered datorn på samma sätt som tidigare för ComboFix.

Dra CFScript med musen och släpp den ovanpå ComboFix-ikonen på Skrivbordet så startar programmet på ett särskilt sätt.

Klistra in loggen som kommer ut

14 februari, 2009

Javisst, här är den senaste:

[log]ComboFix 09-02-12.03 - krst0701 2009-02-14 20:12:47.5 - NTFSx86 NETWORK

Microsoft Windows XP Professional 5.1.2600.3.1252.1.1053.18.1015.760 [GMT 1:00]

Körs från: c:\documents and settings\krst0701\Skrivbord\ComboFix.exe

Använda kommandoväxlar :: c:\documents and settings\krst0701\Skrivbord\CFScript.txt

AV: Panda Security for Desktops *On-access scanning enabled* (Updated)

.

((((((((((((((((((((((((((((((((((((((( Andra raderingar ))))))))))))))))))))))))))))))))))))))))))))))))

.

c:\windows\system32\drivers\ntndis.sys

.

((((((((((((((((((((((((((((((((((((((( Drivrutiner/Tjänster )))))))))))))))))))))))))))))))))))))))))))))))))

.

-------\Legacy_RESTORE

(((((((((((((((((((((((( Filer Skapade från 2009-01-14 till 2009-02-14 ))))))))))))))))))))))))))))))

.

2009-02-14 16:05 . 2009-02-14 17:04 <KAT> d-------- c:\windows\system32\config\systemprofile\Tracing

2009-02-14 15:04 . 2009-02-14 15:04 135,168 --a------ C:\zip.exe

2009-02-14 15:04 . 2009-02-14 15:04 19,286 --a------ C:\cleanup.exe

2009-02-14 15:04 . 2009-02-14 15:04 574 --a------ C:\cleanup.bat

2009-02-14 13:39 . 2009-02-14 13:39 <KAT> d-------- c:\program\Malwarebytes' Anti-Malware

2009-02-14 13:39 . 2009-02-14 13:39 <KAT> d-------- c:\documents and settings\All Users\Application Data\Malwarebytes

2009-02-14 13:39 . 2009-02-11 10:19 38,496 --a------ c:\windows\system32\drivers\mbamswissarmy.sys

2009-02-14 13:39 . 2009-02-11 10:19 15,504 --a------ c:\windows\system32\drivers\mbam.sys

2009-02-13 23:41 . 2009-02-13 23:41 <KAT> d-------- c:\program\DVD Shrink

2009-02-13 23:41 . 2009-02-13 23:41 <KAT> d-------- c:\documents and settings\krst0701\Application Data\SPORE

2009-02-13 22:28 . 2009-02-14 18:11 664 --a------ c:\windows\system32\d3d9caps.dat

2009-02-13 21:30 . 2009-02-13 21:30 <KAT> d-------- c:\documents and settings\krst0701\Application Data\Malwarebytes

2009-02-13 21:29 . 2009-02-13 23:42 <KAT> d-------- c:\program\Malwarebytes' Anti-Malware(2)

2009-02-13 21:29 . 2009-02-13 23:42 <KAT> d-------- c:\documents and settings\All Users\Application Data\Malwarebytes(2)

2009-02-13 14:12 . 2009-02-13 14:12 <KAT> d-------- c:\program\Trend Micro

2009-02-13 00:30 . 2008-04-13 21:09 142,592 --a------ c:\windows\system32\drivers\aec.sys.bak

2009-02-12 23:47 . 2009-02-12 23:53 <KAT> d-------- c:\documents and settings\All Users\Application Data\Sports Interactive

2009-02-04 21:52 . 2009-02-04 21:52 <KAT> d-------- c:\windows\County Fair

2009-02-04 21:52 . 2009-02-04 21:52 <KAT> d-------- c:\program\County Fair

2009-01-21 14:57 . 2009-02-11 22:58 <KAT> d-------- c:\program\Google

2009-01-21 14:57 . 2009-02-13 14:21 <KAT> d-------- c:\documents and settings\All Users\Application Data\Google Updater

.

(((((((((((((((((((((((((((((((((((((((( Find3M Rapport )))))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-02-13 22:44 --------- d-----w c:\program\Sports Interactive

2009-02-13 22:44 --------- d-----w c:\documents and settings\krst0701\Application Data\uTorrent

2009-02-13 22:41 --------- d-----w c:\program\WinAVI Video Converter

2009-02-13 22:41 --------- d-----w c:\program\CDBurnerXP

2009-02-13 22:22 --------- d---a-w c:\documents and settings\All Users\Application Data\TEMP

2009-02-13 13:46 --------- d-----w c:\documents and settings\All Users\Application Data\Microsoft Help

2009-02-12 23:30 182,656 ----a-w c:\windows\system32\drivers\ndis.sys

2009-02-12 23:22 --------- d-----w c:\documents and settings\krst0701\Application Data\Sports Interactive

2009-02-12 14:40 --------- d-----w c:\program\MZ Manager 2

2009-02-06 12:50 --------- d-----w c:\program\Messenger Plus! Live

2009-02-04 20:51 --------- d-----w c:\program\Rock Tour

2009-01-20 10:42 --------- d-----w c:\program\FysioFix Exercise

2009-01-12 12:58 --------- d-----w c:\documents and settings\krst0701\Application Data\Spotify

2008-12-31 15:54 --------- d-----w c:\documents and settings\krst0701\Application Data\Artogon

2008-12-31 15:49 --------- d-----w c:\program\Charma The Land of Enchantment

2008-12-28 14:36 --------- d-----w c:\documents and settings\All Users\Application Data\TVU Networks

2008-12-27 21:02 --------- d-----w c:\documents and settings\krst0701\Application Data\Nero

2008-12-27 19:21 --------- d-----w c:\program\Delade filer\Nero

2008-12-27 19:03 --------- d-----w c:\program\Nero

2008-12-27 18:55 --------- d-----w c:\documents and settings\All Users\Application Data\Nero

2008-12-25 23:15 --------- d-----w c:\program\Windows Sidebar

2008-12-25 21:07 --------- d-----w c:\program\Avi2Dvd

2008-12-20 22:59 --------- d-----w c:\program\Windows Live SkyDrive

2008-12-20 22:59 --------- d-----w c:\program\Microsoft

2008-12-19 12:56 --------- d-----w c:\program\Java

.

------- Sigcheck -------

2009-02-13 00:30 213120 1df7f42665c94b825322fae71721130d c:\windows\system32\dllcache\ndis.sys

2009-02-13 00:30 213120 1df7f42665c94b825322fae71721130d c:\windows\system32\drivers\ndis.sys

.

((((((((((((((((((((((((((((( SnapShot@2009-02-14_16.26.22.92 )))))))))))))))))))))))))))))))))))))))))

.

- 2009-02-14 15:23:19 32,768 ----a-w c:\windows\system32\config\systemprofile\Cookies\index.dat

+ 2009-02-14 18:15:12 32,768 ----a-w c:\windows\system32\config\systemprofile\Cookies\index.dat

- 2009-02-14 15:23:19 49,152 ----a-w c:\windows\system32\config\systemprofile\Lokala inställningar\Tidigare\History.IE5\index.dat

+ 2009-02-14 18:15:12 65,536 ----a-w c:\windows\system32\config\systemprofile\Lokala inställningar\Tidigare\History.IE5\index.dat

- 2009-02-14 15:23:20 32,768 --sha-w c:\windows\system32\config\systemprofile\Lokala inställningar\Tidigare\History.IE5\MSHist012009021420090215\index.dat

+ 2009-02-14 18:15:13 32,768 --sha-w c:\windows\system32\config\systemprofile\Lokala inställningar\Tidigare\History.IE5\MSHist012009021420090215\index.dat

- 2009-02-14 15:08:06 71,308 ----a-w c:\windows\system32\perfc009.dat

+ 2009-02-14 18:14:44 71,308 ----a-w c:\windows\system32\perfc009.dat

- 2009-02-14 15:08:06 83,090 ----a-w c:\windows\system32\perfc01D.dat

+ 2009-02-14 18:14:44 83,090 ----a-w c:\windows\system32\perfc01D.dat

- 2009-02-14 15:08:06 441,624 ----a-w c:\windows\system32\perfh009.dat

+ 2009-02-14 18:14:44 441,624 ----a-w c:\windows\system32\perfh009.dat

- 2009-02-14 15:08:07 443,464 ----a-w c:\windows\system32\perfh01D.dat

+ 2009-02-14 18:14:44 443,464 ----a-w c:\windows\system32\perfh01D.dat

.

(((((((((((((((((((((((((((((((((( Startpunkter i registret )))))))))))))))))))))))))))))))))))))))))))))))

.

*Not* Tomma poster & legitima standardposter visas inte.

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

"Eraser"="c:\program\Eraser\Eraser.exe" [2007-12-23 916240]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"UserFaultCheck"="c:\windows\system32\dumprep 0 -u" [X]

"SoundMAXPnP"="c:\program\Analog Devices\Core\smax4pnp.exe" [2007-01-05 872448]

"IgfxTray"="c:\windows\system32\igfxtray.exe" [2007-09-14 141848]

"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2007-09-14 166424]

"Persistence"="c:\windows\system32\igfxpers.exe" [2007-09-14 137752]

"WatchDog"="c:\program\InterVideo\DVD Check\DVDCheck.exe" [2006-03-31 184320]

"SynTPStart"="c:\program\Synaptics\SynTP\SynTPStart.exe" [2007-09-15 102400]

"QlbCtrl.exe"="c:\program\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe" [2007-10-19 177456]

"Panda Controller Client"="c:\program\Panda Software\AVTC\PSCtrlC.exe" [2008-02-07 226608]

"CameraFixer"="c:\windows\CameraFixer.exe" [2006-06-01 20480]

"snpstd3"="c:\windows\vsnpstd3.exe" [2005-09-05 339968]

"Adobe Reader Speed Launcher"="c:\program\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-10-15 39792]

"SunJavaUpdateSched"="c:\program\Java\jre6\bin\jusched.exe" [2008-11-10 136600]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"msnmsgr"="c:\program\Windows Live\Messenger\msnmsgr.exe" [2008-12-02 3882312]

c:\documents and settings\All Users\Start-meny\Program\AutostartDVD Check.lnk - c:\program\InterVideo\DVD Check\DVDCheck.exe [2008-05-27 184320]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]

"DisallowCpl"= 1 (0x1)

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]

"AppInit_DLLs"=secuload.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\group policy\state\S-1-5-21-1792577560-2397486594-2620553692-16569\Scripts\Logon\0\0]

"Script"=all_ChangeLocalAdminPassword.bat

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\group policy\state\S-1-5-21-1792577560-2397486594-2620553692-16569\Scripts\Logon\1\0]

"Script"=AddUserToLocalAdmins.vbs

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\group policy\state\S-1-5-21-1792577560-2397486594-2620553692-16569\Scripts\Logon\2\0]

"Script"=jkpg_jb_Logon.bat

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\group policy\state\S-1-5-21-1792577560-2397486594-2620553692-16569\Scripts\Logon\3\0]

"Script"=LogSeriaNr.vbs

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]

@="Driver"

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"%windir%\\system32\\sessmgr.exe"=

"c:\program\Panda Software\Panda Administrator 3\Pav_Agent\Pagent.exe"= c:\program\Panda Software\Panda Administrator 3\Pav_Agent\Pagent.exe

"c:\\Program\\uTorrent\\uTorrent.exe"=

"c:\\Program\\Mozilla Firefox\\firefox.exe"=

"c:\\Program\\Spotify\\spotify.exe"=

"c:\\Program\\Sports Interactive\\Football Manager 2008\\fm.exe"=

"c:\\Program\\Windows Live\\Messenger\\msnmsgr.exe"=

"c:\\Program\\Java\\jre6\\bin\\java.exe"=

S1 ShldDrv;Panda File Shield Driver;c:\windows\system32\drivers\ShlDrv51.sys [2008-07-23 38328]

S2 gupdate1c9870991c5a778;Google Update Service (gupdate1c9870991c5a778);c:\program\Google\Update\GoogleUpdate.exe [2009-02-04 133104]

S2 PavProc;Panda Process Protection Driver;c:\windows\system32\drivers\PavProc.sys [2008-07-23 179512]

S3 restore;restore;\??\c:\windows\system32\drivers\restore.sys --> c:\windows\system32\drivers\restore.sys [?]

--- Övriga tjänster/drivrutiner i minnet ---

*NewlyCreated* - RESTORE

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\##cujkpgfil01.customer.global#StudentsArea]

\Shell\AutoRun\command - S:\Shell\explore\Command - WScript.exe .\test.vbs

\Shell\open\Command - WScript.exe .\test.vbs

.

Innehållet i mappen 'Schemalagda aktiviteter':

2009-02-14 c:\windows\Tasks\GoogleUpdateTaskMachine.job

- c:\program\Google\Update\GoogleUpdate.exe [2009-02-04 21:45]

2009-02-12 c:\windows\Tasks\OGADaily.job

- c:\windows\system32\OGAVerify.exe [2008-12-31 17:04]

2009-02-14 c:\windows\Tasks\OGALogon.job

- c:\windows\system32\OGAVerify.exe [2008-12-31 17:04]

.

------- Extra genomsökning -------

.

uStart Page = about:blank

IE: E&xportera till Microsoft Excel - c:\program\MICROS~2\Office12\EXCEL.EXE/3000

FF - ProfilePath - c:\documents and settings\krst0701\Application Data\Mozilla\Firefox\Profiles\by6b0hql.defaultFF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=

FF - prefs.js: browser.search.selectedEngine - Google

FF - prefs.js: browser.startup.homepage - hxxp://www.msn.se

FF - plugin: c:\documents and settings\krst0701\Application Data\Mozilla\Firefox\Profiles\by6b0hql.default\extensions\firefox@tvunetworks.com\plugins\npTVUAx.dll

FF - plugin: c:\program files\Real\RealPlayer\Netscape6\nppl3260.dll

FF - plugin: c:\program files\Real\RealPlayer\Netscape6\nprjplug.dll

FF - plugin: c:\program files\Real\RealPlayer\Netscape6\nprpjplug.dll

FF - plugin: c:\program\Google\Google Updater\2.4.1439.6872\npCIDetect13.dll

FF - plugin: c:\program\Google\Update\1.2.141.5\npGoogleOneClick7.dll

FF - plugin: c:\program\Mozilla Firefox\plugins\np32dsw.dll

FF - plugin: c:\program\Mozilla Firefox\plugins\npdeploytk.dll

FF - plugin: c:\program\Mozilla Firefox\plugins\npnul32.dll

FF - plugin: c:\program\Mozilla Firefox\plugins\nppdf32.dll

FF - plugin: c:\program\Mozilla Firefox\plugins\nppl3260.dll

FF - plugin: c:\program\Mozilla Firefox\plugins\nprjplug.dll

FF - plugin: c:\program\Mozilla Firefox\plugins\nprpjplug.dll

---- FIREFOX POLICY ----

c:\program\Mozilla Firefox 3.1 Beta 1\defaults\pref\firefox-l10n.js - pref("browser.fixup.alternate.suffix", ".se");

.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-02-14 20:22:38

Windows 5.1.2600 Service Pack 3 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully

hidden files: 0

**************************************************************************

.

------------------------ Andra processer som körs ------------------------

.

c:\program\Lavasoft\Ad-Aware\aawservice.exe

c:\windows\temp\BN1.tmp

.

**************************************************************************

.

Sluttid: 2009-02-14 20:25:45 - datorn startades om.

ComboFix-quarantined-files.txt 2009-02-14 19:25:43

ComboFix2.txt 2009-02-14 18:14:26

ComboFix3.txt 2009-02-14 17:28:19

ComboFix4.txt 2009-02-14 15:27:22

Före genomsökningen: 10,807,492,608 byte ledigt

Efter genomsökningen: 10,793,078,784 byte ledigt

Current=2 Default=2 Failed=3 LastKnownGood=4 Sets=1,2,3,4

206 --- E O F --- 2009-02-04 21:44:17

[/log]

14 februari, 2009

Hmm det går inget bra att få bort denna otrevlighet du! Har du några externa enheter typ Usbminne eller ipod inkopplat på datorn som kan smitta om den?

Vad är det i denna mapp som normalt inte borde finnas där?

c:\windows\system32\config\systemprofile\Tracing

Har du fortfarande problem med blue screen?

14 februari, 2009

Jag har haft musen inkopplad, alltså en mus i USB-inkopplingen. Om den nu räknas som en extern enhet. Sen är jag väldigt osäker, men jag vet inte om skärmen räknas som en extern enhet eftersom det är en bärbar dator?

I den sökvägen du angav så finns det en fil som heter "WindowsLiveMessenger-uccapi-0.uccapilog" och en mapp som heter WPPMedia, men inget i mappen. Jag vet inte om det var så du menade, jag vet tyvärr inte vad som ska finnas och inte ska finnas i sökvägen du angav?

Inte vad jag vet nu, så har jag inte blue screen längre. Men problemet är att när jag loggar in som vanligt, som man normalt ska logga in (är i felsäkert läge med nätverk nu), så loggar jag in och kommer bara till skrivbordet, med det finns inga ikoner och inget aktivitetsfält och ingen startknapp. Det vill säga att jag kan logga in, men sen händer det inget mer och kan inte heller starta något eller göra något eftersom det finns inget att klicka på? Det som möjligen kommer upp efter en stund är att "dwwin.exe" har stött på problem och måste avslutas.

Ska jag testa logga in som vanligt igen? Har inte gjort det nu efter att vi fixat till med ComboFix och MBAM.

14 februari, 2009

Ok nej musen och skärmen kan inte smitta om datorn så då lämnar vi det! Ok tack då vet jag om den mappen! prova att skanna även denna som inte vill försvinna på virustotal

c:\windows\system32\drivers\restore.sys

Prova sen att logga in normalt o tala om hur det fungerade

14 februari, 2009

Skulle testa och skanna filen, men hittade inget fil med det namnet på den angivna sökvägen.

Loggade sedan in normalt, testade 3-4 ggr men inget hände förutom att man kom till skrivbordet precis som jag beskrivit i tidigare inlägg.

Tänkte fråga om det finns något sätt man kan ändra skrivbordsbakgrunden eller bilden där, har hört att den ibland kan låsa till det och om man tar bort den och ändrar till "inget" som skrivbordsbakgrund. Eftersom jag nu inte kan komma in och ändra på något av dem "vanliga" sätten som att högerklicka på skrivbordet eller gå in på kontrollpanelen går det inte att ändra vad jag vet.

14 februari, 2009

Nej då blir det ju svårt att ändra nåt,vi måste nog få bort det som skapar problemet först!

Kopiera alla rader i rutan (använd markera kod)

Driver::
ntndis
restore
aec
File::
c:\windows\system32\drivers\aec.sys.bak
c:\windows\system32\dllcache\ndis.sys
c:\windows\system32\drivers\ntndis.sys
c:\windows\system32\drivers\restore.sys 
c:\documents and settings\All Users\Application Data\TEMP

och klistra in i Anteckningar.

Spara filen på Skrivbordet med namnet CFScript.

Förbered datorn på samma sätt som tidigare för ComboFix.

Dra CFScript med musen och släpp den ovanpå ComboFix-ikonen på Skrivbordet så startar programmet på ett särskilt sätt.

Klistra in loggen som kommer ut

14 februari, 2009

Här är den:

[log]ComboFix 09-02-12.03 - krst0701 2009-02-14 22:34:18.6 - NTFSx86 NETWORK

Microsoft Windows XP Professional 5.1.2600.3.1252.1.1053.18.1015.805 [GMT 1:00]

Körs från: c:\documents and settings\krst0701\Skrivbord\ComboFix.exe

Använda kommandoväxlar :: c:\documents and settings\krst0701\Skrivbord\CFScript.txt

AV: Panda Security for Desktops *On-access scanning enabled* (Updated)

FILE ::

c:\documents and settings\All Users\Application Data\TEMP

c:\windows\system32\dllcache\ndis.sys

c:\windows\system32\drivers\aec.sys.bak

c:\windows\system32\drivers\ntndis.sys

c:\windows\system32\drivers\restore.sys

.

((((((((((((((((((((((((((((((((((((((( Andra raderingar ))))))))))))))))))))))))))))))))))))))))))))))))

.

c:\windows\system32\drivers\aec.sys.bak

c:\windows\system32\drivers\ntndis.sys

c:\windows\system32\dllcache\ndis.sys . . . . misslyckades radera

.

((((((((((((((((((((((((((((((((((((((( Drivrutiner/Tjänster )))))))))))))))))))))))))))))))))))))))))))))))))

.

-------\Legacy_RESTORE

-------\Service_aec

-------\Service_restore