NOD32 Problem

22 oktober, 2009

Kör Gmer igen och högerklicka på a4875aac (sista raden) och välj Disable.

Starta om datorn och kör Gmer igen. Om filen a4875aac syns till så välj Delete (eller något liknande) i högerklicksmenyn.

Starta om igen om och kör Gmer. Klistra in den nya loggen.

Kör Win32kDiag och klistra in dess logg.

Kör ComboFix igen och klistra in den loggen också.

22 oktober, 2009

[log]GMER 1.0.15.15163 - http://www.gmer.net'>http://www.gmer.net

Rootkit quick scan 2009-10-22 16:34:55

Windows 5.1.2600 Service Pack 2

Running: ifnhd18h.exe; Driver: C:\DOCUME~1\Adnan\LOKALA~1\Temp\pxtdrpob.sys

---- System - GMER 1.0.15 ----

SSDT spxx.sys ZwEnumerateKey [0xF9930CA2]

SSDT spxx.sys ZwEnumerateValueKey [0xF9931030]

---- Devices - GMER 1.0.15 ----

Device \FileSystem\Ntfs \Ntfs 81B711F8

AttachedDevice \FileSystem\Ntfs \Ntfs eamon.sys (Amon monitor/ESET)

Device \FileSystem\Fastfat \Fat 817A61F8

AttachedDevice \FileSystem\Fastfat \Fat eamon.sys (Amon monitor/ESET)

AttachedDevice \Driver\Tcpip \Device\Tcp epfwtdir.sys

---- EOF - GMER 1.0.15 ----[/log]

[log]Running from: C:\Documents and Settings\Adnan\Skrivbord\Win32kDiag.exe

Log file at : C:\Documents and Settings\Adnan\Skrivbord\Win32kDiag.txt

WARNING: Could not get backup privileges!

Searching 'C:\WINDOWS'...

Finished![/log]

[log]ComboFix 09-10-20.03 - Adnan 2009-10-22 16:44.2.1 - NTFSx86

Microsoft Windows XP Professional 5.1.2600.2.1252.46.1053.18.255.92 [GMT 2:00]

Körs från: c:\documents and settings\Adnan\Skrivbord\ComboFix.exe

AV: ESET NOD32 Antivirus 3.0 *On-access scanning enabled* (Updated) {E5E70D32-0101-4F12-8FB0-D96ACA4F34C0}

.

((((((((((((((((((((((((((((((((((((((( Andra raderingar ))))))))))))))))))))))))))))))))))))))))))))))))

.

c:\program\dutmml

c:\program\dutmml\oenrsysguard.exe

Infekterad kopia av c:\windows\system32\drivers\AGP440.sys hittades och desinficerades.

Återställd kopia från - c:\windows\SoftwareDistribution\Download\274285f55676ec83f9874949246f58fc\agp440.sys

.

((((((((((((((((((((((((((((((((((((((( Drivrutiner/Tjänster )))))))))))))))))))))))))))))))))))))))))))))))))

.

-------\Legacy_npf

-------\Service_NPF

(((((((((((((((((((((((( Filer Skapade från 2009-09-22 till 2009-10-22 ))))))))))))))))))))))))))))))

.

2009-10-21 21:29 . 2009-09-10 12:54 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys

2009-10-21 21:29 . 2009-09-10 12:53 19160 ----a-w- c:\windows\system32\drivers\mbam.sys

2009-10-21 21:00 . 2009-10-21 21:00 -------- d-----r- c:\documents and settings\NetworkService\Favoriter

2009-10-21 20:36 . 2009-10-21 20:36 45740 ----a-w- C:\jfmyjbqy.exe

2009-10-21 20:36 . 2009-10-21 20:36 93184 ----a-w- C:\fospdj.exe

2009-10-21 20:36 . 2009-10-21 20:36 197494 ----a-w- C:\wtcqrqjr.exe

2009-10-21 20:35 . 2009-10-22 14:28 80896 ----a-w- c:\windows\system32\drivers\a4875aac.sys

2009-10-21 20:35 . 2009-10-21 20:35 93184 ----a-w- C:\buxuhto.exe

2009-10-21 20:18 . 2009-10-21 20:18 -------- d-----w- C:\Levande

2009-10-21 19:05 . 2009-10-21 19:05 -------- d-----w- c:\documents and settings\Adnan\Application Data\Malwarebytes

2009-10-21 19:05 . 2009-10-21 19:05 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes

2009-10-21 19:04 . 2009-10-21 21:29 -------- d-----w- c:\program\Malwarebytes' Anti-Malware

2009-10-20 18:18 . 2009-10-21 20:19 -------- d-----w- c:\windows\$regcmp$

2009-10-20 07:46 . 2009-10-21 20:35 197494 ----a-w- C:\dsiqvib.exe

2009-10-20 07:45 . 2009-10-20 07:45 30208 ----a-w- C:\wggam.exe

2009-09-24 16:42 . 2009-09-24 16:42 -------- d-----w- c:\windows\system32\wbem\Repository

2009-09-23 13:41 . 2009-10-16 15:57 -------- d-----w- c:\documents and settings\Adnan\Application Data\Apple Computer

2009-09-23 13:40 . 2009-05-18 12:17 26600 ----a-w- c:\windows\system32\drivers\GEARAspiWDM.sys

2009-09-23 13:40 . 2008-04-17 11:12 107368 ----a-w- c:\windows\system32\GEARAspi.dll

2009-09-23 13:39 . 2009-09-23 13:39 -------- d-----w- c:\program\iPod

2009-09-23 13:39 . 2009-09-23 13:40 -------- d-----w- c:\program\iTunes

2009-09-23 13:39 . 2009-09-23 13:40 -------- d-----w- c:\documents and settings\All Users\Application Data\{755AC846-7372-4AC8-8550-C52491DAA8BD}

2009-09-23 13:38 . 2009-09-23 13:38 -------- d-----w- c:\program\Bonjour

2009-09-23 13:32 . 2009-09-23 13:39 -------- d-----w- c:\program\Delade filer\Apple

.

(((((((((((((((((((((((((((((((((((((((( Find3M Rapport )))))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-10-22 11:04 . 2008-09-11 22:23 -------- d-----w- c:\documents and settings\Adnan\Application Data\uTorrent

2009-10-21 20:19 . 2009-02-21 15:47 -------- d-----w- c:\program\TuneUp Utilities 2009

2009-10-20 19:43 . 2008-09-12 19:05 -------- d-----w- c:\program\Java

2009-09-23 13:39 . 2008-09-11 07:52 -------- d-----w- c:\documents and settings\All Users\Application Data\Apple Computer

2009-09-23 13:38 . 2008-09-11 07:52 -------- d-----w- c:\program\QuickTime Alternative

2009-09-12 07:16 . 2001-09-28 14:00 92668 ----a-w- c:\windows\system32\perfc01D.dat

2009-09-12 07:16 . 2001-09-28 14:00 479142 ----a-w- c:\windows\system32\perfh01D.dat

2009-09-01 19:55 . 2009-08-29 10:42 -------- d-----w- c:\documents and settings\Adnan\Application Data\AVI ReComp

2009-08-29 10:41 . 2009-08-29 09:21 -------- d-----w- c:\program\AVI ReComp

2009-08-29 10:41 . 2009-08-29 10:41 -------- d-----w- c:\program\Gabest

2009-08-29 10:41 . 2009-08-29 10:41 -------- d-----w- c:\program\Xvid

2009-08-29 10:41 . 2009-08-29 10:41 -------- d-----w- c:\program\AviSynth 2.5

2009-08-28 11:38 . 2009-08-28 11:38 152576 ----a-w- c:\documents and settings\Adnan\Application Data\Sun\Java\jre1.6.0_15\lzma.dll

2009-08-14 18:26 . 2008-10-18 18:28 34 ----a-w- c:\documents and settings\Adnan\jagex_runescape_preferences.dat

2009-08-07 20:36 . 2008-10-11 21:12 75656 ----a-w- c:\windows\system32\GDIPFONTCACHEV1.DAT

2009-07-30 15:31 . 2009-05-26 14:04 59 ----a-w- c:\windows\wpd99.drv

2009-07-25 03:23 . 2008-12-15 15:05 411368 ----a-w- c:\windows\system32\deploytk.dll

2009-06-14 08:05 . 2009-06-14 08:05 102 ----a-w- c:\program\DivFix.ini

2003-05-05 11:10 . 2009-06-11 14:41 190976 ----a-w- c:\program\DivFix.exe

.

((((((((((((((((((((((((((((( SnapShot@2009-10-21_21.03.20 )))))))))))))))))))))))))))))))))))))))))

.

+ 2008-09-10 11:34 . 2008-04-13 18:36 42368 c:\windows\system32\drivers\AGP440.sys

+ 2008-10-16 12:09 . 2008-10-16 12:09 43544 c:\windows\SoftwareDistribution\SelfUpdate\Default\wups2.dll

+ 2008-10-16 12:08 . 2008-10-16 12:08 34328 c:\windows\SoftwareDistribution\SelfUpdate\Default\wups.dll

+ 2008-10-16 12:09 . 2008-10-16 12:09 51224 c:\windows\SoftwareDistribution\SelfUpdate\Default\wuauclt.exe

+ 2008-10-16 12:09 . 2008-10-16 12:09 92696 c:\windows\SoftwareDistribution\SelfUpdate\Default\cdm.dll

+ 2008-10-16 12:06 . 2008-10-16 12:06 208744 c:\windows\SoftwareDistribution\SelfUpdate\Registered\muweb.dll

+ 2008-10-16 12:06 . 2008-10-16 12:06 268648 c:\windows\SoftwareDistribution\SelfUpdate\Registered\mucltui.dll

+ 2008-10-16 12:13 . 2008-10-16 12:13 202776 c:\windows\SoftwareDistribution\SelfUpdate\Default\wuweb.dll

+ 2008-10-16 12:12 . 2008-10-16 12:12 323608 c:\windows\SoftwareDistribution\SelfUpdate\Default\wucltui.dll

+ 2008-10-16 12:12 . 2008-10-16 12:12 561688 c:\windows\SoftwareDistribution\SelfUpdate\Default\wuapi.dll

+ 2008-10-16 12:13 . 2008-10-16 12:13 1809944 c:\windows\SoftwareDistribution\SelfUpdate\Default\wuaueng.dll

.

(((((((((((((((((((((((((((((((((( Startpunkter i registret )))))))))))))))))))))))))))))))))))))))))))))))

.

*Not* Tomma poster & legitima standardposter visas inte.

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\program\Delade filer\Nero\Lib\NMIndexStoreSvr.exe" [2008-12-12 1840424]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"egui"="c:\program\ESET\ESET NOD32 Antivirus\egui.exe" [2007-12-21 1443072]

"NeroFilterCheck"="c:\program\Delade filer\Nero\Lib\NeroCheck.exe" [2009-10-21 30208]

"NBKeyScan"="c:\program\Nero\Nero8\Nero BackItUp\NBKeyScan.exe" [2008-12-02 2221352]

"QuickTime Task"="c:\program\QuickTime Alternative\qttask.exe" [2009-09-04 417792]

"iTunesHelper"="c:\program\iTunes\iTunesHelper.exe" [2009-09-21 305440]

"Malwarebytes Anti-Malware (reboot)"="c:\program\Malwarebytes' Anti-Malware\mbam.exe" [2009-09-10 1312080]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-03 15360]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]

"RegClean Expert Scheduler"="c:\program\Registry Clean Expert\RCHelper.exe" /startup

"CTFMON.EXE"=c:\windows\system32\ctfmon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]

"Adobe Reader Speed Launcher"="c:\program\Adobe\Reader 9.0\Reader\Reader_sl.exe"

"CTCheck"=c:\program\Creative\Creative ZEN\ZEN Media Explorer\CTCheck.exe

"PD0620 STISvc"=RunDLL32.exe P0620Pin.dll,RunDLL32EP 513

"SunJavaUpdateSched"="c:\program\Java\jre6\bin\jusched.exe"

"WinampAgent"=c:\program\Winamp\winampa.exe

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager\appcertdlls]

appsecdll REG_SZ c:\windows\system32\mscert.dll

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 1

"DisableNotifications"= 1 (0x1)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\Program\\Utorrent\\uTorrent.exe"=

"c:\\Program\\Messenger\\msmsgs.exe"=

"c:\\Program\\SightSpeed\\SightSpeed.exe"=

"j:\\PROGRAMI\\DCPlusPlus-0.707\\DCPlusPlus.exe"=

"c:\\Program\\Windows Live\\Messenger\\msnmsgr.exe"=

"c:\\Program\\Windows Live\\Messenger\\livecall.exe"=

"c:\\Program\\ActiveGPS\\ActiveGPS.exe"=

"c:\\Program\\Bonjour\\mDNSResponder.exe"=

"c:\\Program\\iTunes\\iTunes.exe"=

R1 epfwtdir;epfwtdir;c:\windows\system32\drivers\epfwtdir.sys [2007-12-21 33800]

R2 ekrn;Eset Service;c:\program\ESET\ESET NOD32 Antivirus\ekrn.exe [2007-12-21 468224]

S4 a4875aac;a4875aac;c:\windows\system32\drivers\a4875aac.sys [2009-10-21 80896]

.

Innehållet i mappen 'Schemalagda aktiviteter':

2009-10-14 c:\windows\Tasks\AppleSoftwareUpdate.job

- c:\program\Apple Software Update\SoftwareUpdate.exe [2008-07-30 10:34]

.

------- Extra genomsökning -------

.

uStart Page = hxxp://www.google.se/

uInternet Connection Wizard,ShellNext = iexplore

IE: E&xportera till Microsoft Excel - c:\program\MICROS~2\OFFICE11\EXCEL.EXE/3000

DPF: Garmin Communicator Plug-In - hxxps://my.garmin.com/static/m/cab/2.6.4/GarminAxControl.CAB

DPF: {1E54D648-B804-468d-BC78-4AFFED8E262F} - hxxp://www.nvidia.com/content/DriverDownload/srl/3.0.0.4/srl_bin/sysreqlab_nvd.cab

.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-10-22 16:58

Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

c:\windows\system32\cdm.dll.wusetup.361079.bak 92504 bytes executable

c:\windows\system32\wuauclt.exe.wusetup.364734.bak 53080 bytes executable

scan completed successfully

hidden files: 2

**************************************************************************

.

--------------------- LÅSTA REGISTERNYCKLAR ---------------------

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\�•€|ÿÿÿÿ"•€|þ»Ów*]

"D140110900063D11C8EF10054038389C"="C?\\WINDOWS\\system32\\FM20ENU.DLL"

.

--------------------- DLLer som "laddats" under processer som körs ---------------------

- - - - - - - > 'winlogon.exe'(680)

c:\windows\system32\MrvGINA.dll

- - - - - - - > 'Explorer.exe'(776)

c:\windows\system32\WPDShServiceObj.dll

c:\windows\system32\PortableDeviceTypes.dll

c:\windows\system32\PortableDeviceApi.dll

c:\windows\system32\msi.dll

.

------------------------ Andra processer som körs ------------------------

.

c:\program\Delade filer\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

c:\program\Bonjour\mDNSResponder.exe

c:\windows\system32\CTsvcCDA.exe

c:\program\Java\jre6\bin\jqs.exe

c:\program\Delade filer\Microsoft Shared\VS7DEBUG\MDM.EXE

c:\program\Nero\Nero8\Nero BackItUp\NBService.exe

c:\windows\system32\IoctlSvc.exe

c:\combofix\CF4612.exe

c:\windows\system32\devldr32.exe

c:\program\Delade filer\Nero\Lib\NMIndexingService.exe

c:\windows\system32\wscntfy.exe

c:\program\iPod\bin\iPodService.exe

c:\combofix\PEV.cfxxe

.

**************************************************************************

.

Sluttid: 2009-10-22 17:06 - datorn startades om.

ComboFix-quarantined-files.txt 2009-10-22 15:05

ComboFix2.txt 2009-10-21 21:11

Före genomsökningen: 36 026 159 104 byte ledigt

Efter genomsökningen: 35 999 080 448 byte ledigt

WindowsXP-KB310994-SP2-Pro-BootDisk-SVE.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect

- - End Of File - - AFD747F41F21CC095ADFAAB803D0397E[/log]

22 oktober, 2009

Så där ja, nu börjar det arta sig.

Har du Daemon Tools eller Alcohol 12% installerad, eller har haft?

Surfa till http://www.virustotal.com (fungerar bäst med Internet Explorer) klistra in ett av följande filnamn i rutan, tryck på Skicka Fil och vänta tills resultatet är klart (Närvarande status blir genomförd). Klistra in resultatet från de olika antivirusprogrammen (inte Övrig information) här. Upprepa med nästa filnamn.

C:\fospdj.exe

C:\wtcqrqjr.exe

c:\windows\system32\drivers\a4875aac.sys

C:\buxuhto.exe

C:\dsiqvib.exe

C:\wggam.exe

c:\windows\wpd99.drv

c:\windows\system32\mscert.dll

Vad finns i mappen c:\windows\$regcmp$?

Uppdatera MBAM och sök igenom med det, klistra in loggen om något hittas.

22 oktober, 2009

De har jag haft förrut men inte längre. Har anv. de aldrig.

De filerna har jag omanalyserat. vet inte om det jag gjorde rätt

[log][LOG]Fil fospdj.exe mottagen 2009.10.22 17:13:56 (UTC)

Närvarande status: Laddar ... köad väntar söker genomförd EJ FUNNEN STOPPAD

Resultat: 23/40 (57.5%)

Laddar server information...

Din fil är köad i position: 4.

Uppskattat starttid är mellan 70 och 100 sekunder.

Stäng inte ner detta fönster förens sökningen är genomförd.

Scannern som arbetade med din fil har stoppat, vi kommer att vänta ett par sekunder för att försöka återställa ditt resultat.

Om du väntar i mer än 5 minuter måste du skicka in din fil igen.

Din fil blir genomsökt av VirusTotal för tillfället,

resultat kommer att visas när de är klara.

Compact Skriv ut resultat

Din fil har upphört eller existerar inte.

Tjänsten är stoppad för tillfället, din fil väntar på att bli genomsökt (position: ) för en obestämd tid.

Du kan vänta på ett svar (automatisk uppdatering) eller ange din email i formuläret nedan och klicka "begär" så kommer systemet att skicka dig ett email när sökningen är genomförd.

Email:

Antivirus Version Senaste Uppdatering Resultat

a-squared 4.5.0.41 2009.10.22 Riskware.Win32.DelfInject!IK

AhnLab-V3 5.0.0.2 2009.10.22 -

AntiVir 7.9.1.44 2009.10.22 Worm/Palevo.kab.3

Antiy-AVL 2.0.3.7 2009.10.22 Worm/Win32.Palevo

Authentium 5.1.2.4 2009.10.22 -

Avast 4.8.1351.0 2009.10.21 Win32:Rootkit-gen

AVG 8.5.0.423 2009.10.22 BackDoor.Generic12.AHE

BitDefender 7.2 2009.10.22 Trojan.Generic.2586540

CAT-QuickHeal 10.00 2009.10.22 I-Worm.Palevo.kab

ClamAV 0.94.1 2009.10.22 -

Comodo 2692 2009.10.22 -

DrWeb 5.0.0.12182 2009.10.22 Trojan.Inject.6400

eSafe 7.0.17.0 2009.10.22 Win32.VirToolDelfInj

eTrust-Vet 35.1.7079 2009.10.22 -

F-Prot 4.5.1.85 2009.10.22 -

F-Secure 9.0.15370.0 2009.10.22 Trojan.Generic.2586540

Fortinet 3.120.0.0 2009.10.22 -

GData 19 2009.10.22 Trojan.Generic.2586540

Ikarus T3.1.1.72.0 2009.10.22 VirTool.Win32.DelfInject

Jiangmin 11.0.800 2009.10.22 -

K7AntiVirus 7.10.877 2009.10.22 -

Kaspersky 7.0.0.125 2009.10.22 P2P-Worm.Win32.Palevo.kab

McAfee 5779 2009.10.22 BackDoor-EGK

McAfee+Artemis 5779 2009.10.22 BackDoor-EGK

McAfee-GW-Edition 6.8.5 2009.10.22 Heuristic.BehavesLike.Win32.Dropper.B

Microsoft 1.5202 2009.10.22 VirTool:Win32/DelfInject.gen!AX

NOD32 4533 2009.10.22 a variant of Win32/Injector.AEB

Norman 6.03.02 2009.10.22 -

nProtect 2009.1.8.0 2009.10.22 -

Panda 10.0.2.2 2009.10.21 Trj/CI.A

PCTools 4.4.2.0 2009.10.19 -

Rising 21.52.34.00 2009.10.22 -

Sophos 4.46.0 2009.10.22 Mal/Generic-A

Sunbelt 3.2.1858.2 2009.10.22 Trojan.Win32.Generic!BT

Symantec 1.4.4.12 2009.10.22 Trojan Horse

TheHacker 6.5.0.2.051 2009.10.22 -

TrendMicro 8.950.0.1094 2009.10.22 -

VBA32 3.12.10.11 2009.10.22 -

ViRobot 2009.10.22.2001 2009.10.22 Worm.Win32.P2P-Palevo.61440

VirusBuster 4.6.5.0 2009.10.22 - [/log]

Fil wtcqrqjr.exe mottagen 2009.10.22 17:17:27 (UTC)

Närvarande status: Laddar ... köad väntar söker genomförd EJ FUNNEN STOPPAD

Resultat: 20/41 (48.79%)

Laddar server information...

Din fil är köad i position: 3.

Uppskattat starttid är mellan 61 och 87 sekunder.

Stäng inte ner detta fönster förens sökningen är genomförd.

Scannern som arbetade med din fil har stoppat, vi kommer att vänta ett par sekunder för att försöka återställa ditt resultat.

Om du väntar i mer än 5 minuter måste du skicka in din fil igen.

Din fil blir genomsökt av VirusTotal för tillfället,

resultat kommer att visas när de är klara.

Compact Skriv ut resultat

Din fil har upphört eller existerar inte.

Tjänsten är stoppad för tillfället, din fil väntar på att bli genomsökt (position: ) för en obestämd tid.

Du kan vänta på ett svar (automatisk uppdatering) eller ange din email i formuläret nedan och klicka "begär" så kommer systemet att skicka dig ett email när sökningen är genomförd.

Email:

Antivirus Version Senaste Uppdatering Resultat

a-squared 4.5.0.41 2009.10.22 -

AhnLab-V3 5.0.0.2 2009.10.22 -

AntiVir 7.9.1.44 2009.10.22 TR/Dropper.Gen

Antiy-AVL 2.0.3.7 2009.10.22 Backdoor/Win32.NewRest

Authentium 5.1.2.4 2009.10.22 W32/NewRest.A2.gen!Eldorado

Avast 4.8.1351.0 2009.10.21 Win32:Neredr

AVG 8.5.0.423 2009.10.22 BackDoor.Generic12.AHQ

BitDefender 7.2 2009.10.22 Gen:Trojan.Heur.Rustock.1

CAT-QuickHeal 10.00 2009.10.22 -

ClamAV 0.94.1 2009.10.22 -

Comodo 2692 2009.10.22 -

DrWeb 5.0.0.12182 2009.10.22 -

eSafe 7.0.17.0 2009.10.22 -

eTrust-Vet 35.1.7079 2009.10.22 -

F-Prot 4.5.1.85 2009.10.22 W32/NewRest.A2.gen!Eldorado

F-Secure 9.0.15370.0 2009.10.22 Gen:Trojan.Heur.Rustock.1

Fortinet 3.120.0.0 2009.10.22 W32/NewRest.BC!tr.bdr

GData 19 2009.10.22 Gen:Trojan.Heur.Rustock.1

Ikarus T3.1.1.72.0 2009.10.22 Trojan-Dropper.Win32.Rustock

Jiangmin 11.0.800 2009.10.22 -

K7AntiVirus 7.10.877 2009.10.22 -

Kaspersky 7.0.0.125 2009.10.22 Backdoor.Win32.NewRest.bc

McAfee 5779 2009.10.22 -

McAfee+Artemis 5779 2009.10.22 Artemis!F767757DC4ED

McAfee-GW-Edition 6.8.5 2009.10.22 Heuristic.BehavesLike.Win32.Dropper.H

Microsoft 1.5202 2009.10.22 TrojanDropper:Win32/Rustock.J

NOD32 4533 2009.10.22 a variant of Win32/Rustock.NKU

Norman 6.03.02 2009.10.22 -

nProtect 2009.1.8.0 2009.10.22 -

Panda 10.0.2.2 2009.10.21 Trj/CI.A

PCTools 4.4.2.0 2009.10.19 -

Prevx 3.0 2009.10.22 Medium Risk Malware

Rising 21.52.34.00 2009.10.22 -

Sophos 4.46.0 2009.10.22 Mal/Generic-A

Sunbelt 3.2.1858.2 2009.10.22 Trojan.Win32.Generic!BT

Symantec 1.4.4.12 2009.10.22 -

TheHacker 6.5.0.2.051 2009.10.22 -

TrendMicro 8.950.0.1094 2009.10.22 -

VBA32 3.12.10.11 2009.10.22 -

ViRobot 2009.10.22.2001 2009.10.22 -

VirusBuster 4.6.5.0 2009.10.22 - [/LOG]

[log]Fil a4875aac.sys mottagen 2009.10.22 17:23:09 (UTC)

Närvarande status: Laddar ... köad väntar söker genomförd EJ FUNNEN STOPPAD

Resultat: 13/40 (32.5%)

Laddar server information...

Din fil är köad i position: 1.

Uppskattat starttid är mellan 43 och 62 sekunder.

Stäng inte ner detta fönster förens sökningen är genomförd.

Scannern som arbetade med din fil har stoppat, vi kommer att vänta ett par sekunder för att försöka återställa ditt resultat.

Om du väntar i mer än 5 minuter måste du skicka in din fil igen.

Din fil blir genomsökt av VirusTotal för tillfället,

resultat kommer att visas när de är klara.

Compact Skriv ut resultat

Din fil har upphört eller existerar inte.

Tjänsten är stoppad för tillfället, din fil väntar på att bli genomsökt (position: ) för en obestämd tid.

Du kan vänta på ett svar (automatisk uppdatering) eller ange din email i formuläret nedan och klicka "begär" så kommer systemet att skicka dig ett email när sökningen är genomförd.

Email:

Antivirus Version Senaste Uppdatering Resultat

a-squared 4.5.0.41 2009.10.22 Backdoor.WinNT.Rustock!IK

AhnLab-V3 5.0.0.2 2009.10.22 -

AntiVir 7.9.1.44 2009.10.22 -

Antiy-AVL 2.0.3.7 2009.10.22 -

Authentium 5.1.2.4 2009.10.22 -

Avast 4.8.1351.0 2009.10.21 Win32:RustNT

AVG 8.5.0.423 2009.10.22 -

BitDefender 7.2 2009.10.22 -

CAT-QuickHeal 10.00 2009.10.22 -

ClamAV 0.94.1 2009.10.22 -

Comodo 2692 2009.10.22 -

DrWeb 5.0.0.12182 2009.10.22 -

eSafe 7.0.17.0 2009.10.22 -

eTrust-Vet 35.1.7079 2009.10.22 -

F-Prot 4.5.1.85 2009.10.22 W32/Rustock.A.gen!Eldorado

F-Secure 9.0.15370.0 2009.10.22 -

Fortinet 3.120.0.0 2009.10.22 -

GData 19 2009.10.22 Win32:RustNT

Ikarus T3.1.1.72.0 2009.10.22 Backdoor.WinNT.Rustock

Jiangmin 11.0.800 2009.10.22 -

K7AntiVirus 7.10.877 2009.10.22 -

Kaspersky 7.0.0.125 2009.10.22 Backdoor.Win32.NewRest.qv

McAfee 5779 2009.10.22 -

McAfee+Artemis 5779 2009.10.22 Artemis!B5E0A7673E35

McAfee-GW-Edition 6.8.5 2009.10.22 Heuristic.BehavesLike.Win32.Dropper.B

Microsoft 1.5202 2009.10.22 Backdoor:WinNT/Rustock.AN

NOD32 4533 2009.10.22 a variant of Win32/Rustock.NKU

Norman 6.03.02 2009.10.22 -

nProtect 2009.1.8.0 2009.10.22 -

Panda 10.0.2.2 2009.10.21 Trj/CI.A

PCTools 4.4.2.0 2009.10.19 -

Rising 21.52.34.00 2009.10.22 -

Sophos 4.46.0 2009.10.22 Mal/TDSSPack-Q

Sunbelt 3.2.1858.2 2009.10.22 -

Symantec 1.4.4.12 2009.10.22 -

TheHacker 6.5.0.2.051 2009.10.22 -

TrendMicro 8.950.0.1094 2009.10.22 BKDR_RUSTOCK.SMB

VBA32 3.12.10.11 2009.10.22 -

ViRobot 2009.10.22.2001 2009.10.22 -

VirusBuster 4.6.5.0 2009.10.22 - [/log]

[log]Fil buxuhto.exe mottagen 2009.10.22 17:23:38 (UTC)

Närvarande status: Laddar ... köad väntar söker genomförd EJ FUNNEN STOPPAD

Resultat: 25/41 (60.98%)

Laddar server information...

Din fil är köad i position: 1.

Uppskattat starttid är mellan 43 och 62 sekunder.

Stäng inte ner detta fönster förens sökningen är genomförd.

Scannern som arbetade med din fil har stoppat, vi kommer att vänta ett par sekunder för att försöka återställa ditt resultat.

Om du väntar i mer än 5 minuter måste du skicka in din fil igen.

Din fil blir genomsökt av VirusTotal för tillfället,

resultat kommer att visas när de är klara.

Compact Skriv ut resultat

Din fil har upphört eller existerar inte.

Tjänsten är stoppad för tillfället, din fil väntar på att bli genomsökt (position: ) för en obestämd tid.

Du kan vänta på ett svar (automatisk uppdatering) eller ange din email i formuläret nedan och klicka "begär" så kommer systemet att skicka dig ett email när sökningen är genomförd.

Email:

Antivirus Version Senaste Uppdatering Resultat

a-squared 4.5.0.41 2009.10.22 Riskware.Win32.DelfInject!IK

AhnLab-V3 5.0.0.2 2009.10.22 -

AntiVir 7.9.1.44 2009.10.22 Worm/Palevo.kab.3

Antiy-AVL 2.0.3.7 2009.10.22 Worm/Win32.Palevo

Authentium 5.1.2.4 2009.10.22 -

Avast 4.8.1351.0 2009.10.21 Win32:Rootkit-gen

AVG 8.5.0.423 2009.10.22 BackDoor.Generic12.AHE

BitDefender 7.2 2009.10.22 Trojan.Generic.2586540

CAT-QuickHeal 10.00 2009.10.22 I-Worm.Palevo.kab

ClamAV 0.94.1 2009.10.22 -

Comodo 2692 2009.10.22 -

DrWeb 5.0.0.12182 2009.10.22 Trojan.Inject.6400

eSafe 7.0.17.0 2009.10.22 Win32.VirToolDelfInj

eTrust-Vet 35.1.7079 2009.10.22 -

F-Prot 4.5.1.85 2009.10.22 -

F-Secure 9.0.15370.0 2009.10.22 Trojan.Generic.2586540

Fortinet 3.120.0.0 2009.10.22 -

GData 19 2009.10.22 Trojan.Generic.2586540

Ikarus T3.1.1.72.0 2009.10.22 VirTool.Win32.DelfInject

Jiangmin 11.0.800 2009.10.22 -

K7AntiVirus 7.10.877 2009.10.22 -

Kaspersky 7.0.0.125 2009.10.22 P2P-Worm.Win32.Palevo.kab

McAfee 5779 2009.10.22 BackDoor-EGK

McAfee+Artemis 5779 2009.10.22 BackDoor-EGK

McAfee-GW-Edition 6.8.5 2009.10.22 Heuristic.BehavesLike.Win32.Dropper.B

Microsoft 1.5202 2009.10.22 VirTool:Win32/DelfInject.gen!AX

NOD32 4533 2009.10.22 a variant of Win32/Injector.AEB

Norman 6.03.02 2009.10.22 -

nProtect 2009.1.8.0 2009.10.22 -

Panda 10.0.2.2 2009.10.21 Trj/CI.A

PCTools 4.4.2.0 2009.10.19 Trojan.Buzus

Prevx 3.0 2009.10.22 High Risk Cloaked Malware

Rising 21.52.34.00 2009.10.22 -

Sophos 4.46.0 2009.10.22 Mal/Generic-A

Sunbelt 3.2.1858.2 2009.10.22 Trojan.Win32.Generic!BT

Symantec 1.4.4.12 2009.10.22 Trojan Horse

TheHacker 6.5.0.2.051 2009.10.22 -

TrendMicro 8.950.0.1094 2009.10.22 -

VBA32 3.12.10.11 2009.10.22 -

ViRobot 2009.10.22.2001 2009.10.22 Worm.Win32.P2P-Palevo.61440

VirusBuster 4.6.5.0 2009.10.22 - [/log]

[log]Fil dsiqvib.exe mottagen 2009.10.22 17:24:26 (UTC)

Närvarande status: Laddar ... köad väntar söker genomförd EJ FUNNEN STOPPAD

Resultat: 19/40 (47.5%)

Laddar server information...

Din fil är köad i position: ___.

Uppskattat starttid är mellan ___ och ___ .

Stäng inte ner detta fönster förens sökningen är genomförd.

Scannern som arbetade med din fil har stoppat, vi kommer att vänta ett par sekunder för att försöka återställa ditt resultat.

Om du väntar i mer än 5 minuter måste du skicka in din fil igen.

Din fil blir genomsökt av VirusTotal för tillfället,

resultat kommer att visas när de är klara.

Compact Skriv ut resultat

Din fil har upphört eller existerar inte.

Tjänsten är stoppad för tillfället, din fil väntar på att bli genomsökt (position: ) för en obestämd tid.

Du kan vänta på ett svar (automatisk uppdatering) eller ange din email i formuläret nedan och klicka "begär" så kommer systemet att skicka dig ett email när sökningen är genomförd.

Email:

Antivirus Version Senaste Uppdatering Resultat

a-squared 4.5.0.41 2009.10.22 -

AhnLab-V3 5.0.0.2 2009.10.22 -

AntiVir 7.9.1.44 2009.10.22 TR/Dropper.Gen

Antiy-AVL 2.0.3.7 2009.10.22 Backdoor/Win32.NewRest

Authentium 5.1.2.4 2009.10.22 W32/NewRest.A2.gen!Eldorado

Avast 4.8.1351.0 2009.10.21 Win32:Neredr

AVG 8.5.0.423 2009.10.22 BackDoor.Generic12.AHQ

BitDefender 7.2 2009.10.22 Gen:Trojan.Heur.Rustock.1

CAT-QuickHeal 10.00 2009.10.22 -

ClamAV 0.94.1 2009.10.22 -

Comodo 2692 2009.10.22 -

DrWeb 5.0.0.12182 2009.10.22 -

eSafe 7.0.17.0 2009.10.22 -

eTrust-Vet 35.1.7079 2009.10.22 -

F-Prot 4.5.1.85 2009.10.22 W32/NewRest.A2.gen!Eldorado

F-Secure 9.0.15370.0 2009.10.22 Gen:Trojan.Heur.Rustock.1

Fortinet 3.120.0.0 2009.10.22 W32/NewRest.BC!tr.bdr

GData 19 2009.10.22 Gen:Trojan.Heur.Rustock.1

Ikarus T3.1.1.72.0 2009.10.22 Trojan-Dropper.Win32.Rustock

Jiangmin 11.0.800 2009.10.22 -

K7AntiVirus 7.10.877 2009.10.22 -

Kaspersky 7.0.0.125 2009.10.22 Backdoor.Win32.NewRest.bc

McAfee 5779 2009.10.22 -

McAfee+Artemis 5779 2009.10.22 Artemis!F767757DC4ED

McAfee-GW-Edition 6.8.5 2009.10.22 Heuristic.BehavesLike.Win32.Dropper.H

Microsoft 1.5202 2009.10.22 TrojanDropper:Win32/Rustock.J

NOD32 4533 2009.10.22 a variant of Win32/Rustock.NKU

Norman 6.03.02 2009.10.22 -

nProtect 2009.1.8.0 2009.10.22 -

Panda 10.0.2.2 2009.10.21 Trj/CI.A

PCTools 4.4.2.0 2009.10.19 -

Rising 21.52.34.00 2009.10.22 -

Sophos 4.46.0 2009.10.22 Mal/Generic-A

Sunbelt 3.2.1858.2 2009.10.22 Trojan.Win32.Generic!BT

Symantec 1.4.4.12 2009.10.22 -

TheHacker 6.5.0.2.051 2009.10.22 -

TrendMicro 8.950.0.1094 2009.10.22 -

VBA32 3.12.10.11 2009.10.22 -

ViRobot 2009.10.22.2001 2009.10.22 -

VirusBuster 4.6.5.0 2009.10.22 - [/log]

[log]Fil wggam.exe mottagen 2009.10.22 17:37:11 (UTC)

Närvarande status: Laddar ... köad väntar söker genomförd EJ FUNNEN STOPPAD

Resultat: 1/41 (2.44%)

Laddar server information...

Din fil är köad i position: 1.

Uppskattat starttid är mellan 43 och 62 sekunder.

Stäng inte ner detta fönster förens sökningen är genomförd.

Scannern som arbetade med din fil har stoppat, vi kommer att vänta ett par sekunder för att försöka återställa ditt resultat.

Om du väntar i mer än 5 minuter måste du skicka in din fil igen.

Din fil blir genomsökt av VirusTotal för tillfället,

resultat kommer att visas när de är klara.

Compact Skriv ut resultat

Din fil har upphört eller existerar inte.

Tjänsten är stoppad för tillfället, din fil väntar på att bli genomsökt (position: ) för en obestämd tid.

Du kan vänta på ett svar (automatisk uppdatering) eller ange din email i formuläret nedan och klicka "begär" så kommer systemet att skicka dig ett email när sökningen är genomförd.

Email:

Antivirus Version Senaste Uppdatering Resultat

a-squared 4.5.0.41 2009.10.22 -

AhnLab-V3 5.0.0.2 2009.10.22 -

AntiVir 7.9.1.44 2009.10.22 -

Antiy-AVL 2.0.3.7 2009.10.22 -

Authentium 5.1.2.4 2009.10.22 -

Avast 4.8.1351.0 2009.10.21 -

AVG 8.5.0.423 2009.10.22 -

BitDefender 7.2 2009.10.22 -

CAT-QuickHeal 10.00 2009.10.22 -

ClamAV 0.94.1 2009.10.22 -

Comodo 2692 2009.10.22 -

DrWeb 5.0.0.12182 2009.10.22 -

eSafe 7.0.17.0 2009.10.22 -

eTrust-Vet 35.1.7079 2009.10.22 -

F-Prot 4.5.1.85 2009.10.22 -

F-Secure 9.0.15370.0 2009.10.22 -

Fortinet 3.120.0.0 2009.10.22 -

GData 19 2009.10.22 -

Ikarus T3.1.1.72.0 2009.10.22 -

Jiangmin 11.0.800 2009.10.22 -

K7AntiVirus 7.10.877 2009.10.22 -

Kaspersky 7.0.0.125 2009.10.22 -

McAfee 5779 2009.10.22 -

McAfee+Artemis 5779 2009.10.22 -

McAfee-GW-Edition 6.8.5 2009.10.22 Heuristic.BehavesLike.Win32.PasswordStealer.H

Microsoft 1.5202 2009.10.22 -

NOD32 4533 2009.10.22 -

Norman 6.03.02 2009.10.22 -

nProtect 2009.1.8.0 2009.10.22 -

Panda 10.0.2.2 2009.10.21 -

PCTools 4.4.2.0 2009.10.19 -

Prevx 3.0 2009.10.22 -

Rising 21.52.34.00 2009.10.22 -

Sophos 4.46.0 2009.10.22 -

Sunbelt 3.2.1858.2 2009.10.22 -

Symantec 1.4.4.12 2009.10.22 -

TheHacker 6.5.0.2.051 2009.10.22 -

TrendMicro 8.950.0.1094 2009.10.22 -

VBA32 3.12.10.11 2009.10.22 -

ViRobot 2009.10.22.2001 2009.10.22 -

VirusBuster 4.6.5.0 2009.10.22 - [/log]

[log]Fil wpd99.drv mottagen 2009.10.22 17:27:22 (UTC)

Närvarande status: Laddar ... köad väntar söker genomförd EJ FUNNEN STOPPAD

Resultat: 0/41 (0%)

Laddar server information...

Din fil är köad i position: 4.

Uppskattat starttid är mellan 70 och 100 sekunder.

Stäng inte ner detta fönster förens sökningen är genomförd.

Scannern som arbetade med din fil har stoppat, vi kommer att vänta ett par sekunder för att försöka återställa ditt resultat.

Om du väntar i mer än 5 minuter måste du skicka in din fil igen.

Din fil blir genomsökt av VirusTotal för tillfället,

resultat kommer att visas när de är klara.

Compact Skriv ut resultat

Din fil har upphört eller existerar inte.

Tjänsten är stoppad för tillfället, din fil väntar på att bli genomsökt (position: ) för en obestämd tid.

Du kan vänta på ett svar (automatisk uppdatering) eller ange din email i formuläret nedan och klicka "begär" så kommer systemet att skicka dig ett email när sökningen är genomförd.

Email:

Antivirus Version Senaste Uppdatering Resultat

a-squared 4.5.0.41 2009.10.22 -

AhnLab-V3 5.0.0.2 2009.10.22 -

AntiVir 7.9.1.44 2009.10.22 -

Antiy-AVL 2.0.3.7 2009.10.22 -

Authentium 5.1.2.4 2009.10.22 -

Avast 4.8.1351.0 2009.10.21 -

AVG 8.5.0.423 2009.10.22 -

BitDefender 7.2 2009.10.22 -

CAT-QuickHeal 10.00 2009.10.22 -

ClamAV 0.94.1 2009.10.22 -

Comodo 2692 2009.10.22 -

DrWeb 5.0.0.12182 2009.10.22 -

eSafe 7.0.17.0 2009.10.22 -

eTrust-Vet 35.1.7079 2009.10.22 -

F-Prot 4.5.1.85 2009.10.22 -

F-Secure 9.0.15370.0 2009.10.22 -

Fortinet 3.120.0.0 2009.10.22 -

GData 19 2009.10.22 -

Ikarus T3.1.1.72.0 2009.10.22 -

Jiangmin 11.0.800 2009.10.22 -

K7AntiVirus 7.10.877 2009.10.22 -

Kaspersky 7.0.0.125 2009.10.22 -

McAfee 5779 2009.10.22 -

McAfee+Artemis 5779 2009.10.22 -

McAfee-GW-Edition 6.8.5 2009.10.22 -

Microsoft 1.5202 2009.10.22 -

NOD32 4533 2009.10.22 -

Norman 6.03.02 2009.10.22 -

nProtect 2009.1.8.0 2009.10.22 -

Panda 10.0.2.2 2009.10.21 -

PCTools 4.4.2.0 2009.10.19 -

Prevx 3.0 2009.10.22 -

Rising 21.52.34.00 2009.10.22 -

Sophos 4.46.0 2009.10.22 -

Sunbelt 3.2.1858.2 2009.10.22 -

Symantec 1.4.4.12 2009.10.22 -

TheHacker 6.5.0.2.051 2009.10.22 -

TrendMicro 8.950.0.1094 2009.10.22 -

VBA32 3.12.10.11 2009.10.22 -

ViRobot 2009.10.22.2001 2009.10.22 -

VirusBuster 4.6.5.0 2009.10.22 [/log]

Den sista gick inte.c:\windows\system32\mscert.dll

[log]Malwarebytes' Anti-Malware 1.41

Databasversion: 3007

Windows 5.1.2600 Service Pack 2

2009-10-22 19:50:25

mbam-log-2009-10-22 (19-50-17).txt

Skanningstyp: Snabb skanning

Antal skannade objekt: 87974

Förfluten tid: 4 minute(s), 46 second(s)

Infekterade minnesprocesser: 0

Infekterade minnesmoduler: 0

Infekterade registernycklar: 3

Infekterade registervärden: 0

Infekterade registerdataposter: 0

Infekterade mappar: 0

Infekterade filer: 1

Infekterade minnesprocesser:

(Inga illasinnade poster hittades)

Infekterade minnesmoduler:

(Inga illasinnade poster hittades)

Infekterade registernycklar:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\a4875aac (Rootkit.Rustock) -> No action taken.

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\a4875aac (Rootkit.Rustock) -> No action taken.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\a4875aac (Rootkit.Rustock) -> No action taken.

Infekterade registervärden:

(Inga illasinnade poster hittades)

Infekterade registerdataposter:

(Inga illasinnade poster hittades)

Infekterade mappar:

(Inga illasinnade poster hittades)

Infekterade filer:

C:\WINDOWS\system32\drivers\a4875aac.sys (Rootkit.Rustock) -> No action taken.[/log]

Mappen c:\windows\$regcmp$? innehåller:

[bild bifogad 2009-10-22 19:54:58 av adde34]

22 oktober, 2009

Nu har jag fått en extra mapp på varje hårddisk.

Mappen heter RECYCLER , den är tom och går att inte ta bort trots att jag tar bort skrivskyddet

[bild bifogad 2009-10-22 20:20:43 av adde34]

22 oktober, 2009

Vad är det som händer. Nu får jag massa konstiga medddelande som poppar upp. Dessutom är det en liten ikon längst ner till höger som jag inte får bort

[bild raderad 2009-10-22 20:50:28 av adde34]

22 oktober, 2009

Nu händer det grejer. Jag får massa konstga meddelande som bara poppar up och en liten ikon längst ner till höger som jag inte får bort

[bild bifogad 2009-10-22 20:52:10 av adde34]

22 oktober, 2009

Här kommer det en till

[bild bifogad 2009-10-22 20:53:53 av adde34]

22 oktober, 2009

Nu står det No action taken överallt i MBAM-loggen. Se till att MBAM får åtgärda det den har hittat och starta sedan om datorn. Klistra sedan in en ny ComboFix-logg så jag har en aktuell sådan innan rensningen med ComboFix som blir nästa steg.

22 oktober, 2009

[log]ComboFix 09-10-20.03 - Adnan 2009-10-22 21:13.3.1 - NTFSx86

Microsoft Windows XP Professional 5.1.2600.2.1252.46.1053.18.255.135 [GMT 2:00]

Körs från: c:\documents and settings\Adnan\Skrivbord\ComboFix.exe

AV: ESET NOD32 Antivirus 3.0 *On-access scanning disabled* (Updated) {E5E70D32-0101-4F12-8FB0-D96ACA4F34C0}

.

(((((((((((((((((((((((( Filer Skapade från 2009-09-22 till 2009-10-22 ))))))))))))))))))))))))))))))

.

2009-10-22 18:29 . 2009-10-22 19:05 -------- d-----w- c:\program\kcvsud