Peerfrag.FX worm,AutoRun.IRCBot.DZ worm,AutoRun.BK worm-kako ukloniti sa kompjutera?

Pozdrav svima , i ako neko moze da mi pomogne u vezi sa uklanjanem virusa sa kompjutera, posto nemam pojma kako se to radi .Naime,izvrsio sam skeniranje sa antivirusom Nod32 i pronasao mi je sledece:

c:\Dokument and Settings\Administrator\Local Settings\Temp\082.exe-Win32/AutoRun.IRCBot.DZ worm

c:\Dokument and Settings\Administrator\Local Settings\Temp\736.exe-Win32/AutoRun.IRCBot.DZ worm

c:\RESYSLER\S-1-5-21-5257635944-2556215134-345340628-9602\MsMxEng.exe-a variant of Win32/Peerfrag.FX worm

c:\windows\system\killVBS.Vvbs-VBS/AutoRun.BK worm

Kada palim racunar, kada prikljucujem USB flash memory,ili u toku rada nekog programa, stalno mi na desktop iskacu prozori sa upozorenjem da imam virus....
Da napomenem koristim windows xp, sp2, nod32 anitvirus.
Hvala unapred !
Miki.

Skinite program HijackThis.
Kada ga preuzmete, preimenujte fajl u bilo sta, npr. “destruct0.exe”. Pokrenite ga i kliknite “Do a system scan and save a logfile”. Taj log iskopirajte ovde.

Takodje mozete pokusati i da skenirate racunar Dr.Web CureIt!-om.

• Posle preuzimanja restartujte racunar u Safe Mode-u (dok se pali racunar pritiskajte F8 pa kada se pojavi meni odaberite Safe Mode).
• Kada se ucita Safe Mode pokrenite Dr.Web CureIt!.
• Kad se upali odaberite Start. On ce automatski poceti da skenira racunar. Pustiti da skenira (to je Express Scan).
• Kada zavrsi sa skeniranjem odaberite kompletno skeniranje - Complete scan i sa desne strane pritisnite dugme Start Scanning (izgleda kao Play dugme).
Moram da vas upozorim da kompletno skeniranje moze da potraje nekoliko sati!

Pokazite log (zapakujte u ".rar" arhivu i upload-ujte) CureIt!-a koji se nalazi u C:\Documents and Settings\USERNAME\DoctorWeb\

..uradio sam kako ste rekli-dakle, skinuo sam HIjack This preimenovao u "destruct0.exe", pokrenuo i sada prilazem iskopiran logfile:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:59:45, on 17.1.2010
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\VMSnap3.EXE
C:\WINDOWS\Domino.EXE
C:\Program Files\Eset\nod32kui.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Program Files\Nokia\Nokia PC Suite 7\PCSuite.exe
C:\Program Files\Ovislink\Common\TurboG-UI.exe
C:\Program Files\Mustek 1200 UB Plus\Driver\WATCH.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
C:\Program Files\PC Connectivity Solution\Transports\NclUSBSrv.exe
C:\Program Files\PC Connectivity Solution\Transports\NclRSSrv.exe
C:\Program Files\PC Connectivity Solution\Transports\NclMSBTSrv.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\Administrator\Desktop\“destruct0.exe.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.yahoo.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://us.rd.yahoo.com/customize/ie/defaults/su/msgr9/*http://www.yahoo.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://us.rd.yahoo.com/customize/ie/defaults/sb/msgr9/*http://www.yahoo.com/ext/search/search.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://us.rd.yahoo.com/customize/ie/defaults/sp/msgr9/*http://www.yahoo.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://us.rd.yahoo.com/customize/ie/defaults/su/msgr9/*http://www.yahoo.com
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn1\yt.dll (file missing)
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\wscript.exe C:\WINDOWS\system32\killVBS.vbs
O2 - BHO: &Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn1\yt.dll (file missing)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: UrlHelper Class - {74322BF9-DF26-493f-B0DA-6D2FC5E6429E} - C:\Program Files\BearShare Applications\BearShare MediaBar\BearShareIEHelper.dll (file missing)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Program Files\Google\Google Toolbar\GoogleToolbar_32.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.4.4525.1752\swg.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O2 - BHO: SingleInstance Class - {FDAD4DA1-61A2-4FD8-9C17-86F7AC245081} - C:\Program Files\Yahoo!\Companion\Installs\cpn1\YTSingleInstance.dll (file missing)
O3 - Toolbar: BearShare MediaBar - {D3DEE18F-DB64-4BEB-9FF1-E1F0A5033E4A} - C:\Program Files\BearShare Applications\BearShare MediaBar\BearShareMediaBar.dll (file missing)
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn1\yt.dll (file missing)
O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Program Files\Google\Google Toolbar\GoogleToolbar_32.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [VMSnap3] C:\WINDOWS\VMSnap3.EXE
O4 - HKLM\..\Run: [Domino] C:\WINDOWS\Domino.EXE
O4 - HKLM\..\Run: [BigDog303] C:\WINDOWS\VM303_STI.EXE VIMICRO USB PC Camera (ZC0301PLH)
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] "C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe"
O4 - HKCU\..\Run: [PC Suite Tray] "C:\Program Files\Nokia\Nokia PC Suite 7\PCSuite.exe" -onlytray
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: AirLive Turbo-G Wireless Utility.lnk = C:\Program Files\Ovislink\Common\TurboG-UI.exe
O4 - Global Startup: Watch.lnk = C:\Program Files\Mustek 1200 UB Plus\Driver\WATCH.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Google Sidewiki... - res://C:\Program Files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_60D6097707281E79.dll/cmsidewiki.html
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O16 - DPF: CabBuilder - http://kiw.imgag.com/imgag/kiw.../download/InstallerControl.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{3DB0FDE9-371B-4A07-9E29-9DB9F5D46DBB}: NameServer = 217.169.208.1,217.169.208.2
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: FAH@E:+FAH.exe - Unknown owner - E:\FAH.exe (file missing)
O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe

--
End of file - 7684 bytes

...upravo sam preuzeo sa neta Dr.Web CuerIt.
Krenucu u skenirannje racunara u Safe Modu, mada će to da potraje kako ste rekli, no kada bude sve odrađeno, poslacu log....

Stiklirajte sledece objekte i kliknite “Fix checked”
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\wscript.exe C:\WINDOWS\system32\killVBS.vbs
O2 - BHO: &Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn1\yt.dll (file missing)
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: UrlHelper Class - {74322BF9-DF26-493f-B0DA-6D2FC5E6429E} - C:\Program Files\BearShare Applications\BearShare MediaBar\BearShareIEHelper.dll (file missing)
O2 - BHO: SingleInstance Class - {FDAD4DA1-61A2-4FD8-9C17-86F7AC245081} - C:\Program Files\Yahoo!\Companion\Installs\cpn1\YTSingleInstance.dll (file missing)
O3 - Toolbar: BearShare MediaBar - {D3DEE18F-DB64-4BEB-9FF1-E1F0A5033E4A} - C:\Program Files\BearShare Applications\BearShare MediaBar\BearShareMediaBar.dll (file missing)
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn1\yt.dll (file missing)
O16 - DPF: CabBuilder - http://kiw.imgag.com/imgag/kiw.../download/InstallerControl.cab
O23 - Service: FAH@E:+FAH.exe - Unknown owner - E:\FAH.exe (file missing)
Posle toga restartujte racunar.

Ako mozete fajlove
C:\WINDOWS\system32\killVBS.vbs
C:\WINDOWS\Domino.EXE
da zapakujete u ".rar"/".zip" sa password-om "virus", upload-ujete na Rapidshare i posaljete mi link preko PP.

Štiklirao sam i odradio kako ste rekli, ali …..file C:\WINDOWS\system32\killVBS.vbs, ne mogu da zapakujem, jer kada to probam da ucinim WinRar izbacuje prozor sa upozorenjem WinRar:Diagnostic messages
killVBS.rar:Cannot open C:\Windows\system32\killVBS.Vvbs
Access is denied

Drugi file sam zapakovao, ali bih molio da malo pojasnite kako da uploadujem na rapidshare , posto ga nisam do sada koristio.

file C:\WINDOWS\system32\killVBS.vbs, ne mogu da zapakujem, jer kada to probam da ucinim WinRar izbacuje prozor sa upozorenjem WinRar:Diagnostic messages
killVBS.rar:Cannot open C:\Windows\system32\killVBS.Vvbs
Access is denied
I ne znam šta dalje..?

...sada sam odradio(nadam se dobro) upload ovog drugog upakovanog virusa Domino kako ste rekli, pa stoga prilažem link:
http://rapidshare.com/files/337329373/Domino.rar.html
MD5: 3B41C299991AEECFF43BFFE36CE14C1B
i ne znam šta dalje..?

Na sve to bih dodao Malwarebytes',mogao bi da ga skines,update-ujes i uradis Full scan sa njim...a sto se tice samog virusa,normalno da ce ti Nod stalno izbacivati upozorenje kad ubacis flash,jer je u pitanju AutoRun virus tj worm...kad ocistis sve pomocu Dr.Web-a i Malwarebytes'-a obavezno formatiraj taj flash,inace ces opet imati problema...takodje,skini Panda USB Vaccine,instaliraj ga i vakcinisi kompjuter i taj sveze formatirani flash...

---

Tacno , sve ove viruse sam "dobio" preko USB flash memory..Ovako, ja sam preko dr web uradio full scan u safe modu, nasao mi je te wormove,ali nisam ih pobrisao...dakle, ako sam shvatio , vi predlazete da uradim u safemodu ponovo full scan sa dr web, i da pobrisem viruse koje pronadje, pa potom da uradim full scan sa update-ovanim Malwarebytes, u safe modu , i da viruse koje pronadje takodje pobrisem?...DA li moram da iskljucim internet dok ne obavim taj posao u Safe Modu, i da li sistem restore mora da bude bude iskljucen?Plasim se da slucajno tokom tog proseca ne pobrisem uspust neki sistemski fajl....ZAto sam ovako detaljno morao da obrazlozim pitanje.
Hvala unapred

Virusi po definiciji inficiraju druge fajlove, jer nemaju svoje telo; crvi ne inficiraju druge fajlove, tj. imaju svoje sopstveno telo; trojanci se ne razmnozavaju, pa samim tim nista ni ne inficiraju, tj. imaju svoje telo. Znaci, nad virusima se radi dezinfekcija, nad crvima i trojancima brisanje. Jedini problem je ako je crv/trojanac imao isto ime kao sistemski fajl, pa ga je pregazio prilikom ubacivanja na sistem. Tako da, ako obrises bilo sta sto ima worm ili trojan u nazivu, neces pogresiti, tj. neces obrisati nista bitno, jedini problem je ako su oni vec unistili svog bitnog imenjaka, u tom slucaju bi svakako morao da restauriras taj fajl (crv/trojanac svakako nije adekvatna zamena). Ali za te stvari ionako postoji SFC komanda iz Command Prompta, tako da i ako je nesto "otislo", preko nje ces je lako vratiti...

@valjan je to malo strucnije objasnio... :))) Da ti pojasnim...slobodno brisi sve sto nadju Dr.Web ili Malwarebutes',retko se desava da pokupe sistemski fajl,u tvom slucaju nemas ni najmanju potrebu za strahom,to je ipak worm...posle ciscenja obavezno instaliraj Panda USB Vaccine i vakcinisi kompjuter i sve flash-eve koje imas (naravno,pre toga ih formatiraj)...to ce te zastititi od tih AutoRun stetocina...

---

Hvala Obojici na lepim obajasnjenjima, downlodovao sam Malwarebytes i Panda USB Vaccine, i kada sve to odradim javim se svakako, ako nista drugo da vam se bar zahvalim za sve :)

Jos nesto sam zaboravio da ti kazem,preventive radi...koristi samo besplatan ili licencirani AV koji ces redovno dopunjavati...takodje,Malwarebytes' je free,njega koristi svakih recimo 7 dana cisto da vidis da li se usunjalo nesto sto AV nije video...za Panda USB Vaccine sam vec rekao dosta toga...to je to... :)))

---

Jedini slucaj da mi je malwarebytes obrisao neki "sistemski" fajl je kod piratskog Windows media center edition gdje on obrise fajl antiwpa.dll koji se nalazi u windows/system 32 pa onda posle restarta dobijemo zakljucan windows, mada je lako rijesiti tu situaciju. Eto ako nekoga zanima, nadam se da nije protiv pravila.

opet ja sa jednim "malim problemom", ako se tako mozee nazvati-naime, USB Flash stick ne mogu da formatiram:(((..desnim klikom na Flash , pa na propretis , pa na format, i nece da se formatira:(.Imam tri Flashke( takeMS,kingston i transced) koji su "zarazeni", pa ne znam sta dalje?Isao sam na opciju My computer, pa na Menage, pa na disk menagement, i opet cvrc......Uzasni su ovi wormovi, pa ako neko zna kako da ih ubijem -HELP...

..Da,ja koristim NOD32 original, nadam se da ce me i dalje sluziti "detektovanjem", kao i do sada...A na meni je da malo budem pazljiviji sta "ubacujem" na moj komp....
Nisam stigao ranije da odradim full scan u SM, ali malopre sam odradio sa Dr Web-om i pobrisao ono sto mi je nasao...ZA sad je ok stanje na kompu(nisam nisma zabrljao)..:)
Sad cu da roknem skeniranje sa MAlwarebytes,....Hvala ti mnogo, na informacijama, pa kada sve odradim sto ste mi ti i tvoje kolege ljubazno preporucili, javim vam se..

Pokusaj desni klik na flash,pa format,kada ti izbaci prozorcic stikliraj quick format i to je to,trebalo bi da se formatira...moras flash-eve da ocistis jer su oni veliki izvor zaraze,ako ne i najveci u danasnje vreme...i uvek kad ubacis neki novi flash predji ga Nod-om za svaki slucaj (desni klik na flash,advance options,clean)...

---

..e, ljudi, javljam se sa dobrim vestima....KAo prvo samo da Magmi86 i Aleksandru kazem da je panda usb vaccine super odradila svoj posao,tako da je vakcinacija kompa i formatiranje fleske posle vakcinacije proslo bez problema(onako kako je rekao Aleksandar), a isto tako sam pobrisao svo smece koje se nakupilo na mojem kompicu .... Dashkes-u, Aleksandru-velikom MAleticu, Valjanu , Magmi86 najmanje sto mogu da kazem sada veliko hvala drugari, sto ste bili susretljivi u pruzanju pomoci,pravi ste majstori svoga zanata Eto toliko, da ne davim vise, ljudi svako dobro vam zelim i budite jos bolji….Ziveli!:))))
p.s i naravno sve ovo sto sam naucio od vas, sacuvacu u glavi, za nedaj boze, i pazicu malo vise sta "ubadam" na komp:)