Preko Exporera, ne IExplorera, mi odlazi sav upoload

Preko Exporera, ne IExplorera, mi odlazi sav upoload, tako da je rad s internetom praktički nemoguć. U prvi tren sam pomislio da je do provajdera, radovi na mreži tih dana. Kad ugasim Exporer (preko Task managera) prekine se i taj upload, ali onda ne mogu normalno raditi. Ovo se događalo 1-3 puta dnevno i trajalo po par sati. Sad sam Exploreru stavio zabranu, pa mogu normalno koristiti internet. Adresa na koje se šalje upload nije stalna, čak sumnjam da su lažne. Brzina uploada mi je 700kb/s tako da je odlazilo poprilično podataka. Hijackthis ne pokazuje da ima nekih problema. Razlika između ovog Explorer.exe i na drugoj particiji je da Ovaj manji za oko 20kb, s tim da nije ista instalacija XP-a. Pada mi na pamet copy-paste "rješenje", pa što bude, mada sumnjam da bi Explorer moga biti samo posrednik. Kompjuter je umrežen preko rutera s kojim idem na internet.

Potpis

loxy

Stiklirajte sledece objekte i kliknite “Fix checked”
O2 - BHO: Viewpoint Toolbar BHO - {A7327C09-B521-4EDB-8509-7D2660C9EC98} - C:\Program Files\Viewpoint\Viewpoint Toolbar\3.9.0\ViewBarBHO.dll
O4 - HKLM\..\Run: [WinsysMon] C:\WINDOWS\system32\Socks.exe
Posle toga restartujte kompjuter i napravite novi log.

Ako mozete fajlove
C:\WINDOWS\system32\Socks.exe
da zapakujete u ".rar"/".zip" sa password-om "virus", upload-ujete na Rapidshare i posaljete mi link preko PP.

Ako moze log RootRepeal-a
1. Skinite sa http://rootrepeal.googlepages.com/RootRepeal.rar
2. Odradite sve kao na slici prateci postupke po broju

Dashkes, napravio sam sve što ste tržili. Možete li mi pojasniti repopt od RootRepeal ili neki link za to. Jasno mi je da traži rootkit. "hijackthis 2.log" je novi log poslije restarta

Potpis

loxy

Jeste li kliknuli “Fix checked” posle cekiranja stavki?
Stiklirajte sledece objekte i kliknite “Fix checked”
O2 - BHO: Viewpoint Toolbar BHO - {A7327C09-B521-4EDB-8509-7D2660C9EC98} - C:\Program Files\Viewpoint\Viewpoint Toolbar\3.9.0\ViewBarBHO.dll
O4 - HKLM\..\Run: [WinsysMon] C:\WINDOWS\system32\Socks.exe

Mozete li da proverite fajl C:\WINDOWS\System32\Drivers\a6zvcdj3.SYS na http://www.virustotal.com/?
Kopirajte ga na Desktop (Tools > Wipe, Copy and Delete > C:\WINDOWS\System32\Drivers\a6zvcdj3.SYS) i proverite.

Ja sam pogriješio evo novi "hijackthis3.log". Ali "C:\WINDOWS\System32\Drivers\a6zvcdj3.SYS)" ne vidim, iako stoji u :" RootRepeal report". Naštiman mi je explorer da vidi skivene i zaštičene fajlove. Skenirat ću još jednom.

Potpis

loxy

Sada poslije restarta nema :
C:\WINDOWS\System32\Drivers\a6zvcdj3.SYS)
u; RootRepeal report III 07-22-09 (19-52-03).txt

Potpis

loxy

Zaboravio sam napisati Explorer još uvijek ima želju da se prikači na internet

Potpis

loxy

Da li imate instaliran Alcohol?
Skinite Process Explorer i recite mi koliko se tamo explorer.exe-a nalazi i u kom su folderu.

P.S. Posle restartovanja/ukljucivanja racunara napravite novi log RootRepeal-a i kopirajte drajver sa nasumicnim nazivom koji se tamo nalazi iznad C:\WINDOWS\system32\drivers\rootrepeal.sys (Tools > Wipe, Copy and Delete > C:\WINDOWS\System32\Drivers\nasumican_naziv.SYS).

Alcohol nemam,ali mogu instalirati.
C:\WINDOWS\Explorer.EXE
Samo jedan explorer.exe se nalazi u Process Explorer-u. Ako mislite na fizičku adresu onda u :C:\WINDOWS\Explorer.EXE.
U Process Explorer-u je samostalan a ispod njga se granaju : RunDll32.exe, nod32, firefox itd.
Poslije restarta ću nastaviti.

Ako pogledam u novi log RootRepeal-a imam pvo:

Name: acmc4jrf.SYS
Image Path: C:\WINDOWS\System32\Drivers\acmc4jrf.SYS
Address: 0xF78A4000 Size: 303104 File Visible: No Signed: -
Status: -

Name: rootrepeal.sys
Image Path: C:\WINDOWS\system32\drivers\rootrepeal.sys
Address: 0xB48E0000 Size: 49152 File Visible: No Signed: -
Status: -

Nema ga, ne vidi se : "acmc4jrf.SYS" na ovaj način:(Tools > Wipe, Copy and Delete > C:\WINDOWS\System32\Drivers\nasumican_naziv.SYS).
Što sada?

Potpis

loxy

Prekopirajte naziv u polje (Copy > Paste).
Ili:
Kada u reportu vidite koji je naziv, idite na tab pod nazivom Drivers i kliknite na Scan. Onda nadjite istoimeni fajl i kliknite na njega pa Copy File...

Kad sve to napravim i na kraju klikem copy>save dobijem poruku "Coud not find on the disk". Probat ću ponovo restart i sve ostalo.

Potpis

loxy

Poslije restarta i skeniranja i dr. dobio sam da je to : "auivwwkk.SYS", ali i za njega poruka : "Coud not find on the disk". Uočio sam da u koloni "File Visible" za njega stoji No.

Potpis

loxy

Hm. Mora da je drajver od Daemon Tools-a onda. Moze li log gmer-a - http://www.elitesecurity.org/p2324013 ?

Imam instaliran Daemon Tools. Probat ću s gmer pa ću se javiti.

Potpis

loxy

Dva puta sam pokrenuo gmer i oba puta se u toku rada kompjuter restartirao. Pokrenuo sam ga i treći put i kopirao do zadnjeg zapisa prije restarta. Restartirao se Kad je došao do "C:\Program Files\Autodesk...."

Potpis

loxy

Preuzmite program Dr.Web CureIt!.

• Posle preuzimanja restartujte racunar u Safe Mode-u (dok se pali racunar pritiskajte F8 pa kada se pojavi meni odaberite Safe Mode).
• Kada se ucita Safe Mode pokrenite Dr.Web CureIt!.
• Kad se upali odaberite Start. On ce automatski poceti da skenira racunar. Pustiti da skenira (to je Express Scan).
• Kada zavrsi sa skeniranjem odaberite kompletno skeniranje - Complete scan i sa desne strane pritisnite dugme Start Scanning (izgleda kao Play dugme).
Moram da vas upozorim da kompletno skeniranje moze da potraje nekoliko sati!

Pokazite log (zapakujte u ".rar" arhivu i upload-ujte) CureIt!-a koji se nalazi u C:\Documents and Settings\USERNAME\DoctorWeb\

Ako to ne pomogne, onda:

1) Skinite “AVPTool” i instalirajte.

2) Iskljucite internet.
3) Iskljucite “System Restore”.

4) Ocistite Temp folder.

5) Pokrenite Windows u “Safe Mode”-u.

6) Pokrenite “AVPTool”, skenirajte i ocistite kompjuter.

A ako ni to ne pomogne, onda cemo preduzeti neke "strozije" mere.

Poslije dva dana provedena u safe modu evo rezultata. Razdužilo se i zato što nisam naštimao postavkeu DR Webu pa je kompjuter cijelu noć čekao da kliknem na postavljeno pitanje. Dva puta je zablokirao, pa je bilo i Jovo nanovo. Opečen s tim išao sam disk po disk. To što fali nekih diskova, je jer su virtualni ili playeri ili su bili čisti. Pasvord je onaj prijašnji.

Potpis

loxy

kristi1 mi je preporučio da isprobam Combofix null
Rezultat je da izgleda OK. Prije -a Explorer je još samo "htio" nešto dowlaodati (zaboravio sam napisati u prethodnom postu), a sada neće ni to. Combofix ja skenirao je 10-15 minuta. Skinuo sam blokadu i zasad explorer miruje po pitanju internwta.Zahvaljujem na pomoći.

Potpis

loxy

Izvini na cekanju, ali nesto me internet zeza vec nekoliko dana. Raspakuj ovu skriptu na desktop, a zatim je levim klikom misa prevuci na ikonicu Combofixa. Pre toga iskljuci AV. Zatim zakaci log koji dobijes.

kristi1, a c:\windows\WSYS049.SYS? Meni deluje sumnjivo.