Problem sa trojancima!!!!

Koristim winXP sp OS i Ne mogu nikako da uklonim sa racunara viruse win32:kobcka-m i win32:gupigon-l > Koristim Avast home antivirus program koji je redovno azuriran . POkusao sam da problem resim i skeniranjem pomocu combofix-a ali njegovim aktiviranjem dobijam sledecu poruku:!!ALERT !! Is NOT SAFE to continue!
The contents of the ComboFix package has been compromised.
Note: You may be infeced with a file patching virus (Virut).


Da li neko ima pojma na koji nacin da skinem ove viruse i kojim alatima?

---

Skinite program HijackThis.
Kada ga preuzmete, preimenujte fajl u bilo sta, npr. “destruct0.exe”. Pokrenite ga i kliknite “Do a system scan and save a logfile”. Taj log iskopirajte ovde.

Sto se tice virusa - preuzmite program Dr.Web CureIt!.

• Posle preuzimanja restartujte racunar u Safe Mode-u (dok se pali racunar pritiskajte F8 pa kada se pojavi meni odaberite Safe Mode).
• Kada se ucita Safe Mode pokrenite Dr.Web CureIt!.
• Kad se upali odaberite Start. On ce automatski poceti da skenira racunar. Pustiti da skenira (to je Express Scan).
• Kada zavrsi sa skeniranjem odaberite kompletno skeniranje - Complete scan i sa desne strane pritisnite dugme Start Scanning (izgleda kao Play dugme).
Moram da vas upozorim da kompletno skeniranje moze da potraje nekoliko sati!

Pokazite log (zapakujte u ".rar" arhivu i upload-ujte) CureIt!-a koji se nalazi u C:\Documents and Settings\USERNAME\DoctorWeb\

Program dr web je koristen(na gore opisan nacin) ali nazalost nije uspeo da ukloni viruse. Logo fie dr web cureIt cu postaviti u sledecoj poruci.




Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:28:05, on 25.8.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\VMSnap3.EXE
C:\PROGRA~1\A4Tech\Keyboard\Ikeymain.exe
C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\Program Files\BitComet\BitComet.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Skype\Plugin Manager\skypePM.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\Nedeljko\Desktop\destruct0.exe.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - C:\Program Files\BitComet\tools\BitCometBHO_1.3.1.15.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~2\Office12\GRA8E1~1.DLL
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [VMSnap3] C:\WINDOWS\VMSnap3.EXE
O4 - HKLM\..\Run: [BigDog303] C:\WINDOWS\VM303_STI.EXE VIMICRO USB PC Camera (ZC0301PLH)
O4 - HKLM\..\Run: [iKeyWorks] C:\PROGRA~1\A4Tech\Keyboard\Ikeymain.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [BitComet] "C:\Program Files\BitComet\BitComet.exe" /tray
O8 - Extra context menu item: &D&ownload &with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddLink.htm
O8 - Extra context menu item: &D&ownload all video with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddVideo.htm
O8 - Extra context menu item: &D&ownload all with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddAllLink.htm
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Send to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: S&end to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: BitComet - {D18A0B52-D63C-4ed0-AFC6-C1E3DC1AF43A} - res://C:\Program Files\BitComet\tools\BitCometBHO_1.3.1.15.dll/206 (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~2\Office12\GR99D3~1.DLL
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Distributed Transaction Coordinator (MSDTC) - Unknown owner - C:\WINDOWS\system32\msdtc.exe (file missing)

--
End of file - 4930 bytes




Nadam se da ces mi pomoci da resim ovaj problem!!! Hvala u napred


<sub>[Ovu poruku je menjao nemanjal dana 25.08.2009. u 22:34 GMT+1]

[Ovu poruku je menjao nemanjal dana 25.08.2009. u 22:41 GMT+1]

[Ovu poruku je menjao nemanjal dana 26.08.2009. u 08:48 GMT+1]

[Ovu poruku je menjao nemanjal dana 26.08.2009. u 08:49 GMT+1]</sub>

---

Logo file dr.Web cureI

---

Iz loga vidim sledece:


HijackThis log je cist. Iskljucite “System Restore”

i onda opet skenirajte racunar sa svezim Dr.Web CureIt!-om u Safe Mode-u.

Avast mi i dalje javlja da imam dva virusa (gore navedena). Inace, odradio sam skeniranje kako si mi i obajsanio, sa prethodno iskljucenim system restore.

---

Ako moze log RootRepeal-a
1. Skinite sa http://rootrepeal.googlepages.com/RootRepeal.rar
2. Odradite sve kao na slici prateci postupke po broju

RootRepaeal report logo file i posle toga odradjen anti malware. Problem je i dalje ostao isti

_{[Ovu poruku je menjao nemanjal dana 26.08.2009. u 21:41 GMT+1]}

---

Da li mozete sada da pokrenete Combofix?

Zanimljivo, prilikom pokretanja sistema jutros, avast nije javljao da imam trojance.

Pokretanjem combofixa dobijam sledecu poruku:

ALERT !! Is NOT SAFE to continue!
The contents of the ComboFix package has been compromised.
Note: You may be infeced with a file patching virus (Virut).

---

Da li si ti uopste ugasio Avast pre pokretanja Combofixa.
Pogledaj u Avastov karantin sta imas.

I da li si siknuo svezu kopiju Combofixa, ili si pokrenuo onaj isti koji ti je i ranije prijavljivao istu poruku?

Skinuta sveza kopija combofix-a!!!!

Avast iskljucen pre pokretanja combofix-a. Qarantin lista obrisana

---

Nakom prijave od strane combofix-a da ne moze da se pokrene zato sto mi je racunar zarazen sa virutom, clickom na izbaceni prozorcic se prekida postupak inicijalizacije combofix-a i isti se automatski obrise sa desktopa!

---

Virut i ne mozes da obrises sa Combofixom, za to je potreban antivirus. Tvoj antivirus je zarazen tako da od njega nema vajde. CureIt je odradio sto je mogao. Jedino resenje je format C instalacija novog antivirusa (moze i avast), pre drajvera i skeniranje komletnog kompa, svih particija.

Mozete li da pokrenete Notepad.exe i da mi ga onda posaljete nakon zatvaranja? Nalazi se u C:\WINDOWS\system32. Hteo bih da vidim taj Virut, a ako se ispostavi da jeste nova modifikacija, "lek" ce biti spreman vec sutra.

Kobcka-m je u stvari Virut.n, i ako je on slican NBP verziji, onda ni format nece puno pomoci ako se ne ocisti MBR kako treba. Koliko vidim, prilican broj antivirusa ume da prepozna i ukloni Virut.n, pa bi mozda najbolja varijanta bila skinuti HDD i skenirati ga na drugom racunaru (uz iskljucen AutoRun i bez klikanja na bilo koji fajl na zarazenom disku). Kao sto sam vec napisao u drugoj temi pre par dana, postoji i film od 45 minuta za uklanjanje Viruta, pa ako imas vremena mozes ga pogledati na http://remove-malware.com/anti...hing-virus-w32virut-w32sality/

E da, pretpostavljam da nije gupigon-l nego hupigon-l, a to je backdoor trojanac, i izgleda da i njega moze da ukloni vecina AV skenera. Baci pogled na http://www.elitesecurity.org/p2363579 pa probaj i nekim od njih da skeniras i ocistis komp (vecina je pravljena tako da uz neka sitna podesavanja na drugom racunaru, mozes da ih iskopiras i pokrenes sa flasha i krenes direktno u skeniranje i uklanjanje).

Spojio sam HDD na drugi PC i izvrsio skeniranje zarazenog diska avast antivirusom. Rezultat toga je uklonjen samo Kobcka M trojanac. Hupigon L i win32:gen su ostali.

---

Sto se tice Hupigon-L trojanca, Sunbelt tvrdi da njihov Vipre moze da ga ukloni, pa mozes da pokusas najpre sa njihovim besplatnim scan alatom (spomenuo sam ga u temi http://www.elitesecurity.org/t...platni-AV-skeneri-repair-alati) koji mozes skinuti sa http://live.sunbeltsoftware.com/ a ako ga on ne ukloni mozes probati i neki od preostalih skenera iz pomenute teme, ako ja u medjuvremenu ne pronadjem cime se pouzdano moze ukloniti.

A win32:gen nemam pojma sta je, uostalom ne zvuci kao klasicni virus vec je pre neki crv ili trojanac, a verovatno ti Avast kaze i gde se nalazi to sto je prepoznao kao malware, pa ga ti lepo obrisi rucno, a ako ti ne dozvoljva brisanje, skini i instaliraj unlocker sa http://ccollomb.free.fr/unlocker/unlocker1.8.7.exe pa ga obrisi uz njegovu pomoc.