Problem z samoczynnym wychodzeniem do puplpitu

[human]

Byl fajny temat gdzie mozna bylo sie poradzic co do jakichs trojanow w systemie umiejszczajac logi z programow tym Hi-jack ale zostal on zamkniety - wobec tego naswietle swoj problem w nowym temacie.

Moj problem polega na tym ze od czasu gdy wszedlem na strone sportowa ([CIACH]),ktora jak sie pozniej okazala zostala zamknieta przez google bo generowala ataki, a dokladniej od czasu gdy moj antywirus/firewall raportowal ze na tej stronie sa jakies syfy to od tego momentu mam problem z samoczynnym wychodzeniem na pulpit. gdy mam wlaczona jakas gre albo program to nagle ni z gruszki ni z pietruszki pojawia mi sie pulpit i gra/program jes zrzucana na pasek. Oczywiscie alt-tabem moge wrocic do niej bo nie zawiesza sie. Mam jednak wrazenie ze cos sie wtedy uaktywania i stad te pulpity - dzieje sie to srednio co kilkanascie minut i o ile w necie nie ma to znaczenia (przestaje byc aktywna tylko wyswietlana strona (w sensie - podswietlana) o tyle w grach to troche upierdliwe.

Najciekawsze jest jednak to ze zadne programy typu ad-aware, spyboot i antywiry nie moga sobie z tym poradzic - dopiero program Combofix po przeskanowaniu usunal paskude ale tylko do czasu restartu kompa - wtedy wszystko wraca "do normy".

Nie wiem na ile to jest grozne ale samo upierdliwe dzialanie tego nie pozwala mi o tym zapomniec. Szukalem roznic w procesach przed i po skanie z Combofixa ale sa te same procesy. Probowalem cos znalezc rowniez cos w startupie ale nic co bym nie chcial to sie nie uruchamia. Nie mam pomyslu jak sie tego pozbyc na stale a reinstalki windowsa nie mam zamiaru robic - no chyba ze w ostatecznosci.

Ponizej zalaczam log ze skanu Combofixem - ja tam nie widze nic podejrzanego ale moze wy sprawniejszym okiem cos znadziecie. Z gory dzieki za pomoc.

ComboFix 09-06-16.05 - DF 2009-06-17 11:41.13 - NTFSx86

Microsoft Windows XP Professional  5.1.2600.3.1250.48.1045.18.3582.2868 [GMT 2:00]

Uruchomiony z: c:\documents and settings\DF\Pulpit\ComboFix.exe

AV: avast! antivirus 4.7.892 [VPS 90616-0] *On-access scanning disabled* (Updated) {7591DB91-41F0-48A3-B128-1A293FD8233D}

 * Utworzono nowy punkt przywracania

.


(((((((((((((((((((((((((((((((((((((((   Usunięto   )))))))))))))))))))))))))))))))))))))))))))))))))

.


c:\windows\system32\ATIODCLI.exe

c:\windows\system32\ATIODE.exe


.

(((((((((((((((((((((((((   Pliki utworzone od 2009-05-17 do 2009-06-17  )))))))))))))))))))))))))))))))

.


2009-06-14 07:05 . 2009-06-14 06:39	15688	----a-w-	c:\windows\system32\lsdelete.exe

2009-06-14 06:38 . 2009-06-14 06:38	627536	----a-w-	c:\documents and settings\All Users.WINDOWS\Dane aplikacji\Lavasoft\Ad-Aware\Update\AAWWSC.exe

2009-06-14 06:38 . 2009-06-14 06:38	518488	----a-w-	c:\documents and settings\All Users.WINDOWS\Dane aplikacji\Lavasoft\Ad-Aware\Update\AAWTray.exe

2009-06-14 06:38 . 2009-06-14 06:38	1005904	----a-w-	c:\documents and settings\All Users.WINDOWS\Dane aplikacji\Lavasoft\Ad-Aware\Update\AAWService.exe

2009-06-14 06:38 . 2009-06-14 06:38	--------	dc-h--w-	c:\documents and settings\All Users.WINDOWS\Dane aplikacji\{7972B2E5-3E09-4E5E-81B7-FE5819D6772F}

2009-06-14 06:38 . 2009-03-12 08:17 2902048	-c--a-w-	c:\documents and settings\All Users.WINDOWS\Dane aplikacji\{7972B2E5-3E09-4E5E-81B7-FE5819D6772F}\Ad-AwareAE.exe

2009-06-14 06:38 . 2009-06-14 06:39	--------	d-----w-	c:\documents and settings\All Users.WINDOWS\Dane aplikacji\Lavasoft

2009-06-09 11:36 . 2009-06-09 11:36	--------	d-----w-	c:\program files\ToniArts

2009-06-09 09:53 . 2004-05-11 07:56 423784	----a-w-	c:\windows\system32\XceedBkp.dll

2009-06-09 09:53 . 2003-11-19 11:59 512688	----a-w-	c:\windows\system32\XceedCry.dll

2009-06-09 09:53 . 2000-07-15 03:00	101888	----a-w-	c:\windows\system32\VB6STKIT.DLL

2009-06-06 09:34 . 2009-06-06 09:34	--------	d-----w-	c:\documents and settings\DF\Dane aplikacji\Lavasoft

2009-06-06 09:34 . 2009-06-14 06:38	--------	d-----w-	c:\program files\Lavasoft

2009-06-05 11:42 . 2009-06-05 11:55	--------	d-----w-	c:\program files\SkanerOnline

2009-06-03 19:23 . 2006-09-25 15:40	85952	----a-w-	c:\windows\system32\drivers\aswmon.sys

2009-06-03 19:23 . 2006-09-25 15:40	87424	----a-w-	c:\windows\system32\drivers\aswmon2.sys

2009-06-03 19:23 . 2006-09-25 15:39	16352	----a-w-	c:\windows\system32\drivers\aswRdr.sys

2009-06-03 19:23 . 2006-09-25 15:39	36176	----a-w-	c:\windows\system32\drivers\aswTdi.sys

2009-06-03 19:23 . 2006-09-25 15:37	24560	----a-w-	c:\windows\system32\drivers\aavmker4.sys

2009-06-03 19:23 . 2006-09-25 15:45	666240	----a-w-	c:\windows\system32\aswBoot.exe

2009-06-03 19:23 . 2006-09-25 15:37	90112	----a-w-	c:\windows\system32\AVASTSS.scr

2009-05-30 17:44 . 2009-06-03 18:57	93	--s-a-w-	c:\windows\system32\612857605.dat

2009-05-29 03:39 . 2009-05-29 03:39	152576	----a-w-	c:\documents and settings\DF\Dane aplikacji\Sun\Java\jre1.6.0_13\lzma.dll

2009-05-22 18:36 . 2009-05-22 18:41	--------	d-----w-	c:\documents and settings\DF\Dane aplikacji\Sports Interactive

2009-05-22 18:36 . 2009-05-22 18:40	--------	d-----w-	c:\documents and settings\All Users.WINDOWS\Dane aplikacji\Sports Interactive

2009-05-22 18:33 . 2009-05-22 18:34	--------	d--h--w-	c:\program files\Zero G Registry

2009-05-22 18:32 . 2009-05-22 18:32	--------	d--h--w-	c:\documents and settings\DF\InstallAnywhere


.

((((((((((((((((((((((((((((((((((((((((   Sekcja Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-06-17 09:07 . 2008-12-29 20:49	--------	d-----w-	c:\documents and settings\DF\Dane aplikacji\Skype

2009-06-09 11:36 . 2008-11-30 00:34	--------	d--h--w-	c:\program files\InstallShield Installation Information

2009-05-29 03:39 . 2008-11-30 16:45	--------	d-----w-	c:\program files\Java

2009-05-28 17:06 . 2008-12-12 20:48	--------	d-----w-	c:\program files\SimBin

2009-05-20 14:01 . 2008-12-29 20:51	--------	d-----w-	c:\documents and settings\DF\Dane aplikacji\skypePM

2009-05-18 08:59 . 2009-05-18 08:59	--------	d-----w-	c:\program files\Xvid

2009-05-07 18:40 . 2009-05-07 18:40	--------	d-----w-	c:\documents and settings\DF\Dane aplikacji\teamspeak2

2009-05-07 18:40 . 2009-05-07 18:40	--------	d-----w-	c:\program files\Teamspeak2_RC2

2009-05-07 15:34 . 2002-09-20 17:04 347648	----a-w-	c:\windows\system32\localspl.dll

2009-04-29 04:35 . 2008-11-30 15:59	81920	------w-	c:\windows\system32\ieencode.dll

2009-04-29 04:35 . 2004-11-11 18:53	669184	----a-w-	c:\windows\system32\wininet.dll

2009-04-19 19:51 . 2002-09-20 16:41 1847424	----a-w-	c:\windows\system32\win32k.sys

2009-04-17 03:27 . 2001-10-26 16:15	82182	----a-w-	c:\windows\system32\perfc015.dat

2009-04-17 03:27 . 2001-10-26 16:15 484986	----a-w-	c:\windows\system32\perfh015.dat

2009-04-15 14:54 . 2002-09-20 17:04	585216	----a-w-	c:\windows\system32\rpcrt4.dll

2009-04-14 16:57 . 2009-04-14 16:57	0	----a-w-	c:\windows\nsreg.dat

.


------- Sigcheck -------


[7] 2008-06-20 11:59 361600	AD978A1B783B5719720CFF204B666C8E	c:\windows\$hf_mig$\KB951748\SP3QFE\tcpip.sys

[-] 2008-12-01 00:19	359040	7B11118B078B88F87183FE69EDA43137	c:\windows\$NtServicePackUninstall$\tcpip.sys

[-] 2008-04-13 19:20	361344	22A389083780C053B52519AF28201A96	c:\windows\$NtUninstallKB951748$\tcpip.sys

[-] 2009-01-15 10:07	361344	EAEC6EA32BDABD7622371C10B8D68A17	c:\windows\ServicePackFiles\i386\tcpip.sys

[-] 2009-01-15 10:07	361600	05F3441246BFEDC2A5B12CF827012F7F	c:\windows\system32\dllcache\tcpip.sys

[-] 2009-01-15 10:07	361600	05F3441246BFEDC2A5B12CF827012F7F	c:\windows\system32\drivers\tcpip.sys

.

(((((((((((((((((((((((((((((   SnapShot_2009-06-14_09.07.10   )))))))))))))))))))))))))))))))))))))))))

.

+ 2009-06-17 07:21 . 2009-06-17 07:21	16384			  c:\windows\Temp\Perflib_Perfdata_458.dat

+ 2009-06-17 07:22 . 2009-06-17 07:22	16384			  c:\windows\Temp\Perflib_Perfdata_248.dat

.

(((((((((((((((((((((((((((((((((((((   Wpisy startowe rejestru   ))))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane  

REGEDIT4


[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

"Gadu-Gadu"="c:\program files\Gadu-Gadu\gg.exe" [2007-07-09 2119104]

"SoftAuto.exe"="c:\program files\Creative\Software Update 3\SoftAuto.exe" [2008-05-28 401408]


[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTAPR2"="c:\program files\Creative\Sound Blaster X-Fi\Console Launcher\CTAPR2.exe" [2007-01-16 57344]

"VolPanel"="c:\program files\Creative\Sound Blaster X-Fi\Volume Panel\VolPanlu.exe" [2007-04-17 184320]

"Start WingMan Profiler"="c:\program files\Logitech	

16e7

2;Gaming Software\LWEMon.exe" [2007-09-25 93208]

"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]

"Internet Connection Wizard Setup Tool"="c:\program files\Internet Explorer\Connection Wizard\icwsetup.exe" [2009-06-02 19968]

"avast!"="c:\progra~1\ALWILS~1\Avast4\ashDisp.exe" [2006-09-25 108160]

"Ad-Watch"="c:\program files\Lavasoft\Ad-Aware\AAWTray.exe" [2009-06-14 518488]

"Kernel and Hardware Abstraction Layer"="KHALMNPR.EXE" - c:\windows\KHALMNPR.Exe [2007-11-29 55824]


[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2008-04-14 15360]


c:\documents and settings\All Users.WINDOWS\Application Data\Microsoft\Shortcuts\

icwsetup.exe [2009-6-2 19968]

Logitech SetPoint.lnk - c:\program files\Logitech\SetPoint\SetPoint.exe [2008-12-3 789008]

Microsoft Office.lnk - c:\program files\Microsoft Office\Office10\OSA.EXE [2001-2-13 83360]


[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\LBTWlgn]

2008-01-09 11:30	72208	----a-w-	c:\program files\Common Files\Logishrd\Bluetooth\LBTWLgn.dll


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Lavasoft Ad-Aware Service]

@="Service"


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WdfLoadGroup]

@=""


[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusDisableNotify"=dword:00000001

"UpdatesDisableNotify"=dword:00000001


[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=


GRY..........


"c:\\WINDOWS\\system32\\dpvsetup.exe"=


GRY.........


"c:\\Program Files\\Skype\\Phone\\Skype.exe"=


R0 Lbd;Lbd;c:\windows\system32\drivers\Lbd.sys [2009-06-14 64160]

R2 Lavasoft Ad-Aware Service;Lavasoft Ad-Aware Service;c:\program files\Lavasoft\Ad-Aware\AAWService.exe [2009-03-09 1005904]

R3 t3;SB Xtreme Audio Notebook;c:\windows\system32\drivers\t3.sys [2008-11-30 735744]

R3 t3filt;t3filt;c:\windows\system32\drivers\t3filt.sys [2008-11-30 1656960]

S3 CTUPnPSv;Creative Centrale Media Server;c:\program files\Creative\Creative Centrale\CTUPnPSv.exe [2008-05-21 64000]

S3 GEST Service;GEST Service for program management.;c:\program files\GIGABYTE\GEST\GSvr.exe [2008-11-30 47624]

S3 NPF;NetGroup Packet Filter Driver;c:\windows\system32\drivers\npf.sys [2005-08-02 32512]

.

Zawartość folderu &

a73

#39;Zaplanowane zadania'


2009-06-14 c:\windows\Tasks\Ad-Aware Update (Weekly).job

- c:\program files\Lavasoft\Ad-Aware\Ad-AwareAdmin.exe [2009-03-09 06:39]

.

.

------- Skan uzupełniający -------

.

IE: E&ksport do programu Microsoft Excel - c:\progra~1\MICROS~2\Office10\EXCEL.EXE/3000

IE: Pobierz z &BitSpirit - c:\program files\BitSpirit\bsurl.htm

IE: ÓĂ?ČĚŘľ?ÁéĎÂÔŘ(&B)

DPF: DirectAnimation Java Classes - file://c:\windows\Java\classes\dajava.cab

DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab

DPF: {68282C51-9459-467B-95BF-3C0E89627E55} - hxxp://www.mks.com.pl/skaner/SkanerOnline.cab

FF - ProfilePath - 

.


**************************************************************************


catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-06-17 11:42

Windows 5.1.2600 Dodatek Service Pack 3 NTFS


skanowanie ukrytych procesów ...  


skanowanie ukrytych wpisów autostartu ... 


skanowanie ukrytych plików ...  


skanowanie pomyślnie ukończone

ukryte pliki: 0


**************************************************************************

.

--------------------- Pliki DLL ładowane pod uruchomionymi procesami ---------------------


- - - - - - - > 'winlogon.exe'(832)

c:\windows\system32\Ati2evxx.dll

c:\program files\common files\logishrd\bluetooth\LBTWlgn.dll

c:\program files\common files\logishrd\bluetooth\LBTServ.dll

.

Czas ukończenia: 2009-06-17 11:43

ComboFix-quarantined-files.txt  2009-06-17 09:43

ComboFix2.txt  2009-06-16 13:30

ComboFix3.txt  2009-06-15 11:48

ComboFix4.txt  2009-06-14 09:07

ComboFix5.txt  2009-06-17 09:40


Przed: 1 071 640 576 bajtów wolnych

Po: 1 064 796 160 bajtów wolnych


182	--- E O F ---	2009-06-10 04:23

Jeżeli na tej stronie są syfy, to nam jej nie podawaj. A logi wkleja się w znaczniku CODEBOX - GFR

EDIT do GFR - jesli bys przeczytal uwaznie to co napisalem to bys wiedzial ze strona zostala zamknieta przez google - teraz pojawia sie tam ostrzezenie i odnosnik do szczegolow czemu strona zostala zamknieta - moze komus by to cos wyjasnilo - mi i tak to nic nie mowilo...