komunikat krytyczny, 60sec i restart PC;/

[Am4ranth]

Witam. Mam duzy blad z komputerem, mysle ze to jakiś wirus. Komunikat o tym stanie krytycznym pojawia mi sie tylko przy odpalaniu gierki. Komunikat brzmi: System musi być uruchomiony ponownie, poniewż usługa program uruchamiający proces serwera DCOM została nieoczekiwanie przerwana i po 60 sek. komp się restartuje. Zrobilem format PC, wszystko od nowa i to coś dalej się pojawia;/ załamuję ręce i proszę o pomoc. Poniżej załączam loga z Hijackthis, Pozdrawiam

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 09:06:36, on 2011-02-25
Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\SAGEM WiFi manager\WLANUTL.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\System32\msiexec.exe
C:\Program Files\Trend Micro\HiJackThis\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [AudioDeck] C:\Program Files\VIA\VIAudioi\SBADeck\ADeck.exe 1
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [api32] C:\DOCUME~1\Best\USTAWI~1\Temp\apiqq.exe
O4 - HKCU\..\Run: [King_ar] C:\WINDOWS\system32\arking.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA LOKALNA')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA SIECIOWA')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Program sieciowy dla SAGEM Wi-Fi 11g USB adapter.lnk = ?
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O22 - SharedTaskScheduler: Moduł wstępnego ładowania interfejsu Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll
O22 - SharedTaskScheduler: Demon buforu kategorii składników - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Windows User Mode Driver Framework (UMWdf) - Unknown owner - C:\WINDOWS\System32\wdfmgr.exe (file missing)

--
End of file - 2738 bytes

[greh]

Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

To po pierwsze.

A po drugie:

• Pobierz OTL z jednego z tych linków:
  - Dostępne tylko dla zarejestrowanych użytkowników
  - Dostępne tylko dla zarejestrowanych użytkowników
  - Dostępne tylko dla zarejestrowanych użytkowników
• Uruchom narzędzie dwuklikiem i ustaw jak na tym obrazku: Dostępne tylko dla zarejestrowanych użytkowników
• Uruchom skan przyciskiem Skanuj/Scan.
• Po zakończonym skanie wklej obydwa raporty na jedną z tych stron: Dostępne tylko dla zarejestrowanych użytkowników, Dostępne tylko dla zarejestrowanych użytkowników lub Dostępne tylko dla zarejestrowanych użytkowników,
  a tutaj wstaw linki do obydwu wklejek.

• Pobierz GMER z jednego z tych linków:
  - Dostępne tylko dla zarejestrowanych użytkowników
  Pobierany plik będzie miał losową nazwę. Polecany w przypadku infekcji blokujących działanie GMER-a.
  - Dostępne tylko dla zarejestrowanych użytkowników z plikiem gmer.exe
  Wersja ***** na blokady.
• Odłącz się od sieci i wyłącz wszelkie zbędne programy. Wyłączyć należy również wszelkie oprogramowanie antywirusowe i podobne posiadające ochronę czasu rzeczywistego (real-time).
• Zastosuj się do tego: Dostępne tylko dla zarejestrowanych użytkowników
• Uruchom GMER. Przy uruchomieniu program wykonuje tzw. preskan. Jeśli zostanie wyświetlony komunikat informujący o znalezieniu modyfikacji w systemie, zatwierdź go przyciskiem OK.
• Uruchom pełny skan przyciskiem Szukaj i czekaj cierpliwie na zakończenie skanu (może on trwać nawet do kilku godzin). W trakcie skanu nie wolno nic robić na komputerze.
• Po zakończonym skanie skopiuj raport przyciskiem Kopiuj i wklej go na jedną ze stron podanych wcześniej wstawiając tutaj link. Zapisz również kopię logu na dysku przyciskiem Zapisz.

Ale raczej ratunku nie będzie, gdyż to raczej Blaster...

Tu jak usunąć: Dostępne tylko dla zarejestrowanych użytkowników

Czy skuteczne, nie mam pojęcia, bo nie wiemy na razie co to za infekcja.
A system oczywiście full legal? Tak samo, jak i gra?

[Am4ranth]

OK więc tak.
Skan z OTL:
Dostępne tylko dla zarejestrowanych użytkowników
Dostępne tylko dla zarejestrowanych użytkowników

log z gmera:
Dostępne tylko dla zarejestrowanych użytkowników

wszystko legalne.
co teraz?;/
pozdrawiam i dzieki za poswiecenie swojego czasu.

[Fix00ser]

już w hijacku widać winowajcę w wejściach 04 czyli

Kod: Zaznacz cały

O4 - HKCU\..\Run: [api32] C:\DOCUME~1\Best\USTAWI~1\Temp\apiqq.exe
O4 - HKCU\..\Run: [King_ar] C:\WINDOWS\system32\arking.exe


należy to zdecydowanie usunąć
Dostępne tylko dla zarejestrowanych użytkowników

[Am4ranth]

jak? za pomocą czego- zielony jestem w tych sprawach.

[djkamil09061991]

Wklej w OTL i naciśnij wykonaj skrypt:

:OTL
MOD - [2011-02-25 08:59:28 | 000,129,536 | RHS- | M] () -- C:\WINDOWS\system32\arking0.dll
MOD - [2011-02-25 08:59:28 | 000,112,640 | RHS- | M] () -- C:\Documents and Settings\Best\Ustawienia lokalne\Temp\apiqq0.dll
O4 - HKCU..\Run: [api32] C:\Documents and Settings\Best\Ustawienia lokalne\Temp\apiqq.exe ()
O4 - HKCU..\Run: [King_ar] C:\WINDOWS\system32\arking.exe ()
O32 - AutoRun File - [2011-02-25 09:48:14 | 000,000,061 | RHS- | M] () - C:\autorun.inf -- [ NTFS ]
O32 - AutoRun File - [2011-02-25 09:48:16 | 000,000,061 | RHS- | M] () - D:\autorun.inf -- [ FAT32 ]
O32 - AutoRun File - [2011-02-25 09:48:16 | 000,000,061 | RHS- | M] () - E:\autorun.inf -- [ FAT32 ]
O32 - AutoRun File - [2011-02-25 09:48:16 | 000,000,061 | RHS- | M] () - G:\autorun.inf -- [ FAT32 ]
O32 - AutoRun File - [2011-02-25 09:48:16 | 000,000,061 | RHS- | M] () - H:\autorun.inf -- [ FAT32 ]
[2011-02-25 05:42:40 | 000,207,872 | RHS- | C] () -- C:\WINDOWS\System32\arking.exe
[2011-02-25 05:42:40 | 000,129,536 | RHS- | C] () -- C:\WINDOWS\System32\arking0.dll
[2011-02-25 05:42:26 | 000,185,856 | RHS- | C] () -- C:\albkpq3.exe

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

:Commands
[emptytemp]

Pokaż log z usuwania. Dodatkowo wykonaj log z USBFixa z opcji DELETION:
http://www.hotfix.pl/uzytkowanie-progra ... x-a310.htm
Oraz nowy log z OTL

[Fix00ser]

ech...OTL listuje jeszcze w

Kod: Zaznacz cały

C:\WINDOWS\System32\arking.exe
C:\WINDOWS\System32\arking0.dll


sooorki koleżanka była szybsza w usunięciu <chińskiej plagi>

[Am4ranth]

OTL: log z usuwania:
Dostępne tylko dla zarejestrowanych użytkowników
usbfix:
Dostępne tylko dla zarejestrowanych użytkowników

[djkamil09061991]

Pokaż teraz nowy z OTL

[Am4ranth]

yyy.... teraz to zainstalowalem avasta i uznal OTLa za zlosliwe oprogramowanie... nie da sie odpalic, ale jak to pomoze to dodam log z innego programu

[djkamil09061991]

Wyłącz osłony avasta i pobierz OTL ponownie.
Dodatkowo przeskanuj system programem Malwarebytes, usuń co znajdzie i wstaw raport oraz wykonaj aktualizację do SP3:
http://www.hotfix.pl/infusions/pro_down ... l-p175.htm