Skocz do zawartości

Landuss

Użytkownicy
  • Postów

    6 919
  • Dołączył

  • Ostatnia wizyta

Odpowiedzi opublikowane przez Landuss

  1. To by było wszystko z usuwania. Możesz zakończyć sprawę poniższymi czynnościami:

     

    1. Użyj opcji Sprzątanie z OTL.

     

    2. Opróżnij przywracanie systemu: KLIK

     

    3. Zaktualizuj wymienione programy do najnowszych wersji:

     

    Internet Explorer (Version = 8.0.7601.17514)

    "{26A24AE4-039D-4CA4-87B4-2F83217015FF}" = Java 7 Update 15

    "{AC76BA86-7AD7-1045-7B44-AA1000000001}" = Adobe Reader X (10.1.6) - Polish

     

    Szczegóły aktualizacyjne: KLIK

  2. W logach widoczny jest rootkit Necurs, który odpowiada za blokowanie sterownika sptd i inne problemy:

     

    SRV:64bit: - [2013-03-01 14:07:01 | 000,076,728 | ---- | M] () [unknown (-1) | Unknown] -- C:\Windows\SysNative\drivers\61344a88bb952147.sys -- (61344a88bb952147)
    

     

    1. Uruchom ESET Necurs Remover i według opisu wykonaj skan.

     

    2. Pokazujesz nowo wykonany log z OTL.

  3. Infekcji w logach nie widać, ale trzeba usunąć niewielkie śmieci.

     

    1. Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst:

     

    :OTL
    IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,bProtector Start Page = "http://www.yhs.delta-search.com/?affID=119370&tt=030213_yh&babsrc=HP_ss&mntrId=2ac74286000000000000485b39cfb238"
    IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = "http://www.yhs.delta-search.com/?affID=119370&tt=030213_yh&babsrc=HP_ss&mntrId=2ac74286000000000000485b39cfb238"
    IE - HKCU\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = "http://www.yhs.delta-search.com/?q={searchTerms}&affID=119370&tt=030213_yh&babsrc=SP_ss&mntrId=2ac74286000000000000485b39cfb238"
    O3 - HKLM\..\Toolbar: (no name) - {95B7759C-8C7F-4BF1-B163-73684A933233} - No CLSID value found.
    O4 - HKCU..\Run: []  File not found
     
    :Commands
    [emptytemp]

     

    Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

     

    Kliknij w Wykonaj skrypt. Zatwierdź restart komputera.

     

    2. Przez Panel sterowania odinstaluj: DealPly / Delta toolbar

     

    Wyczyść Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox.

       

    3. Uruchom AdwCleaner z opcji Usuń.

     

    4. Uruchamiasz OTL ponownie, tym razem wywołujesz opcję Skanuj. Pokazujesz nowy log z OTL (bez extras)

  4. W logach nie widać ani tytułowego Relevant Knowledge ani niczego innego niepokojącego. Tylko drobna korekta do wprowadzenia w rejestr:

     

    Otwórz notatnik i wklej w nim:

     

    Windows Registry Editor Version 5.00
     
    [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
    "c:\program files\relevantknowledge\rlvknlg.exe"=-

     

    Plik zapisz jako FIX.REG i uruchom przez dwuklik.

     

    W kwestii spowolnienia też logi niczego nie mówią, ale podejrzanym może być sam Avast.

  5. Sytuacja uległa znacznej poprawie, ale jeszcze nie całkowicie.

     

    1. Odtwórzmy teraz plik hosts. Upewnij się, że masz włączone pokazywanie rozszerzeń (Mój komputer > Narzędzia > Opcje folderów > Widok > odznaczona opcja Ukrywaj rozszerzenia znanych typów). Otwórz Notatnik i wklej w nim:

    127.0.0.1 localhost


    Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz pod nazwą hosts bez żadnego rozszerzenia

    Plik wstaw do folderu C:\Windows\system32\drivers\etc.

     

    2. Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst:

    :Files
    C:\WINDOWS\$NtUninstallKB62280$

    :Commands
    [emptytemp]


    Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.



    Kliknij w Wykonaj skrypt. Zatwierdź restart komputera.

     

    3. Zaprezentuj nowy log z OTL ze skanowania oraz nowy z FSS.

  6. Są ślady infekcji w tym uszkodzona przez nią usługa systemowa kierująca na plik infekcji:

     

    SRV - File not found [Disabled | Stopped] -- C:\DOCUME~1\Patryk\wgsdgsdgdsgsd.dll -- (winmgmt)
    

     

    Skoryguję to za pomocą skryptu i usunę tez inneśmieci.

     

    1. Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst:

     

    :OTL
    DRV - File not found [Kernel | On_Demand | Unknown] -- C:\DOCUME~1\Patryk\USTAWI~1\Temp\ugpcrkog.sys -- (ugpcrkog)
    DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\pccsmcfd.sys -- (pccsmcfd)
    DRV - File not found [Kernel | On_Demand | Stopped] -- J:\INSTALL\GMSIPCI.SYS -- (GMSIPCI)
    IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Page_URL = "http://www.v9.com/?utm_source=b&utm_medium=idg&from=idg&uid=ST3320613AS_6SZ0HQJA____6SZ0HQJA&ts=1351242378"
    IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Default_Page_URL = "http://search.certified-toolbar.com?si=41460&home=true&tid=2938"
    IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,CustomizeSearch = "http://search.v9.com/web/?q={searchTerms}"
    IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,Search Bar = "http://search.certified-toolbar.com?si=41460&tid=2938&bs=true&q="
    IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,Search Page = "http://search.certified-toolbar.com?si=41460&tid=2938&bs=true&q="
    IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = "http://search.v9.com/web/?q={searchTerms}"
    IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,Start Default_Page_URL = "http://search.certified-toolbar.com?si=41460&home=true&tid=2938"
    IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,Start Page = "http://search.certified-toolbar.com?si=41460&home=true&tid=2938"
    IE - HKLM\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = "http://search.certified-toolbar.com?si=41460&bs=true&tid=2938&q={searchTerms}"
    IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Page_URL = "http://www.v9.com/?utm_source=b&utm_medium=idg&from=idg&uid=ST3320613AS_6SZ0HQJA____6SZ0HQJA&ts=1351242378"
    IE - HKCU\..\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86}: "URL" = "http://search.v9.com/web/?q={searchTerms}"
    IE - HKCU\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = "http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2192277"
    IE - HKCU\..\SearchScopes\{c99fdc39-a1ae-4b24-8d71-e5274f8d7c54}: "URL" = "http://search.hotspotshield.com/g/results.php?c=s&q={searchTerms}"
    O2 - BHO: (no name) - {8d3ec233-b92d-4187-a506-284127cfba2d} - No CLSID value found.
    O4 - HKCU..\Run: [iBP]  File not found
     
    :Reg
    [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Winmgmt\Parameters]
    "ServiceDll"=hex(2):"%SystemRoot%\system32\wbem\WMIsvc.dll"
     
    :Commands
    [emptytemp]

     

    Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

     

    Kliknij w Wykonaj skrypt. Zatwierdź restart komputera.

     

    2. Przez Panel sterowania odinstaluj: StylerToolBar

     

    Wyczyść Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox.

       

    3. Uruchom AdwCleaner z opcji Usuń.

     

    4. Uruchamiasz OTL ponownie, tym razem wywołujesz opcję Skanuj. Pokazujesz nowy log z OTL (bez extras) oraz log z FSS

  7. Infekcji jako takiej nie widać tutaj natomiast weszło trochę śmieci.

     

    1. Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst:

    :OTL
    DRV - File not found [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\XDva397.sys -- (XDva397)
    DRV - File not found [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\EagleXNt.sys -- (EagleXNt)
    DRV - File not found [Kernel | On_Demand | Stopped] -- C:\DOCUME~1\WACICI~1\USTAWI~1\Temp\catchme.sys -- (catchme)
    IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = "http://search.babylon.com/?babsrc=HP_Prot"
    IE - HKCU\..\SearchScopes\{0D7562AE-8EF6-416d-A838-AB665251703A}: "URL" = "http://start.facemoods.com/?a=ironto&s=%7BsearchTerms%7D&f=4"
    IE - HKCU\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = "http://search.babylon.com/web/%7BsearchTerms%7D?babsrc=SP_ss&affID=1101316&mntrId=f0aae6900000000000000023be67acb3"
    IE - HKCU\..\SearchScopes\{AD22EBAF-0D18-4fc7-90CC-5EA0ABBE9EB8}: "URL" = "http://www.daemon-search.com/search/web?q=%7BsearchTerms%7D"

    :Files
    C:\Documents and Settings\Właściciel\Dane aplikacji\Mozilla

    :Commands
    [emptytemp]


    Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.



    Kliknij w Wykonaj skrypt. Zatwierdź restart komputera.

    2. Przez Panel sterowania odinstaluj: DAEMON Tools Toolbar / Optimizer Pro v3.0 / OptimizerPro1 Updater

    Wyczyść Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox.
       
    3. Uruchom AdwCleaner z opcji Delete

    4. Uruchamiasz OTL ponownie, tym razem wywołujesz opcję Skanuj. Pokazujesz nowy log z OTL (bez extras)
  8. Ps. W jakim formacie mogę tutaj wstawić PrtScn - mam zrobione z aktywności wirusa + z avasta z virus chest listę obiektów które zostały zaatakowane. Być ,oże będą to przydatne informacje.

     

    Wstaw na jakiś zewnętrzny hosting, a tutaj wklej linka do niego.

     

    Generalnie ja w logach infekcji nie notuję, są tylko niewielkie śmieci, które usuniemy.

     

    1. Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst:

     

    :OTL
    IE:64bit: - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = "http://search.bearshare.net"
    IE:64bit: - HKLM\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD21}: "URL" = "http://dts.search-results.com/sr?src=ieb&appid=225&systemid=1&sr=0&q=%7BsearchTerms%7D"
    IE:64bit: - HKLM\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2101}: "URL" = "http://dts.search-results.com/sr?src=ieb&appid=117&systemid=101&sr=0&q=%7BsearchTerms%7D"
    IE:64bit: - HKLM\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD22}: "URL" = "http://dts.search-results.com/sr?src=ieb&gct=ds&appid=20&systemid=2&apn_dtid=IME002&apn_ptnrs=AG2&o=APN10641&apn_uid=2986824105004404&q=%7BsearchTerms%7D"
    IE:64bit: - HKLM\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2406}: "URL" = "http://dts.search-results.com/sr?src=ieb&gct=ds&appid=113&systemid=406&apn_dtid=BND406&apn_ptnrs=AG6&o=APN10645&apn_uid=6005735685164270&q=%7BsearchTerms%7D"
    IE:64bit: - HKLM\..\SearchScopes\{B7971660-A1CE-4FDD-B9E0-2C37D77AFB0B}: "URL" = "http://searchfunmoods.com/results.php?f=4&q=%7BsearchTerms%7D&a=nv1&ir=nv1&cd=2XzuyEtN2Y1L1Qzu0Ezzzy0Azz0Fzz0F0A0D0E0CtC0A0DtDtN0D0Tzu0CtAyCtDtN1L2XzutBtFtBtFtCtFyEtDyB&cr=538011529"
    IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Page_URL = "http://www.v9.com/?utm_source=b&utm_medium=idg&from=idg&uid=Hitachi_HTS547564A9E384_110619J23A0053C44GBNX&ts=1350693649"
    IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = "http://search.bearshare.net"
    IE - HKLM\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD21}: "URL" = "http://dts.search-results.com/sr?src=ieb&appid=225&systemid=1&sr=0&q=%7BsearchTerms%7D"
    IE - HKLM\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2101}: "URL" = "http://dts.search-results.com/sr?src=ieb&appid=117&systemid=101&sr=0&q=%7BsearchTerms%7D"
    IE - HKLM\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD22}: "URL" = "http://dts.search-results.com/sr?src=ieb&gct=ds&appid=20&systemid=2&apn_dtid=IME002&apn_ptnrs=AG2&o=APN10641&apn_uid=2986824105004404&q=%7BsearchTerms%7D"
    IE - HKLM\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2406}: "URL" = "http://dts.search-results.com/sr?src=ieb&gct=ds&appid=113&systemid=406&apn_dtid=BND406&apn_ptnrs=AG6&o=APN10645&apn_uid=6005735685164270&q=%7BsearchTerms%7D"
    IE - HKLM\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = "http://search.sweetim.com/search.asp?src=6&crg=3.1010000&st=18&q=%7BsearchTerms%7D&barid=%7B6F27DB46-FCE1-44D6-A1EF-7A8C2E952435%7D"
    IE - HKU\S-1-5-21-192333895-627899723-595940092-1001\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = "http://www.delta-search.com/?affID=119828&babsrc=HP_ss&mntrId=1af71ad0000000000000e0ca944c65e9"
    IE - HKU\S-1-5-21-192333895-627899723-595940092-1001\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = "http://www.delta-search.com/?q=%7BsearchTerms%7D&affID=119828&babsrc=SP_ss&mntrId=1af71ad0000000000000e0ca944c65e9"
    IE - HKU\S-1-5-21-192333895-627899723-595940092-1001\..\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86}: "URL" = "http://search.v9.com/web/?q=%7BsearchTerms%7D"
    IE - HKU\S-1-5-21-192333895-627899723-595940092-1001\..\SearchScopes\{58C890FD-760C-4087-95FE-F774EF56EDAD}: "URL" = "http://websearch.ask.com/redirect?client=ie&tb=ORJ&o=100000027&src=kw&q=%7BsearchTerms%7D&locale=en_UK&apn_ptnrs=%5EU3&apn_dtid=%5EYYYYYY%5EYY%5EGB&apn_uid=84E12E48-AAC5-49EF-99E0-8881916008A3&apn_sauid=56A57682-B147-48DB-8E97-6E7A50978109"
    IE - HKU\S-1-5-21-192333895-627899723-595940092-1001\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD21}: "URL" = "http://dts.search-results.com/sr?src=ieb&appid=225&systemid=1&sr=0&q=%7BsearchTerms%7D"
    IE - HKU\S-1-5-21-192333895-627899723-595940092-1001\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2101}: "URL" = "http://dts.search-results.com/sr?src=ieb&appid=117&systemid=101&sr=0&q=%7BsearchTerms%7D"
    IE - HKU\S-1-5-21-192333895-627899723-595940092-1001\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD22}: "URL" = "http://dts.search-results.com/sr?src=ieb&gct=ds&appid=20&systemid=2&apn_dtid=IME002&apn_ptnrs=AG2&o=APN10641&apn_uid=2986824105004404&q=%7BsearchTerms%7D"
    IE - HKU\S-1-5-21-192333895-627899723-595940092-1001\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2406}: "URL" = "http://dts.search-results.com/sr?src=ieb&gct=ds&appid=113&systemid=406&apn_dtid=BND406&apn_ptnrs=AG6&o=APN10645&apn_uid=6005735685164270&q=%7BsearchTerms%7D"
    IE - HKU\S-1-5-21-192333895-627899723-595940092-1001\..\SearchScopes\{CFF4DB9B-135F-47c0-9269-B4C6572FD61A}: "URL" = "http://mystart.incredibar.com/mb187?a=(6R8KbuD9YP)&search={searchTerms}&i=26"
    IE - HKU\S-1-5-21-192333895-627899723-595940092-1001\..\SearchScopes\{EAEFABA5-4EFE-4522-8368-101B4886A572}: "URL" = "http://search.conduit.com/ResultsExt.aspx?q=%7BsearchTerms%7D&SearchSource=4&ctid=CT3220468"
    IE - HKU\S-1-5-21-192333895-627899723-595940092-1001\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = "http://search.sweetim.com/search.asp?src=6&crg=3.1010000&st=18&q=%7BsearchTerms%7D&barid=%7B6F27DB46-FCE1-44D6-A1EF-7A8C2E952435%7D"
    O2 - BHO: (IB Updater) - {336D0C35-8A85-403a-B9D2-65C292C39087} - C:\Program Files\IB Updater\Extension32.dll ()
    O2 - BHO: (DataMngr) - {9D717F81-9148-4f12-8568-69135F087DB0} - C:\PROGRA~2\SEARCH~1\Datamngr\BROWSE~1.DLL File not found
    O3:64bit: - HKLM\..\Toolbar: (no name) - !{761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - No CLSID value found.
    O3:64bit: - HKLM\..\Toolbar: (no name) - !{8664889D-ED18-4713-918F-E2BB69D8452B} - No CLSID value found.
    O3:64bit: - HKLM\..\Toolbar: (no name) - !{A7A6995D-6EE1-4FD1-A258-49395D5BF99C} - No CLSID value found.
    O3 - HKLM\..\Toolbar: (no name) - !{11111111-1111-1111-1111-110211181110} - No CLSID value found.
    O3 - HKLM\..\Toolbar: (no name) - !{7473b6bd-4691-4744-a82b-7854eb3d70b6} - No CLSID value found.
    O3 - HKLM\..\Toolbar: (no name) - !{761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - No CLSID value found.
    O3 - HKLM\..\Toolbar: (no name) - !{8664889D-ED18-4713-918F-E2BB69D8452B} - No CLSID value found.
    O3 - HKLM\..\Toolbar: (no name) - !{944FEDFD-C4FD-441D-8275-9C651A9FFBDE} - No CLSID value found.
    O3 - HKLM\..\Toolbar: (no name) - !{A7A6995D-6EE1-4FD1-A258-49395D5BF99C} - No CLSID value found.
    O3 - HKLM\..\Toolbar: (no name) - !{C1AF5FA5-852C-4C90-812E-A7F75E011D87} - No CLSID value found.
    O3 - HKLM\..\Toolbar: (no name) - !{D4027C7F-154A-4066-A1AD-4243D8127440} - No CLSID value found.
    O3 - HKLM\..\Toolbar: (no name) - !{ebd898f8-fcf6-4694-bc3b-eabc7271eeb1} - No CLSID value found.
    O3 - HKLM\..\Toolbar: (no name) - {28387537-e3f9-4ed7-860c-11e69af4a8a0} - No CLSID value found.
    O3 - HKLM\..\Toolbar: (no name) - 10 - No CLSID value found.
    O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
    O3 - HKU\S-1-5-21-192333895-627899723-595940092-1001\..\Toolbar\WebBrowser: (no name) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No CLSID value found.
    O4 - HKLM..\Run: []  File not found
     
    :Files
    C:\Program Files\IB Updater
     
    :Commands
    [emptytemp]

     

    Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

     

    Kliknij w Wykonaj skrypt. Zatwierdź restart komputera.

     

    2. Przez Panel sterowania odinstaluj: Yontoo 1.10.03 / uTorrentControl_v2 Toolbar / Ask Toolbar / Ask Toolbar Updater

     

    Wyczyść Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox.

       

    3. Uruchom AdwCleaner z opcji Delete

     

    4. Uruchamiasz OTL ponownie, tym razem wywołujesz opcję Skanuj. Pokazujesz nowy log z OTL (bez extras)

×
×
  • Dodaj nową pozycję...