PierreNik

To już bym zostawiła w formie aktualnej. W przypadku wystąpienia kolejnych trudności z widzialnością dysków, postąp analogicznie przemontowując powiązane wejścia w Menedżerze urządzeń. Przyznaj etykietę dyskowi wymiennemu w jego właściwościach, to zamiast "Dysk wymienny" pokaże się "Nowa nazwa".

Problem z niepotrzebnie wyskakującym dyskiem wymiennym, gdy nawet nie jest przyłączony załatwiony. Niepotrzebnie go wcześniej ustawiłem. Teraz już go nie ma, a gdy podłączam pojawia się nowy. Good

 

Objawy wskazują na obecność pliku autorun.inf (np. od infekcji), kierującego do otwierania nieobecnego już obiektu. Pod tym kątem skan poniżej. Podaj skan na wersję pliku (przy okazji i sprawdzanie dysku G pod kątem autorun.inf). (...)

Log dodany.

 

 

Spróbujmy triku z tymczasowym wirtualnym zmapowaniem C jako H. Start > Uruchom > cmd i wpisz komendę subst H: C:\Windows. Po wykonaniu komendy podejmij się próby deinstalacji Kerio oraz wszystkich innych programów, które ewentualnie coś pluły o H. Zresetuj system, mapowanie jest sesyjne, toteż po restarcie wszystko wróci do normy.

Wow. To pożyteczny trick. Usunąłem wiele programów, których wcześniej nie mogłem, w tym Kerio

 

 

Po czym oceniasz, że spadek miejsca jest związany z Fifa? I gdzie jest odnośnik do Fifa w systemie?

W sumie to po tym, że właściwie nie wiem co mi zajmuje tyle gigabajtów (wystarczy sprawdzić na listę programów, to one zajmują (wraz z FIFĄ) co najwyżej 5 GB, pliki multimedialne mp3/avi to jakieś 8gb. Nie wiem, dlaczego na dysku jest (po deinstalacjach niektórych programów) wolne zaledwie 6gb, a zajęte 37 gb

 

Dodaję też screen z próby deinstalacji FIFA.

 

OTL.Txt

Z menu Widok ustaw "Urządzenia wg połączenia" i omiń partię związaną z myszą.

Sukces! Gdy podłączam pendrive'a pojawia się dysk z nową literką! Czy więc ten krok muszę zrobić (dokończyć, bo wcześniej udało mi się tylko dwa "urządzenia" odinstalować związane z USB) mimo wszystko? Jest jeszcze jeden mankament. Pokazuje mi też w Moim Komputerze "Dysk wymienny (F)" ale to pewnie wystarczy skasować w menadżerze dysków, tak?

 

Kolejny problem widoczny na screenie "Dysk_jako_plik.JPG". Otóż nie mogę go Otworzyć ani Eksplorować. Otwiera się "Otwórz za pomocą".

 

 

Czy na dysku jest plik C:\Windows\system32\drivers\dmusic.sys? I jaką formułę ma ten błąd w Menedżerze urządzeń?

Tak, jest ten plik tam. Błąd brzmi następująco: System Windows nie może załadować sterownika urządzenia dla tego sprzętu. Sterownik może być uszkodzony lub nieobecny. (Kod 39)

 

Nie wiem do czego zmierzasz z Kerio na H. Kerio wg OTL jest na C:

 

SRV - [2005-07-15 08:30:36 | 001,630,208 | ---- | M] (Kerio Technologies) [Auto | Running] -- C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe -- (KPF4)

DRV - [2005-06-21 09:51:36 | 000,270,336 | ---- | M] (Kerio Technologies) [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\fwdrv.sys -- (fwdrv)

DRV - [2005-05-30 08:32:20 | 000,053,248 | ---- | M] () [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\khips.sys -- (khips)

 

Objaśnij to + jaki błąd zwraca próba odinstalowania. I ukończ sprawę z USB, a potem rozpiszę ręczną instrukcję wyrąbania sterowników Kerio i innych jego składników.

Dodaję screen z błędem przy próbie kasacji. W przypadku innych programów (np. gra FIFA) problemy z deinstalacją są inne: otóż wyskakuje okno aby znaleźć tą aplikację na dysku, bo nie ma go na partycji X. Partycje H i X należały do dysku, który już fizycznie nie jest w komputerze. A FIFY nie mam rzeczywiście na dysku C. Mimo to system uważa, że ta gra na tym dysku jest również - stąd m.in tak mało wolnego miejsca na dysku C

 

Edit: zrobiłem czyszczenie pustych wpisów, jednak komputer w pewnym momencie się zawiesił. Po restarcie podał jednak log i chyba wszystko odbyło się pomyślnie. Zrobię raport w OTL by mogła Pani sprawdzić, czy wszystkie puste wpisy się skasowały.

Próchna wykasowane w pełni, reset sieci zrobiony. Potem restart. Niestety, nie ma sieci wciąż.

 

Czy jeżeli mam już czysty system, czy mogę spróbować przeinstalować oprogramowanie Neostrady? Pamiętam, że na tym laptopie już raz z niewiadomych powodów była taka sytuacja jak teraz i taki krok pomógł . No chyba że ten malware mógł coś jeszcze namieszać w samym systemie.

OK, odinstalowałem NetBEUI - czy jest potrzeba go z powrotem zainstalować?

 

Co do tych USB. Idąc po kolei odinstalowałem sobie myszkę i nie miałem jak odinstalować kolejnych - musiałem dać restart - jak to zrobić?

 

I właśnie próba odinstalowania Kerio Personal Firewall przypomniała mi kolejny, największy problem.

Otóż nie mogę go odinstalować tak jak wielu innych programów, których lokalizacja jest na nieistniejącym dysku H (który przestał być wykrywalny). Nie wiem jak to możliwe, ale Kerio działa w tle mimo że jakaś jego część była na dysku, który już nawet fizycznie nie jest podłączony do komputera. Stąd też tyle miejsca mam zajęte na dysku C. Bo nie mogę odinstalować programów, które gdy chcę odinstalować, wg systemu znajdują się na dysku H.

 

Microsoft Kernel DLS Synthesizer - odinstalowałem, lecz po restarcie znów się pojawił.. i dalej ma wykrzyknik.

 

Edit: dmremote.exe dodany do wyjątków Zapory Windows

2. W przypadku braku rezultatów w punkcie 1, Start > Uruchom > regedit i wyszukaj klucz:

 

HKEY_LOCAL_MACHINE\SYSTEM\MountedDevices

 

Z prawokliku na ten klucz wyeksportuj go do kopii zapasowej REG. Następnie w kluczu tym skasuj wszystkie wartości i zresetuj system. Windows przy restarcie powinien zacząć przebudowywać liternictwo.

Zrobiłem tak jednak po restarcie nic szczególnego się nie działo, oprócz tego że przy włączaniu zawiesił się (czasem się zdarza ).

 

Co do przeładowania zestawu USB, załączam screenshot (USB.jpg) - która to pozycja?

Załączam również ss z błędem, który teraz pojawia się gdy włączam menadżera dysków oraz screen pokazujący wykrzyknik przy jeszcze jednej pozycji: NetBEUI.

 

Co masz na myśli z:

Jakie podstawy do takich twierdzeń?

W zasadzie jedyną podstawą do takich twierdzeń był właśnie problem z USB i tym, że system nie widział wielu urządzeń. Dziś nawet widzi (pokazują się dymki, nazwy urządzeń, pięknie je rozpoznaje), jednak żeby wejść w te urządzenia trzeba sporo się namęczyć. Przypominam sobie, że kiedyś korzystałem tylko z menadżera dysków by właśnie dostać się do zawartości karty pamięci bądź pamięci flash z pendrive'a

Załączam screenshot z menadżera urządzeń. Tam gdzie są dyski (i dołączona pamięć flash Kingston) nie ma wykrzykników i znaków zapytania. A więc zrobiłem to co za 1szym razem, czyli przypisałem literę F do przenośnego dysku flash, dzięki czemu mogłem wejść w niego poprzez prawy klik i "Otwórz". Za pierwszym razem błąd "Dysk jest niedostępny". Kliknąłem jeszcze raz Otwórz i weszło, lecz folder ten nie miał ścieżki (jak na drugim screenie). Dysku nie ma wciąż w Moim Komputerze. Czyli przechodzimy do planu B?

 

Oj, tak czułem, że badanie kondycji systemu wyjdzie tak kiepsko. Chcę właśnie zrobić "przemeblowanie", choć GG 6.1 by mi było szkoda usuwać - bardzo się do niego przyzwyczaiłem. Stara wersja, ale "odpicowana" i jedynym jej minusem jest to, że nie mogę pogadać z numerami większymi niż 17 tys. Dlatego dodatkowo mam Kadu, które zamierzałem wymienić na WTW.

 

Duży problem to mały dysk. Ciężko na takim pracować. Gdy tylko, mam nadzieję, naprawimy laptopa to poprzez LAN przeniosę dużą część danych na niego, by odciążyć PC i zrobić na nim gruntowniejsze porządki

 

Największym jednak problemem mojego PC jest słabej jakości karta główna, możliwe że uszkodzona w jakiejś części. I dobrej jakości (jak na dość stary komputer) procesor...

Z awaryjnego poszło. Zamieszczam log z tego oraz późniejszy zwykły skan z OTL. Zapomniałem zaznaczyć dwóch checkboxów z infekcjami LOP i Purity. Jeżeli będzie potrzeba zrobić skan z nimi, to właśnie się robi. Podczas tego skanowania wyskoczył błąd Windows z prośbą o wysłanie raportu do Microsoft. Log z niego też załączam. OTL jednak po wyłączeniu tego komunikatu wznowił skanowanie.

 

Sieci niestety nie ma.

 

Edycja: dołączam raport OTL z drugiego skanowania, w którym o checkboxach nie zapomniałem

01162012_214825_OTL.txt

OTL(1).Txt

Blad_Windows.txt

PelnyLogOTL.Txt

Niestety, naciśnięcie klawisza "Wykonaj skrypt" powoduje zawieszkę systemu. Komputer nic nie pracuje, ikonki na pulpicie znikają, kursor-klepsydra tylko w obszarze okna programu OTL. Wciąż komunikat "Killing processes. DO NOT INTERRUPT...". Ile to powinno trwać?

Nie zakończyłem poprzedniego problemu, a już otwieram następny, gdyż załatwienie tego problemu ułatwi mi przenoszenie danych pomiędzy PC z którego piszę, a laptopem który był zainfekowany Rootkitem ZeroAccess.

 

Otóż mój główny PC od jakichś 4-5 lat (tak, żyłem z tym i mi to nie przeszkadzało ) nie widzi innych dysków niż dysk główny C (ATA). Stało się to w 1 sekundzie, gdy dużo większy dysk Samsunga 250GB SATAII po prostu zniknął po restarcie komputera. Teraz nie widzę ani tego dysku (i tak go już wymontowałem), ani żadnych innych dysków, które podpinam pod USB (aparat fot, pamięć flash, wszystko co nosi w sobie pamięć). Oczywiście po podpięciu mam dymki, że wykryto urządzenie, jakie to urządzenie i że jest gotowe do użycia, jednak nie tworzy się dodatkowy dysk w Moim Komputerze.

 

Bez tego ciężko mi przerzucać dane, takie jak logi z OTL z laptopa, który nie ma połączenia z siecią.

 

Dołączam świeże logi z PC - nie wiem tylko, czy w przypadku takiego problemu właśnie te logi się przydadzą. Jeżeli w logach nie widać infekcji, która mogłaby zrobić coś takiego to temat można zamknąć - jakoś sobie poradzę i załatwię problem laptopa poprzez komputer brata

OTL_mainpc_16.01.2012.Txt

OTL-Extras_mainpc_16.01.2012.Txt

GMER_mainpc_16.01.2012.txt

Witam ponownie. Mam nadzieję, że wybaczy mi Pani double-posting w celu upnięcia tematu

Dołączam 2 nowe logi z GMER

GMER_15.01.12.txt

GMER_16.01.12.txt

OK, dziękuję na razie za pomoc. W takim razie jutro jeszcze zapodam log GMER, pomęczę i miejmy nadzieję, że sukces jest już bliski Dobranoc

Zrobiłem tak jak należało ComboFixem.

Na początku znów ostrzegł mnie o tym Rootkit.NoAccess.

Następnie w związku z nim poprosił o restart.

Po restarcie laptop się zawiesił przy starcie. Wyjąłem baterię, włożyłem, włączyłem. Combofix dokończył procedurę i zapodał log, który załączam.

 

Następnie robiłem skan GMER'em, jednak po ponad 1h skanowania laptop wszedł w stan wstrzymania z powodu słabej baterii (nie zauważyłem, że jest nie podpięty, a ta jego bateria starczy na 1h najdłużej :/) i niestety już z tego stanu nie wyszedł (zawiesił się w tym samym momencie co przy Combofixie podczas wznawiania systemu). Logu prawdopodobnie nie mam z tego skanowania.

 

Dziś już nie dam rady tego powtórzyć - jutro zamieszczę log z GMER'a, a na dziś na razie Combofix

CFlog.txt

Zdaję raport z TDSS Killera

TDSS_log.txt

To pozory. Jeden z najbardziej zaawansowanych rootkitów aktualnie w obiegu.

Dotychczas myślałem, że szkodnik dokonujący przekierowań na hxxp://95p.com/cośtam nie ma nic wspólnego z głównym aktorem Rootkit.NoAccess, jednak teraz przejrzałem inne tematy na forum i widzę, że te objawy często przy nim występują. Ten 95p wziął się stąd, że mój tato kliknął na komunikat o wygraniu loterii (podobno na onecie). Możliwe, że wszystko zaczęło się od aktualizacji wtyczki VShare. Jednak tę wtyczkę aktualizowałem także na swoim PC, z którego piszę i jedyne co się stało, to zmieniło stronę startową (jednak w tym przypadku podczas instalacji nie zgodziłem się na niektóre zmiany, gdy zapytał mnie o nie Spybot S&D).

 

Wątpię w to. Coś musiało być źle zaznaczone. Log z OTL i tak tu będzie potrzebny. Przyjrzyj się jeszcze raz na konfigurację w przyklejonym temacie i podejmij się kolejnej próby.

Prawdopodobnie tak wyszło wcześniej, gdyż odpaliłem OTL z płyty CD. Teraz jest dobrze

 

Zamieszczam świeże skany z GMER, FSS i OTL. FSS odpaliłem podczas ponad godzinnego skanowania GMERem, to chyba nie problem? Potem przeskanowałem także OTL'em, co wyszło dużo krócej.

 

Aha! W trakcie skanu GMER wyłączyłem monitorowanie Avasta. Dalsze skany były już przy zdezaktywowanym Avaście. Wszystkie przy wyłączonym firewallu windowsowym. Wszystkie przy włączonym monitorowaniu Malwarebytes Anti-Malware.

gmer14sty2012.txt

FSS.txt

OTL.Txt

Extras.Txt

Witam.

 

Przeczytałem pokrótce regulamin, a więc na początek przyznaję się do użycia Combofixa i już opowiadam całą historię od początku. Z góry uprzedzam (choć już temat to sugeruje), że mój problem nie jest dość oryginalny. Ten malware zbiera spore żniwa jak widzę..

 

W moim laptopie zagnieździł się szkodnik, który nie był bardzo szkodliwy. Jedyne co robił to przekierowywał każdy wynik z Google na pewną stronę. Szukałem rozwiązania tego konkretnego problemu w Internecie i poinstalowałem 1 lub 2 programy, które wg opinii usuwały ten konkretny problem. Nie pamiętam ich nazw, ale nie były to programy niebezpieczne, ani też ingerujące w cokolwiek. Niestety, nic nie zwojowały. Następnie zrobiłem skan Avastem a potem Spybotem S&D. Również ten szkodnik dalej był.

 

Potem więc zdecydowałem się użyć Combofixa.

Po pierwszym już skanie (dosłownie po chwili) Internetu już nie było. Combofix wielokrotnie informował mnie o wykrytym Rootkit.NoAccess (o którym nie miałem pojęcia wcześniej: nie tykałem go, więc był nieszkodliwy?) i dwukrotnie prosił o restart. Za pierwszym razem coś pokasował, ale zostawił jeden folder. Mam wrażenie, że potem to ten szkodnik przeniósł się na inne pliki.

 

Użyłem Combofixa drugi raz, jednak wtedy już niewiele zmienił.

Następnie użyłem Malwarebytes Anti-Malware (Okres testowy) 1.60.0.1800, który znalazł kolejne zainfekowane pliki przez Rootkit.0Access i dodał je do kwarantanny.

Następnie przeskanowałem programem OTL, który jednak (akurat na tym komputerze!) wyrzucił pusty log, którego już nie mam.

Następnie zrobiłem skan GMER'em

Dziś zrobiłem znów skan Malwarebytes Anti-Malware i znów coś znalazło. Dodałem do kwarantanny 2 pliki.

 

Sieć bezprzewodowa (laptop jest połączony z liveboxem przez wi-fi) jest widoczna, ma bardzo dobry sygnał. Czasem nie może ustalić adresu IP i wtedy dość losowe czynności powodują (np. uruchomienie Combofixa ), że ten adres IP zostaje prawidłowo przydzielony. Niestety, to i tak nic nie zmienia. Strony nie wyświetlają się w przeglądarkach Firefox i IE.

 

Zamieszczam logi i czekam na ratunek

log_COMBOFIX.txt

log_COMBOFIX2.txt

mbam-log-2012-01-04 (01-57-26).txt

GMER-2012-01-04 (04-27-33).txt

mbam-log-2012-01-14 (12-29-39).txt