Ciągły restart Windows 7 i wirus sirefef.ah

Micars · 25 Lipca 2012

Witam serdecznie wszystkich

Jestem tu nowy ....

Mam problem identyczy jak w temacie : http://www.fixitpc.p...irus-sirefefah/

Zanpomocą narzedzia FRST64.exe wygenerowałem pliki txt.

proszę o pomoc

FRST.txt

Search.txt

picasso · 25 Lipca 2012

1. Otwórz Notatnik i wklej w nim:

CMD: copy /y C:\Windows\winsxs\amd64_microsoft-windows-s..s-servicecontroller_31bf3856ad364e35_6.1.7600.16385_none_2b54b20ee6fa07b1\services.exe C:\Windows\System32\services.exe
C:\Windows\Installer\{74f3bbb3-dc17-fb65-7b27-793954469adc}
C:\Users\A&I\AppData\Local\{74f3bbb3-dc17-fb65-7b27-793954469adc}
C:\Users\A&I\AppData\Local\gyrrimecv.exe
C:\Users\A&I\AppData\Local\hddia.exe
C:\Users\A&I\AppData\Local\ecqpaivny.exe
C:\Users\Public\sdelevURL.tmp
C:\Windows\System32\Drivers\bwaaehrp.sys
C:\Windows\System32\services.exe.B7F00DED51CEF9AB
C:\Windows\System32\services.exe.37A2ED84D72E865C
C:\Windows\System32\services.exe.11AA8DF185B40910
C:\Windows\System32\services.exe.1B472134D33556E7
C:\Windows\System32\services.exe.90D5DE3776DBCA68
C:\Windows\System32\services.exe.09397FD9C5865616

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

Plik zapisz pod nazwą fixlist.txt. Wstaw na pendrive obok narzędzia FRST.

2. Uruchom zgodnie z opisem narzędzie FRST i wybierz w nim opcję Fix. Skrypt umieszczony na pendrive zostanie przetworzony i powstanie plik fixlog.txt.

3. Zresetuj do Windows. Zrób klasyczne logi z OTL, log z Farbar Service Scanner (wszystkie opcje zaznaczone). Ponadto, uruchom SystemLook x64 i do skanu wklej:

:reg

HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s

:filefind

services.exe

Dołącz i fixlog.txt.

.

Micars · 25 Lipca 2012

Dziękuję serdecznie ....

Zrobiłem wedle instrukcji i załączam pliki.

Co dalej , na razie nie podłączałem go do internetu

picasso · 25 Lipca 2012

System już możesz podpiąć pod sieć, infekcja została usunięta w jej lwiej części, nie jest już aktywna. Teraz tylko poprawki oraz naprawa szkód (skasowane przez trojana usługi Zapory, Centrum zabezpieczeń, Windows Update, Windows Defender).

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

:OTL
O3 - HKU\S-1-5-21-2470409557-1552822084-976138736-1000\..\Toolbar\WebBrowser: (no name) - {8532A8B7-C06A-41BB-936A-8CE73E4711ED} - No CLSID value found.
IE - HKU\S-1-5-21-2470409557-1552822084-976138736-1000\..\URLSearchHook: {8532a8b7-c06a-41bb-936a-8ce73e4711ed} - No CLSID value found
IE - HKU\S-1-5-21-2470409557-1552822084-976138736-1000\..\SearchScopes\{62751A1A-69FA-4068-A91F-E0C93A73EF2E}: "URL" = "http://websearch.ask.com/redirect?client=ie&tb=ORJ&o=&src=kw&q={searchTerms}&locale=&apn_ptnrs=&apn_dtid=OSJ000&apn_uid=83876739-EBEF-4734-910C-B506D4DF8C17&apn_sauid=6BAC66EF-5D64-4B87-A006-B75A0EDA7FD7"
 
:Files
C:\Windows\SysNative\services.exe.6DCF1AEF06731825
@C:\Windows:3FB4A6D367F67493
rd /s /q C:\FRST /C
 
:Commands
[emptytemp]

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

Klik w Wykonaj skrypt. System zostanie zrestartowany i otworzy się log z wynikami usuwania.

2. Rekonstrukcja usług Zapory systemu Windows: KLIK. Konkretnie z wyliczonych tam zadań te: import pliku REG SharedAccess + przywrócenie przez SetACL uprawnień wszystkich usług związanych z Zaporą (BFE, MpsSvc, SharedAccess).

3. Rekonstrukcja pozostałych usług oraz usunięcie odpadkowego klucza ZeroAccess. Otwórz Notatnik i wklej w nim:

Windows Registry Editor Version 5.00

[-HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\BITS]

"DisplayName"="@%SystemRoot%\\system32\\qmgr.dll,-1000"

"ImagePath"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\

74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\

00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\

6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00

"Description"="@%SystemRoot%\\system32\\qmgr.dll,-1001"

"ObjectName"="LocalSystem"

"ErrorControl"=dword:00000001

"Start"=dword:00000002

"DelayedAutoStart"=dword:00000001

"Type"=dword:00000020

"DependOnService"=hex(7):52,00,70,00,63,00,53,00,73,00,00,00,45,00,76,00,65,00,\

6e,00,74,00,53,00,79,00,73,00,74,00,65,00,6d,00,00,00,00,00

"ServiceSidType"=dword:00000001

"RequiredPrivileges"=hex(7):53,00,65,00,43,00,72,00,65,00,61,00,74,00,65,00,47,\

00,6c,00,6f,00,62,00,61,00,6c,00,50,00,72,00,69,00,76,00,69,00,6c,00,65,00,\

67,00,65,00,00,00,53,00,65,00,49,00,6d,00,70,00,65,00,72,00,73,00,6f,00,6e,\

00,61,00,74,00,65,00,50,00,72,00,69,00,76,00,69,00,6c,00,65,00,67,00,65,00,\

00,00,53,00,65,00,54,00,63,00,62,00,50,00,72,00,69,00,76,00,69,00,6c,00,65,\

00,67,00,65,00,00,00,53,00,65,00,41,00,73,00,73,00,69,00,67,00,6e,00,50,00,\

72,00,69,00,6d,00,61,00,72,00,79,00,54,00,6f,00,6b,00,65,00,6e,00,50,00,72,\

00,69,00,76,00,69,00,6c,00,65,00,67,00,65,00,00,00,53,00,65,00,49,00,6e,00,\

63,00,72,00,65,00,61,00,73,00,65,00,51,00,75,00,6f,00,74,00,61,00,50,00,72,\

00,69,00,76,00,69,00,6c,00,65,00,67,00,65,00,00,00,00,00

"FailureActions"=hex:80,51,01,00,00,00,00,00,00,00,00,00,03,00,00,00,14,00,00,\

00,01,00,00,00,60,ea,00,00,01,00,00,00,c0,d4,01,00,00,00,00,00,00,00,00,00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\BITS\Parameters]

"ServiceDll"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,\

00,74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\

71,00,6d,00,67,00,72,00,2e,00,64,00,6c,00,6c,00,00,00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\BITS\Performance]

"Library"="bitsperf.dll"

"Open"="PerfMon_Open"

"Collect"="PerfMon_Collect"

"Close"="PerfMon_Close"

"InstallType"=dword:00000001

"PerfIniFile"="bitsctrs.ini"

"First Counter"=dword:000007d2

"Last Counter"=dword:000007e2

"First Help"=dword:000007d3

"Last Help"=dword:000007e3

"Object List"="2002"

"PerfMMFileName"="Global\\MMF_BITS_s"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\BITS\Security]

"Security"=hex:01,00,14,80,90,00,00,00,a0,00,00,00,14,00,00,00,34,00,00,00,02,\

00,20,00,01,00,00,00,02,c0,18,00,00,00,0c,00,01,02,00,00,00,00,00,05,20,00,\

00,00,20,02,00,00,02,00,5c,00,04,00,00,00,00,02,14,00,ff,01,0f,00,01,01,00,\

00,00,00,00,05,12,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,\

20,00,00,00,20,02,00,00,00,00,14,00,8d,01,02,00,01,01,00,00,00,00,00,05,04,\

00,00,00,00,00,14,00,8d,01,02,00,01,01,00,00,00,00,00,05,06,00,00,00,01,02,\

00,00,00,00,00,05,20,00,00,00,20,02,00,00,01,02,00,00,00,00,00,05,20,00,00,\

00,20,02,00,00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\wscsvc]

"DisplayName"="@%SystemRoot%\\System32\\wscsvc.dll,-200"

"ErrorControl"=dword:00000001

"ImagePath"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\

74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\

00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\

6b,00,20,00,4c,00,6f,00,63,00,61,00,6c,00,53,00,65,00,72,00,76,00,69,00,63,\

00,65,00,4e,00,65,00,74,00,77,00,6f,00,72,00,6b,00,52,00,65,00,73,00,74,00,\

72,00,69,00,63,00,74,00,65,00,64,00,00,00

"Start"=dword:00000002

"Type"=dword:00000020

"Description"="@%SystemRoot%\\System32\\wscsvc.dll,-201"

"DependOnService"=hex(7):52,00,70,00,63,00,53,00,73,00,00,00,57,00,69,00,6e,00,\

4d,00,67,00,6d,00,74,00,00,00,00,00

"ObjectName"="NT AUTHORITY\\LocalService"

"ServiceSidType"=dword:00000001

"RequiredPrivileges"=hex(7):53,00,65,00,43,00,68,00,61,00,6e,00,67,00,65,00,4e,\

00,6f,00,74,00,69,00,66,00,79,00,50,00,72,00,69,00,76,00,69,00,6c,00,65,00,\

67,00,65,00,00,00,53,00,65,00,49,00,6d,00,70,00,65,00,72,00,73,00,6f,00,6e,\

00,61,00,74,00,65,00,50,00,72,00,69,00,76,00,69,00,6c,00,65,00,67,00,65,00,\

00,00,00,00

"DelayedAutoStart"=dword:00000001

"FailureActions"=hex:80,51,01,00,00,00,00,00,00,00,00,00,03,00,00,00,14,00,00,\

00,01,00,00,00,c0,d4,01,00,01,00,00,00,e0,93,04,00,00,00,00,00,00,00,00,00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\wscsvc\Parameters]

"ServiceDllUnloadOnStop"=dword:00000001

"ServiceDll"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,\

00,74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\

77,00,73,00,63,00,73,00,76,00,63,00,2e,00,64,00,6c,00,6c,00,00,00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\wscsvc\Security]

"Security"=hex:01,00,14,80,c8,00,00,00,d4,00,00,00,14,00,00,00,30,00,00,00,02,\

00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,\

00,00,02,00,98,00,06,00,00,00,00,00,14,00,fd,01,02,00,01,01,00,00,00,00,00,\

05,12,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,\

20,02,00,00,00,00,14,00,9d,01,02,00,01,01,00,00,00,00,00,05,04,00,00,00,00,\

00,14,00,8d,01,02,00,01,01,00,00,00,00,00,05,06,00,00,00,00,00,14,00,00,01,\

00,00,01,01,00,00,00,00,00,05,0b,00,00,00,00,00,28,00,15,00,00,00,01,06,00,\

00,00,00,00,05,50,00,00,00,49,59,9d,77,91,56,e5,55,dc,f4,e2,0e,a7,8b,eb,ca,\

7b,42,13,56,01,01,00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,\

00,00,00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\WinDefend]

"DisplayName"="@%ProgramFiles%\\Windows Defender\\MsMpRes.dll,-103"

"ErrorControl"=dword:00000001

"ImagePath"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\

74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\

00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\

6b,00,20,00,73,00,65,00,63,00,73,00,76,00,63,00,73,00,00,00

"Start"=dword:00000002

"Type"=dword:00000020

"Description"="@%ProgramFiles%\\Windows Defender\\MsMpRes.dll,-1176"

"DependOnService"=hex(7):52,00,70,00,63,00,53,00,73,00,00,00,00,00

"ObjectName"="LocalSystem"

"ServiceSidType"=dword:00000001

"RequiredPrivileges"=hex(7):53,00,65,00,49,00,6d,00,70,00,65,00,72,00,73,00,6f,\

00,6e,00,61,00,74,00,65,00,50,00,72,00,69,00,76,00,69,00,6c,00,65,00,67,00,\

65,00,00,00,53,00,65,00,42,00,61,00,63,00,6b,00,75,00,70,00,50,00,72,00,69,\

00,76,00,69,00,6c,00,65,00,67,00,65,00,00,00,53,00,65,00,52,00,65,00,73,00,\

74,00,6f,00,72,00,65,00,50,00,72,00,69,00,76,00,69,00,6c,00,65,00,67,00,65,\

00,00,00,53,00,65,00,44,00,65,00,62,00,75,00,67,00,50,00,72,00,69,00,76,00,\

69,00,6c,00,65,00,67,00,65,00,00,00,53,00,65,00,43,00,68,00,61,00,6e,00,67,\

00,65,00,4e,00,6f,00,74,00,69,00,66,00,79,00,50,00,72,00,69,00,76,00,69,00,\

6c,00,65,00,67,00,65,00,00,00,53,00,65,00,53,00,65,00,63,00,75,00,72,00,69,\

00,74,00,79,00,50,00,72,00,69,00,76,00,69,00,6c,00,65,00,67,00,65,00,00,00,\

53,00,65,00,53,00,68,00,75,00,74,00,64,00,6f,00,77,00,6e,00,50,00,72,00,69,\

00,76,00,69,00,6c,00,65,00,67,00,65,00,00,00,53,00,65,00,49,00,6e,00,63,00,\

72,00,65,00,61,00,73,00,65,00,51,00,75,00,6f,00,74,00,61,00,50,00,72,00,69,\

00,76,00,69,00,6c,00,65,00,67,00,65,00,00,00,53,00,65,00,41,00,73,00,73,00,\

69,00,67,00,6e,00,50,00,72,00,69,00,6d,00,61,00,72,00,79,00,54,00,6f,00,6b,\

00,65,00,6e,00,50,00,72,00,69,00,76,00,69,00,6c,00,65,00,67,00,65,00,00,00,\

00,00

"DelayedAutoStart"=dword:00000001

"FailureActions"=hex:80,51,01,00,00,00,00,00,00,00,00,00,03,00,00,00,14,00,00,\

00,01,00,00,00,60,ea,00,00,01,00,00,00,60,ea,00,00,00,00,00,00,00,00,00,00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\WinDefend\Parameters]

"ServiceDllUnloadOnStop"=dword:00000001

"ServiceDll"=hex(2):25,00,50,00,72,00,6f,00,67,00,72,00,61,00,6d,00,46,00,69,\

00,6c,00,65,00,73,00,25,00,5c,00,57,00,69,00,6e,00,64,00,6f,00,77,00,73,00,\

20,00,44,00,65,00,66,00,65,00,6e,00,64,00,65,00,72,00,5c,00,6d,00,70,00,73,\

00,76,00,63,00,2e,00,64,00,6c,00,6c,00,00,00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\WinDefend\Security]

"Security"=hex:01,00,14,80,dc,00,00,00,e8,00,00,00,14,00,00,00,30,00,00,00,02,\

00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,\

00,00,02,00,ac,00,06,00,00,00,00,00,28,00,ff,01,0f,00,01,06,00,00,00,00,00,\

05,50,00,00,00,b5,89,fb,38,19,84,c2,cb,5c,6c,23,6d,57,00,77,6e,c0,02,64,87,\

00,0b,28,00,00,00,00,10,01,06,00,00,00,00,00,05,50,00,00,00,b5,89,fb,38,19,\

84,c2,cb,5c,6c,23,6d,57,00,77,6e,c0,02,64,87,00,00,14,00,fd,01,02,00,01,01,\

00,00,00,00,00,05,12,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,\

05,20,00,00,00,20,02,00,00,00,00,14,00,9d,01,02,00,01,01,00,00,00,00,00,05,\

04,00,00,00,00,00,14,00,9d,01,02,00,01,01,00,00,00,00,00,05,06,00,00,00,01,\

01,00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\WinDefend\TriggerInfo]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\WinDefend\TriggerInfo\0]

"Type"=dword:00000005

"Action"=dword:00000001

"GUID"=hex:e6,ca,9f,65,db,5b,a9,4d,b1,ff,ca,2a,17,8d,46,e0

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\wuauserv]

"PreshutdownTimeout"=dword:036ee800

"DisplayName"="Windows Update"

"ImagePath"=hex(2):25,00,73,00,79,00,73,00,74,00,65,00,6d,00,72,00,6f,00,6f,00,\

74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\

00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\

6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00

"Description"="@%systemroot%\\system32\\wuaueng.dll,-106"

"ObjectName"="LocalSystem"

"ErrorControl"=dword:00000001

"Start"=dword:00000002

"DelayedAutoStart"=dword:00000001

"Type"=dword:00000020

"DependOnService"=hex(7):72,00,70,00,63,00,73,00,73,00,00,00,00,00

"ServiceSidType"=dword:00000001

"RequiredPrivileges"=hex(7):53,00,65,00,41,00,75,00,64,00,69,00,74,00,50,00,72,\

00,69,00,76,00,69,00,6c,00,65,00,67,00,65,00,00,00,53,00,65,00,43,00,72,00,\

65,00,61,00,74,00,65,00,47,00,6c,00,6f,00,62,00,61,00,6c,00,50,00,72,00,69,\

00,76,00,69,00,6c,00,65,00,67,00,65,00,00,00,53,00,65,00,43,00,72,00,65,00,\

61,00,74,00,65,00,50,00,61,00,67,00,65,00,46,00,69,00,6c,00,65,00,50,00,72,\

00,69,00,76,00,69,00,6c,00,65,00,67,00,65,00,00,00,53,00,65,00,54,00,63,00,\

62,00,50,00,72,00,69,00,76,00,69,00,6c,00,65,00,67,00,65,00,00,00,53,00,65,\

00,41,00,73,00,73,00,69,00,67,00,6e,00,50,00,72,00,69,00,6d,00,61,00,72,00,\

79,00,54,00,6f,00,6b,00,65,00,6e,00,50,00,72,00,69,00,76,00,69,00,6c,00,65,\

00,67,00,65,00,00,00,53,00,65,00,49,00,6d,00,70,00,65,00,72,00,73,00,6f,00,\

6e,00,61,00,74,00,65,00,50,00,72,00,69,00,76,00,69,00,6c,00,65,00,67,00,65,\

00,00,00,53,00,65,00,49,00,6e,00,63,00,72,00,65,00,61,00,73,00,65,00,51,00,\

75,00,6f,00,74,00,61,00,50,00,72,00,69,00,76,00,69,00,6c,00,65,00,67,00,65,\

00,00,00,53,00,65,00,53,00,68,00,75,00,74,00,64,00,6f,00,77,00,6e,00,50,00,\

72,00,69,00,76,00,69,00,6c,00,65,00,67,00,65,00,00,00,00,00

"FailureActions"=hex:80,51,01,00,00,00,00,00,00,00,00,00,03,00,00,00,14,00,00,\

00,01,00,00,00,60,ea,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\wuauserv\Parameters]

"ServiceDll"=hex(2):25,00,73,00,79,00,73,00,74,00,65,00,6d,00,72,00,6f,00,6f,\

00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\

77,00,75,00,61,00,75,00,65,00,6e,00,67,00,2e,00,64,00,6c,00,6c,00,00,00

"ServiceMain"="WUServiceMain"

"ServiceDllUnloadOnStop"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\wuauserv\Security]

"Security"=hex:01,00,14,80,78,00,00,00,84,00,00,00,14,00,00,00,30,00,00,00,02,\

00,1c,00,01,00,00,00,02,80,14,00,ff,00,0f,00,01,01,00,00,00,00,00,01,00,00,\

00,00,02,00,48,00,03,00,00,00,00,00,14,00,9d,00,02,00,01,01,00,00,00,00,00,\

05,0b,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,\

20,02,00,00,00,00,14,00,ff,01,0f,00,01,01,00,00,00,00,00,05,12,00,00,00,01,\

01,00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00

Adnotacja dla innych czytających: import dopasowany do Windows 7.

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.REG > z prawokliku na plik Scal

4. Zresetuj system i wygeneruj nowy log z Farbar Service Scanner. Dołącz log z usuwania OTL z punktu 1. I podaj mi co widzisz w tym folderze:

[2012-07-24 23:49:57 | 000,000,000 | ---D | C] -- C:\ProgramData\ccccccccc

.

Micars · 26 Lipca 2012

Witam

Wykonałem wszystko wedle poleceń - mam nadzieje , że poprawnie .

Dodatkowo ściągnąć musiałem plik MpsSvc.txt bo nie mogłem zrekonstruować zapory przez cmd.

OTL log zamieniłem na *.txt bo nie mogłem dodać załącznika (brak uprawnień).

W folderze jest ko.exe

Powstał on podczas ingerencji wirusa dopatrzyłem się , że vir pochodzi z tego katalogu więc skasowałem w nim co się dało a pozostałem plikowi zmieniłem nazwe i zmieniłem nazwę katalogu na ccccc

Nie wiem czy dobrze robiłem , ale próbowałem.

Nie wiem czy to koniec ale

SERDECZNIE CHCIAŁEM PODZIĘKOWAĆ

i zapytać jak mogę się odwdzięczyć ?

Pozdrawiam

FSS.txt

07262012_080626.txt

picasso · 27 Lipca 2012

Wszystko zrobione, skrypt wykonany, usługi wróciły na miejsce. Przejdź do zamknięć czyszczących:

1. Przez SHIFT+DEL dokasuj cały folder C:\ProgramData\ccccccccc, skoro powstał w czasokresie infekcji.

2. Porządki po narzędziach: w OTL uruchom Sprzątanie, przez SHIFT+DEL skasuj folder C:\FRST oraz resztę używanych.

3. Wyczyść foldery Przywracania systemu: KLIK.

4. Wykonaj pełne (nie ekspresowe) skanowanie w Malwarebytes Anti-Malware. W razie wykrycia czegoś przedstaw raport. Jest prawdopodobne, że MBAM wykryje szczątki po tej infekcji, plik services.exe w kopii tymczasowej natury "pending".

SERDECZNIE CHCIAŁEM PODZIĘKOWAĆ
i zapytać jak mogę się odwdzięczyć ?

W mojej sygnaturze jest prośba o ewentualne wsparcie.

.

Micars · 30 Lipca 2012

Witam ponownie

Zrobiłem wszystko wedle instrukcji .

MBAM znalazło 6 problemów i naprawiło ....

W miedzyczasie znów miałem atak który zaczyna się od próby aktualizacji Adobe i skanu przez Live Sec. Plat.

Aktualizację przerwałem co pomogło mi wyłączyć LSC.

Na razie cisza ..... jak długo ?

Czy warto opłacić MBAM na stałe?

Dziękuję...

wsparłem przez Paypal

Micars · 6 Sierpnia 2012

Mam problem pozostały po wcześniejszych operacjach : na pulpicie działa Autorozmieszczenie wszystkich ustawionych przeze mnie ikon po lewej stronie ekranu (dodam że opcja autorozmieszczanie jest wyłączona). Każde ustawienie jakiejkolwiek ikony w innej pozycji powoduje po wyłączeniu i ponownym włączeniu znowu autorozmieszczenie.

Co z tym zrobić?

Proszę o pomoc ...

picasso · 17 Sierpnia 2012

Mam problem pozostały po wcześniejszych operacjach : na pulpicie działa Autorozmieszczenie wszystkich ustawionych przeze mnie ikon po lewej stronie ekranu (dodam że opcja autorozmieszczanie jest wyłączona). Każde ustawienie jakiejkolwiek ikony w innej pozycji powoduje po wyłączeniu i ponownym włączeniu znowu autorozmieszczenie.

To jest wina klucza infekcji Sirefef. Tym już się zajmował FIX.REG:

Windows Registry Editor Version 5.00 
[-HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}]

Skoro problem znów się ujawnił, to może nastąpiła reinfekcja, bo mówisz:

W miedzyczasie znów miałem atak który zaczyna się od próby aktualizacji Adobe i skanu przez Live Sec. Plat.

Od początku, nowe logi z OTL + SystemLook na warunki:

:reg
HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
 
:filefind
services.exe

.

Edytowane 18 Września 2012 przez picasso
18.09.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso

Zaloguj się

Ciągły restart Windows 7 i wirus sirefef.ah

Rekomendowane odpowiedzi

Micars

picasso

Micars

picasso

Micars

picasso

Micars

Micars

picasso

Ostatnio przeglądający 0 użytkowników

Przeglądaj

Cała aktywność