Mam wirusy Win32:VB-JSJ [Trj] + Win64:Sirefef-A [Trj]

[kocurek]

Posiadam Windows 7 32bit

 

Avast wyświetla mi cały czas takie wirusy jak w tytule, co mam robić...

 

Włożyłem od znajomej przenośny Internet z sieci P_ _Y i się zaczęło.

Extras.Txt

OTL.Txt

GMER.txt

[Landuss]

Uruchom SystemLook i w oknie wklej:

 

:reg
HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
 
:filefind
services.exe

 

Klik w Look. Przedstaw wynikowy skan.

[kocurek]

Pokazał się Sirefef-AO [Rtk] który cały czas blokuje go Malwarebytes. Raport Look:

 

SystemLook 30.07.11 by jpshortstuff

Log created at 16:45 on 30/07/2012 by Martyna

Administrator - Elevation successful

 

========== reg ==========

 

[HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}]

(No values found)

 

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}]

@="Microsoft WBEM New Event Subsystem"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32]

@="%systemroot%\system32\wbem\wbemess.dll"

"ThreadingModel"="Both"

 

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}]

@="MruPidlList"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32]

@="%SystemRoot%\system32\shell32.dll"

"ThreadingModel"="Apartment"

 

 

========== filefind ==========

 

Searching for "services.exe"

C:\Windows\System32\services.exe --a---- 259072 bytes [23:11 13/07/2009] [01:14 14/07/2009] A302BBFF2A7278C0E239EE5D471D86A9

C:\Windows\winsxs\x86_microsoft-windows-s..s-servicecontroller_31bf3856ad364e35_6.1.7600.16385_none_cf36168b2e9c967b\services.exe --a---- 259072 bytes [23:11 13/07/2009] [01:14 14/07/2009] 5F1B6A9C35D3D5CA72D6D6FDEF9747D6

 

-= EOF =-

[Landuss]

1. Start > w polu szukania wpisz cmd > z prawokliku Uruchom jako Administrator > wklej komendę:

 

sfc /scanfile=C:\Windows\System32\services.exe

 

Zresetuj system.

 

2. Start > w polu szukania wpisz cmd > z prawokliku Uruchom jako Administrator > wklej komendę

 

reg delete HKCU\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /f

 

3. Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst:

 

:Files
C:\Windows\Installer\{f532089e-b08d-2dff-5458-6b572af78863}
 
:OTL
[2012-07-22 13:20:01 | 000,002,112 | ---- | M] () -- C:\Users\Martyna\AppData\Roaming\Mozilla\Firefox\Profiles\26qykdtn.default\searchplugins\wot-safe-search.xml
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Users\Martyna\AppData\Local\Temp\3221d2e30.tmp -- (SirefefRemover)
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\ewusbmdm.sys -- (hwdatacard)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Windows\TEMP\cpuz135\cpuz135_x32.sys -- (cpuz135)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Users\Martyna\Desktop\aida3942(dobreprogramy.pl)\aida32.sys -- (AIDA32Driver)
 
:Commands
[emptytemp]

 

Kliknij w Wykonaj skrypt. Zatwierdź restart komputera.

 

4. Uruchamiasz OTL ponownie, tym razem wywołujesz opcję Skanuj. Pokazujesz nowy log z OTL (bez extras), nowy z SystemLook oraz z Farbar Service Scanner (zaznacz wszystko do skanowania)

[kocurek]

wszystko nowe

FSS.txt

GMER nowy.txt

OTL nowy.Txt

[Landuss]

1. Odbuduj skasowane usługi (w instrukcjach omiń sfc /scannow):

• Rekonstrukcja usług Zapory systemu Windows (MpSvc + Bfe + SharedAccess): KLIK.
  
• Rekonstrukcja usługi Centrum zabezpieczeń: KLIK.
  
• Rekonstrukcja usługi Windows Defender: KLIK.
  
• Rekonstrukcja usługi Aktualizacje automatyczne (wuauserv + BITS): Pobierz fixa i zaimportuj: KLIK
  

2. Pokazujesz nowy log z FSS po wykonaniu wszystkiego.

[kocurek]

Log:

FSS nowy.txt

[Landuss]

To teraz pytanie czy działa zapora?

[kocurek]

Tam to dziadostwo "skasowane" chyba ,bo alerty ucichły z Avasta i Malwarebytes, teraz prz włączeniu ustawień zalecanych zapory wyskakuje to:

ps:. Podziwiam wiedzy !!! aha pozdrowienia dla Picasso tak profilaktycznie, też mi kiedyś pomogła :-)

[Landuss]

Albo czegoś nie zrobiłeś albo coś źle zrobiłeś. Czy ty wykonałeś w ogóle naprawę przez SetACL? Chodzi o uprawnienia. Importy do rejestru to połowa zadania. Jeśli tego nie robiłeś to wykonaj, a jeśli robiłeś zrób ponownie.

[kocurek]

Albo czegoś nie zrobiłeś albo coś źle zrobiłeś. Czy ty wykonałeś w ogóle naprawę przez SetACL? Chodzi o uprawnienia. Importy do rejestru to połowa zadania. Jeśli tego nie robiłeś to wykonaj, a jeśli robiłeś zrób ponownie.

 

 

Set-ACL nie zrobiłem ,ale to dopiero wieczorem bo teraz mam remont kuchni

[kocurek]

Zapora działa po Set-ACL

[Landuss]

No to można wykonać kroki końcowe:

 

1. Użyj opcji Sprzątanie z OTL.

 

2. Opróżnij przywracanie systemu: KLIK

 

3. Zaktualizuj Jave do wersji 7 Update 5. Szczegóły aktualizacyjne: KLIK

 

4. Dla bezpieczeństwa zmień hasła logowania do serwisów w sieci.

[kocurek]

2. Opróżnij przywracanie systemu: KLIK

 

Przy tym wyszło ok ,z tym że podczas zmiany rozmiaru z 1% na 5% i potwierdzeniu zastosuj lub OK wyskakuje mi taki monit, wtedy tylko pomaga opcja anuluj.

 

4. Dla bezpieczeństwa zmień hasła logowania do serwisów w sieci.

 

To mógł ktoś bez proszenia złamać i wejść na salony ?

[Landuss]

Ale nikt ci nie karze tam zmieniać żadnych procentów, masz wyłączyć przywracanie a nie zmniejszać przydzielone dla niego miejsce.

 

To mógł ktoś bez proszenia złamać i wejść na salony ?

 

Dzisiaj wiele infekcji może łowić hasła, lepiej dmuchać na zimne.

[kocurek]

Gotowe

[picasso]

Ja tu mam uwagę apropos błędu "Nazwa pliku, nazwa katalogu lub składnia etykiety woluminu jest niepoprawna. (0x8007007B)". Tu jest wadliwy układ, producent źle serwisował obraz. Ten błąd wynika z duplikatu wejścia dysku C, przy czym wejście numer dwa jest fantomem:

 

Dysk lokalny (C:) System

(C:) (Brak)

 

Należy: dla wejścia numer 1 opróżnić punkty Przwracania systemu, ale dla wejścia numer dwa kompletnie wyłączyć Ochronę.

 

 

 

.