kowcyk Opublikowano 8 Września 2012 Zgłoś Udostępnij Opublikowano 8 Września 2012 Wczoraj w godzinach popołudniowych (sam do końca nie wiem, co ja wtedy takiego musiałem ściągnąć) utworzył mi się w folderze ze zdjęciami plik about.Brontok.A , co jakiś czas uruchamia mi się sam, czytałem już tutaj że jest to jakiś złośliwy robak, chciałbym prosić o pomoc w jego usunięciu, załączam logi z OTL'a. Edit: Dodałem Extras i biorę się do roboty. OTL.Txt Extras.Txt Odnośnik do komentarza
picasso Opublikowano 8 Września 2012 Zgłoś Udostępnij Opublikowano 8 Września 2012 Log z OTL niepełny, brakuje pliku Extras (opcja "Rejestr - skan dodatkowy" nie została ustawiona na "Użyj filtrowania"). 1. Przejdź w Tryb awaryjny Windows. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej: :OTL O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - No CLSID value found. O4 - HKLM..\Run: [bron-Spizaetus] C:\Windows\ShellNew\RakyatKelaparan.exe () O4 - HKCU..\Run: [Tok-Cirrhatus] File not found O4 - HKCU..\Run: [Tok-Cirrhatus-2520] C:\Users\Marcin\AppData\Local\br6063on.exe () O4 - Startup: C:\Users\Marcin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif () O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoFolderOptions = 1 O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegistryTools = 1 O20 - HKLM Winlogon: Shell - ("C:\Windows\KesenjanganSosial.exe") - C:\Windows\KesenjanganSosial.exe () :Files C:\windows\SysWow64\cmd-brontok.exe C:\Users\Marcin\AppData\Local\*.exe C:\Users\Marcin\AppData\Local\Bron* C:\Users\Marcin\AppData\Local\JunkAtx.bin C:\Users\Marcin\Documents\Documents.exe C:\Users\Marcin\AppData\Roaming\mozilla\firefox\profiles\pms3dzvo.default\searchplugins\startsear.xml :Commands [emptytemp] Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Klik w Wykonaj skrypt. System zostanie zrestartowany, otworzy się log z wynikami usuwania. 2. Oinstaluj nośnik adware LiveVDO / vShare, sprawdzając następujące miejsca: Panel sterowania + Google Chrome i menedżer Rozszerzeń. 3. Uruchom AdwCleaner i zastosuj Delete. Z tego działania powstanie log na dysku C. 4. Wygeneruj nowy log OTL z opcji Skanuj (przypominam o Extras). Dołącz log z usuwania OTL z punktu 1 oraz AdwCleaner z punktu 3. . Odnośnik do komentarza
kowcyk Opublikowano 8 Września 2012 Autor Zgłoś Udostępnij Opublikowano 8 Września 2012 ehh, przez przypadek kliknąłem w jakiś folder w który nie powinienem chyba kliknąć, bo pokazywało mi że usunęło to: All processes killed ========== OTL ========== Registry value HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{21FA44EF-376D-4D53-9B0F-8A89D3229068} deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{21FA44EF-376D-4D53-9B0F-8A89D3229068}\ not found. Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\Bron-Spizaetus deleted successfully. C:\Windows\ShellNew\RakyatKelaparan.exe moved successfully. Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\Tok-Cirrhatus deleted successfully. Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\Tok-Cirrhatus-2520 deleted successfully. C:\Users\Marcin\AppData\Local\br6063on.exe moved successfully. C:\Users\Marcin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif moved successfully. Registry value HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoFolderOptions deleted successfully. Registry value HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableRegistryTools deleted successfully. Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\Shell:"C:\Windows\KesenjanganSosial.exe" deleted successfully. C:\Windows\KesenjanganSosial.exe moved successfully. ========== FILES ========== C:\windows\SysWow64\cmd-brontok.exe moved successfully. C:\Users\Marcin\AppData\Local\csrss.exe moved successfully. C:\Users\Marcin\AppData\Local\inetinfo.exe moved successfully. C:\Users\Marcin\AppData\Local\lsass.exe moved successfully. C:\Users\Marcin\AppData\Local\services.exe moved successfully. C:\Users\Marcin\AppData\Local\smss.exe moved successfully. C:\Users\Marcin\AppData\Local\svchost.exe moved successfully. C:\Users\Marcin\AppData\Local\winlogon.exe moved successfully. C:\Users\Marcin\AppData\Local\Bron.tok-17-1 folder moved successfully. C:\Users\Marcin\AppData\Local\Bron.tok-17-11 folder moved successfully. C:\Users\Marcin\AppData\Local\Bron.tok-17-13 folder moved successfully. C:\Users\Marcin\AppData\Local\Bron.tok-17-14 folder moved successfully. C:\Users\Marcin\AppData\Local\Bron.tok-17-15 folder moved successfully. C:\Users\Marcin\AppData\Local\Bron.tok-17-17 folder moved successfully. C:\Users\Marcin\AppData\Local\Bron.tok-17-18 folder moved successfully. C:\Users\Marcin\AppData\Local\Bron.tok-17-19 folder moved successfully. C:\Users\Marcin\AppData\Local\Bron.tok-17-2 folder moved successfully. C:\Users\Marcin\AppData\Local\Bron.tok-17-20 folder moved successfully. C:\Users\Marcin\AppData\Local\Bron.tok-17-21 folder moved successfully. C:\Users\Marcin\AppData\Local\Bron.tok-17-24 folder moved successfully. C:\Users\Marcin\AppData\Local\Bron.tok-17-25 folder moved successfully. C:\Users\Marcin\AppData\Local\Bron.tok-17-27 folder moved successfully. C:\Users\Marcin\AppData\Local\Bron.tok-17-28 folder moved successfully. C:\Users\Marcin\AppData\Local\Bron.tok-17-29 folder moved successfully. C:\Users\Marcin\AppData\Local\Bron.tok-17-3 folder moved successfully. C:\Users\Marcin\AppData\Local\Bron.tok-17-30 folder moved successfully. C:\Users\Marcin\AppData\Local\Bron.tok-17-4 folder moved successfully. C:\Users\Marcin\AppData\Local\Bron.tok-17-5 folder moved successfully. C:\Users\Marcin\AppData\Local\Bron.tok-17-6 folder moved successfully. C:\Users\Marcin\AppData\Local\Bron.tok-17-7 folder moved successfully. C:\Users\Marcin\AppData\Local\Bron.tok-17-8 folder moved successfully. C:\Users\Marcin\AppData\Local\JunkAtx.bin moved successfully. C:\Users\Marcin\Documents\Documents.exe moved successfully. C:\Users\Marcin\AppData\Roaming\mozilla\firefox\profiles\pms3dzvo.default\searchplugins\startsear.xml moved successfully. ========== COMMANDS ========== [EMPTYTEMP] User: All Users User: Default ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes ->Flash cache emptied: 56468 bytes User: Default User ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes ->Flash cache emptied: 0 bytes User: Marcin ->Temp folder emptied: 728434633 bytes ->Temporary Internet Files folder emptied: 53312631 bytes ->Java cache emptied: 49698719 bytes ->FireFox cache emptied: 77488142 bytes ->Google Chrome cache emptied: 421981358 bytes ->Flash cache emptied: 73472 bytes User: Public %systemdrive% .tmp files removed: 0 bytes %systemroot% .tmp files removed: 0 bytes %systemroot%\System32 .tmp files removed: 0 bytes %systemroot%\System32 (64bit) .tmp files removed: 0 bytes %systemroot%\System32\drivers .tmp files removed: 0 bytes Windows Temp folder emptied: 113610617 bytes %systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 68099 bytes RecycleBin emptied: 11884266 bytes Total Files Cleaned = 1 389,00 mb OTL by OldTimer - Version 3.2.61.2 log created on 09082012_162922 Files\Folders moved on Reboot... C:\Users\Marcin\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully. PendingFileRenameOperations files... Registry entries deleted on Reboot... a potem zrobiłem od nowa w OTL skanowanie i... Na dodatek zdublowało mi się lsass.exe, services.exe i winlogon.exe... Extras.Txt OTL.Txt AdwCleanerS1.txt Odnośnik do komentarza
picasso Opublikowano 8 Września 2012 Zgłoś Udostępnij Opublikowano 8 Września 2012 Cóż, powtórka: 1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej: :OTL O4 - HKCU..\Run: [Tok-Cirrhatus] File not found O4 - HKCU..\Run: [Tok-Cirrhatus-2520] C:\Users\Marcin\AppData\Local\br6063on.exe () O4 - Startup: C:\Users\Marcin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif () IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = "http://startsear.ch/?aff=2&src=sp&cf=15ded3d6-f240-11e0-813c-00a0c6000000&q={searchTerms}" IE - HKCU\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = "http://startsear.ch/?aff=2&src=sp&cf=15ded3d6-f240-11e0-813c-00a0c6000000&q={searchTerms}" IE - HKCU\..\SearchScopes\{56A2323A-3725-4249-A0C6-DD29ACC9CB29}: "URL" = "http://startsear.ch/?aff=1&src=sp&cf=15ded3d6-f240-11e0-813c-00a0c6000000&q={searchTerms}" :Files C:\windows\SysWow64\cmd-brontok.exe C:\Users\Marcin\AppData\Local\*.exe C:\Users\Marcin\AppData\Local\Bron* C:\Users\Marcin\AppData\Local\JunkAtx.bin C:\Users\Marcin\Documents\Documents.exe :Reg [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot] "AlternateShell"="cmd.exe" [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes] "DefaultScope"="{29AC6B7D-CBDC-48AC-94C5-165F183ABB67}" [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes] "DefaultScope"="{29AC6B7D-CBDC-48AC-94C5-165F183ABB67}" :Commands [emptytemp] Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Klik w Wykonaj skrypt. 2. Otwórz Google Chrome i w zarządzaniu wyszukiwarkami przestaw domyślną z Web Search na cokolwiek innego, po tym Web Search usuń z listy. W Google Chrome siedzi jeszcze wtyczka vShare: CHR - plugin: vShare.tv plug-in (Enabled) = C:\Users\Marcin\AppData\Local\Google\Chrome\User Data\Default\Extensions\kpionmjnkbpcdpcflammlgllecmejgjj\1.3_0\chvsharetvplg.dll Wykonaj edycję pliku Preferences jak tutaj w punkcie 3: KLIK. 3. Wygeneruj nowy log OTL z opcji Skanuj (bez Extras). Dołącz log z usuwania OTL z punktu 1. . Odnośnik do komentarza
kowcyk Opublikowano 8 Września 2012 Autor Zgłoś Udostępnij Opublikowano 8 Września 2012 robić to już nie z poziomu trybu awaryjnego? Czy koniecznym jednak jest uruchomienie tego trybu? Odnośnik do komentarza
picasso Opublikowano 8 Września 2012 Zgłoś Udostępnij Opublikowano 8 Września 2012 W Trybie awaryjnym, bo redukcja procesów. Odnośnik do komentarza
kowcyk Opublikowano 8 Września 2012 Autor Zgłoś Udostępnij Opublikowano 8 Września 2012 Okej, zrobione - teraz w procesach nie mam już w ogóle lsass, services i winlogon... Załączam logi i czekam na dalsze wskazówki. 09082012_173224.txt OTL.Txt Odnośnik do komentarza
picasso Opublikowano 8 Września 2012 Zgłoś Udostępnij Opublikowano 8 Września 2012 Skrypt wykony, ale wtyczka vShare nadal siedzi w Google Chrome (czy był jakiś problem z edycją Preferences?): CHR - plugin: LiveVDO plug-in (Enabled) = C:\Program Files (x86)\Mozilla Firefox\plugins\npvsharetvplg.dll 1. W AdwCleaner wybierz opcję Uninstall, w OTL uruchom Sprzątanie. 2. Wykonaj pełne skanowanie za pomocą Kaspersky Virus Removal Tool. . Odnośnik do komentarza
kowcyk Opublikowano 8 Września 2012 Autor Zgłoś Udostępnij Opublikowano 8 Września 2012 wykrył mi Kaspersky znowu tego 2012-09-08 19:33:29 Detected: Email-Worm.Win32.Brontok.q C:\Marcin\Gry\CS\CS.exe Odnośnik do komentarza
picasso Opublikowano 8 Września 2012 Zgłoś Udostępnij Opublikowano 8 Września 2012 (edytowane) Czy tylko tyle było w skanie i czy na pewno robiłeś skan pełny? Tu są spodziewane jeszcze wyniki Brontok. A to co wykryte oczywiście do usunięcia, to są pliki Brontok robione na podstawie katalogu do którego się wstawiły, już wcześniej była usuwana "próbka" Documents.exe. Edytowane 8 Października 2012 przez picasso 8.10.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso Odnośnik do komentarza
Rekomendowane odpowiedzi