Koń trojański PSW.Generic10

pzm · 29 Września 2012

Witaj,dzisiaj podczas aktualizacji antywirusa AVG, wykrył mi on międzyinnymi właśnie tego konia trojańskiego,problem w tym że kiedy chciałem go usunąć otrzymałem komunikat że obiekt nie istnieje lub dostęp do niego jest niemożliwy,dlatego chciałem się zorientować czy jednak mam go wciąż na dysku,zrobiłem log OTL,nie robiłem GMER'U nie wiem czy jest konieczny również? takie wyskakujące alerty że mam zainfekowane pliki zaczęły mi się pojawiać kilka dni temu jak otworzyłem wiadomość którą otrzymałem że ktoś próbował zmienić hasło do mojego konta na Allegro i był podany link ja niechcący kliknałem i zaczęło się coś ściągać ale własnie antywirus natychmiast zareagował wykrył konia trojańskiego już nie pamietam jakiego i zaczął blokowac i usuwac ten syf więc chyba nie 'wkradl' mi się do kompa całkowicie,sam nie wiem, potem czyściłem komputer programem antymalware i antywirusem i jeszcze tam jakims dodatkiem do Kasperskiego i powykrywały mi te programy jakis konie trojańskie i wirusy ale wszystko dało się usunąć i dziś znowu właśnie AVG mi wykrył tego konia ...

w kwarantannie wirusów w AVG mam takie wpisy

infekcja znaleziony wirus Win32/Cryptor

ostrzeżenie Znaleziono klucz rejestru z odniesieniem do zainfekowanego pliku C:\Documents and Settings\Przemek\Dane aplikacji\Ytvuet\obapx.exe

infekcja Koń trojański PSW.Generic10.TXX

ostrzeżenie Znaleziono klucz rejestru z odniesieniem do zainfekowanego pliku C:\Documents and Settings\Przemek\Dane aplikacji\Ytvuet\obapx.exe

infekcja Koń trojański PSW.Generic10.TXX

słuchaj mam kilka wirtualnych zainstalowanych napędów czy musze je odinstalowywać robiąc ten GMER ?

z tym że ta informacja o wirusie Cryptor jest z 26 września a nie z dziś ...

OTL.Txt

Extras.Txt

picasso · 29 Września 2012

EDIT: Miałeś logi podmienić w pierwszym poście. Sklejam posty tak, by był logiczny ciąg zdarzeń.

nie robiłem GMER'U nie wiem czy jest konieczny również?

Raport obowiązkowy w dziale diagnostyki infekcji.

słuchaj mam kilka wirtualnych zainstalowanych napędów czy musze je odinstalowywać robiąc ten GMER ?

Jeśli chcesz mieć porządnie sprawdzony system, to GMER należy pokazać. Przed jego uruchomieniem należy wybrać jedno z dwóch: albo odinstalować cały program DAEMON Tools i jego sterownik SPTD, albo tylko wyłączyć sterownik SPTD za pomocą Defogger. Wszystko opisane w ogłoszeniu: KLIK.

Przechodząc do usuwania szczątków infekcji (przy okazji i innych odpadków):

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

:Files
C:\Documents and Settings\Przemek\Dane aplikacji\Ytvuet
C:\Documents and Settings\Przemek\Dane aplikacji\Viyn
C:\Documents and Settings\Przemek\Dane aplikacji\Fola
C:\Documents and Settings\Przemek\Dane aplikacji\Ylac
C:\Documents and Settings\Przemek\Dane aplikacji\Qayx
C:\Documents and Settings\Przemek\Dane aplikacji\Ciotk
C:\Documents and Settings\Przemek\Dane aplikacji\SendSpace
C:\Documents and Settings\All Users\Dane aplikacji\Premium
C:\Documents and Settings\All Users\Dane aplikacji\InstallMate
 
:OTL
O4 - HKU\S-1-5-21-1482476501-1757981266-839522115-1003..\Run: [Yhniwiu] "C:\Documents and Settings\Przemek\Dane aplikacji\Ytvuet\obapx.exe" File not found
IE - HKLM\..\SearchScopes\{099EF85B-3260-4b87-9239-33355EE6A548}: "URL" = "http://results.myway.com/GGmain.jhtml?id=YI&ptb=0C821106-5FDA-4E00-A078-AD4DA2108350&psa=&ind=2010070716&ptnrS=YI&si=&st=sb&n=&searchfor={searchTerms}"
IE - HKU\S-1-5-21-1482476501-1757981266-839522115-1003\..\SearchScopes\{099EF85B-3260-4b87-9239-33355EE6A548}: "URL" = "http://results.myway.com/GGmain.jhtml?id=YI&ptb=0C821106-5FDA-4E00-A078-AD4DA2108350&psa=&ind=2010070716&ptnrS=YI&si=&st=sb&n=&searchfor={searchTerms}"
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\RTL8139.SYS -- (rtl8139)
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\drivers\h648103.sys -- (h648103)
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\drivers\h648101.sys -- (h648101)
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\drivers\h647906.sys -- (h647906)
DRV - File not found [Kernel | Boot | Stopped] -- system32\DRIVERS\a347bus.sys -- (a347bus)
 
:Reg
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\WINDOWS\explorer.exe"=-
 
:Commands
[emptytemp]

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

Klik w Wykonaj skrypt. System zostanie zrestartowany.

2. Zrób nowy log OTL z opcji Skanuj (już bez Extras).

.

pzm · 29 Września 2012

zamieszczam log i to co mi wyskoczyło po zrestartowania komputera

All processes killed

========== FILES ==========

C:\Documents and Settings\Przemek\Dane aplikacji\Ytvuet folder moved successfully.

C:\Documents and Settings\Przemek\Dane aplikacji\Viyn folder moved successfully.

C:\Documents and Settings\Przemek\Dane aplikacji\Fola folder moved successfully.

C:\Documents and Settings\Przemek\Dane aplikacji\Ylac folder moved successfully.

C:\Documents and Settings\Przemek\Dane aplikacji\Qayx folder moved successfully.

C:\Documents and Settings\Przemek\Dane aplikacji\Ciotk folder moved successfully.

C:\Documents and Settings\Przemek\Dane aplikacji\SendSpace folder moved successfully.

C:\Documents and Settings\All Users\Dane aplikacji\Premium\Setup folder moved successfully.

C:\Documents and Settings\All Users\Dane aplikacji\Premium folder moved successfully.

C:\Documents and Settings\All Users\Dane aplikacji\InstallMate\{1D40D775-1CA3-C7FC-F105-189E196C2608}\E8DAAC370E84D2A3 folder moved successfully.

C:\Documents and Settings\All Users\Dane aplikacji\InstallMate\{1D40D775-1CA3-C7FC-F105-189E196C2608} folder moved successfully.

C:\Documents and Settings\All Users\Dane aplikacji\InstallMate folder moved successfully.

========== OTL ==========

Registry value HKEY_USERS\S-1-5-21-1482476501-1757981266-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Run\\Yhniwiu deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{099EF85B-3260-4b87-9239-33355EE6A548}\ deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{099EF85B-3260-4b87-9239-33355EE6A548}\ not found.

Registry key HKEY_USERS\S-1-5-21-1482476501-1757981266-839522115-1003\Software\Microsoft\Internet Explorer\SearchScopes\{099EF85B-3260-4b87-9239-33355EE6A548}\ deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{099EF85B-3260-4b87-9239-33355EE6A548}\ not found.

Service rtl8139 stopped successfully!

Service rtl8139 deleted successfully!

File system32\DRIVERS\RTL8139.SYS not found.

Service h648103 stopped successfully!

Service h648103 deleted successfully!

File system32\drivers\h648103.sys not found.

Service h648101 stopped successfully!

Service h648101 deleted successfully!

File system32\drivers\h648101.sys not found.

Service h647906 stopped successfully!

Service h647906 deleted successfully!

File system32\drivers\h647906.sys not found.

Service a347bus stopped successfully!

Service a347bus deleted successfully!

File system32\DRIVERS\a347bus.sys not found.

========== REGISTRY ==========

Registry value HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\\C:\WINDOWS\explorer.exe deleted successfully.

========== COMMANDS ==========

[EMPTYTEMP]

User: Administrator