2x Karta SD zainfekowana

[kaper90]

Witam,

Mam problem z kartami z mojego aparatu.Po zgraniu zdjec od znajomego moj komputer zostal zainfekowany. W tym momencie nie mam dostepu do niego i nie mam jak zrobic logi. Z jakich programow powinienem skorzystac, i kazda karte musze osobno zeskanowac i podeslac logi. Na kartach sa pliki po 1kb karty sa prawie cale zapisane. Prosze o jakies wskazowki od czego musze zaczac.

Pozdrawiam.

Jakub

[picasso]

Po pierwsze należy zrobić logi ogólne, o których mówią zasady: KLIK. Po drugie log dodatkowy USBFix z opcji Listing przy podpiętych urządzeniach. Jeśli nie da się podpiąć więcej niż jednego urządzenia na raz, log z USBFix musi zostać wytworzony kilka razy, dla każdego urządzenia z osobna.

 

 

.

[kaper90]

W załącznikach dodaje pliki z logów pcta i z usb fixa. Prosze o pomoc. Pozdrawiam

 

Kaper

checkup.txt

Extras.Txt

OTL.Txt

UsbFix1.txt

UsbFix2.txt

gmer1.txt

[picasso]

SYSTEM

 

w windows są porobione skróty LNK od infekcji w katalogu systemowym oraz jest adware. Ponadto, Firefox wygląda na odinstalowany i będę usuwać po nim szczątki.

 

1. Odinstaluj adware:

- Otwórz Google Chrome i w Rozszerzeniach odinstaluj StartSearch Video plug-in, vshare plugin, uTorrentControl2. Wejdź do zarządzania wyszukiwarkami i przestaw domyślną z blekko na Google, po tym blekko usuń z listy.

- Przez Panel sterowania: Browsers Protector, Contextual Tool Extrafind, QuickStores-Toolbar 1.1.0, StartSearch Toolbar 1.3, SweetIM for Messenger 3.6, SweetIM Toolbar for Internet Explorer 4.2, uTorrentControl2 Toolbar, vShare.tv plugin 1.3. Przy okazji możesz też usunąć te niepełnosprawne skanery McAfee Security Scan Plus, Norton Security Scan.

 

2. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\Windows\System32\*.lnk
C:\Users\Kaper\Desktop\Continue SweetIM Installation.lnk
C:\Users\Kaper\AppData\Roaming\Babylon
C:\Users\Kaper\AppData\Roaming\BACS.exe
C:\Users\Kaper\AppData\Roaming\mozilla
C:\Program Files\Mozilla Firefox
C:\user.js
C:\found.*
$Recycle.Bin /alldrives
 
:OTL
IE - HKLM\..\SearchScopes\{2CAB1E5D-00DD-4407-897D-FE993804639D}: "URL" = "http://search.sweetim.com/search.asp?src=6&q={searchTerms}"
IE - HKLM\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = "http://search.sweetim.com/search.asp?src=6&crg=3.1010000&st=18&q={searchTerms}&barid={76901730-3C7E-11E1-8783-002556EB46F2}"
IE - HKU\S-1-5-21-532095391-3346952146-3169434041-1000\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = "http://search.babylon.com/?q={searchTerms}&affID=113480&tt=3212_1&babsrc=SP_ss&mntrId=763b9d98000000000000001e653fa9c6"
IE - HKU\S-1-5-21-532095391-3346952146-3169434041-1000\..\SearchScopes\{2CAB1E5D-00DD-4407-897D-FE993804639D}: "URL" = "http://search.sweetim.com/search.asp?src=6&q={searchTerms}"
IE - HKU\S-1-5-21-532095391-3346952146-3169434041-1000\..\SearchScopes\{3BD44F0E-0596-4008-AEE0-45D47E3A8F0E}: "URL" = "http://safesearchr.lavasoft.com/?source=3336ca5f&tbp=rbox&toolbarid=adawaretb&u=1AE11FE0FD699CAD51178E50730F91E3&q={searchTerms}"
IE - HKU\S-1-5-21-532095391-3346952146-3169434041-1000\..\SearchScopes\{95B7759C-8C7F-4BF1-B163-73684A933233}: "URL" = "https://isearch.avg.com/search?cid={FB5C7235-08A6-4C38-8366-45E4BB48BC19}&mid=24c5ff705de847d19c45d16c100faf01-73d1376ca6135a42721f80ef90cab31538f195e3&lang=en&ds=pl011&pr=sa&d=2012-03-12 01:26:02&v=12.2.5.32&sap=dsp&q={searchTerms}"
IE - HKU\S-1-5-21-532095391-3346952146-3169434041-1000\..\SearchScopes\{C66EBED1-0C17-4ED4-835C-DBA01FDCCEA6}: "URL" = "http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT3072253"
IE - HKU\S-1-5-21-532095391-3346952146-3169434041-1000\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = "http://search.sweetim.com/search.asp?src=6&crg=3.1010000&st=18&q={searchTerms}&barid={76901730-3C7E-11E1-8783-002556EB46F2}"
IE - HKLM\..\URLSearchHook: {687578b9-7132-4a7a-80e4-30ee31099e03} - No CLSID value found
O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O3 - HKU\S-1-5-21-532095391-3346952146-3169434041-1000\..\Toolbar\WebBrowser: (no name) - {687578B9-7132-4A7A-80E4-30EE31099E03} - No CLSID value found.
O4 - HKLM..\Run: [ROC_ROC_JULY_P1] "C:\Program Files\AVG Secure Search\ROC_ROC_JULY_P1.exe" / /PROMPT /CMPID=ROC_JULY_P1 File not found
O4 - HKU\.DEFAULT..\Run: []  File not found
O4 - HKU\S-1-5-18..\Run: []  File not found
O4 - HKU\S-1-5-21-532095391-3346952146-3169434041-1000..\Run: []  File not found
O4 - HKLM..\RunOnce: []  File not found
O20 - AppInit_DLLs: (protector.dll) -  File not found
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\wdcsam.sys -- (WDC_SAM)
DRV - File not found [Kernel | Auto | Stopped] -- System32\drivers\aspi32.sys -- (Aspi32)
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"bProtectorDefaultScope"=-
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[-HKEY_CURRENT_USER\Software\Mozilla]
[-HKEY_CURRENT_USER\Software\MozillaPlugins]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Mozilla]
[-HKEY_LOCAL_MACHINE\SOFTWARE\mozilla.org]
[-HKEY_LOCAL_MACHINE\SOFTWARE\MozillaPlugins]
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany.

 

3. Uruchom AdwCleaner i zastosuj Delete. Na dysku C powstanie log z usuwania.

 

4. Zrób nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log z usuwania AdwCleaner z punktu 3.

 

 

URZĄDZENIA

 

Oba urządzenia mają widoczne od infekcji te skróty LNK.

 

1. Urządzenie widziane jako M w logu UsbFix1.txt podpięte. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files

M:\*.lnk

 

Klik w Wykonaj skrypt.

 

2. Urządzenie widziane jako M w logu UsbFix2.txt podpięte. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files

M:\*.lnk
M:\autorun.inf

 

Klik w Wykonaj skrypt.

 

3. Zrób nowe logi USBFix z opcji Listing.

 

 

 

.

[kaper90]

wszystko zrobione. skrypty pomyslnie skany pomyslnie. Wrzucone na serwer. Czekam na dalsze instrukcje gdyż plików narazie nie ma xD.

 

Pozdrawiam

 

Kaper

AdwCleanerS1.txt

OTL.Txt

UsbFix1.txt

UsbFix2.txt

[picasso]

Czekam na dalsze instrukcje gdyż plików narazie nie ma

 

O czym mówisz, o jakich plikach?

 

Wszystko zostało poprawnie usunięte. Zakończ temat:

 

1. Mini poprawka, tzn. ustawienie domyślnej wyszukiwarki w IE (AdwCleaner to wymazał). Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{6A1806CD-94D4-4689-BA73-E35EA1EA9990}"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{6A1806CD-94D4-4689-BA73-E35EA1EA9990}"

 

Klik w Wykonaj skrypt. Tym razem nie będzie restartu.

 

2. Porządki po narzędziach: odinstaluj USBFix, w AdwCleaner użyj Uninstall, w OTL uruchom Sprzątanie.

 

3. Zaktualizuj Adobe i Java: KLIK. To wszystko odinstaluj z systemu:

 

========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83216029F0}" = Java™ 6 Update 29
"{26A24AE4-039D-4CA4-87B4-2F83216031F0}" = Java™ 6 Update 31
"{26A24AE4-039D-4CA4-87B4-2F83216032FF}" = Java™ 6 Update 33
"{AC76BA86-7AD7-1045-7B44-AA1000000001}" = Adobe Reader X (10.1.3) - Polish
"Adobe Flash Player ActiveX" = Adobe Flash Player 11 ActiveX
"Adobe Flash Player Plugin" = Adobe Flash Player 10 Plugin
"Adobe Shockwave Player" = Adobe Shockwave Player 11.6

 

Adobe Flash nie musisz ponownie instalować, jeżeli jedyna używana przeglądarka to Google Chrome (ma własny wewnętrzny Flash).

 

4. Wyczyść foldery Przywracania systemu: KLIK.

 

 

PS. I jeszcze widzę u Ciebie pamięciożernego stwora GG10. Sugeruję obejrzenie alternatyw z obsługą sieci Gadu: WTW, AQQ, Miranda, Kadu. Opisy: KLIK.

 

 

 

.

[kaper90]

I nic. Zrobiłem to co napisałaś. Karty niby mają po 600mb zajęte. Jest to możliwe gdyż z jednego aparatu padła mi bateria a tam jest micro SD adapter a na drugim nie zrobilem wiele zdjęc. Jednak ani na jednej ani na drugiej karcie nie ma zadnego pliku widocznego, nie wiem co jest grane... zdjęcia z 2 tygodni wakacji poszły w niepamięć..... Jakieś propozycje? Będe baaardzo wdzięczny za pomoc.

 

Pozdrawiam

 

Kaper

[picasso]

I nic. Zrobiłem to co napisałaś. Karty niby mają po 600mb zajęte. Jest to możliwe gdyż z jednego aparatu padła mi bateria a tam jest micro SD adapter a na drugim nie zrobilem wiele zdjęc. Jednak ani na jednej ani na drugiej karcie nie ma zadnego pliku widocznego, nie wiem co jest grane... zdjęcia z 2 tygodni wakacji poszły w niepamięć.....

 

Tu jest pewne nieporozumienie, czyszczenie obiektów infekcji a to co opisujesz to dwie różne sprawy. Oczywiście, że na tych urządzeniach są pliki, ukryte przez prymitywne atrybuty HS ("ukryty systemowy"). Na pierwszym urządzeniu jest to katalog DCIM:

 

[24/09/2012 - 02:32:48 | SHD ] 	M:\DCIM

 

Na drugim DCIM + dwa dodatkowe:

 

[26/09/2012 - 04:48:06 | SHD ] 	M:\DCIM
[30/09/2012 - 19:26:54 | SHD ] 	M:\LOST.DIR
[30/09/2012 - 19:26:54 | SHD ] 	M:\.android_secure

 

Nie widzisz tego, bo nie skonfigurowałeś wymaganych opcji widoku w Windows Explorer > Organizuj > Opcje folderów i wyszukiwania > Widok: zaznacz Pokaż ukryte pliki i foldery + odptaszkuj Ukryj chronione pliki systemu operacyjnego. Te dane widać dopiero po odznaczeniu drugiej opcji. Widoczność ukrytych to jedna sprawa, druga sprawa to zamiana ukrytych na stale widoczne:

 

Nie zdejmowałam atrybutów, ponieważ o ile sobie przypominam, to foldery DCIM na kartach są zawsze ukryte. Jeśli chcesz zdjąć te atrybuty, to przy podpiętych urządzeniach Start > w polu szukania wpisz cmd > z prawokliku Uruchom jako Administrator i dla każdego urządzenia po kolei komenda:

 

attrib /d /s -s -h M:\*

 

EDIT: Przepraszam, omyłkowo przekleiłam komendę do OTL. Skorygowane.

 

 

 

.

[kaper90]

Dzieki wielkie wszystko gra ta komende -- attrib /d /s -s -h M:\* /C -- dalem bez /C i działa wszystkie zdjęcia są wszystko działa. Naprawdę świetna strona i naprawdę szybka pomoc. Takich ludzi jak ty brakuje na tym świecie Serdecznie pozdrawiam.

Temat do zamkniecia

 

Kaper