Trojan.Dropper.BCMiner, Rootkit.0Access

[Lethora]

Witam!

Proszę o pomoc w usunięciu powyższych infekcji.

 

Dane na temat komputera:

Windows 7 Home Premium

Intel® Core(TH) i5-2450M CPU @ 2.50GHz

RAM: 8 GB

 

Log z Malwarebytes Anti-Malware:

http://wklej.org/id/884927/

 

Logi z OTL:

http://wklej.org/id/884929/

http://wklej.org/id/884931/

 

Z góry dziękuje za pomoc.

[picasso]

Wygląda na to, że rootkit jest tu w wariancie modyfikującym systemowy plik services.exe. Wymagane dodatkowe skany.

 

1. Uruchom SystemLook x64 i do skanu wklej:

 

:filefind
services.exe

 

Klik w Look.

 

2. Zrób raport z Farbar Service Scanner.

 

 

 

.

[Lethora]

1. Wynik z SystemLook x64

http://wklej.org/id/884958/

 

2. Raport z Farbar Service Scanner

http://wklej.org/id/884961/

 

Dziękuje za szybką odpowiedź.

[picasso]

Skan SystemLook nie pokazuje naruszenia pliku services.exe, czyli plik musiał już być wcześniej w jakiś sposób leczony. Zostały więc akcje korekcyjne: naprawa uszkodzonego Winsock, usunięcie plików trojana, odbudowa usług. Farbar Service Scanner mówi, że trojan zrobił szkody, skasowane z rejestru usługi Zapory systemu, Centrum zabezpieczeń, Windows Update i Windows Defender. Przeprowadź następujące czynności:

 

1. Start > w polu szukania wpisz cmd > z prawokliku Uruchom jako Administrator > wpisz komendę:

 

netsh winsock reset

 

2. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\Windows\Installer\{129190d4-e2d0-67c7-3faf-dfd8cbbdf2e7}
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. Zatwierdź restart systemu.

 

3. Zrekonstruuj usunięte usługi za pomocą ServicesRepair.

 

3. Odinstaluj dziwny Mega Codec Pack (były tematy na forum z podejrzanym zachowaniem tego pakietu). Deinstalator prawdopodobnie jest w Menu Start.

 

4. Zrób nowy log OTL z opcji Skanuj (już bez Extras), Farbar Service Scanner oraz SystemLook na warunek:

 

:reg

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers

 

 

 

.

[Lethora]

Zrobiłam wszystko według instrukcji.

 

OTL:

http://wklej.org/id/885093/

 

Farbar Service Scanner:

http://wklej.org/id/885088/

 

SystemLook:

http://wklej.org/id/885089/

[picasso]

Wszystko poprawnie wykonane, szkodliwe modyfikacje zlikwidowane. Kończymy:

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\ProgramData\Windows Codecs
C:\Program Files (x86)\Mega Codec Pack
C:\Users\Kasia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Mega Codec Pack

 

Klik w Wykonaj skrypt.

 

2. W OTL uruchom Sprzątanie, resztę użytych narzędzi możesz skasować.

 

3. Wyczyść foldery Przywracania systemu: KLIK.

 

4. Zaktualizuj wyliczone poniżej programy:

 

========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83216031FF}" = Java™ 6 Update 31
"{26A24AE4-039D-4CA4-87B4-2F83217007FF}" = Java 7 Update 7
"{90140011-0066-0415-0000-0000000FF1CE}" = Microsoft Office Starter 2010 - Polski
"Adobe Flash Player ActiveX" = Adobe Flash Player 11 ActiveX (wtyczka dla IE)
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin (wtyczka dla Firefox)
"Foxit Reader_is1" = Foxit Reader 5.1
"Mozilla Firefox 16.0.2 (x86 pl)" = Mozilla Firefox 16.0.2 (x86 pl)
 
FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\windows\SysWOW64\Macromed\Flash\NPSWF32_11_4_402_287.dll ()

 

W podsumowaniu: odinstaluj wszystkie wyliczone pozycje Adobe / Foxit / Java i zastąp najnowszymi wersjami, zaktualizuj Firefox, zainstaluj psakiet SP1 dla Office 2010: KLIK.

 

5. Na wszelki dla bezpieczeństwa wypadek zmień hasła logowania w serwisach.

 

 

.

 

 

[Lethora]

Zrobiłam wszystko według zaleceń, aktualizuje programy, zmieniłam hasła. Centrum akcji i zapora działają, więc myślę, że wszystko jest w porządku.

Bardzo dziękuje za pomoc.