Auto uruchamianie się małych programików z folderu Temp, blokowanie podglądu plików ukrytych i podejrzane procesy w menedżerze zadań.

[Tomitech]

Zainstalowałem czysty nowy system i było dobrze aż do momentu instalacji deamon tools lite. Miałem Comodo pokazywał mi błędy wiec go odinstalowałem, deamona też. nadal pojawiają się dziwne procesy. Jak zamknę jednego zaraz uruchamia się drugi. Każdy z nich ma przypadkowy ciąg znaków w nazwie.

Raz już z tym walczyłem lecz nie potrafiono mi pomóc. Teraz szukam tutaj pomocy.

Extras.Txt

OTL.Txt

Addition.txt

FRST.txt

checkup.txt

[jessica]

Źle trafiłeś, bo @Picasso nie ma teraz możliwości zbyt dużo czasu poświęcać na pomaganie (długotrwałe kłopoty osobiste)

 

1) Użyj >USBFix
Kliknij w nim na: DELETION.
Daj raport z tego usuwania.

 

2) Zrób nowe logi z FRST.

 

czy Tryb Awaryjny (F8 przed startem Systemu) da się u  ciebie uruchomić.

Pytam, bo zastanawia mnie ten wpis:

=================== Safe Mode (whitelisted) ===================

HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot => "AlternateShell"=""

nietypowy. gdyby po "AlternateShell" było : "cmd.exe", to w logu wcale by nie było tego wpisu (bo: whitelisted)

 

jessi

[Anonim8]

1) Użyj >USBFix

Kliknij w nim na: DELETION.

 

Nie z opcji DELETION tylko LISTING.

Jak zabierasz sie za temat to usuwaj infekcję skryptem a nie jak program to widzi.

[Tomitech]

Witam, sprawdziłem tryb awaryjny śmiga bez problemów. niżej logi o których była mowa.

FRST.txt

UsbFix Listing 2 ADIK1-KOMPUTER.txt

[jessica]

W czasie robienia logu z USBFix nie była podpięta przenośna pamięć (pendrive), z której infekcja przedostała się na dysk twardy.

Usuwamy więc tylko z dysku twardego, pen pozostanie zarażony.

 

Otwórz Notatnik i wklej w nim:

 

C:\Users\Adik1\AppData\Local\Temp\winsysl.exe
C:\xkntgk.pif
C:\tnmdj.exe
D:\sgtufo.pif
D:\autorun.inf
C:\autorun.inf
HKLM-x32\...\Runonce: [] -  [x]

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt. Daj go.

 

Zrób nowe logi z USBFix i FRST.

 

[26/05/2013 - 17:46:52 | A | 9333536]     D:\a5u1t1.exe

Znasz ten plik (z maja br)?

[Tomitech]

zrobiłem i powoli się domyślam czyj to pen drive.

a co do tego pliku to instalka adobe radera 5,0

Fixlog.txt

[Tomitech]

Dodatkowo.

FRST.txt

UsbFix Listing 3 ADIK1-KOMPUTER.txt

[jessica]

Zrób log z OTL, ale na specjalnym ustawieniu:

Procesy - brak
Moduły - brak
Usługi - brak
Sterowniki - brak
Rejestr-skan dodatkowy - brak
zaznacz w okienku przy "Pomiń pliki Microsoftu"
zaznacz w okienku przy "Pomiń znane dobre pliki"
brak zaznaczenia przy "Infekcja LOP"
brak zaznaczenia przy "Infekcja Purity".

W pole Własne opcje skanowania/Scrypt wklej:

 

type C:\autorun.inf /C
type C:\autorun.inf /C

i dopiero wtedy kliknij Skanuj.

 

infekcja rozwija się dalej - zachodzi pytanie: skąd, skoro nie podpinasz pendrive'a?
 

C:\ouqqh.pif

D:\mrxdi.exe

 

jessi

[Tomitech]

Dobre pytanie nie mam pojęcia wydaje mi się ze mam jakiś błąd w rejestrze lub jakieś pół kodu i sam sie uzupełnia z sieci bo inaczej nie mam pojęcia. Dodatkowo nadal sa dziwne procesy w menadżerze zadań co go zamknę pojawia sie następny i wszystkjo ma siedzibe w temp dodatkowo ciagle mi sie kasuje ustawienie podgladu ukrytych plików.

OTL.Txt

[jessica]

Plik "autorun.inf"na pewno należy do infekcji.

Natomiast nie wiem, co znaczą te:

JOoXCcepabHrcpWuQYtoIj XWtQylgkGvyOkSqc

 

Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

 

:Files
C:\ouqqh.pif
C:\autorun.inf
D:\mrxdi.exe
D:\autorun.inf

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.

 

Zrób nowy log z USBFix.

 

jessi

[Tomitech]

po restarcie i nowe skany

UsbFix Listing 4 ADIK1-KOMPUTER.txt

11072013_131520.txt

[jessica]

W nowym logu USBFixa nie widzę już infekcji.

 

Teraz czekaj na @Picasso (nie wiem, kiedy będzie w stanie znów normalnie pomagać na Forum).
Po prostu zaglądaj raz dziennie do swego tematu, by zobaczyć, czy @Picasso już odpowiedziała, czy nie.

 

w międzyczasie możesz zrobić nowe logi z FRST i OTL, by @Picasso, jak tu zajrzy, miała do wglądu aktualne logi.

 

jessi

[Anonim8]

1.Uruchom OTL i kliknij Sprzatanie.

 

2. Wyczyść foldery Przywracania systemu

https://www.fixitpc.pl/topic/5-dezynfekcja-kroki-finalizujace-temat/page__p__42415?do=findComment&comment=42415

[Tomitech]

Dzięki zaraz zrobię i wstawię.

[Anonim8]

by @Picasso, jak tu zajrzy, miała do wglądu aktualne logi.

 

Po co? Jak bedzie chciała to poprosi.

[Tomitech]

Powiem tylko że infekcja znowu powróciła było dobrze przez jeden dzień nie podpinałem ani nic pod usb ani nic nie konfigurowałem nawet nic nie sciagałem.

[Anonim8]

Powiem tylko że infekcja znowu powróciła było dobrze przez jeden dzień nie podpinałem ani nic pod usb ani nic nie konfigurowałem nawet nic nie sciagałem.

 

No to pieknie. Daj nowe logi z USBfix przy podpiętych pendrakach. Wszystkier jakie masz. Oraz logi z OTL i FRST.

[Tomitech]

nowe logi

Addition.txt

Extras.Txt

FRST.txt

OTL.Txt

UsbFix Listing 6 ADIK1-KOMPUTER.txt

[Anonim8]

Spróbujmy usunąc. Pendriwy maja byc podpiete.

 

Uruchom OTL i w oknie własne opcje skanowania/skrypt wklej:

 

:Files
autorun.inf /alldrives
D:\a5u1t1.exe
D:\ggnaqb.pif
G:\iwjkq.pif
I:\vyjgd.pif

:Commands
[emptytemp]

 

Kliknij w Wykonaj skrypt.

 

Po usuwaniu zrób nowy log z USBfix > pendraki maja byc podpiete.

[Tomitech]

No i mam takie coś ze wyskakuje mi ze jakas aplikacja zazwyczaj exe nie przekraczająca 150 kb chce sie połaczyć z internetem i czy zezwalam, jak ją wyłacze w menadżerze wyskakuje pochwili inna też około 150 kb o losowej nazwie i jak ją wyłacze to samo wyskoczy kolejna i kolejna tak do 4 razy potem chwila ciszy i od nowa.

UsbFix Listing 7 ADIK1-KOMPUTER.txt

[Anonim8]

No i mam takie coś ze wyskakuje mi ze jakas aplikacja zazwyczaj exe nie przekraczająca 150 kb chce sie połaczyć z internetem

 

Namierz ten plik i podaj dokładną ściezkę.

[Tomitech]

lokalizacja plików to folder temp nazwa to losowe znaki i tu moje pytanie jak on sie odradza gdzieś co musi siedzieć ze sam sobie wyskakuje co poblokuje i wyczyszcze cały temp on i tak po chwili wyskakuje

[Anonim8]

Zrób logi z OTL.

[Tomitech]

Z frst też i usb ?

OTL.Txt

[Anonim8]

Hm, dyski masz zabezpieczone Pandą. Są na nich ukryte pliki autorun.inf. Jedyne co widzę to

 

Uruchom OTL i w oknie Własne opcje skanowania/skrypt wklej:

 

:Files
C:\wgtoq.pif

:Commands
[emptytemp]

 

Kliknij w Wykonaj skrypt.

 

 

jest też ukryty plik C:\idem.exe

 

ale nie wiem co o nim sądzić instalowałeś takie coś?

http://pl.systemexplorer.net/file-database/file/idem-exe/16217871