Virus.Win32.Neshta.a - Infekcja plików wykonywalnych

[picasso]

Program USBFix robi blokadę w inny sposób, tworzy falsyfikaty zablokowanych folderów. Metoda realizowana w Pandzie blokuje najskuteczniej: plik autorun.inf w ogóle nie jest rozpoznawany przez system i nie ma potrzeby tworzyć sztucznych obiektów na wszystkich dyskach.

 

 

 

.

[pabl00]

Nareszcie pierwsza partycja Systemowa: http://hostuje.net/file.php?id=1bf4f71d73093a63cfb5922678faa98d

Czy można wyleczyć plik /MinecraftSP.exe ?

Mam mało czasu i następne dwie dodam do środy/czwartku.

 

p.s.

Można już instalować antywirusa i firewalla?

[picasso]

Na przejrzenie raportu potrzebuję więcej czasu. Uwaga ogólna: cokolwiek czego nie da się wyleczyć musi być usunięte i przeinstalowane z czystego instalatora.

 

 

p.s.

Można już instalować antywirusa i firewalla?

Najpierw ukończ wszystkie skany Kasperskym. Zainstalowany w pełni działający antywirus może mu przeszkadzać.

 

 

 

.

[pabl00]

Okej zaczekam tylko boję się na zagrożenia płynące z internetu, ale uważam na co wchodzę, więc nie powinno nic wejść.

Czy z tych wszystkich logów które podałem wynika że był tylko wirus wykonywalny Neshta, czy jeszcze jakiś?

[pabl00]

Partycja D: http://hostuje.net/file.php?id=ce09f52bcbbe11e5c783f6a9a79eece2

jutro ostatnia

[pabl00]

Gotowe.

Systemowa C: http://hostuje.net/file.php?id=1bf4f71d73093a63cfb5922678faa98d

D: http://hostuje.net/file.php?id=ce09f52bcbbe11e5c783f6a9a79eece2

E: http://hostuje.net/file.php?id=db7c570e9c1980dff6d6e8740f1ec090

[picasso]

Podane raporty z Kasperskiego są zbyt szerokie i ich odczytanie jest bardzo mozolne, mnie chodziło o podanie tylko wyników infekcyjnych a nie wszystkich jak leci (wyniki typu OK, Password protected są nieistotne). Czy jesteś w stanie z opcji Kasperskiego przekleić tylko te wyniki, które wyraźnie mówią o infekcjach?

 

 

 

.

[pabl00]

C: http://wklej.org/id/1355456/

E: http://wklej.org/id/1355457/

D: http://wklej.org/id/1355460/

[picasso]

Usuń ręcznie całe instalacje Minecraft i Yitian2, zamienisz je świeżymi. A wszystko z folderów System Volume Information (foldery Przywracania systemu) powinno zostać zredukowane poprzez powtórzenie tego działania:

 

4. Wyczyść foldery Przywracania systemu: KLIK.

Natomiast detekcje Switchbotv3.exe i UsbFix.exe nie wyglądają na rzeczywiste infekcje.

 

 

 

.

[pabl00]

Co to znaczy że nie wyglądają na rzeczywiste infekcje?

Można już instalować pakiet zabezpieczeń?

[picasso]

Co to znaczy że nie wyglądają na rzeczywiste infekcje?

Miałam na myśli, iż wykrycie "keyloggera" w USBFix to fałszywy alarm. Natomiast detekcja w Switchbotv3.exe nie jest pewna i na wszelki wypadek pozbądź się tego.

 

 

Można już instalować pakiet zabezpieczeń?

Tak.

 

 

 

.

[pabl00]

Ok to będzie na tyle?

[picasso]

Tak, to już koniec zadań.

[pabl00]

Avast znalazł wirusy w system volume information.

Usunąć je?

[picasso]

Katalogi System Volume Information miały być wyczyszczone w ten sposób:

 

4. Wyczyść foldery Przywracania systemu: KLIK.

Czy to było zrobione, czy jest z tym jakiś problem? Po przeprowadzeniu tego działania antywirus nie powinien nic wykrywać w SVI...

 

 

.

[pabl00]

Zrobiłem tą czynność poprawnie nawet 2 razy, a nadal tam wykrywa.

 

Jeszcze jedno po zainstalowaniu avasta i comodo firewall komputer ma strasznie wolny autostart. Od ekranu przywitalnego do normalnego korzystania upływają średnio 4 minuty.

Może jakieś inne połączenie było by lepsze dla słabego komputera?

[picasso]

Zrobiłem tą czynność poprawnie nawet 2 razy, a nadal tam wykrywa.

Na którym z dysków? W związku z tym spróbuj usunąć to antywiusem.

 

 

Jeszcze jedno po zainstalowaniu avasta i comodo firewall komputer ma strasznie wolny autostart. Od ekranu przywitalnego do normalnego korzystania upływają średnio 4 minuty.

 

Może jakieś inne połączenie było by lepsze dla słabego komputera?

Może sprawdź jak zachowa się połączenie Avast z PrivateFirewall.

 

 

 

.

[pabl00]

Na którym z dysków? W związku z tym spróbuj usunąć to antywiusem.

Wyczyściłem foldery na wszystkich dyskach. Wirusy znajduje tylko na C.

Dziwne jest to że ten folder system volume cały czas się zaraża nawet jak się usunie wirusy.

[picasso]

System Volume Information nosi tylko kopie plików pod zmienionymi nazwami. Skoro cały czas są znajdowane tam zagrożenia, albo albo: antywirus udaje że czyści, trwa infekcja. Przeklej mi z wyników Avast jak konkretnie wykrył on te zagrożenia.

 

 

.

[pabl00]

Już jest dobrze, system nie wykrywa zagrożenia w System Volume Information. Wirusy te usunął Avast. 

Po usunięciu tego zagrożenia zauważyłem że nie mogłem: pisać, nie działał lewy przycisk myszki, przy otwieraniu folderów/aplikacji lewym klawiszem przez dwóklik wyskoczyła opcja - Właściwości.

Po resecie kompa wszystko wróciło do normy.

EDIT:

Avast wykrywa na nowo pliki zarażone neshtą w system volume information na wszystkich dyskach. Nie jest to przerażająca liczba, ale jednak wykrywa.

 

Jeszcze jedno, wirusa Neshte mogę mieć na pamięciach przenośnych. Usunąć przez UsbFix?

Edytowane 12 Maja 2014 przez pabl00

[picasso]

Avast wykrywa na nowo pliki zarażone neshtą w system volume information na wszystkich dyskach. Nie jest to przerażająca liczba, ale jednak wykrywa.

Czy na pewno wirus jest tylko tam wykrywany, robiłeś pełny skan? Objaw brzmi niepokojąco, tak jakby wirus działał, a do System Volume Information były kopiowane obiekty zarażone w innych miejscach.

 

 

Jeszcze jedno, wirusa Neshte mogę mieć na pamięciach przenośnych. Usunąć przez UsbFix?

USBFix nie zajmuje się usuwaniem wirusów tego typu (wirus może być przecież w wykonywalnym). Tu najlepiej sformatować pendrive.

 

 

 

.

[pabl00]

Przerzuciłem się na COMODO i nie mogę przeskanować nim folderów system volume information

 

EDIT

Przed chwilą wykonałem skan kav rescue i wykrył infekcje w C/system volume information

http://wklej.org/id/1363527/

 

Najwyraźniej infekcja wraca.

Edytowane 16 Maja 2014 przez pabl00

[pabl00]

To co robimy z tymi folderami (system volume information) ??

[picasso]

Spróbuj ten folder wyzerować ręcznie. Jeśli infekcja tam ponownie zostanie wykryta, wtedy będziemy rozważać jak do tego się zabrać.

 

1. Otwórz Notatnik i wklej w nim:

 

RemoveDirectory: C:\System Volume Information
Reboot:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Wejdź w Tryb awaryjny Windows. Uruchom FRST i kliknij w Fix. Powstanie fixlog.txt, który masz przedstawić.

 

2. Po autorestarcie Windows usunięty folder (o ile FRST da radę) powinien się zregenerować jako pusty.

 

 

 

 

.

[pabl00]

fixlog.txt - http://wklej.org/id/1370020/

 

Powiem tak, COMODO tam nic nie wykrywał. Dopiero kav rescue wykrył. A może po prostu ten kaspersky źle czyta kod tych plików czy coś?

Zaraz włączam skan i zobaczymy czy coś wykryje.

 

edytowane:

COMODO Internet Security i Kav Rescue nie wykrywa zagrożenia

Jeszcze dla pewności przeskanuje jutro i zobaczymy.

Edytowane 23 Maja 2014 przez pabl00