Skocz do zawartości

Problem z podmianą zarażonego pliku "ndis.sys"


Rekomendowane odpowiedzi

witam ,

 

mam problem z polaczeniem loklanym.

chodzi chwile po wlaczeniu i nagle przestaje odbierac dane.

zdiagnozowano mi zarazony plik "ndis.sys"

 

niestety rozne proby zastapienia tego pliku nowym nie powiodly sie.

nie moge tworzyc plikow systemowych na moich dyskach.

sciagny na dysk C dobry plik "ndis" zostaje wyrzucany mi do katalogu "temp" pod zupelnie inna nazwa, zmienijaca sie.

OTL.Txt

Extras.Txt

Odnośnik do komentarza
Pomoc jest darmowa, ale proszę rozważ przekazanie dotacji na utrzymanie serwisu: klik.

1. Zabrakło obowiązkowego loga "na rootkity" z GMER.

 

2. Widzę tu ów podstawiony plik NDIS.SYS:

 

DRV - [2010-05-17 11:12:29 | 000,210,816 | ---- | M] () [Kernel | Boot | Running] -- C:\WINDOWS\system32\drivers\ndis.sys -- (NDIS)

 

[2010-05-17 11:12:29 | 000,210,816 | ---- | M] () -- C:\WINDOWS\System32\drivers\ndis.sys

[2010-05-17 11:12:29 | 000,210,816 | ---- | M] () -- C:\WINDOWS\System32\dllcache\ndis.sys

 

niestety rozne proby zastapienia tego pliku nowym nie powiodly sie.

nie moge tworzyc plikow systemowych na moich dyskach.

sciagny na dysk C dobry plik "ndis" zostaje wyrzucany mi do katalogu "temp" pod zupelnie inna nazwa, zmienijaca sie.

 

Metod podmiany pliku jest sporo, najskuteczniejsze to metody z zewnątrz (KLIK). Jeśli plik miałby być podmieniany spod Windows z kopii podanej przed kogoś, przypuszczalnie od razu musi ta kopia być zapisana na dysku pod inną nazwą niż "ndis.sys". Rozpocznij od pobrania i uruchomienia zgodnie z wytycznymi programu ComboFix, który ma wbudowane procedury na detekcję zainfekowanego ndis.sys. Przedstaw wynikowy raport z jego działania.

 

 

.

Odnośnik do komentarza

Raport z ComboFix jest obcięty w dolnej partii. ComboFix odnalazł czystą kopię w cache Przywracania systemu i podmienił:

 

Zainfekowana kopia C:\WINDOWS\system32\drivers\ndis.sys została znaleziona. Problem naprawiono

Plik odzyskano z - C:\System Volume Information\_restore{22B7BB32-0A4B-4369-9F1A-73633046E660}\RP350\A0051822.sys

 

1. Został do ręcznej kasacji jeszcze ten plik, mało istotny w sensie wpływu na system:

 

2010-05-19 13:13:41 . 2010-05-17 09:12:20 16 ----a-w- C:\Documents and Settings\NetworkService\Dane aplikacji\qvjsge.dat

 

W pasku adresów Windows Explorer wklej ścieżkę C:\Documents and Settings\NetworkService\Dane aplikacji, ENTER, i skasuj stamtąd podany plik przez SHIFT+DEL.

 

2. Poza tym, w raporcie ComboFix nie widzę już żadnych szczególnych znaków. Proszę zrób końcowe logi z OTL + w miarę możliwości z GMER (ComboFix to nie jest globalny wykrywacz rootkitów). Jeśli tam będzie wszystko w porządku, przejdziemy do finałowego czyszczenia kosmetycznego. Oczywiście potwierdź czy problem ustał.

 

 

 

.

Odnośnik do komentarza

1. W tej kwestii:

 

tylko na niektorych stronach zawiesza mi sie przegladarka.

 

Po pierwsze widzę tu okropnie przestarzałą wersję Liska oraz Internet Explorer:

 

"Mozilla Firefox (1.5)" = Mozilla Firefox (1.5)

Internet Explorer (Version = 6.0.2900.5512)

 

Pozbądź się tych staroci, zaktualizuj przeglądarki do najnowszych dostępnych wersji. Internet Explorer aktualizowany nawet jeśli z niego nie korzystasz, bo to komponent integrowany mocno z systemem. Sugeruję także pozbyć się nadmiaru zbędnych rozszerzeń / dodatków. Tutaj do deinstalacji: BS Player Toolbar (z obu przeglądarek) + Windows Live Toolbar (z Internet Explorer)

 

2. Oczekują także aktualizacje kolejnych obiektów, które mogą naruszać bezpieczeństwo użytkowania przeglądarek:

 

"{26A24AE4-039D-4CA4-87B4-2F83216012FF}" = Java™ 6 Update 12

"{AC76BA86-7AD7-1045-7B44-A81200000003}" = Adobe Reader 8 - Polish

 

Szczegóły aktualizacyjne rozpisane tutaj: INSTRUKCJE.

 

 

 

.

Odnośnik do komentarza
Gość
Ten temat został zamknięty. Brak możliwości dodania odpowiedzi.
  • Ostatnio przeglądający   0 użytkowników

    • Brak zarejestrowanych użytkowników przeglądających tę stronę.
×
×
  • Dodaj nową pozycję...