Skocz do zawartości

Bezmyślne użycie ComboFix'a


Rekomendowane odpowiedzi

Jakiś czas temu użyłem bezmyślnie Combo Fixa. Na komputerze miałem dwie partycje i na każdej zainstalowany system Windows XP. Po użyciu Combo Fixa komputer został zablokowany. Używam Windowsa na drugim dysku ale mam zablokowany internet. Ponieważ na tym zablokowanym dysku miałem ważne dla mnie informacje postanowiłem zamieścić ten temat - czy jest dla mnie jakiś ratunek, co mam zrobić, jestem całkowitym laikiem.

Odnośnik do komentarza
Pomoc jest darmowa, ale proszę rozważ przekazanie dotacji na utrzymanie serwisu: klik.

Jak już słusznie zauważyłeś, takie działanie było bezmyślne. Na dysku C: powinien zostać utworzony raport z działania programu pod nazwą ComboFix.txt (w przypadku wielokrotnego użycia plik będzie odpowiednio numerowany). Wrzuć go tutaj w postaci załącznika, bo w obecnej sytuacji nie wiemy zupełnie, co program wykonał. Co do problemu braku połączenia: tutaj (punkt pierwszy). Proponowałbym też bardziej opisać objawy 'zablokowania' komputera.

Odnośnik do komentarza

Objawy zablokowania komputera: po uruchomieniu pojawia się pytanie który system uruchomić : do wyboru

Microsoft WidowsXP Profesional,

Konsola odzyskiwania systemu,

Microsoft WidowsXP Profesional

Gdy wybiorę pozycję pierwszą otwiera się Windows zainstalowany na dysku C (bez podawania nazwy użytkownika i hasła) brak połączenia z internetem

Gdy wybiorę Konsolę odzyskiwania systemu - pojawia się konsola, której nie umiem obsługiwać

Gdy wybiorę pozycję trzecią pojawia się okienko z nazwą użytkownika którą miałem właśnie na dysku D ale nie mogę jej zmienić i wpisać hasła, jak przycisnę ok to pojawia się komunikat wprowadz hasło administratora.

Pliku ComboFix.txt nie znalazłem choć wrzuciłem przeszukiwanie

Odnośnik do komentarza
Jakiś czas temu użyłem bezmyślnie Combo Fixa. Na komputerze miałem dwie partycje i na każdej zainstalowany system Windows XP.

 

Ale z poziomu którego systemu uruchomiłeś ComboFix?

 

 

Pliku ComboFix.txt nie znalazłem choć wrzuciłem przeszukiwanie

 

Czy na pewno w głównym katalogu dysku nie ma pliku X:\ComboFix.txt (gdzie X to litera C lub D)? Czy jest katalog Qoobox?

 

 

Objawy zablokowania komputera: po uruchomieniu pojawia się pytanie który system uruchomić

 

To menu jest normalne, twierdzisz przecież, że masz dwa systemy XP, czyli w boot.ini są dwa wpisy startowe i to już dostateczny powód, by menu startowe się pokazało. Trzeci wpis w zestawie, czyli Konsola Odzyskiwania, to wpis dodany przez ComboFix.

 

 

Gdy wybiorę pozycję trzecią pojawia się okienko z nazwą użytkownika którą miałem właśnie na dysku D ale nie mogę jej zmienić i wpisać hasła, jak przycisnę ok to pojawia się komunikat wprowadz hasło administratora.

 

Nie rozumiem - co to znaczy "nie mogę jej zmienić"? Menu logowania nie udostępnia zmiany, może logować tylko za pomocą już wcześniej wprowadzonych danych. Objaśnij o co tu Ci chodzi.

 

 

Z opisu wynika, że jest dostępny jeden system (tylko nie ma na nim internetu). Toteż dostosuj się do zasad działu i podaj zestaw obowiązkowych logów zrobionych spod tego systemu (narzędzia do generowania logów można dostarczyć np. przez pendrive): KLIK (OTL + GMER).

 

 

.

Odnośnik do komentarza

Ja tu chyba coś pomyliłem - przed tym nieszczęsnym użyciem Combofix'a miałem dwa dyski C i D na których były zainstalowane systemy ja prawdopodobnie korzystałem z systemu na dysku D. Po włączeniu komputera pojawiał się komunikat pytający który system wybieram ja wybierałem pierwszy poczym pokazywało się okienko logowania do systemu windows. miałem dwa konta użytkownika, do jednego należało podać hasło a do dugiego nie. Teraz gdy wybiorę ten drugi system pojawia się okienko logowania z nazwą użytkownika jaką miałem przed awarią i próba wprowadzenia hasła daje komunikat że należy podać hasło administaratora. Przy próbie wpisania innej nazwy użytkownika nie mogę skasować tej poprzedniej nazwy.

Szukałem logu Cmbofix.txt w funkcji wyszukaj ale nic nie zostało wykazane natomiast jak wpisałem nazwę foldera Qoobox wyświetlilo się ponad 500 wskazań (jedna na C:\ i ponad 400 na D:\) poczym wszystko znikło pozostało tylko tło pulpitu. Udało mi się zrobić logi, które załączam.

OTL.Txt

Extras.Txt

GMER.txt

Odnośnik do komentarza

Prócz tego, że na dysku D jest szkodliwa para plików autorun.inf + autoply.exe oraz w rejestrze różne odpadki po już usuwanych szkodnikach, w systemie jest czynna infekcja rootkit, GMER notuje ukryty plik i wpis startowy (plus w sekcji hooków podejrzane działania):

 

---- Registry - GMER 1.0.15 ----

 

Reg HKCU\Software\Microsoft\Windows\CurrentVersion\Run@Najkjx C:\Documents and Settings\stefan\Dane aplikacji\Najkjx.exe

Reg HKCU\Software\Microsoft\Windows\ShellNoRoam\MUICache@C:\Documents and Settings\stefan\Dane aplikacji\Najkjx.exe Najkjx

 

---- Files - GMER 1.0.15 ----

 

File C:\Documents and Settings\stefan\Dane aplikacji\Najkjx.exe 145997 bytes executable

 

Infekcja ta zapewne blokuje serwery związane z oprogramowaniem zabezpieczającym i dostęp do Windows Update. A winę za jej zagnieżdżenie się ponosi całkowicie niezabezpieczony Windows, status krytyczny (!), tylko SP2:

 

Windows XP Professional Edition Dodatek Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation

Internet Explorer (Version = 6.0.2900.2180)

 

Na dokładkę przestarzały antywirus Avast, mający dobre kilka lat.

 

 


Przy usuwaniu infekcji sięgniemy po ComboFix raz jeszcze. Tym razem program będzie instruowany, by usunąć ukryty obiekt.

 

1. W pierwszej kolejności odetnij podstawowe czynniki propagacji robaków, za pomocą Windows Worms Doors Cleaner.

 

2. Pobierz nową kopię ComboFix z linków oferowanych na forum (KLIK). Otwórz Notatnik i wklej w nim:

 

File::
C:\Documents and Settings\stefan\Dane aplikacji\Najkjx.exe
 
Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Najkjx"=-
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\ShellNoRoam\MUICache]
"@C:\Documents and Settings\stefan\Dane aplikacji\Najkjx.exe"=-
[HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"userinit"=-
[HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"userinit"=-
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"Nofolderoptions"=-
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"Nofolderoptions"=-
[-HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\WINDOWS\system32\system.exe"=-
"C:\Documents and Settings\stefan\Dane aplikacji\spoolsv.exe"=-
"C:\WINDOWS\spooldr.exe"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
@="@SYS:DoesNotExist"

 

Plik zapisz pod nazwą CFScript.txt. Przeciągnij go i upuść na ikonę ComboFixa.

 

cfscript.gif

 

3. Po ukończeniu pracy ComboFix przedstaw raport z jego działania oraz zrób nowy log z GMER.

 

 

 

 

.

Odnośnik do komentarza

Włączyłem ComboFix'a po jakimś czasie ukazał się komunikat: Skanowanie w poszukiwaniu zainfekowanych plików ...Zwykle operacja ta nie zajmuje więcej niż 10 min. W przypadku mocno zainfekowanych komputerów czas skanowania może się nieznacznie przedłużyć... upłynęło ponad godzine komputer nie reaguje mysz zablokowana zegar zatrzymał się o godz 12.07 (teraz jest 13.41) co robić?

Odnośnik do komentarza

ComboFixa oczywiście nie miałeś uruchamiać po raz drugi, skoro zawiesiło się pierwsze podejście. Podany log z GMER prezentuje się dobrze, choć to wygląda na szybki preskan a nie skanowanie pełne. Zrób nowy log z OTL, by było wiadomo ile ComboFix wykonał (opcja "Rejestr - skan dodatkowy" musi być zaznaczona na "Użyj filtrowania", by powstał po raz drugi Extras).

 

 

 

.

Odnośnik do komentarza

jast, czas świąteczny. Absencja prowadzących pomoc spodziewana. Mogę tu być tylko w przelotach.

 

Na temat ostatnich logów: ukryta infekcja wygląda na usuniętą (w GMER nie widać wpisu startowego), ale ComboFix nie wykonał pełnej roboty ze względu na zawieszenie. Ładuj poprawkę:

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"Nofolderoptions"=-
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"Nofolderoptions"=-
[-HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\WINDOWS\system32\system.exe"=-
"C:\Documents and Settings\stefan\Dane aplikacji\spoolsv.exe"=-
"C:\WINDOWS\spooldr.exe"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
""="@SYS:DoesNotExist"
 
:OTL
SRV - [2011-06-26 07:45:56 | 000,256,000 | R--- | M] () [Auto | Stopped] -- C:\ComboFix\pev.3XE -- (PEVSystemStart)
O4 - Startup: C:\Documents and Settings\All Users\Menu Start\Programy\Autostart\Office Update.lnk =  File not found
O32 - AutoRun File - [2010-11-11 21:29:37 | 000,000,000 | ---D | M] - C:\autorun.inf -- [ NTFS ]
O32 - AutoRun File - [2007-11-19 14:35:40 | 000,147,456 | RH-- | M] () - D:\autoply.exe -- [ NTFS ]
O32 - AutoRun File - [2011-12-04 06:59:57 | 000,000,301 | RH-- | M] () - D:\Autorun.inf -- [ NTFS ]

 

Klik w Wykonaj skrypt. Z tego działania powstanie log.

 

2. Przedstaw log z wynikami usuwania oraz nowy log z OTL z opcji Skanuj. Wypowiedz się wyraźnie co się dzieje aktualnie w systemie, który był poddawany leczeniu.

 

 

 

 

.

Odnośnik do komentarza

Przepraszam! Przepraszam za moje nerwowe ruchy - jest koniec roku terminy mnie gonią, przydałby się komputer.

 

Po wklejeniu tekstu i kliknięciu w "Wykonaj skrypt" znika OTL i pojawia się komunikat "Wystąpił problem z aplikacją OTL i zostanie ona zamknięta. Przepraszamy za kłopoty :confused: Po ponownym kliknięciu na ikonę OTL pojawia się notatnik z treścią: Files\Folders moved on Reoot... File\Folder C:\Dokuments and Settings\All Users\Menu Start\Programy\Autostart\office update. lnk not found!

Registry entries deleted on Reboot...

Odnośnik do komentarza

W systemie, wg mnie, nie zmieniło się nic, z internetem nadal nie mogę sie połączyć

 

 

OOO przepraszam coś jakby się zmieniło jest to mały detal. Jak już wcześniej wspomniałem :

 

"Objawy zablokowania komputera: po uruchomieniu pojawia się pytanie który system uruchomić : do wyboru

Microsoft WidowsXP Profesional,

Konsola odzyskiwania systemu,

Microsoft WidowsXP Profesional

Gdy wybiorę pozycję pierwszą otwiera się Windows zainstalowany na dysku C (bez podawania nazwy użytkownika i hasła) brak połączenia z internetem

Gdy wybiorę Konsolę odzyskiwania systemu - pojawia się konsola, której nie umiem obsługiwać

Gdy wybiorę pozycję trzecią pojawia się okienko z nazwą użytkownika którą miałem właśnie na dysku D ale nie mogę jej zmienić i wpisać hasła, jak przycisnę ok to pojawia się komunikat wprowadz hasło administratora."

Teraz po przyciśnięciu ok pojawia się komunikat: Zalogowanie się w systemie nie było możliwe. Sprawdź czy używana przez ciebie nazwa użytkownika i hasło są poprawne, a następnie wpisz hasło ponownie. W haśle rozróżniane są wielkie i małe litery. Nadal jednak nie mogę wprowadzić hasła (nazwa użytkownika jest poprawna choć także nie mogę jej zmienić)

Zdaję sobie sprawę, że moje odpowiedzi mogą Ciebie śmieszyć lub irytować ale jestem kompletnym ignorantem szukającym ratunku.

OTL.Txt

Odnośnik do komentarza
  • 2 tygodnie później...
W systemie, wg mnie, nie zmieniło się nic, z internetem nadal nie mogę sie połączyć

 

Ustalmy fakty: jak to się objawia, czy widzisz jakiś określony błąd? W aktualnym raporcie z OTL jedyne co można ewentualnie na chwilę obecną przypasować to ten oto uszczerbek oprogramowania Atheros Wireless - wpis oznaczony jako pozbawiony pliku:

 

O4 - HKLM..\Run: [iNPROCOMMWireless] C:\Program Files\Atheros\Wireless\Utility\WlanUtil.exe File not found

 

Proponuję wstępnie przeinstalować to oprogramowanie.

 

 

Teraz po przyciśnięciu ok pojawia się komunikat: Zalogowanie się w systemie nie było możliwe. Sprawdź czy używana przez ciebie nazwa użytkownika i hasło są poprawne, a następnie wpisz hasło ponownie. W haśle rozróżniane są wielkie i małe litery. Nadal jednak nie mogę wprowadzić hasła (nazwa użytkownika jest poprawna choć także nie mogę jej zmienić)

 

Sprawdź czy da radę zalogować na wbudowane w system serwisowe konto Administrator. Tzn. zastartuj system w Trybie awaryjnym, wybierz z menu ten Windows XP który nie może się zalogować, powinien się ujawnić ekran logowania oferujący dodatkowe konto Administrator.

 

 


Miałeś także przedstawić log z wynikami usuwania (tworzony automatycznie po wykonaniu skryptu), podałeś tylko log z opcji Skanuj. Aktualny log pokazuje niestety nową infekcję (podobiony "userinit") + nie do końca wyczyszczoną infekcję z przenośnych, plik autorun.inf został zresztą uruchomiony, gdyż są nowe zapiski w mapowaniu dysków MountPoints.

 

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
O4 - HKLM..\Run: [soundMax] C:\Documents and Settings\stefan\userinit.exe ()
O32 - AutoRun File - [2011-12-04 06:59:57 | 000,000,301 | RH-- | M] () - D:\Autorun.inf -- [ NTFS ]
 
:Reg
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2]
 
:Commands
[emptytemp]

 

Klik w Wykonaj skrypt.

 

2. Przedstaw: log z wynikami usuwania + nowy log z OTL z opcji Skanuj + log z USBFix z opcji Listing (nie pomyl tego z Research).

 

 

.

Odnośnik do komentarza

Po kliknięciu Wykonaj skrypt w OTL pojawia się komunikat, że System zostanie zamknięty za ileśtam sekund poczym znika pulpit pojawia się niebieskie tło i tak trwa - co mam zrobić? zresetować komputer siłowo ?

 

Po ponownym uruchomieniu OTL wklejeniu text. i wciśnięciu Wykonaj skrypt pojawia się komunikat wystąpiły problemy z aplikacją OTL i zostanie zamknięta a po jakimś czasie znów pojawia się niebieskie tło ??

Odnośnik do komentarza

Oto co udało mi się zrobić

 

W katalogu C:\ OTL nie ma OTL.Txt z dzisiejszą datą jest folder z dzisiejszą datą ale po wejściu jest userinit

Podejrzewam, że mam zainfekowaną pamięć przenośną, której używałem przy przenoszeniu powyższych zalecen. Czym ją przeskanować - miałem już z nią problemy, gdyż po podłączeniu do innego komputera z aktywnym programen antywirusowym, program ten zablokował mi wszystkie foldery.

 

Otworzyłem też Tryb awaryjny pojawiło się okno: Logowanie do systemu Windows

W pozycji Nazwa użytkownika jest moja nazwa ale pomimo najechania kursorem nie mogę zmienić tej nazwy(kursor miga), w pozycji Hasło po najechaniu kursorem nie mogę wprowadzić hasła po kliknięciu na OK Komunikat Zalogowanie w systemie nie było możliwe. Sprawdź, czy używana przez ciebie nazwa użytkownika i hasło są poprawne, a następnie wpisz hasło ponownie.

Extras.Txt

OTL.Txt

UsbFix.txt

Odnośnik do komentarza

Nie odpowiedziałeś na pytania / sugestie: w jaki sposób objawia się brak sieci na XP numer 1 + czy jest możliwe logowanie na wbudowanego Administratora z poziomu startu w Trybie awaryjnym XP numer 2. W kwestii logów: nie wygląda na to, by tu się cokolwiek wykonało.... Na dodatek, są nowe obiekty infekcji (OfficeUpdate.exe + fałszywy svchost.exe)....

 

1. Spróbuj wykonać skrypt OTL z poziomu Trybu awaryjnego Windows. Skrypt o postaci:

 

:OTL
O4 - HKLM..\Run: [soundMax] C:\Documents and Settings\stefan\userinit.exe ()
O4 - Startup: C:\Documents and Settings\All Users\Menu Start\Programy\Autostart\Office Update.lnk = C:\WINDOWS\Web\OfficeUpdate.exe ()
O32 - AutoRun File - [2011-12-04 06:59:57 | 000,000,301 | RH-- | M] () - D:\Autorun.inf -- [ NTFS ]
 
:Reg
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore]
 
:Commands
[emptytemp]

 

2. Przedstawiasz: wyniki usuwania + nowy log z OTL z opcji Skanuj. I odpowiedz na zaległe pytania.

 

 

Podejrzewam, że mam zainfekowaną pamięć przenośną, której używałem przy przenoszeniu powyższych zalecen. Czym ją przeskanować - miałem już z nią problemy, gdyż po podłączeniu do innego komputera z aktywnym programen antywirusowym, program ten zablokował mi wszystkie foldery.

 

Leczony tu system już zabezpieczałam przed automatycznym wykonaniem infekcji z plików autorun.inf umieszczonych na urządzeniach przenośnych, importując do rejestru taką oto edycję:

 

:Reg

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]

""="@SYS:DoesNotExist"

 

Jest ona równoważna z użyciem opcji "Computer Vaccination" w Panda USBVaccine. Ale system jest niezabezpieczony przed infekcjami roznoszonymi metodą skrótów LNK, masz XP w stanie SP2, kompletnie niezabezpieczony (nie ma zainstalowanej łatki chronionącej przed infekcjami LNK). Aktualnie mam jednak nieco związane ręce, sprawy nadal w toku. Dopiero gdy się uporamy z problemami tego systemu, wykonasz aktualizację kompleksową z Windows Update. Następnie podepniesz podejrzaną pamięć, zrobisz log z USBFix z opcji Listing i zobaczymy co tam siedzi na urządzeniu.

 

 

 

.

Odnośnik do komentarza

Przepraszam w chwili gdy próbowałem dopisać kolejne odpowiedzi nagle siadł internet, który mam z kablówki. Teraz już jest i biorę się natychmiast do roboty.

Po włączeniu Trybu awaryjnego nie włącza się możliwość logowania na wbudowanego Administaratora ani ekran logowania oferujący dodatkowe konto. Pojawia się okno logowania tak jak to już opisywałem.

 

Jeśli chodzi o objawy braku internetu to nie wiem jak to mam opisać. Internet mam z bezprzewodowego rutera, ikonka przedstawiająca połączenie z siecią bezprzewodową jest przekreślona, po otworzeniu okna pulpitu pojawia się komunikat Praca w trybie offline Żadne połączenie z internetem nie jest obecnie możliwe..... Próbój ponownie

OTL.Txt

log_Z_usuw.txt

Odnośnik do komentarza

Aktualne logi zdają się potwierdzać wyczyszczenie systemu.

 

1. Uporządkuj po używanych narzędziach. Odinstaluj w prawidłowy sposób ComboFix, w Start > Uruchom > wklejając komendę:

 

"C:\Documents and Settings\stefan\Pulpit\ComboFix.exe" /uninstall

 

Gdy proces się ukończy, możesz zastosować funkcję Sprzątanie w OTL.

 

2. Przeskanuj cały system za pomocą narzędzia Kaspersky Virus Removal Tool. Jeśli jakieś zagrożenia (Detected threats) zostaną wykryte, zaprezentuj je.

 

 

Jeśli chodzi o objawy braku internetu to nie wiem jak to mam opisać. Internet mam z bezprzewodowego rutera, ikonka przedstawiająca połączenie z siecią bezprzewodową jest przekreślona, po otworzeniu okna pulpitu pojawia się komunikat Praca w trybie offline Żadne połączenie z internetem nie jest obecnie możliwe..... Próbój ponownie

 

Jak mówiłam, rozpocznij od przeinstalowania oprogramowania Atheros Wireless.

 

 

Po włączeniu Trybu awaryjnego nie włącza się możliwość logowania na wbudowanego Administaratora ani ekran logowania oferujący dodatkowe konto. Pojawia się okno logowania tak jak to już opisywałem.

 

Z poziomu systemu XP numer 1 sprawdź jaka jest zawartość folderu kont XP numer 2, czyli co widzisz w D:\Documents and settings, jakie foldery tam są.

 

 

 

.

Odnośnik do komentarza
Gość
Ten temat został zamknięty. Brak możliwości dodania odpowiedzi.
  • Ostatnio przeglądający   0 użytkowników

    • Brak zarejestrowanych użytkowników przeglądających tę stronę.
×
×
  • Dodaj nową pozycję...