Keylogger rjlb.dll - programy nie działają

bako22 · 31 Maja 2012

Widziałem że jest juz wiele podobnych tematów na tym forum i ja sie niestety podpinam pod ten sam problem ;/ zabawa w OTSy i zainfekowane paczki Tibii. proszę o waszą pomoc. skanowałem kompa Kaspersky virus removal tool i znalazło mi zainfekowany plik rjlb.dll no i usnunałem go (teraz wiem ze to był bład). wszystkie programy łączące mi sie z internetem nie chcą się włączyć (pisze z innego komputera domowego). OTL nie chce sie uruchomić więc narazie logów nie moge wysłać. Szukałem pomocy jeszcze na innym forum i skanowąłem juz komputer wieloma programami które mi tam polecono ale w koncu na rjlb.dll natrafiłem przez skanowanie komputera kasperskym i zacząłem czytać okazało sie ze t to czego szukałem. Moglibyście mi doradzic co mam zrobic żeby drugim komputer zaczał mi działać a potem jak pozbyc sie tego keyloggera ?

picasso · 31 Maja 2012

No dobrze, ale jaki system oraz 32-bit czy 64-bit? Bez znajomości platformy nawet nie można nic zalecić, bo leczenie tej infekcji wymaga podmiany określonego pliku systemowego i wersja Windows musi być po prostu znana.

bako22 · 31 Maja 2012

aaa tak zapomniałem, przepraszam.

Windows 7, system 64 bitowy, service pack 1

Tak własnie czytałem o tym podmienianiu plików i chciałem prosić o pomoc w tym co po kolei mam zrobić. jak tylko zadziała wrzuce logi z OTL'a

pozdrawiam.

@edit

przywróciłem system poprzez punkt przywracania systemu i wszystkie aplikacje i programy działają na nowo. ale plik rjlb.dll dalej jest w folderze sysWOW64

i co teraz ?

picasso · 31 Maja 2012

Przywracanie systemu było ... niepotrzebne (to kwestia jednej podmiany pliku), a niedziałające programy były tylko 32-bitowe = czyli Internet Explorer 64-bit (skrót w Menu start) umożliwiający komunikację na forum powinien był działać.

1. Proszę o skan na wersje pliku, uruchom SystemLook x64 i do okna wklej:

:filefind
ws2_32.dll

Klik w Look. Przedstaw raport.

2. Poza tym, skoro Przywróciłeś system, obowiązkowe są logi i z OTL.

.

bako22 · 31 Maja 2012

Ale nie działa mi przeglądarka a a interner explorer i google chrome (jedyne przeglądarki) nie włączały się, dlatego przywróciłem system. to bardzo źle ?

SystemLook.txt

SystemLook 30.07.11 by jpshortstuff
Log created at 22:14 on 31/05/2012 by Bartek
Administrator - Elevation successful
========== filefind ==========
Searching for "ws2_32.dll"
C:\Windows\System32\ws2_32.dll --a---- 297984 bytes [06:48 21/06/2011] [13:27 20/11/2010] 4BBFA57F594F7E8A8EDC8F377184C3F0
C:\Windows\SysWOW64\ws2_32.dll --a---- 207360 bytes [06:47 21/06/2011] [14:37 23/01/2012] 131970B01C07AE2F94814FCD767EBAF7
C:\Windows\winsxs\amd64_microsoft-windows-w..nfrastructure-ws232_31bf3856ad364e35_6.1.7600.16385_none_4eaca269e8070c6b\ws2_32.dll --a---- 296448 bytes [23:21 13/07/2009] [01:41 14/07/2009] 7083F463788CB34FCC42F565D56F89E8
C:\Windows\winsxs\amd64_microsoft-windows-w..nfrastructure-ws232_31bf3856ad364e35_6.1.7601.17514_none_50ddb631e4f59005\ws2_32.dll --a---- 297984 bytes [06:48 21/06/2011] [13:27 20/11/2010] 4BBFA57F594F7E8A8EDC8F377184C3F0
C:\Windows\winsxs\x86_microsoft-windows-w..nfrastructure-ws232_31bf3856ad364e35_6.1.7600.16385_none_f28e06e62fa99b35\ws2_32.dll --a---- 206336 bytes [23:12 13/07/2009] [01:16 14/07/2009] DAAE8A9B8C0ACC7F858454132553C30D
C:\Windows\winsxs\x86_microsoft-windows-w..nfrastructure-ws232_31bf3856ad364e35_6.1.7601.17514_none_f4bf1aae2c981ecf\ws2_32.dll --a---- 206848 bytes [06:47 21/06/2011] [12:21 20/11/2010] 7FF15A4F092CD4A96055BA69F903E3E9
-= EOF =-

logi z OTL'a

OTL.Txt

http://wklej.org/id/764267/

Extras.Txt

http://wklej.org/id/764268/

picasso · 31 Maja 2012

Cytat
Ale nie działa mi przeglądarka a a interner explorer i google chrome (jedyne przeglądarki) nie włączały się, dlatego przywróciłem system. to bardzo źle ?

Są dwie wersje Internet Explorer w systemie x64: 64-bit i 32-bit, a domyślnie jest ustawiona 32-bit (i pewnie tę uruchamiałeś). Jak powiedziałam: "Internet Explorer 64-bit (skrót w Menu Start) umożliwiający komunikację na forum powinien był działać". Google Chrome oraz Internet Explorer na przycisku Paska zadań to wersje 32-bit i te nie będą działać = infekcja rjlb.dll ma wpływ tylko i wyłącznie na 32-bitowe programy. Przywracanie systemu nie zaszkodziło, ale było po prostu zbędne, bo usunięcie tej infekcji przy niedziałających programach jest proste, jedna podmiana pliku i z głowy.

Przechodząc do usuwania, w pierwszej kolejności musi być zamieniony prawidłową kopią 32-bitowy plik systemowy ws2_32.dll (infekcja go podstawiła), dopiero po tym można kasować plik rjlb.dll. Prawidłową kopię pliku posiadasz w systemie w katalogu WinSxS.

1. Uruchom BlitzBlank i w karcie Script wklej:

CopyFile:
C:\Windows\winsxs\x86_microsoft-windows-w..nfrastructure-ws232_31bf3856ad364e35_6.1.7601.17514_none_f4bf1aae2c981ecf\ws2_32.dll C:\Windows\SysWOW64\ws2_32.dll

Klik w Execute Now. Zatwierdź restart komputera.

2. Przedstaw log wygenerowany przez BlitzBlank oraz nowy log z SystemLook na te same warunki szukania co poprzednio.

.

bako22 · 31 Maja 2012

Znowu muszę pisać z drugiego komputera. Mój się nie włącza, przy restarcie z BlitzBlank'a pojawił się jakiś biały napis na czarnym tle i komputer się zrestartował i pojawiły się dwie opcje jedna to uruchom system normalnie ale jak to wybiorę to przy logowaniu miga blue screen i restartuje się od nowa a przy drugiej opcji(napraw komputer) szuka problemów pyta czy przywrócić system i jak klikam przywróć to dalej szuka i szuka.. i nic

picasso · 31 Maja 2012

Przy starcie komputera F8 > Napraw komputer > Wiersz polecenia i wykonaj dwie akcje:

1. Wpisz komendę notepad, z menu Plik > Otwórz > z boku przełącz na Komputer, co otworzy listę dysków. Sprawdź pod jaką literą jest widziany w tym środowisku dysk z Windows.

2. Wpisz komendę zamiany plików:

copy /y X:\Windows\winsxs\x86_microsoft-windows-w..nfrastructure-ws232_31bf3856ad364e35_6.1.7601.17514_none_f4bf1aae2c981ecf\ws2_32.dll X:\Windows\SysWOW64\ws2_32.dll

Gdzie X = litera dysku z Windows pobrana w punkcie 1.

3. Restart do Windows.

.

bako22 · 31 Maja 2012

zrobiłem to w konsoli wyskoczyło "Liczba skopiowanych plików: 1."

i co teraz ?

picasso · 31 Maja 2012

I teraz resetujesz po prostu do Windows. Czy po właśnie wykonanej zamianie plików jest nadal problem z uruchomieniem systemu?

bako22 · 31 Maja 2012

okej działa system się uruchomił (chwała Ci ) tylko ze przy włączaniu (dosc długim) pojaiwła się znowu ta konsola najpierw chwile była na ekranie a potem odpalił sie system. Probowac dalej tym Blitzblankiem ?

picasso · 31 Maja 2012

BlitzBlank jest tu już nieaktualny, to co miał zrobić zostało właśnie wykonane z poziomu konsoli komendą kopiowania plików (prawidłowy ws2_32.dll w WinSxS skopiowany do zainfekowanego ws2_32.dll w SysWOW64). Dla pewności zresetuj ponownie komputer, a jeśli Windows prawidłowo zastartuje, zrób nowy log z SystemLook, jak prosiłam.

.

bako22 · 31 Maja 2012

okej teraz włączył się w miare sprawnie i juz nic dodatkowego sie nie pojawiało

nowy SystemLook:

http://wklej.org/id/764342/

i co różnią się ? zadziałało ?

ten plik rjlb.dll dalej jest w folderze SysWOW64

picasso · 1 Czerwca 2012

bako22, do uzupełniania wypowiedzi, gdy nikt jeszcze nie odpisał, służy opcja Edytuj. Napisałeś bezsensownie trzy posty w serii (w tym dwa to duplikat danych), sklejam wszystko. Na temat podbijania postów jest nawet w zasadach działu, nic tym nie zdziałasz korzystnego dla siebie, a wręcz przeciwnie.

Cytat
ten plik rjlb.dll dalej jest w folderze SysWOW64

Oczywiście. Nie rozpłynie się samoistnie w powietrzu. Leczenie tej infekcji ma dwa etapy. Pliku rjlb.dll nie wolno usunąć, dopóki się nie podmieni zainfekowanego systemowego krytycznego pliku ws2_32.dll. Dopiero po potwierdzeniu, że plik ws2_32.dll został przywrócony, można zabrać się za skasowanie rjlb.dll. Jest to wtedy bezpieczne i nie skutkuje padem programów. I właśnie do tego przechodzimy, bo bieżący skan z SystemLook potwierdza ozdrowienie ws2_32.dll.

1. Skasuj z dysku / odinstaluj wszystko co związane z dodatkami do Tibia.

2. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

:Files
C:\Windows\SysWow64\rjlb.dll
 
:OTL
FF - prefs.js..keyword.URL: "http://www.browsersafesearch.com?client=mozilla-firefox&cd=UTF-8&search=1&q="
O3:64bit: - HKLM\..\Toolbar: (DAEMON Tools Toolbar) - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files (x86)\DAEMON Tools Toolbar\DTToolbar64.dll File not found
O3:64bit: - HKU\S-1-5-21-1813054588-749713010-1817662991-1000\..\Toolbar\WebBrowser: (DAEMON Tools Toolbar) - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files (x86)\DAEMON Tools Toolbar\DTToolbar64.dll File not found
O4 - HKLM..\RunOnce: [End_Install] C:\Users\Bartek\AppData\Local\Temp\SHK0.bat ()\
 
:Commands
[emptytemp]

Klik w Wykonaj skrypt. System zostanie zrestartowany i otrzymasz log z wynikami usuwania.

3. Do oceny wystarczy tylko log z wynikami usuwania. I powiedz jaki skrypt stosowałeś zanim tu zgłosiłeś się po pomoc, bo widzę, że jakiś puszczałeś (ślady na dysku).

.

bako22 · 1 Czerwca 2012

Tak wiem przepraszam za ten potrójny post ale myślałem że nie zauważyłaś że edytowałem pierwszy post a chciałem żebyś mi jeszcze odpowiedziała. To już się więcej nie powtórzy

Tu wklejam log z OTL'a po wykonaniu skryptu który mi podałaś:

http://wklej.org/id/764954/

a tu ten skrypt którym skanowałem wcześniej (od admina z forum pcformat)

Pokaż ukrytą zawartość

Plik rjlb.dll już nie istnieje

dziękuje Ci bardzooooo za pomoc !! Powinienem wykonywać jeszcze jakieś dodatkowe skanowania czy coś takiego ?

picasso · 2 Czerwca 2012

Cytat
tak wiem przepraszam za ten potrójny post ale myślałem że nie zauważyłaś że edytowałem pierwszy post a chciałem żebyś mi jeszcze odpowiedziała.

Tematy, które pilotuję bezpośrednio, regularnie sprawdzam, zwłaszcza jeśli ktoś mi zaznacza możliwość wykonania edycji w poście. Czasokres odpowiedzi to inna historia, mogę być nieobecna lub zbyt zmęczona.

Cytat
a tu ten skrypt którym skanowałem wcześniej (od admina z forum pcformat)

Komentarz na ten temat w spoilerze.

Pokaż ukrytą zawartość

Wyszukałam sobie ten temat na pcformat, by nabrać pojęcia co się tam działo. Ten skrypt z pcformat do luftu. Z kilku względów:

- Z tego co zauważyłam, oni stosują tam bezsensowną praktykę wstawiania w sekcji ":Files" matrycy z usuwaniem wszystkich Koszy i autorun.inf, nawet jeśli tego w systemie nie ma, co jest potwierdzone logiem (czyli są określone dane). Log z OTL podałeś, żadnego autorun.inf nie ma pokazanego, system Windows 7 (Kosz to $RECYCLE.BIN a nie RECYCLER). Skutki:

========== FILES ==========AUTORUN.INF not found in C:\
AUTORUN.INF not found in E:\
AUTORUN.INF not found in F:\
RECYCLER not found in C:\
RECYCLER not found in E:\
RECYCLER not found in F:\

- Wywalone zostały tu prawidłowe wpisy menu kontekstowego Internet Explorer kierujące na funkcje Office (program na liście zainstalowanych) = te wpisy są tylko pozornie "not found", to przez te ukośniki odwrotne "/" OTL nie znajduje pliku.

O8:64bit: - Extra context menu item: E&ksportuj do programu Microsoft Excel - res://C:\PROGRA~2\MICROS~1\Office14\EXCEL.EXE/3000 File not found

O8:64bit: - Extra context menu item: Wyślij &do programu OneNote - res://C:\PROGRA~2\MICROS~1\Office14\ONBttnIE.dll/105 File not found

O8 - Extra context menu item: E&ksportuj do programu Microsoft Excel - res://C:\PROGRA~2\MICROS~1\Office14\EXCEL.EXE/3000 File not found

O8 - Extra context menu item: Wyślij &do programu OneNote - res://C:\PROGRA~2\MICROS~1\Office14\ONBttnIE.dll/105 File not found

- Podjęto próbę usunięcia sterownika MLPTDR_N mającego bardzo dziwną strukturę ścieżki (kończy się ścieżka na C:\Windows\SysNative\ i brak nazwy pliku). Załączenie tej linii pod komendą :OTL w teorii wywaliłoby cały folder system32 (z ograniczeniem, że zablokowane komponenty by nie puściły), na szczęście OTL nie pozwala skasować komponentów objętych białą listą ("Item C:\Windows\SysNative\ is whitelisted and cannot be moved.").

DRV:64bit: - File not found [Kernel | Auto | Stopped] -- C:\Windows\SysNative\ -- (MLPTDR_N)

Ale to wszystko nie jest aż tak istotne, sprawa główna to: zabierają się za wpisy bez znaczenia, ale nie leczenie infekcji. Infekcji albo nie znają, albo jej nie zauważyli. Pierwszy log z OTL podany na pcformat pokazuje rjlb.dll, zarówno na dysku jak i w załadowanych modułach:

========== Modules (No Company Name) ========== 
MOD - [2012-01-23 16:37:05 | 000,005,632 | ---- | M] () -- C:\Windows\SysWOW64\rjlb.dll
 
========== Files Created - No Company Name ========== 
 
[2012-01-23 16:37:05 | 000,005,632 | ---- | C] () -- C:\Windows\SysWow64\rjlb.dll

Wracając do sprawy na fixitpc.pl, to zostały wykończenia:

1. Ze względu na obecność keyloggera zmień hasła.

2. Odinstaluj obiekt toolplugin. Ufam, że dodatki do Tibia już zniknęły.

3. W OTL uruchom Sprzątanie. To usunie składniki OTL oraz z powrotem ustawi domyślne opcje Widoku. Cytując Twoje słowa z pcformat:

Cytat
Aha i do tego po skanowaniu skryptem w OTL'u pojawiły mi sie na pulpicie takie przezroczyste ikony. m.in. plik "desktop.ini" troche dziwne rozszerzenie..

Tak, bo skanowanie OTL, by ułatwić robotę prowadzącym pomoc, przełącza widzialność ukrytych plików (w domyśle: gdy zostaje zadana instrukcja usunięcia czegoś co ukryte, użytkownik nie musi ręcznie przełączać). A to co Cię tak niepokoi jest w najlepszym porządku. Cytuję siebie z innego tematu:

picasso napisał(a):

Na Pulpicie Vista i 7 są zawsze dwa pliki desktop.ini, gdyż Pulpit widziany oczami to wirtualna przestrzeń składająca wspólnie w istocie widok dwóch rzeczywistych folderów Pulpitu zlokalizowanych na dysku twardym:

C:\Users\Konto użytkownika\Desktop

C:\Users\Public\Desktop

Domyślnie wszystkie pliki desktop.ini mają atrybuty HS (ukryty systemowy) i są usunięte z widoku. Tym zachowaniem steruje się przy udziale opcji w Windows Explorer > Organizuj > Opcje folderów i wyszukiwania > Widok > Ukryj chronione pliki systemu operacyjnego. Ujrzałeś nagle te pliki, bo uruchomiłeś OTL, który wpływa na rekonfigurację ustawień Widoku. Opcje wracają na miejsce, gdy w OTL użyje się funkcji Sprzątanie (stosowana tylko wtedy, gdy w OTL przepuszczano skrypt usuwający i jest po prostu co "sprzątać" = kwarantanna OTL). Lub, jak mówię, samemu sobie zmienić w opcjach.

4. Wyczyść foldery Przywracania systemu: KLIK.

5. Wykonaj aktualizacje: KLIK. Wersje z Twojej listy zainstalowanych wersje:

========== HKEY_LOCAL_MACHINE Uninstall List ========== 
64bit: [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F86416020FF}" = Java 6 Update 20 (64-bit)
"Adobe Flash Player ActiveX" = Adobe Flash Player 11 ActiveX 64-bit
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin 64-bit
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83216024FF}" = Java 6 Update 24
"{AC76BA86-7AD7-1045-7B44-A91000000001}" = Adobe Reader 9.1 - Polish
"{EE7257A2-39A2-4D2F-9DAC-F9F25B8AE1D8}" = Skype™ 5.8
"Adobe Shockwave Player" = Adobe Shockwave Player 11.5
"Mozilla Firefox 4.0.1 (x86 pl)" = Mozilla Firefox 4.0.1 (x86 pl)

(nie wiem jaka dokładnie jest wersja Adobe Flash, upewnij się że najnowsza)

.

bako22 · 2 Czerwca 2012

czyli pcformat trochę do.. niczego i nie bardzo ta ich pomoc. no bo w sumie ten rjlb.dll znalazłem poprzez ostateczne skanowanie kompa kasperskym które sam wymyśliłem.

1. Hasła zmienione

Cytat
2. Odinstaluj obiekt toolplugin. Ufam, że dodatki do Tibia już zniknęły.

nie mam zielonego pojęcia gdzie on jest jak wpisuje w wyszukaj to znajduje mi tylko logi z OTL'a (a może go już nie ma ?) dodatki z Tibii usunięte już wczoraj przed napisaniem poprzedniego posta.

3. Sprzątanie w OTL'u wykonane

4. Usunąłem wszystkie punkty przywracania w "ochrona systemu" nie tylko z C (systemowy) ale i z innych dysków i tam był jeszcze folder "Recovery" to z niego tez usunąłem.

5. Service packa 1 mam (jak już wczesniej pisałem) IE 9 sciągnąłem, co do adobe flasha pisze mi ze przeglądarka chrome ma taką opcje ze zawsze aktualizuje flasha do najnowszej wersji, więc chyba się zgadza. czy mam też instalować te wszystkie Javy, shockwave i FileZille ?

czy to już wszystko ?

picasso · 2 Czerwca 2012

Cytat
nie mam zielonego pojęcia gdzie on jest jak wpisuje w wyszukaj to znajduje mi tylko logi z OTL'a (a może go już nie ma ?)

To było widocznie na liście zainstalowanych programów:

========== HKEY_LOCAL_MACHINE Uninstall List ========== 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"toolplugin" = toolplugin

Nie widzisz tego w Panelu sterowania?

Cytat
i tam był jeszcze folder "Recovery" to z niego tez usunąłem

Zaraz .... folder "Recovery"? To nie jest część Przywracania systemu. Foldery od Przywracania systemu to "System Volume Information" i je czyści się przez opcje Przrywracania. Folder "Recovery" pachnie systemem odzyskiwania fabrycznego systemu od producenta. Jeśli coś z niego usuwałeś, to prawdopodobnie naruszyłeś sobie system odzysku Windows ....

Cytat
Service packa 1 mam (jak już wczesniej pisałem) IE 9 sciągnąłem

I ja nie zakreślam tu braku SP1 tylko określone programy, a kieruję Cię do ogólnego artykułu do aktualizacjach, gdzie jest wszystko zebrane wspólnie, ale należy się odnieść tylko do fragmentów dopasowanych do własnej sytucji.

.

bako22 · 2 Czerwca 2012

aah dobra przez dodaj i usuń programy znalazłem toolplugin i usunąłem go.

no tam w ochronie systemu były 3 partycje na ktore mam podzielony mój dysk twardy i na tej liscie jest tez folder recovery (screen ponizej jak to wyglada) i kazdą z tych pozycji zaznaczyłem oddzielnie > konfiguruj > usuń wszystkie punkty przywracania

http://imageshack.us/photo/my-images/404/wlasciwoscisystemu.jpg/ (dodałem tak bo cos się nie chciało wkleic poporzez funkcje grafika.

ale z systemem nic się nie dzieje.. czy to bardzo źle że z niego też usunąłem ?

powinienem wykonywać jeszcze jakies dodatkowe skany i je tu wysł

picasso · 3 Czerwca 2012

Cytat
no tam w ochronie systemu były 3 partycje na ktore mam podzielony mój dysk twardy i na tej liscie jest tez folder recovery (screen ponizej jak to wyglada) i kazdą z tych pozycji zaznaczyłem oddzielnie > konfiguruj > usuń wszystkie punkty przywracania

Teraz opis bardziej jasny, to nie folder "Recovery" jako taki tylko etykieta "Recovery" woluminu w interfejsie Przywracania systemu. Czyli nic ręcznie nie usuwałeś, poza użyciem opcji czyszczenia punktów Przywracania systemu. Jest OK.

Cytat
powinienem wykonywać jeszcze jakies dodatkowe skany i je tu wysł

Nie uważam tego za konieczne. Już skanowałeś system za pomocą różnych skanerów (zanim otrzymałeś pomoc na forum), w tym Kasperskym, który interesował się plikiem rjlb.dll (infekcja pomyślnie usunięta).

.

bako22 · 3 Czerwca 2012

Dziękuje Ci ogromnie za poświęcony czas, pomoc i wyczyszczenie kompa jesteś genialna i na prawdę znasz się na tym co robisz !

Zaloguj się

Keylogger rjlb.dll - programy nie działają

Rekomendowane odpowiedzi

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Ostatnio przeglądający 0 użytkowników