polska Opublikowano 8 Lipca 2012 Zgłoś Opublikowano 8 Lipca 2012 Witam! Mam problem, a mianowicie nagle wyłączył mi się antywirus (Microsoft Security Essentials) i nie mogę go włączyć. Pojawia się błąd "określona usługa nie istnieje jako usługa zainstalowana". W rozwiązaniu problemu piszą, że błąd ten spowodowany jest faktem iż nie mam oryginalnego Windowsa co jest nieprawdą. Załączam logi OTL. Poza tym komputer działa wolniej niż poprzedniej. Proszę o sprawdzenie logów:). OTL: http://wklej.org/id/786859/ Extras: http://wklej.org/id/786860/
polska Opublikowano 9 Lipca 2012 Autor Zgłoś Opublikowano 9 Lipca 2012 To co mi znalazł Malwarebytes Anti-Malware. http://wklej.org/id/786866/ a to po usunięciu: http://wklej.org/id/786867/
picasso Opublikowano 9 Lipca 2012 Zgłoś Opublikowano 9 Lipca 2012 Zasady działu: KLIK. stworzyłeś dwa posty. Gdy jest zamiar uzupłnienia informacji, stosuje się opcję Edytuj, a nie pisze w serii posty własne ... Ponadto, log z OTL nie jest do końca skonfigurowany jak w opisie na forum (niektóre sekcje, takie jak Procesy i Moduły, ustawione na Wszystko a ma być Użyj filtrowania). Jest / był tu trojan ZeroAccess. Trojan ten kasuje także z rejestru usługi Windows takie jak Zapora czy Centrum zabezpieczeń. Skanowałeś w MBAM, jakoby usunięte, ale to należy sprawdzić. Poza tym, uszkodzenia w systemie się same nie naprawią, aktualnie masz zdewastowany przez infekcję łańcuch Winsock i na pewno usunięte z rejestru usługi, bo Dziennik zdarzeń zgłasza liczne błędy relatywne. Naprawy są skomplikowane i do tego przejdziemy. Na początek jednak zresetuj system i wygeneruj materiały dodatkowe do oceny: 1. Potwierdzenie usunięcia ZeroAccess. Uruchom SystemLook i w oknie wklej: :reg HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s :folderfind {6b9492dd-2142-9944-9537-d6ff2c0f1416} Klik w Look. 2. Wykaz uszkodzeń w usługach. Zrób log z Farbar Service Scanner z wszystkimi opcjami zaznaczonymi. .
polska Opublikowano 9 Lipca 2012 Autor Zgłoś Opublikowano 9 Lipca 2012 SystemLook: http://wklej.org/id/786981/ Farbar Service Scanner: http://wklej.org/id/786985/ Ok. Następnym razem się poprawie:)
picasso Opublikowano 9 Lipca 2012 Zgłoś Opublikowano 9 Lipca 2012 O ile w rejestrze brak już punktów ładowania ZeroAccess, foldery trojana nadal są na dysku. Do przeprowadzenia następujące czynności: 1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej: :Files C:\Windows\Installer\{6b9492dd-2142-9944-9537-d6ff2c0f1416} C:\Users\Wojtek\AppData\Local\{6b9492dd-2142-9944-9537-d6ff2c0f1416} C:\Users\Wojtek\AppData\Roaming\Mozilla\Firefox\Profiles\28sy2uyh.default\searchplugins\search.xml C:\ProgramData\svcnet2.inc C:\ProgramData\svcnet2.cfg C:\Windows\System32\runkgb.lnk :Reg [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes] "DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" [-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{96bd48dd-741b-41ae-ac4a-aff96ba00f7e}] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes] "DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" :Commands [emptytemp] Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Klik w Wykonaj skrypt. System zostanie zrestartowany i otworzy się log z wynikami usuwania. 2. Start > w polu szukania wpisz cmd > z prawokliku Uruchom jako Administrator > wpisz komendę netsh winsock reset > zatwierdź restart komputera. 3. Odbuduj skasowane usługi (omiń sfc /scannow w tych instrukcjach): Rekonstrukcja usług Zapory systemu Windows: KLIK. Rekonstrukcja usługi Centrum zabezpieczeń: KLIK. Rekonstrukcja usługi Windows Defender: KLIK. 4. Otwórz Google Chrome i w menedżerze wyszukiwarek przestaw domyślną z bieżącego Babylon na cokolwiek innego, a po tym Babylon usuń z listy. 5. Zresetuj system i wygeneruj nowe logi OTL z opcji Skanuj oraz Farbar Service Scanner. .
polska Opublikowano 9 Lipca 2012 Autor Zgłoś Opublikowano 9 Lipca 2012 raport usuwania (otl) : http://wklej.org/id/787051/ 2. Tu jakiś błąd wyskakuje i teraz nie wiem czy pomijając ten krok mogę zrobić następne? To co mi się pojawiło: Nie mozna zaladowac nastepujacego pomocnika DLL: WSHELPER.DLL Nie znaleziono nastepujacego polecenia: winsock reset
picasso Opublikowano 9 Lipca 2012 Zgłoś Opublikowano 9 Lipca 2012 2. Tu jakiś błąd wyskakuje i teraz nie wiem czy pomijając ten krok mogę zrobić następne?To co mi się pojawiło: Nie mozna zaladowac nastepujacego pomocnika DLL: WSHELPER.DLL Nie znaleziono nastepujacego polecenia: winsock reset Niedobrze. Ten błąd może oznaczać, że trojan ZeroAccess jest czynny (czyli się zrekonstruował), gdyż jego aktywność całkowicie uniemożliwia reset Winsock. Proszę o nowe logi OTL + SystemLook na warunki: :reg HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s :filefind services.exe .
polska Opublikowano 9 Lipca 2012 Autor Zgłoś Opublikowano 9 Lipca 2012 OTL: http://wklej.org/id/787078/ Extras: http://wklej.org/id/787079/ SystemLook: http://wklej.org/id/787080/
picasso Opublikowano 9 Lipca 2012 Zgłoś Opublikowano 9 Lipca 2012 I wszystko jasne. Tu była kombinacja dwóch wariantów ZeroAccess, masz również zainfekowany plik systemowy services.exe, a tego wariantu MBAM nie jest zdolny wykryć, ani tym bardziej uleczyć. Wymagane specjalne działania przywracające oryginalny niemodyfikowany plik: 1. Start > w polu szukania wpisz cmd > z prawokliku Uruchom jako Administrator > wklej komendę: sfc /scanfile=C:\Windows\system32\services.exe Zresetuj system. 2. I po tym jedziesz od punktu 2 do 5 z poprzednio podanej instrukcji. .
polska Opublikowano 9 Lipca 2012 Autor Zgłoś Opublikowano 9 Lipca 2012 odnośnie kroku 3 to mam pobrać wszystkie pliki i zmienić rozszerzenie na reg? Czy tylko Zapora systemu Windows (MpsSvc)? Wszystko zrobiłem zgodnie z instrukcją, ale tak jak Microsoft Security Essentials nie działał tak nie działa. FSS: http://wklej.org/id/787120/ OTL: http://wklej.org/id/787122/ Ps. Przepraszam za pisanie dwóch postów <zapomniałem>
picasso Opublikowano 9 Lipca 2012 Zgłoś Opublikowano 9 Lipca 2012 Wszystko zdaje się być poprawnie wykonane, Winsock zresetowany + usługi odbudowane (log z Farbar "czyściutki"). Wszystko zrobiłem zgodnie z instrukcją, ale tak jak Microsoft Security Essentials nie działał tak nie działa. Trojan ZeroAccess lubuje się w dewastowaniu produktów Microsoftu. Zapewne MSSE też dostał w tyłek. 1. Kosmetyczna poprawka. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej: :OTL IE - HKU\S-1-5-21-1716329714-369077267-911810370-1001\..\SearchScopes\{96bd48dd-741b-41ae-ac4a-aff96ba00f7e}: "URL" = "http://www.bigseekpro.com/search/browser/burn4free/{EC8A5341-929E-4023-8624-05F6FA250A9C}?q={searchTerms}" FF - HKLM\Software\MozillaPlugins\@checkpoint.com/FFApi: C:\Program Files\CheckPoint\ZAForceField\TrustChecker\bin\npFFApi.dll File not found FF - HKLM\Software\MozillaPlugins\@esn/esnlaunch,version=1.104.0: C:\Program Files\Battlelog Web Plugins\1.104.0\npesnlaunch.dll File not found DRV - [2011-04-30 16:06:39 | 000,135,032 | ---- | M] (Doctor Web, Ltd.) [File_System | Boot | Running] -- C:\Windows\System32\drivers\dwprot.sys -- (DwProt) Klik w Wykonaj skrypt. Tym razem pojedzie bez restartu. 2. Porządki po narzędziach: w OTL uruchom Sprzątanie, a resztę narzędzi dokasuj ręcznie. 3. Wykonaj reinstalację MSSE. Odinstaluj normalną drogą + powiązany pakiet językowy: ========== HKEY_LOCAL_MACHINE Uninstall List ========== [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]"{43592B2E-C393-433F-8D0E-5A4B15A8C786}" = Microsoft Antimalware Service PL-PL Language Pack"{50779A29-834E-4E36-BBEB-B7CABC67A825}" = Microsoft Security Client PL-PL Language Pack"Microsoft Security Client" = Microsoft Security Essentials Następnie upewnij się w tym usuwaczu zapuszczonym w trybie automatycznym, że żadne relatywne wpisy nie są widoczne: KLIK. 4. Po przeinstalowaniu powyższego wykonaj nim pełny skan systemu. Gdyby coś wykrył, przedstaw wyniki. A jeśli nic: 5. Wyczyść foldery Przywracania systemu: KLIK. .
polska Opublikowano 9 Lipca 2012 Autor Zgłoś Opublikowano 9 Lipca 2012 Niestety wykrył 5 wirusów, ale nie mogę zobaczyć raportu z usuwania tych plików.
picasso Opublikowano 9 Lipca 2012 Zgłoś Opublikowano 9 Lipca 2012 Raport jest tu: C:\ProgramData\Microsoft\Microsoft Antimalware\Support\MPDetection-*.log
polska Opublikowano 9 Lipca 2012 Autor Zgłoś Opublikowano 9 Lipca 2012 Dziękuję http://wklej.org/id/787310/
picasso Opublikowano 10 Lipca 2012 Zgłoś Opublikowano 10 Lipca 2012 Spodziewałam się jeszcze wyników, dlatego zadałam skan. Wyniki oznaczone jako "Sirefef" to są odpadki. Rozumiem, że już to usunąłeś? Po tym jak mówiłam czyszczenie Przywracania systemu. Na koniec zaś: 1. Podstawowe aktualizacje: KLIK. Tutaj z Twojej listy zainstalowanych: ========== HKEY_LOCAL_MACHINE Uninstall List ========== [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]"{26A24AE4-039D-4CA4-87B4-2F83216029FF}" = Java 6 Update 29"{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}" = Microsoft Silverlight"Adobe Flash Player ActiveX" = Adobe Flash Player 11 ActiveX"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin"Mozilla Firefox 11.0 (x86 pl)" = Mozilla Firefox 11.0 (x86 pl) 2. Prewencyjna wymiana haseł logowania w serwisach. PS. Gadu-Gadu 10 = rozważ alternatywę dla tego reklamodawcy. Do wglądu arykuł Darmowe komunikatory i opisy WTW, Kadu, Miranda, AQQ (reszta odpada w przedbiegach). .
Rekomendowane odpowiedzi