Amvo.exe

[czacza2 (M Chachula)]

mój komp zarażony został amvo.exe

użyłem darmowych skanerów kaspersky (on tylko w wersji bezpłatnej wykrywa), a później spyware doctor (on coś leczy ale i tak jest)

i znalazłem w internecie jak to zrobić za pomocą Prevx CSI i mam log z Combofix, może ktoś pomoże?:

http://wklej.org/id/55a3bf79f8

[huber2t]

Pobierz ComboFix, ale nie uruchamiaj

Wklej do notatnika:

File::

C:\xlu8a8sy.exe

C:\jfvkcsy.bat

C:\oq.cmd

C:\t.com

C:\xyw9tmdj.com 

C:\mvxm.cmd 

C:\q.com 

C:\rthrw.com 

C:\jiwsxh39.exe

C:\3o.exe


Registry::

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

Plik -> zapisz jako -> CFScript.txt (najwygodniej będzie, jeśli zapiszesz w takiej lokalizacji, by ikonka CFScript.txt znalazła się obok ikonki ComboFix.exe)

Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe tak jak tu ->

Powinno się rozpocząć usuwanie i powstanie log, daj ten log na forum.

[Leon1 (Leon$)]

Wyłącz przywracanie systemu na wszystkich dyskach.http://support.microsoft.com/kb/310405/pl

Wylecz pendriva lub kartę pamięci http://www.softpedia.com/get/Security/S … Tool.shtml lub format

Otwórz notatnik i wklej

File:: C:\xlu8a8sy.exe C:\jfvkcsy.bat C:\oq.cmd C:\t.com C:\xyw9tmdj.com C:\mvxm.cmd C:\q.com C:\rthrw.com C:\jiwsxh39.exe C:\3o.exe Registry:: [-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\amva] [-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

zapisz jako CFScript.txt (zapisz by ikonka CFScript.txt była obok ikonki ComboFix.exe) >> Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe

http://img.wklej.org/images/88953CFScri … iemoes.gif

Powinno rozpocząć się usuwanie

Potem log z usuwania Combofix

[czacza2 (M Chachula)]

zrzuciłem ikonkę CFScript.txt na ikonkę ComboFix.exe i powstał taki log:

http://www.wklej.org/id/b3f7f27f1b

[Leon1 (Leon$)]

Otwórz notatnik i wklej

Windows Registry Editor Version 5.00 [-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\amva]

zapisz jako plik.reg >> wszystkie pliki >> scal z rejestrem >> restart

powstanie plik o takiej ikonie

w który dwa razy klikniesz potwierdzisz chęć dodania do rejestru potem restart

zrób optymalizacje uruchamiania http://cybertrash.netarteria.pl/cyber/index.php/topic,378.0.html

usuń ręcznie folder C: \Qoobox usuń instalkę Combofix z dysku.

Wyłącz przywracanie systemu na wszystkich dyskach.http://support.microsoft.com/kb/310405/pl

przeskanuj obszar Mój komputer http://www.kaspersky.pl/virusscanner.html pokaż raport stronę uruchomić przez IE

włącz przywracanie systemu

[czacza2 (M Chachula)]

coś chyba źle poszło, bo Anty-virus wykrył ponownie, to jest raport

http://wklej.org/id/14a8f81c56

[ndmtomi (Tomasz Gornas)]

Proszę o pomoc w pozbyciu się skutków amvo.

Usunąłem ręcznie amvo.exe i jakiś amvo**.dll ale laptop chodzi nędznie.

Log z Combofix.

http://wklej.org/id/ed2b34453f

Pozdrawiam,

Tomek

[huber2t]

czacza2

Opróżnij systemowy kosz

Pobierz Avenger

wklej do niego ten tekst:

Files to delete:

D:\3o.exe

D:\jfvkcsy.bat

D:\jiwsxh39.exe

D:\mvxm.cmd 

D:\oq.cmd

D:\oq.cmd.vir

D:\q.com

D:\rthrw.comty 

D:\t.com

D:\xyw9tmdj.com

kopiuj to i klikasz na Paste Script from Clipboard wybierasz Execute oraz Potwierdzasz i zgadzasz się na restart klikając OK.

Kasujesz ręcznie z dysku plik: C:\Avenger\backup.zip i wklejasz na forum raport: C:\avenger.txt

Przeskanuj po tym jeszcze raz Kasperskim i daj raport na forum

[czacza2 (M Chachula)]

skasowałem systemowy kosz, skasowałem plik C:\Avenger\backup.zip

to plik raport avenger.txt

http://wklej.org/id/9e57b249e1

[Monczkin]

log z Combofix prośba o sprawdzenie, dotyczy amvo.exe

Nazwij temat konkretnie. Przeczytaj temat w tym dziale odnośnie nazywania tematów z logami.

[czacza2 (M Chachula)]

po skasowaniu systemowego kosza przez avenger nadal jest infekcja, to jest raport:

http://wklej.org/id/8ebec740be

[Leon1 (Leon$)]

po skasowaniu systemowego kosza przez avenger nadal jest infekcja, to jest raport: http://wklej.org/id/8ebec740be

Pobierz i uruchom narzędzie The Avenger Zaznaczasz tekst podany do usunięcia na forum

Files to delete: C:\RECYCLER\S-1-5-21-326474021-4183295787-760222602-1007\Dc19.vir C:\RECYCLER\S-1-5-21-326474021-4183295787-760222602-1007\Dc20.vir C:\RECYCLER\S-1-5-21-326474021-4183295787-760222602-1007\Dc21.vir C:\RECYCLER\S-1-5-21-326474021-4183295787-760222602-1007\Dc22.vir C:\RECYCLER\S-1-5-21-326474021-4183295787-760222602-1007\Dc23.vir C:\RECYCLER\S-1-5-21-326474021-4183295787-760222602-1007\Dc24.vir C:\RECYCLER\S-1-5-21-326474021-4183295787-760222602-1007\Dc25.vir C:\RECYCLER\S-1-5-21-326474021-4183295787-760222602-1007\Dc26.vir C:\RECYCLER\S-1-5-21-326474021-4183295787-760222602-1007\Dc29.vir C:\RECYCLER\S-1-5-21-326474021-4183295787-760222602-1007\Dc31.vir D:\rthrw.com

kopiuj >> klikasz na Paste Script from Clipboard >> Execute >> Potwierdzasz i zgadzasz się na restart klikając OK.

Kasujesz ręcznie z dysku plik: C:\Avenger\backup.zip i wklejasz na forum raport: C:\avenger.txt

Pozostałe usuniesz Wyłączając I włączając przywracanie systemu na wszystkich dyskach.http://support.microsoft.com/kb/310405/pl

# D:\System Volume Information_restore{4B60ED96-D0C1-4093-AED6-850AD5E6752C}\RP2\A0000014.exeZainfekowanych: Packed.Win32.PolyCrypt.hpominięty # D:\System Volume Information_restore{4B60ED96-D0C1-4093-AED6-850AD5E6752C}\RP2\A0000015.batZainfekowanych: Trojan-PSW.Win32.OnLineGames.acgupominięty # D:\System Volume Information_restore{4B60ED96-D0C1-4093-AED6-850AD5E6752C}\RP2\A0000016.exeZainfekowanych: Trojan-PSW.Win32.OnLineGames.yoipominięty # D:\System Volume Information_restore{4B60ED96-D0C1-4093-AED6-850AD5E6752C}\RP2\A0000017.cmdZainfekowanych: Trojan-PSW.Win32.OnLineGames.ywgpominięty # D:\System Volume Information_restore{4B60ED96-D0C1-4093-AED6-850AD5E6752C}\RP2\A0000018.cmdZainfekowanych: Worm.Win32.AutoRun.dnipominięty # D:\System Volume Information_restore{4B60ED96-D0C1-4093-AED6-850AD5E6752C}\RP2\A0000019.comZainfekowanych: Worm.Win32.AutoRun.despominięty # D:\System Volume Information_restore{4B60ED96-D0C1-4093-AED6-850AD5E6752C}\RP2\A0000020.comZainfekowanych: Trojan-PSW.Win32.OnLineGames.zllpominięty # D:\System Volume Information_restore{4B60ED96-D0C1-4093-AED6-850AD5E6752C}\RP2\A0000021.comZainfekowanych: Trojan-PSW.Win32.OnLineGames.yzepominięty

[czacza2 (M Chachula)]

uruchomiłem Avenger (w czasie tej operacji miałem wpiętego pendriva)

tylko przy ponownym restarcie komputera oprócz raportu avenger.txt

http://wklej.org/id/cecf9e7a7c

pojawiła się informacja: brak dysku…

Exception Processing Message c0000013 Parameters 75b3bf9c 4 75b3bf9c 75b3bf9c

to wykonałem anuluj

usunąłem plik .zip z C:\Avenger\

później prawym na mój komputer - wyłączyłem przywracanie systemu i włączyłem przywracanie na wszystkich dyskach

W dniu 09.05.2008 , o godzinie 16:40 został dopisany post przez czacza2

zrobiłem scan programem Kaspersky

http://wklej.org/id/9b23530ed0

nie ma infekcji

Dziękuję za pomoc :-o

wszystkie te operacje robione były z wpiętym pendrivem (prawdopodobnie z niego była infekcja)

a co jeśli mam tą infekcję na karcie pamięci aparatu cyfrowego i będę chciał zrzucić zdjęcia na komputer

jak się zabezpieczyć, żeby nie weszła do komputera

czy zrobić format karty aparatem?

[Leon1 (Leon$)]

Posłuż się tym Flash Disinfector http://www.searchengines.pl/index.php?s … ntry369724