bundpil.J ? Skróty do pendrive na kilku komputerach

Dla specjalistów Bezpieczeństwo
#1

Witam serdecznie,

sytuacja omawiana gdzieś w sieci kilka razy ale mimo wszystko nie dajemy rady. Wirus pojawił się w punkcie ksero / wydruków gdzie codziennie przewija się kilkanaście i więcej pamięci przenośnych. Otwierają się ale przez dodatkowy skrót, pliki można odczytać. Nie wiem czy to ten wirus bundpil.J czy coś innego…

Mamy tak na 5 komputerach już! :slight_smile: Wszędzie xp…

Logi z jednego z komputerów:

OTL: http://wklej.org/id/1051817/

USB Fix: http://wklej.org/id/1051823/

Prosimy o możliwie jak najszybszą pomoc…

edit//

chyba malwarbytes poradzi sobie z tym, dam znać

edit2//

NIESTETY, nadal to samo, poprawiło się na moment i za chwilę znowu…

wykrywa trojana, usuwam go i potem jest znowu…

log z malware: http://www.wklej.org/id/1051902/

edit3//

kolejny log z malware: http://www.wklej.org/id/1051966/

10 trojanów i nie wiadomo co…

jak usunalem na jednym z kompów takie pliki to teraz mam błąd przy uruchamianiu, ze nie znajduje pliku c:\DOCUMENT\komp3\Temp\ccvcwut.com …

Niech ktoś cos wymyśli…

#2

Do okna Własne opcje skanowania / skrypt wklej:

Kliknij Wykonaj skrypt i zatwierdź restart.

Pokaż raport z usuwania i nowy log Skanuj.

Pokaż raport UsbFix z Opcji Listing.

#3

Dzięki Atis.

W pracy będę dopiero w piątek i to wkleje.

Teraz jednak przyniosłem wirusa do domu i mam go na win7. Łatwo go coś złapać…

OTL: http://wklej.org/id/1052001/

Listing z USBFix: http://wklej.org/id/1052000/

Research z USBFix: http://wklej.org/id/1052005/

O ile w domu format to żaden problem to w pracy wywoła nie małą epidemię… Byłbym wdzięczny za pomoc by w piątek wszystko tak usunąć by nigdzie się już nie dostał.

Pozdrawiam

#4

USBFix (Deletion) kasuje folder o nazwach Muzyka lub Muza, więc uważaj z tym programem.

W logu nie widać aktywnej infekcji.

Do okna Własne opcje skanowania / skrypt wklej:

Kliknij Wykonaj skrypt i zatwierdź restart.

Uruchom OTL i kliknij Sprzątanie.

Usuń stare punkty przywracania:

Aby usunąć wszystkie punkty przywracania

Uruchom SecurityCheck i aktualizuj programy oznaczone jako Out of date

Dysk przeskanuj Malwarebytes Anti-Malware

Podczas instalacji usuń zaznaczenie przy Uruchom okres testowy Malwarebytes Anti-Malware PRO.

http://wstaw.org/m/2012/12/29/2012-12-29_005346.png

#5

Malware przed zrobieniem czegokolwiek: http://wklej.org/id/1052177/

to chyba nic groźnego, same keygeny, loadery itd.

Zrobiłem to co napisałeś.

Security check:

log OTL po tym co podałeś: http://wklej.org/id/1052178/

Problem jest poplątany niestety. W pracy przewija się dużo pamięci i tam już co nie podłącze to jest źle, najpierw skrót potem w nowym oknie dopiero zawartość. Przyniosłem jednego z nich (który wcześniej był ok) do domu i też tak jest ale teraz jak wziąłem już całkiem inny to działa normalnie.

Może to przenosić się na pendrivie jak tam nic nie wykrywa? Ja się już pogubiłem… czy jak już zaraziło na jednym kompie pamięć to na drugim z innymi już tak nie będzie? Ale w pracy, które bym nie podłączył to było źle. No po prostu już nie mogę się połapać. W piątek jeszcze będę działał na jednym z tamtych kompów (wklepie to co wyżej podane).

#6

Odinstaluj Java 7 Update 17 i zainstaluj Java 7 Update 21

Ja widzę tylko jeden folder ukryty na H.

Wklej i kliknij Wykonaj skrypt:

Napisz, co widać na H po wykonaniu skryptu lub pokaż nowy raport Listing.

#7

Java zaktualizowana.

OTL komendy nie przyjął. Jednak zrobiłem tak jak poleciłeś w innym podobnym temacie, wkleiłem to do wiersza poleceń z poziomu administratora. Na pendrivie pojawiły się dopiero różne pliki i mogłem je usunąć wraz ze skrótem. Te właściwe były w folderze bez nazwy nagle. Po tej operacji wszystko jest ok. Ale to sytuacja jednej pamięci na jednym kompie…

W pracy zarażają się nowe pendrivy i chyba usunięcie na każdym z nich tych plików to poprawa na krótki czas. Coś zatem musi być na tamtych kompach, aż 5 co mnie niepokoi :slight_smile: Ale z tym będę mógł coś zrobić jutro, gdyby były jakieś pomysły to chętnie skorzystam. Wyśle też logi po wklejeniu tego co podałeś wcześniej po moich logach z jednego z komputerów.

pozdrawiam

– Dodane 30.05.2013 (Cz) 9:41 –

Gdyby był pomysł jakiegoś zabezpieczenia przed tego typu infekcjami w miejscu gdzie dziennie przewija się sporo pamięci na kilku komputerach to będę wdzięczny.

#8

W domu masz Windows 7 Service Pack 1 i nawet jeśli podłączyłeś zainfekowany pendrive, to nie doszło do infekcji systemu, bo SP1 zawiera niezbędne aktualizacje.

W pracy system jest zainfekowany i zaraża każdy podłączony pendrive, więc przede wszystkim musisz usunąć infekcję na każdym komputerze.

Poza tym to jest stary system XP i może nie ma wszystkich aktualizacji bezpieczeństwa.

Jeżeli podłączasz dużo różnych pendrive to najlepiej całkowicie zablokować autorun.inf

Panda USB Vaccine Uruchom program i kliknij Vaccinate computer.

Zamiast Panda USB można użyć pliku reg.

Wklej do systemowego notatnika:

Plik -> Zapisz jako -> Zapisz jako typ: Wszystkie pliki -> Nazwa pliku: FIX.REG

Kliknij prawym na pliku FIX i wybierz Scal. Później zrestartuj komputer.

Dodatkowo zainstaluj poprawkę zabezpieczającą przed innym typem infekcji z USB, który wykorzystuje lukę w rozszerzeniu LNK:

http://www.microsoft.com/pl-pl/download … x?id=14416

#9

Atis jestem Ci dłużny dobre whisky :slight_smile:

Od rana usuwam infekcję. Na 4 kompach z xp pomogło OTL, adwcleaner, USBFix, ten plik FIX.REG, łatka i malwarbytes (znalazł wirusy, usuwałem). Nawet jak pendrivy są zarażone to po usunięciu plików infekcji ponownie się nie zarażają.

Logi jednego z kompów(ten co poprzednio, na którym dodatkowo wykonałem podany przez Ciebie skrypt do OTL):

OTL: http://www.wklej.org/id/1053327/

usbfix listing: http://www.wklej.org/id/1053333/

Na 3 miałem po tych działaniach błędy przy uruchamianiu, że brakuje pliku typu ccgzhoc.com (na każdym inna, podobna nazwa). Usuwałem taki wpis w rejestrze i jest ok. To na tych gdzie loguje się przez profil bez uprawnień admina. Na adminie nie było błędu.

Jednak co mnie zdziwiło na dwóch kompach z Win7 Service Pack 1 też była infekcja. Pomogło to samo (bez łatki xp, może trzeba coś innego jeszcze?)

Uchował się jeden stacjonarny PC i to na dodatek z XP… nie wiem jeszcze jak dalej się to rozprzestrzeniło ale już wiem jak to zwalczać przynajmniej.

Dzięki jeszcze raz!

#10

W logu nie widać infekcji.

Uruchom OTL i kliknij Sprzątanie.

Wyłącz i ponownie włącz przywracanie systemu:

http://support.microsoft.com/kb/310405/pl

Uruchom SecurityCheck i aktualizuj programy oznaczone jako Out of date

#11

Sprzątanie włączałem na każdym. Razem z adwcleaner, malware itd.

Aktualizuje też programy, głównie java i acrobat wyskakują.

Zresetowałem też teraz przywracanie systemu.

Najważniejsze, że nawet jak podłączałem zarażonego pendrive to po usunięciu na nim infekcji komputer pozostał bez wirusa. Więc myślę, że problem rozwiązany?

Na XP mamy taki duży ruch pendrive, na win7 tylko swoje prywatne więc mam nadzieję, że epidemia powstrzymana.

– Dodane 31.05.2013 (Pt) 15:22 –

A jeszcze ciekawostka.

Przychodzi klient, któremu jakiś czas temu w punkcie w którym nigdy wcześniej nie był “wszystko zniknęło z pendriva”… i potem miał ten skrót. Cały dzień z różnymi pamięciami nie było problemów, a tam gdzie podłączyłem jego znowu zrobił się ten sam wirus… Po ponownym wyczyszczeniu jest znowu ok, jego pendrive też wyczyściłem. Coś podejrzewam, że to on wywołał tę epidemię… a często przychodzi :slight_smile:

Jak podłączałem zarażone pendrivy to mimo wszystko na komputerach nie zachodziły infekcję tylko w tym jednym przypadku znowu tak się stało…

#12

Dodatkowo możesz przeczytać to:

  1. http://www.fixitpc.pl/topic/56-zabezpie … zenosnych/

  2. http://www.fixitpc.pl/topic/92-zabezpie … ami-z-usb/

#13

Hm, może to infekcje skrótów LNK. Poczytam to co podałeś bo komputery nie są w pełni przed tym zabezpieczone.

Wystarczy, że przyjdzie ktoś kto miał tego wirusa wcześniej i zaraża ponownie, a potem kolejne itd.

I wtedy malwarebytes wykrywa 3 zarażone pliki i jest to Trojan.Ransom.Blocker . Po usunięciu i wyrzuceniu infekcji z pendriva wszystko wraca do normy.

Ale przecież łatkę do xp wgrywałem… więc już nie wiem co to może być.

– Dodane 03.06.2013 (Pn) 12:47 –

Nadal nie wiem jak zabezpieczyć komputery przed tą infekcją.

Tu gdzie nie ma styczności z zarażonymi pendrivami nie ma problemu ale gdy tylko pojawi się choć jeden to wszystko od początku…

Malware już czasami nie pokazuje nawet żadnych wirusów a i tak jest źle.

//edit

Skopiowałem logi z 3 kompów na których ciągle jest problem. Nie są zabezpieczone przed tym wirusem, może ktoś znajdzie jakąś zależność.

Jeszcze kombinuje programami podanymi tutaj: http://www.fixitpc.pl/topic/92-zabezpie … ami-z-usb/

może coś zdziałam.

KOMP1

OTL: http://wklej.org/id/1056340/

OTL EXTRAS: http://wklej.org/id/1056341/

USBFIX LISTING: http://wklej.org/id/1056325/

KOMP2

OTL: http://wklej.org/id/1056317/

OTL EXTRAS: http://wklej.org/id/1056319/

USBFIX LISTING: http://wklej.org/id/1056306/

KOMP3

OTL: http://wklej.org/id/1056344/

OTL EXTRAS: http://wklej.org/id/1056345/

USBFIX LISTING: http://wklej.org/id/1056352/

a to logi z komputera na którym jest teraz ok ale nie wiem czy jak ktoś podłączy pendrive z wirusem czy się obroni.

asc

OTL: http://wklej.org/id/1056364/

OTL EXTRAS: http://wklej.org/id/1056365/

USBFIX LISTING: http://wklej.org/id/1056368/

#14

Zainfekowany jest komputer 2, a na pozostałych nie widać infekcji.

KOMP2

Do okna Własne opcje skanowania / skrypt wklej:

Kliknij Wykonaj skrypt i zatwierdź restart.

Pokaż raport z usuwania i nowy log Skanuj.

#15

Raport z usuwania: http://wklej.org/id/1056496/

Skan otl: http://wklej.org/id/1056506/

Instalowałem mcshield i u usbavfree… coś tam działają ale usuwają niby wirusy i tym samym ukrywają pliki które były po kliknięciu na skrót. I nie wiem czy z takimi programami to jakieś rozwiązanie. Co chwilę ktoś przychodzi z tym wirusem. A czasami po usunięciu wirusa i podłączeniu ponownie pendrive to znowu mcshield wykrywa, usuwa i tak w kółko.

Co innego taki problem rozwiązać w domu, a co innego w takim miejscu… już mi ręce opadają.

Mcshield na komputerze asc chyba daje rade… ale jak ktoś przyjdzie z wirusem to nie wiem czy nie zarazi albo czy mcshield nie usunie wraz z wirusem innych plików. Tzn. on je ukrywa i pojawiają się w folderze bez nazwy po ponownym podłączeniu. Same dziwne rzeczy.

#16

Infekcja została usunięta.

Uruchom OTL i kliknij Sprzątanie.

#17

Ciągle sprzątam i kombinuje z tymi programami do infekcji. A międzyczasie jeszcze ludzie z pendrivami przychodzą więc ciężko.

Teraz chyba jest tak, że na kompie 1 i asc mcshield skutecznie blokuje infekcje. Nawet gdy pamięć ma wirusa to można go usunąć, nie stracić plików i jest ok. Natomiast na 2 i 3 po podłączeniu czystej pamięci po chwili jest wirus. Może to już jakiś postęp, nie wiem.

Nowe logi.

Komp 2:

OTL: http://wklej.org/id/1056657/

Extras: http://wklej.org/id/1056659/

– Dodane 03.06.2013 (Pn) 19:38 –

Komp3

OTL: http://wklej.org/id/1056661/

Extras: http://wklej.org/id/1056662/

– Dodane 03.06.2013 (Pn) 19:39 –

I chyba sprawny

asc

http://wklej.org/id/1056665/

Jutro kolejny dzień…

#18

Nie wiem, co blokuje ten program, ale na żadnym komputerze nie widać aktywnej infekcji.