Dziwny Problem z amvo.exe

Dla specjalistów Bezpieczeństwo
#1

Parę dni temu napotykałem na kompie problem. Przy uruchamianiu windy wyskakiwał jakiś dziwny komunikat o błędzie i pliku amvo.exe, ponadto w systemie nie dało się włączyć opcji „pokaż pliki ukryte i foldery”. Problem nie zniknął po formacie czy przywróceniu sprawnego obrazu dysku systemowego. Chcąc się w tej sprawie tu na forum poradzić skorzystałem z HijackThis i ComboFix, ale że to był pierwszy raz gdy musiałem skorzystać z tych narzędzi, w czasie pierwszego ich uruchomienia tak tylko by sprawdzić co to za programiki nie zapisałem logów z tej ich pracy. No i nawet z początku nie zauważyłem, że problem z ukrytymi plikami znikł. Załączam aktualne logi z HijackThis i ComboFix.

I tu moje pytanie: czy to znaczy, że wszystko jest już ok? Wystarczyło tylko to, mimo że w podobnych tematach na forum droga rozwiązania problemu z tego co widziałem była znacznie dłuższa? Czy mogę teraz bezpiecznie zrobić formata i nowy obraz dysku systemowego?

Z tego co się zorientowałem paskudztwo to przenosi się miedzy innymi na pendriveach, czy jego tez muszę w jakiś specjalny sposób oczyścić? No i to samo się tyczy telefonu komórkowego z pamięcią wewnętrzną i karta pamięci w nim.

Bardzo proszę o pomoc.

Logi:

HijackThis

http://wklej.org/id/c9ee0a89cd

ComboFix

http://wklej.org/id/e622fc0c02

#2

Wyłącz przywracanie systemu na wszystkich dyskach

format pendriva

otwórz notatnik i wklej

File::

C:\oufddh.exe

C:\d6fagcs8.cmd

C:\3wcxx91.cmd

C:\x.com

C:\2ifetri.cmd


Driver:: 

Wbutton

zapisz jako CFScript.txt (zapisz by ikonka CFScript.txt była obok ikonki ComboFix.exe) >> Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe

http://img.wklej.org/images/88953CFScri … iemoes.gif

Powinno rozpocząć się usuwanie

Potem log z usuwania

Po restarcie jeśli wszystko będzie OK usuń ręcznie folder C: \Qoobox

:slight_smile:

#3

Wykonane, tyle że po tym usuwaniu nie wyskoczył mi żaden log z combofix tylko od razu zrobił sie restart i tez nic nie wyskoczyło. Ale znalazłem jakiś log w C:\ComboFix z data i godziną tego usuwania wiec wklejam to:

http://wklej.org/id/406dfdf262

Na wszelki wypadek wklejam też aktualne logi z

HijackThis

http://wklej.org/id/8e29107a6a

i Combofix

http://wklej.org/id/827ecfe578

I jeszcze jedno pytanko, skoro trzeba było zrobić format pendrivea, to czy trzeba też zrobić format pamięci i karty w telefonie (a używałem i podłączałem go gdy były te problemy z kompem)

#4

Logi czyste

spróbuj wyleczyć tym http://www.softpedia.com/get/Security/Security-Related/PRT-Perlovga-Removal-Tool.shtml jak nie to format

zrób sobie optymalizacje autostartu http://www.bezpieczenstwosystemow.pl/index.php?topic=116.0

oto twoja lista uruchamiania

# O4 - HKLM\..\Run: [preload] C:\Windows\RUNXMLPL.exe

# O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32

# O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC

# O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC

# O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName

# O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe

# O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe

# O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe

# O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

# O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

# O4 - HKLM\..\Run: [PCMService] "C:\Program Files\Acer\Acer Arcade\PCMService.exe"

# O4 - HKLM\..\Run: [LaunchAp] "C:\Program Files\Launch Manager\LaunchAp.exe"

# O4 - HKLM\..\Run: [PowerKey] "C:\Program Files\Launch Manager\PowerKey.exe"

# O4 - HKLM\..\Run: [LManager] "C:\Program Files\Launch Manager\HotkeyApp.exe"

# O4 - HKLM\..\Run: [CtrlVol] "C:\Program Files\Launch Manager\CtrlVol.exe"

# O4 - HKLM\..\Run: [LMgrOSD] "C:\Program Files\Launch Manager\OSDCtrl.exe"

# O4 - HKLM\..\Run: [Wbutton] "C:\Program Files\Launch Manager\Wbutton.exe"

# O4 - HKLM\..\Run: [EPM-DM] c:\acer\Empowering Technology\ePower\epm-dm.exe

# O4 - HKLM\..\Run: [Acer ePower Management] C:\Acer\Empowering Technology\ePower\Acer ePower Management.exe boot

# O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\Monitor.exe

# O4 - HKLM\..\Run: [ADMTray.exe] "C:\Acer\Empowering Technology\admtray.exe"

# O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe

# O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

# O4 - HKLM\..\Run: [QuickTime Task] "D:\Programy\QuickTime\QTTask.exe" -atboottime

# O4 - HKLM\..\Run: [combofix] C:\WINDOWS\system32\kmd.exe /c C:\ComboFix popr\Combobatch.bat

# O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

# O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA LOKALNA')

# O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA SIECIOWA')

# O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

# O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

Możesz włączyć przywracanie systemu

:slight_smile:

#5

wielkie dzięki za naprawdę szybką i fachową pomoc

:slight_smile:

#6

Mam jeszcze jeden problem – z drugim kompem którego zaraziłem najprawdopodobniej tym samym swoim pendrivem. Wrzucam logi:

HijackThis

http://wklej.org/id/1d0a6aa758

ComboFix

http://wklej.org/id/448ce958bb

#7

Wklej do Notatnika:

File::

G:\ylr.exe

>>Plik>>Zapisz jako… >>> CFScript (najwygodniej będzie, jeśli zapiszesz w takiej lokalizacji, by ikonka CFScript.txt znalazła się obok ikonki ComboFix.exe )

Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe (czyli ikonkę CFScript.txt na ikonkę ComboFix.exe )

– podobnie jak na tym obrazku –>88953CFScript-createdbyMiekiemoes.gif

(jeśli pojawi się pytanie " 1 or 2" - to wpisz 1 i naciśnij ENTER) Ma się rozpocząć usuwanie. (i powstanie log)

Po restarcie usuń ręcznie folder C: ** Qoobox**.

#8

Nie podpinaj się pood cudzy temat. ssin za piractwo posta usuwam