Dziwny problem z svchost.exe i avast!

Dla specjalistów Bezpieczeństwo
#21

Przeskanowałem wczoraj Malwarebytes’ Anti-Malware i znalazło 1 obiekt, który zgodnie z zaleceniem usunąłem. Tutaj jest raport z usuwania: http://wklej.org/id/282412/.

Próbowałem zrobić skan GMER’em, ale znowu podczas skanu tym programem komputer się zawiesił. Coś tego GMER’a nie lubi mój komputer. :wink:

Zrobiłem jednak coś innego. Poprzez program Process Explorer zacząłem przyglądać się procesom svchost.exe i wydaje mi się, że znalazłem te odpowiadające za spam. Najeżdżając kursorem na dany proces pokazuje się ścieżka dostępu do niego oraz za co dany proces odpowiada. Tutaj jest to nazwane “Services”. http://www.fotosik.pl/pokaz_obrazek/662447be39896c2f.html. Jednak 3 procesy ewidentnie się różnią, bo najeżdżając na nie kursorem pokazuje się do nich tylko ścieżka dostępu, bez “Services”. http://www.fotosik.pl/pokaz_obrazek/6da8f9644ed9a6dd.html. Zatrzymując proces nr 1 ustaje wysyłanie spamu. !!

#22

O matko, ile Ty tego masz. :shock:

Powyłączaj zbędne usługi: http://www.searchengines.pl/Services-Us … t7723.html

Pozamykaj porty programem WWDC.

Wśród narzędzi anty-rootkit jeszcze mamy RootRepeal.

Raport wykonujemy przechodząc na zakładkę Report oraz klikając przycisk Scan.

SysProt AntiRootkit - przechodzisz na zakładkę Log i zaznaczasz opcje jak na obrazku:

7f435da1fb81a7ac50f0f648dbed8f_300x300.png

Następnie klikamy przycisk Create Log znajdujący się w prawym dolnym rogu okna programu.

Po kilku sekundach zostanie wyświetlone okno z wyborem lokalizacji do przeszukania - wybieramy opcje Scan root drive only.

Raport zostanie zapisany w tym samym folderze, w którym znajduje się narzędzie pod nazwą SysProtLog.txt.

#23

Powyłączałem część usług, pozamykałem porty, przeskanowałem. Oto logi:

Root Repeal nie zamykałem jeszcze na wypadek, gdyby można było przez niego usunąć szkodniki.

#24

Chyba bez Combofixa się nie obędzie…

Instrukcję podałem na poprzedniej stronie tematu.

#25

Ok. Problem chyba z głowy. Tutaj masz log z ComboFixa http://wklej.org/id/282767/.

Pojawiły się tylko 2 nowe problemy. Mógłbyś sprawdzić na logu, czy mi nie wykasowało jakichś sterowników, czy ważnych plików, bo niestety nie mam żadnego połączenia internetowego i nie mogę utworzyć nowego oraz nie można włączyć Zapory Systemu Windows. Mam spróbować powgrywać jakieś sterowniki, czy spróbować naprawić system z płytki z windowsem??

#26

Winowajcą, a właściwie brakującym winowajcą jest to:

#27

Jest problem. W czasie pracy combofixa pojawił się niebieski ekran błędu stop. Praca stanęła. Nie wiem co mam teraz zrobić. Czekać, czy wyciągnąć baterię(mój kompoter to laptop), żeby zrestartować?? Z obserwacji wiem że jak się poajwił ten blue screen to nic dalej nie ruszy bez resetu w formie wyjęcia baterii.

#28

Wyjmij baterię, chociaż nie wiem czy to coś w ogóle da.

Bez formatowania systemu chyba się tutaj nie obędzie…

#29

Wyciągnąłem baterię. Przy ponownym uruchomieniu pojawił się znowu niebieski ekran. Więc uruchomiłem kompa jeszcze raz w trybie awaryjnym i tutaj ruszył. Może z poziomu trybu awaryjnego da się coś zrobić??

#30

Na pewno się da coś zrobić.

Pokaż nowy log Combofix.

#31

Przeskanowałem. Oto nowy log: http://wklej.org/id/283172/

Dodatkowo podczas skanowania pojawił się w prawym dolnym rogu ekranu komunikat w postaci dymku:

"PEV.cfxxe - Uszkodzony plik

Plik lub katalog \Windows\System32\dllcache\ndis.sys jest uszkodzony i nie nadaje się do odczytu. Uruchom program CHKDSK"

#32

To jest chyba wytłumaczenie tej katastrofalnej sytuacji. Bad sector na dysku “wżarł” ten plik w komunikacie i to mogło wywołać bluescreen. W każdym razie jakimś cudem plik został podmieniony czystą kopią.

Otwórz Notatnik i wklej do niego:

File::

c:\program files\Intel\Wireless\Bin\ifrmewrk .exe

c:\program files\Intel\Wireless\Bin\zcfgsvc .exe

c:\program files\SigmaTel\C-Major Audio\WDM\stsystra .exe


Driver::

vyohv


Registry::

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"MSMSGS"=-

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"IgfxTray"=-

"HotKeysCmds"=-

"Persistence"=-

"IntelZeroConfig"=-

"IntelWireless"=-

"SigmatelSysTrayApp"=-

"SunJavaUpdateSched"=-

Plik zapisz pod nazwą CFScript , najlepiej w tym samym folderze co Combofix.exe

Przeciągnij i upuść ikonkę CFScript.txt na ikonkę Combofix.exe

Powinno się rozpocząć usuwanie.

_ Potem dajesz log z usuwania Combofix. _

#33

Zdążyłem dokonać naprawy systemu z płytki z systemem. Na razie Windows chodzi trochę wolno, ale internet i zapora wydają się działać w porządku. Więc na razie poczekam z tym użyciem ComboFixa. Chyba, że mimo to mam zrobić jak powiedziałeś i dać nowego loga??

#34

Lepiej użyj skryptu, gdyż są tutaj dalej szkodliwe pliki.

#35

oto log z combofixa: http://wklej.org/id/283416/

#36

W końcu udało się pozbyć tych plików…

Wykonaj: Start -> Uruchom… -> Combofix /uninstall

Zastosuj OTC.

Wykonaj pełny skan Malwarebytes’ Anti-Malware - znalezione obiekty usuń.

Gdy będą wirusy pokaż raport po usuwaniu.

Wyczyść rejestr i dysk CCleaner oraz wyłącz nim zbędniki z autostartu (Narzędzia -> Autostart).

Uszkodzone/niedziałające programy do usunięcia i reinstalacji.

#37

Komputer przeskanowany i działa poprawnie (choć dziwnie wolniej - może spróbuję zdefragmentować dysk). Skanery nie znalazły żadnych podejrzanych plików. Wyskakuje mi co jakiś czas błąd programu Microsoft Feeds Synchronization. Jak to naprawić?? A za przywrócenie komputera do stanu używalności wielkie dzięki.;D

#38

To jest część IE7, więc wystarczyło by zaktualizować do IE8.

#39

Dzięki jeszcze raz. Chyba można zamknąć temat.:smiley: