Gen.Rootkit!IK - problem z usunieciem...log z OTL


(Marcinkozlowski29) #1

http://wklej.org/id/265819/ ... OTL


(jessica) #2

Uruchom OTL i w oknie Custom Scans/Fixes wklej to:

Kliknij w Run Fix. Zatwierdź restart komputera.

Następnie uruchom OTL ponownie, tym razem kliknij "Run Scan".

Pokaż nowy log OTL.txt oraz log z usuwania.

jessi


(Marcinkozlowski29) #3

http://wklej.org/id/265826/... tutaj jest log zaraz po ponownym uruchomieniu kompa

http://wklej.org/id/265827/ ... a tutaj po kolejnym skanowaniu

chcialem Jessi jeszcze dodac ze cos strasznie mi Firefox zamula, strasznie dlugo sie strony otwieraja :slight_smile:

-- Dodane 21.01.2010 (Cz) 2:24 --

http://wklej.org/id/265828/ a tutaj dodatkowo zamieszczam log ze SREng


(jessica) #4

Dobrze, że wpadłeś na pomysł dania logu ze SRENG. To diabelstwo podczepiło się pod systemowego "svchost.exe", a w logu OTL nie było to wogóle widoczne.

Nie usunął się też sterownik "5lI36844".

Ściągnij -->Avenger.

wklej do niego ten tekst:

Files to delete:

C:\WINDOWS\System32\H8SRTwfihosrorc.dll

D:\WINDOWS\System32\H8SRTwfihosrorc.dll

E:\WINDOWS\System32\H8SRTwfihosrorc.dll

F:\WINDOWS\System32\H8SRTwfihosrorc.dll

G:\WINDOWS\System32\H8SRTwfihosrorc.dll


Registry keys to delete:

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{53707962-6F74-2D53-2644-206D7942484F}

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{DFB852A3-47F8-48C4-A200-58CAB36FD2A2}


Drivers to delete:

5lI36844

H8SRTwfihosrorc

Kliknij w " Execute" i zatwierdź restart komputera.

Zrestartuj komputer.

Daj Raport z Avengera z C:\avenger.txt.

Oraz log ze SRENG.

jessi


(Marcinkozlowski29) #5

jessi dzieki za pomoc ale nie moge sciagnac tego Avengera z zadnej strony bo mi sie wyswietla ze dana strona nie istnieje :frowning: moze masz jakas stronke oprocz tej ktora podalas?


(jessica) #6

Dziwne, bo u mnie link działa normalnie i ściągnęłam Avengera.

Daję go na >http://www.speedyshare.com/files/20470092/avenger.com

jessi


(PC174) #7

Jeśli to rootkit to ja bym poGMERał.


(Marcinkozlowski29) #8

Hej Jessi :slight_smile: Ok Avengera sciagnalem w pracy na kompa i wyslalem do siebie na mail tak ze ten problem juz rozwiazany....a tak na marginesie to ta strona ktora mi podalas to w pracy otwierala mi sie bez problemu wiec to chyba problem tkwi w moim sprzecie :slight_smile: No to tyle gadu gadu a teraz czas wziasc bydlaka za rogi :slight_smile:

Tutaj jest log z Avengera...http://wklej.org/id/266349/

Tutaj mamy kolejny log ze SREng ... http://wklej.org/id/266351/

Czekam na odpowiedz, pozdrawiam :wink:


(jessica) #9

Avenger znalazł Rootkita, ale pod inną nazwą i pod inną nazwą jego pliku, niż ja podałam do usuwania, więc:

>Avenger>

wklej do niego ten tekst:

Files to delete:

%systemdrive%\%systemroot%\system32\H8SRTwfihosrorc.dll

%systemdrive%\%systemroot%\system32\drivers\H8SRTucfqxtpdvi.sys 


Drivers to delete:

H8SRTd.sys

Kliknij w " Execute" i zatwierdź restart komputera.

Zrestartuj komputer.

Daj Raport z Avengera z C:\avenger.txt.

jessi


(Marcinkozlowski29) #10

Jessi nie posiadam raportu z Avengera bo teraz mam problem z uruchomieniem kompa, po restarcie jak juz wkleilem do Avengera to co mi podalas komp juz nie wstal tzn. wlacza sie ale przy ladowaniu ustawien caly czas sie restartuje i tak do zarypania :slight_smile: jedyna opcja zeby go wlaczyc to musze mu dac zeby uruchomil sie pod ostatnimi dobrymi ustawieniami jakie zapamietal i wtedy nie mam analogicznie dostepu do raportu z ostatniej zabawy Avengerem :frowning: tak ze doradz mi cos Jessi moze cos jeszcze wymyslisz a ja tymczasem spadam do pracy.....pozdrawiam :slight_smile:


(jessica) #11

Tu już nic się nie da wymyśleć.

Przeinstaluj System bez utraty danych >http://www.searchengines.pl/phpbb203/index.php?showtopic=24500&st=0&p=109540?entry109540

Trzeba tylko mieć nadzieję, że Avenger zdążył usunąć Rootkita, bo jeśli nie, to taki reinstal nie ma sensu - potrzebny byłby pełny format dysku.

jessi


(PC174) #12

Moim zdaniem nie jest to jeszcze potrzebne. Przeskanuj kompa tym narzędziem: GMER i daj z niego log.


(jessica) #13

@ PC174 - tylko po co?

Komputer już sie przecież nie uruchamia. Nawet ewentualne usunięcie Rootkita tego już nie zmieni, skoro System został już zniszczony.


(PC174) #14

Przecież komputer się uruchamia (ostatnia znana dobra konfiguracja). Jeśli rootkit został w systemie to nakładka Windows nic nie da. Aby pożegnać się z problemem trzeba najpierw rozprawić się z przyczyną.


(Henio Mazurek) #15

mavis1978 , zastosuj Dr.WEB CureIt, jesli log nie będzie zbyt obszerny możesz go zamieścić.

Wklej w OTL takie coś

Kliknij Run Scan i wklej log jaki wyskoczy.

Pokaż log z GMER (instrukcje w ogłoszeniach).

W GMER przełączaj się po zakładkach i sprawdź czy jakieś pozycje są na czerwono - napisz jakie.


(Marcinkozlowski29) #16

To tak...jezeli chodzi o OTL to wyswietla informacje ze podanej komendy nie moze wykonac

Tutaj zamieszczam log z Dr.WEB Cure It ... http://wklej.org/id/266824/

Tutaj jest log Z GMER ... http://wklej.org/id/266825/


(Henio Mazurek) #17

Na pewno w OTL wkleiłeś tekst poprawnie?

Co było robione pierwsze - skan GMER'em czy Dr.WEB CureIt?

Otwórz GMER i sprawdź co jest na czerwono, zrób screen lub napisz.

Zastosuj ComboFix i wklej z niego log. Ważne - zapisz go pod losową nazwą podczas pobierania.


(PC174) #18


(Henio Mazurek) #19

Nie znajdzie pliku.

TDSSServ (jest zresztą w raporcie Dr.WEB)