Infekcja Privacy Protection

[szymon189]

Posiadam zainfekowany komputer Privacy Protection. Nic nie umie nanim zrobić. Skorzytsałem z AVG Rescue CD, ale nadal są problemy. Musiałem zrobić log w OTL w trybi awaryjnym.

http://wklej.to/tPka5

http://wklej.to/vPMqc

[spandaupol (Spandau)]

Tutaj jest rootkit zeroacccess

Proszę pobrać i spróbować uruchomić Dummy Creator http://download.bleepingcomputer.com/fa … reator.zip Rozpakuj, uruchom

Wklej do niego

C:\WINDOWS\3731187487

Klikasz Create wygenerowany log dasz później na forum

Następnie restartujesz system to warunek konieczny Pobierasz Kasperski TDSSKiller instrukcja [http://www.fixitpc.pl/topic/8-dezynfekc … #entry6814](http://www.fixitpc.pl/topic/8-dezynfekcja-zbior-narzedzi-usuwajacych/page p 6814) Jak program coś wykryje wybierasz Skip prezentujesz raport na forum

[szymon189]

DummyCreator

http://wklej.to/9l1kV

Raport z Kasperskigo

http://wklej.to/VAwW0

Wszystko zrobione w trybie awaryjnym.

[spandaupol (Spandau)]

Nic nie szkodzi

Proszę pobrać Combofixa http://www.fixitpc.pl/topic/7-dezynfekc … -combofix/ Proszę na razie go nie uruchamiać

Uruchom Ponownie Kasperskiego Jak znajdzie

13:46:20.0234 1020 1f6765de ( Rootkit.Win32.PMax.gen ) - skipped by user 13:46:20.0234 1020 1f6765de ( Rootkit.Win32.PMax.gen ) - User select action: Skip

Wybierasz opcje Delete

Jak znajdzie

13:46:20.0250 1020 ACPI ( Virus.Win32.Rloader.a ) - skipped by user 13:46:20.0250 1020 ACPI ( Virus.Win32.Rloader.a ) - User select action: Skip 13:46:20.0265 1020 \Device\Harddisk0\DR0 ( TDSS File System ) - skipped by user 13:46:20.0265 1020 \Device\Harddisk0\DR0 ( TDSS File System ) - User select action: Skip

Wybierasz opcje Cure

Jak znajdzie

13:46:20.0250 1020 alcan5wn ( UnsignedFile.Multi.Generic ) - skipped by user 13:46:20.0250 1020 alcan5wn ( UnsignedFile.Multi.Generic ) - User select action: Skip 13:46:20.0250 1020 alcaudsl ( UnsignedFile.Multi.Generic ) - skipped by user 13:46:20.0250 1020 alcaudsl ( UnsignedFile.Multi.Generic ) - User select action: Skip 13:46:20.0265 1020 PCANDIS5 ( UnsignedFile.Multi.Generic ) - skipped by user 13:46:20.0265 1020 PCANDIS5 ( UnsignedFile.Multi.Generic ) - User select action: Skip

Wybierasz Skip

Będzie wymagany restart systemu Po restarcie wejdź od razu w tryb awaryjny windows i uruchom Combofixa dwuklikiem Jak się uda i narzędzie skończy pracę pokaż raport na forum

[szymon189]

Log:

http://wklej.to/jkPur

[spandaupol (Spandau)]

Combofix zrobił porządek Teraz tak Przez Aplet Dodaj Usuń programy odinstaluj BabylonToolbar.

Następnie odinstalujemy Combofixa w prawidłowy sposób

Start - Uruchom - wpisujesz lub skopiuj

"c:\documents and settings\Administrator\Pulpit\ComboFix.exe" /uninstall i Enter

Teraz spróbuj uruchomić windows normalnie Jak się uda wykonaj nowy skan OTL i pokaż na forum raport OTL.txt

[szymon189]

Otl.txt

http://wklej.to/qvaiH

Extras.txt

http://wklej.to/gxLcg

[spandaupol (Spandau)]

Więc tak Jeśli nie działa AVG spróbuj odinstalować go przez Aplet Dodaj Usuń Jeśli będzie z tym problem użyj narzędzia do deinstalacji http://www.avg.com/pl-pl/pobierz-narzedzia

W okno Własne opcje skanowania / skrypt w OTL wklej:

:OTL IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://startsear.ch/?aff=1 FF - prefs.js…browser.search.defaultenginename: “Search the web (Babylon)” FF - prefs.js…browser.search.selectedEngine: “Search the web (Babylon)” FF - prefs.js…browser.startup.homepage: “http://search.babylon.com/?babsrc=HP_Prot” FF - prefs.js…keyword.URL: “http://search.babylon.com/?babsrc=SP_ss&mntrId=c85684dd000000000000001d923f2d68&tlver=1.4.31.2&instlRef=sst&affID=19946&q=” [2011-07-09 14:03:54 | 000,000,000 | —D | M] (Babylon) – C:\Documents and Settings\Pipen\Dane aplikacji\Mozilla\Firefox\Profiles\v1ktkhjq.default\extensions\ffxtlbr@babylon.com [2010-09-14 13:48:25 | 000,002,506 | ---- | M] () – C:\Documents and Settings\Pipen\Dane aplikacji\Mozilla\Firefox\Profiles\v1ktkhjq.default\searchplugins\BearShareWebSearch.xml [2011-07-11 19:04:02 | 000,000,633 | ---- | M] () – C:\Documents and Settings\Pipen\Dane aplikacji\Mozilla\Firefox\Profiles\v1ktkhjq.default\searchplugins\startsear.xml SRV - File not found [Auto | Stopped] – -- (nvsvc) SRV - File not found [Auto | Stopped] – -- (JavaQuickStarterService) O3 - HKU\S-1-5-21-1993962763-1965331169-1606980848-1003…\Toolbar\WebBrowser: (no name) - {D4027C7F-154A-4066-A1AD-4243D8127440} - No CLSID value found. O4 - HKU\S-1-5-21-1993962763-1965331169-1606980848-1003…\Run: [Privacy Protection] C:\Documents and Settings\All Users\Dane aplikacji\privacy.exe File not found O20 - HKU\S-1-5-21-1993962763-1965331169-1606980848-1003 Winlogon: Shell - (C:\Documents and Settings\Pipen\Ustawienia lokalne\Dane aplikacji\1f6765de\X) - File not found O33 - MountPoints2{994ad7ea-8061-11df-bcd7-4d6564696130}\Shell\AutoRun\command - “” = E:\33r.exe O33 - MountPoints2{994ad7ea-8061-11df-bcd7-4d6564696130}\Shell\open\Command - “” = E:\33r.exe :Files del "\?\C:\Windows\system32\ " /C C:\Documents and Settings\Pipen\Ustawienia lokalne\Dane aplikacji\1f6765de C:\WINDOWS\ERDNT C:\TDSSKiller_Quarantine :Commands [emptytemp]

Klikasz na Wykonaj skrypt. Zgadzasz się na restart komputera. Log z usuwania na forum

Następnie ponownie uruchamiasz OTL klikasz raz jeszcze Skanuj i dajesz nowy log na forum Czyli dwa logi jeden z usuwania drugi z nowego skanowania po usuwaniu.

Pobierz i wykonaj pełny skan Kasperski Virus Removal Tool http://www.dobreprogramy.pl/Kaspersky-V … 12768.html Jak program coś wykryje Proszę nic nie usuwaj tylko podaj na forum raport z tego co zostało wykryte Jeśli nic nie wykryje odinstaluj go http://support.kaspersky.com/pl/faq/?qid=208284189

[szymon189]

Log z usunięcia:

http://wklej.to/kti7p

Nowe logi:

http://wklej.to/wnZQl

http://wklej.to/at0Kn

Kaseprsky nic ni wykrył.

Posiadam z tego komputera pendrive, może on być zainfekowany?

Strona Dobrychprogramów działa ok,ale forum jakoś długo ładuje się.

[spandaupol (Spandau)]

Coś jest nie tak bo w nowym logu OTL nadal jest

O20 - HKU\S-1-5-21-1993962763-1965331169-1606980848-1003 Winlogon: Shell - (c:\documents and settings\pipen\ustawienia lokalne\dane aplikacji\1f6765de\x) - File not found

Dam do usuwania pozostałość po Esecie

[2011-11-25 19:36:40 | 000,000,000 | —D | C] – C:\Program Files\Eset [2011-11-25 19:36:40 | 000,000,000 | —D | C] – C:\Documents and Settings\All Users\Menu Start\Programy\Eset

Nie wykonałeś pełnego skanu Kasperskim?

1 HOSTS File: ([2011-10-31 18:51:58 | 000,000,761 | RHS- | M]) - C:\WINDOWS\system32\drivers\etc\hosts

Włącz pokazywanie ukrytych plików i folderów. Idź do pliku hosts Otwórz go i wstaw lub pozostaw tylko linię

127.0.0.1 localhost

resztę usuń. Zachowaj zmiany

W okno Własne opcje skanowania / skrypt w OTL wklej:

:OTL O2 - BHO: (AVG Safe Search) - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG9\avgssie.dll File not found O20 - HKU\S-1-5-21-1993962763-1965331169-1606980848-1003 Winlogon: Shell - (c:\documents and settings\pipen\ustawienia lokalne\dane aplikacji\1f6765de\x) - File not found [2011-11-25 19:36:40 | 000,000,000 | —D | C] – C:\Program Files\Eset [2011-11-25 19:36:40 | 000,000,000 | —D | C] – C:\Documents and Settings\All Users\Menu Start\Programy\Eset :Files c:\documents and settings\pipen\ustawienia lokalne\dane aplikacji\1f6765de :Commands [emptytemp]

Klikasz na Wykonaj skrypt. Zgadzasz się na restart komputera. Log z usuwania na forum

Następnie ponownie uruchamiasz OTL klikasz raz jeszcze Skanuj i dajesz nowy log na forum Czyli dwa logi jeden z usuwania drugi z nowego skanowania po usuwaniu.

[szymon189]

Plik hosts wygląda tak: http://wklej.to/MRFnb Niestety nie nogę go zmienić.

[spandaupol (Spandau)]

Zrób tak. Zmień nazwę pliku hosts na hosts.bak

Następnie utwórz nowy plik hosts jak w tym poście [http://www.fixitpc.pl/topic/5733-restar … __p__42708](http://www.fixitpc.pl/topic/5733-restarty-programow-i-problemy-z-internetem/page view findpost p 42708) i wstaw do właściwej lokalizacji czyli C:\WINDOWS\system32\drivers\etc

Jak wszystko będzie działać dobrze usuniesz plik hosts.bak

[szymon189]

Robię tak jak piszę mimo to zapisuj jako hosts.txt. A jak usunę txt to pisze że plik już istnieje o takiej nazwie a go nie ma. Mam pokazywane ukryte pliki.

Usuniecie:

http://wklej.to/BeGWA

OTL:

http://wklej.to/7ZFDO

http://wklej.to/o4YFU

[spandaupol (Spandau)]

Proszę tutaj masz plik hosts http://hostuje.net/file.php?id=d6019e65 … 6e4d4725e3

O20 - HKU\S-1-5-21-1993962763-1965331169-1606980848-1003 Winlogon: Shell - (c:\documents and settings\pipen\ustawienia lokalne\dane aplikacji\1f6765de\x) - File not found

Wpis jak był tak jest

Pokaż raport Autoruns http://www.dobreprogramy.pl/AutoRuns,Pr … 13208.html Raport zapisz do pliku spakuj plik i wrzuć na jakiś darmowy hosting plików a w poście podaj linka do pliku

Pobierz SystemLook (SystemLook) http://jpshortstuff.247fixes.com/SystemLook.html Wklej do niego

:folderfind 1f6765de

Klikasz Look pokaż log na forum

[szymon189]

Podmiana pliku hosts nie działa. Zarówno w trybie normalnym jak i awaryjnym.

http://i43.tinypic.com/10pa9o6.jpg

Log z Autoruns

http://hostuje.net/file.php?id=dc94abec04590790f7c57ef69082fb99

SystemLook

http://wklej.to/wp0Na

[spandaupol (Spandau)]

Podmiana pliku hosts nie działa. Zarówno w trybie normalnym jak i awaryjnym. http://i43.tinypic.com/10pa9o6.jpg

Zrób sobie kopie zapasową tego pliku Zresetujemy go przy użyciu OTL ale to na końcu. Więc po kolei:

Uruchom OTL klikasz Sprzątanie to usunie OTL wraz z jego kwarantanną, czyli folderem C:_OTL

Uruchom Autoruns przejdź do zakładki Logon Idziesz do klucza

HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell

Usuń

and File not found: and aplikacji\1f6765de\x File not found: aplikacji\1f6765de\x c:\documents File not found: c:\documents lokalne\dane File not found: lokalne\dane settings\pipen\ustawienia File not found: settings\pipen\ustawienia

Idziesz do klucza

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce

Usuń

AvgUninstallURL File not found: start

Idziesz do klucza

HKCU\Software\Microsoft\Windows\CurrentVersion\Run

Usuń

ares File not found: C:\Program Files\Ares\Ares.exe

Pobierz ponownie OTL

W okno Własne opcje skanowania / skrypt w OTL wklej:

:Commands [emptytemp] [resethosts]

Klikasz na Wykonaj skrypt. Zgadzasz się na restart komputera. Log z usuwania na forum

Następnie ponownie uruchamiasz OTL klikasz raz jeszcze Skanuj i dajesz nowy log na forum Czyli dwa logi jeden z usuwania drugi z nowego skanowania po usuwaniu.

[szymon189]

Log po usunięciu:

http://wklej.to/D4pLl

http://wklej.to/LS3Xk

http://wklej.to/IqmT3

[spandaupol (Spandau)]

Wszystko się wykonało. Reszty już nie będe ruszać. Sprawdź czy wszystko działa prawidłowo

Uruchom OTL klikasz raz jeszcze Sprzątanie

Skorygujemy ten błąd

Error - 2011-11-27 05:07:06 | Computer Name = MARZYCKI-EC4058 | Source = Service Control Manager | ID = 7000 Description = Nie można uruchomić usługi General Purpose USB Driver (e4ldr.sys) z powodu następującego błędu: %%2

Wklej do notatnika

Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\E4LOADER] “Start”=dword:00000004

Z menu Notatnika wybierasz - Plik - Zapisz jako - Zmieniasz rozszerzenie z .txt na wszystkie pliki - zapisz pod nazwą Fix.reg

Uruchom ten plik, potwierdź dodanie do rejestru, uruchom ponownie komputer.

Zainstaluj oprogramowanie zabezpieczające i wykonaj pełny skan systemu. Jeśli skaner nic nie wykryje użyj Security Check [http://www.fixitpc.pl/topic/61-diagnost … #entry9515](http://www.fixitpc.pl/topic/61-diagnostyka-ogolne-raporty-systemowe/page p 9515#entry9515) Uaktualnij to co wskaże program

Obowiązkowo ponieważ były tutaj dwa rootkity zeroaccess oraz MBR wszystkie hasła do wymiany.

Edit::

Posiadam z tego komputera pendrive, może on być zainfekowany?

Tak może być Tak twierdził nawet OTL Zobacz więc ten temat http://www.fixitpc.pl/topic/56-zabezpie … zenosnych/

[szymon189]

Zauważyłem dziwny błąd z instalacją aktualizacji w systemie. Miałem do zainstalowania:

Narzędzie Windows do usuwania złośliwego oprogramowania - listopad 2011

Jak zainstaluje to po chwili aktualizacja jest ponownie do zainstalowania i tak w koło. Jak wyłączam komputer to też mam możliwość jej instalacji - instalacja niby się odbywa, ale po uruchomieniu komputera znów jest do instalacji.

[spandaupol (Spandau)]

Spróbuj pobrać stąd i zainstalować http://www.microsoft.com/downloads/pl-p … b8eb148356