Infekcja ZeroAccess

[maruda2]

Pojawił mi sie jakis dziwaczny folder:

D:\Program Files\Google\Desktop\Install\{b72a3bb9-9e6b-70dc-4bee-56f543e1751f}\ \ \‮ﯹ๛

Klucz:

Google Update registry\current user\run

Nie moge w żaden sposób tego usunąć.Antywirus nie pokazuje tego jako zagrożenie może to jakis bład?

– Dodane 26.09.2013 (Cz) 20:02 –

Dodam że znikły mi swie ikony w tray centrum zabezpieczeń oraz o planowanych aktualizacjach

[Atis]

To jest nowa wersja rootkita ZeroAccess.

http://nakedsecurity.sophos.com/2013/07 … e-devious/

Pobierz i uruchom Farbar Recovery Scan Tool

Kliknij Scan i pokaż raport FRST i Addition.

Logi umieść na http://wklej.org/ i podaj link.

Pobierz i uruchom Farbar Service Scanner

Zaznacz wszystkie pozycje i kliknij Scan.

Pokaż raport z tego programu.

[maruda2]

Farbar Recovery Scan Tool

Addition :

http://wklej.org/id/1137593/

FRST :

http://wklej.org/id/1137597/

Farbar Service Scanner

http://wklej.org/id/1137599/

[Atis]

Wklej do systemowego notatnika i zapisz jako plik tekstowy o nazwie fixlist :

HKCU…\Run: [Google Update*] - [x] <===== ATTENTION (ZeroAccess rootkit hidden path) HKCU…\Policies\Explorer: [NoTrayItemsDisplay] 0 Winsock: Catalog5 01 mswsock.dll File Not found (Microsoft Corporation) ATTENTION: The LibraryPath should be “%SystemRoot%\System32\mswsock.dll” Winsock: Catalog5 03 mswsock.dll File Not found (Microsoft Corporation) ATTENTION: The LibraryPath should be “%SystemRoot%\System32\mswsock.dll” U2 *etadpug; “D:\Program Files\Google\Desktop\Install{b72a3bb9-9e6b-70dc-4bee-56f543e1751f}\ \ ???{b72a3bb9-9e6b-70dc-4bee-56f543e1751f}\GoogleUpdate.exe” < <==== ATTENTION (ZeroAccess) D:\Documents and Settings\GHOST\Ustawienia lokalne\Dane aplikacji\Google\Desktop\Install D:\Program Files\Google\Desktop\Install D:\Documents and Settings\All Users*.exe Reg: reg delete “HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer” /f cmd: netsh winsock reset

Uruchom FRST i kliknij Fix. Pokaż raport z usuwania Fixlog.

Kliknij Scan i pokaż nowy raport z FRST bez Addition.

[maruda2]

http://wklej.org/id/1137630/

– Dodane 26.09.2013 (Cz) 21:17 –

nowy raport FRST:

http://wklej.org/id/1137634/

[Atis]

Pobierz plik FIX:

http://sendfile.pl/64811/FIX.reg

Kliknij prawym na pliku i wybierz Scal.

Wklej do systemowego notatnika i zapisz jako plik tekstowy o nazwie fixlist :

D:\Documents and Settings\LocalService\Ustawienia lokalne\Dane aplikacji\Google\Desktop D:\Program Files\Google\Desktop D:\Documents and Settings\GHOST\Ustawienia lokalne\Dane aplikacji\Google\Desktop

Uruchom FRST i kliknij Fix. Pokaż raport z usuwania Fixlog.

Kliknij Scan i pokaż nowy raport z FRST bez Addition.

Pokaż log z OTL. OTL - Raport obowiązkowy:

analiza-dezynfekcja-zestaw-nieingerencyjnych-narzedzi-t485632.html#p3059741

Pokaż nowy raport z Farbar Service Scanner.

[maruda2]

Raport z usuwania Fixlog :

http://wklej.org/id/1137648/

Nowy raport z FRST :

http://wklej.org/id/1137661/

Log z OTL :

http://wklej.org/id/1137677/

Log z OTL Extras :

http://wklej.org/id/1137682/

Nowy raport z Farbar Service Scanner :

http://wklej.org/id/1137681/

[Atis]

Do okna Własne opcje skanowania / skrypt wklej:

:OTL O4 - HKU.DEFAULT…\Run: [Google Update] Reg Error: Value error. File not found O4 - HKU\S-1-5-18…\Run: [Google Update] Reg Error: Value error. File not found [2013-09-26 13:55:15 | 000,000,000 | —D | C] – D:\Documents and Settings\LocalService\Ustawienia lokalne\Dane aplikacji\Google [2013-09-26 13:49:38 | 000,000,000 | —D | C] – D:\Documents and Settings\GHOST\Ustawienia lokalne\Dane aplikacji\Google [2005-12-28 06:48:55 | 000,203,772 | -H-- | C] () – D:\Documents and Settings\GHOST\Dane aplikacji\GHOSTlog.dat [2013-07-30 00:41:09 | 000,000,000 | —D | M] – D:\Documents and Settings\All Users\Dane aplikacji\Babylon [2013-09-11 22:50:03 | 000,000,000 | —D | M] – D:\Documents and Settings\All Users\Dane aplikacji\InstallMate :Commands [emptytemp]

Kliknij Wykonaj skrypt i zatwierdź restart.

Pokaż raport z usuwania i nowy log Skanuj.

[maruda2]

Raport z usuwania :

http://wklej.org/id/1137718/

Raport OTL :

http://wklej.org/id/1137725/

Raport OTL Extras :

http://wklej.org/id/1137728/

[Atis]

Error: Unable to interpret

Wklej cały skrypt łącznie z komendą :OTL

Log Extras nie jest potrzebny.

[maruda2]

Raport z usuwania :

http://wklej.org/id/1137737/

Raport OTL :

http://wklej.org/id/1137747/

Czy tych użytkowników mogę usunąć i zostawic tylko siebie?

[Atis]

Nie wiem jakich użytkowników?

Wklej do systemowego notatnika i zapisz jako plik tekstowy o nazwie fixlist :

reg: reg delete “HKEY_USERS.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run” /v “Google Update” /f reg: reg delete “HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run” /v “Google Update” /f

Uruchom FRST i kliknij Fix. Pokaż raport z usuwania Fixlog.

Kliknij Scan i pokaż nowy raport z FRST bez Addition.

[maruda2]

Raport z usuwania Fixlog :

http://wklej.org/id/1137763/

Raport z FRST :

http://wklej.org/id/1137768/

Tych użytkowników

User: Administrator

User: exin

User: Gość

User: LocalService

User: NetworkService

User: Pomocnik

User: SUPPORT_388945a0

[Atis]

Pobierz i uruchom RogueKiller

Kliknij Skanuj i później Podsumowanie. Pokaż raport z tego programu.