Jak usunac coinn miner

[marcel21 (Mojtes)]

Witam.

Od paru dni mam problemy z FB. Poczytałem trochę i domyślam się że mam wirusa coin miner. Zrobiłem skan OTL.

http://wklej.org/id/625765/

Marcel

[spandaupol (Spandau)]

Tutaj jest rootkit zeroacccess Facebook to mały problem przy nim

Proszę pobrać i spróbować uruchomić Dummy Creator http://download.bleepingcomputer.com/fa … reator.zip Rozpakuj, uruchom

Wklej do niego

C:\Windows\252486790

Klikasz Create wygenerowany log dasz później na forum

Następnie restartujesz system to warunek konieczny Pobierasz Kasperski TDSSKiller instrukcja [http://www.fixitpc.pl/topic/8-dezynfekc … #entry6814](http://www.fixitpc.pl/topic/8-dezynfekcja-zbior-narzedzi-usuwajacych/page p 6814) Jak program coś wykryje wybierasz Skip prezentujesz raport na forum

[marcel21 (Mojtes)]

log z dummycreator

DummyCreator by Farbar

Ran by ANGELA (administrator) on 12-11-2011 at 09:57:32

**************************************************************

C:\Windows\252486790 [12-11-2011 09:47:56]

== End of log ==

log z kasperskyTDS

http://wklej.org/id/625778/

[anon89827741]

marcel21 , na forum używamy polskich znaków (ż, ł, ć, ś, ą itp.). Proszę wyedytować swojego posta i poprawić co trzeba. Niezastosowanie się do prośby będzie skutkowało przeniesieniem tematu do śmietnika.

[spandaupol (Spandau)]

Pobierz Combofixa ale nie uruchamiaj na razie Instrukcja http://www.fixitpc.pl/topic/7-dezynfekc … -combofix/

Uruchom ponownie Kasperskiego jak znajdzie

10:02:58.0503 5236 86a40c0f ( Rootkit.Win32.PMax.gen ) - skipped by user 10:02:58.0504 5236 86a40c0f ( Rootkit.Win32.PMax.gen ) - User select action: Skip

Wybierasz opcje Delete Jak znajdzie

10:02:58.0505 5236 NetBT ( Rootkit.Win32.ZAccess.g ) - skipped by user 10:02:58.0506 5236 NetBT ( Rootkit.Win32.ZAccess.g ) - User select action: Skip

Wybierasz opcje Cure Po restarcie uruchom szybko Combofixa Jak narzędzie skończy pracę podaj raport na forum

[marcel21 (Mojtes)]

Zrobione. Oto log z combofixa

http://wklej.org/id/626898/

[spandaupol (Spandau)]

To początek usuwania Proszę odinstalować NIS narzędzie znajdziesz tutaj http://www.searchengines.pl/Deinstalato … 45565.html

Pobierz GrandPerms http://download.bleepingcomputer.com/fa … tPerms.zip rozpakuj, uruchom wklej do niego:

c:\windows$NtUninstallKB30036$

Klikasz Unlock

Następnie wklej do notatnika:

File:: c:\windows\unrar.exe c:\windows\services32.exe Folder:: C:\windows\system32%APPDATA% C:\found.000 c:\windows\ufa c:\windows\update.tray-10-0 c:\windows\update.tray-10-0-lnk c:\windows$NtUninstallKB30036$ Registry:: [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] “wxpdrv”=-

Zapisz plik jako CFScript najlepiej aby ikonka tego pliku znajdowała się obok ikonki ComboFix.exe

Przeciągnij i upuść plik CFScript.txt na ikonkę ComboFix.exe powinno rozpocząć się usuwanie po tym daj log na forum.

Następnie uruchom OTL klikasz Skanuj pokaż raport na forum

[marcel21 (Mojtes)]

Zrobione. CF zakonczył działanie, a to log z OTL

http://wklej.org/id/627244/

[spandaupol (Spandau)]

No ja nie wiem czy wszystko usunięte brak raportu Combofixa z usuwania. Bierzesz to na swoją odpowiedzialność

Odinstaluj Combofixa w prawidłowy sposób

Start - w pole Wyszukaj pliki i foldery wpisz (lub skopiuj)

“c:\otl\ComboFix.exe” \uninstall i Enter

W okno Własne opcje skanowania / skrypt w OTL wklej:

:OTL O3 - HKCU…\Toolbar\WebBrowser: (no name) - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - No CLSID value found. [2011-11-12 10:57:36 | 000,518,144 | ---- | C] (SteelWerX) – C:\Windows\SWREG.exe [2011-11-12 10:57:36 | 000,406,528 | ---- | C] (SteelWerX) – C:\Windows\SWSC.exe [2011-11-12 10:57:36 | 000,060,416 | ---- | C] (NirSoft) – C:\Windows\NIRCMD.exe [2011-11-12 10:47:26 | 000,000,000 | —D | C] – C:\Windows\ERDNT [2011-11-12 10:47:14 | 000,000,000 | —D | C] – C:\Qoobox [2011-11-14 15:14:40 | 000,000,000 | —D | C] – C:\ComboFix [2011-11-12 11:10:49 | 000,000,734 | ---- | M] () – C:\Windows\System32\drivers\etc\hîsts [2011-11-12 10:11:13 | 000,000,135 | ---- | M] () – C:\Windows\info1 [2011-10-28 12:06:51 | 000,904,792 | ---- | M] () – C:\Windows\geoiplist.rar [2011-10-28 12:05:55 | 000,000,000 | ---- | M] () – C:\Windows\loader2.exe_ok [2011-11-07 18:59:42 | 005,589,370 | ---- | M] () – C:\Windows\phoenix.rar [2011-11-07 18:59:42 | 001,075,284 | ---- | M] () – C:\Windows\rpcminer.rar [2011-11-07 18:59:42 | 000,246,272 | ---- | M] () – C:\Windows\unrar.exe [2011-11-07 18:59:42 | 000,182,617 | ---- | M] () – C:\Windows\ufa.rar [2011-10-28 11:47:19 | 001,198,080 | ---- | M] (Cronosoft) – C:\Windows\services32.exe [2011-10-28 11:47:19 | 001,198,080 | ---- | M] (Cronosoft) – C:\Users\ANGELA\Desktop\Flash-Player.exe [2011-10-28 12:06:52 | 004,636,907 | ---- | C] () – C:\Windows\geoiplist :Files C:\Users\ANGELA\AppData\Local\Temp*.html :Commands [emptytemp]

Klikasz na Wykonaj skrypt. Zgadzasz się na restart komputera. Log z usuwania na forum

Następnie ponownie uruchamiasz OTL klikasz raz jeszcze Skanuj i dajesz nowy log na forum Czyli dwa logi jeden z usuwania drugi z nowego skanowania po usuwaniu.

[marcel21 (Mojtes)]

O faktycznie zapomniałem o logu z CF. Oto on

http://wklej.org/id/627269/

Rozumiem że jeśli tu będzie ok to odinstalowuje ComboFixa i uruchamiam ponownie OTL z własnymi opcjami, tak?

[spandaupol (Spandau)]

Rozumiem że jeśli tu będzie ok to odinstalowuje ComboFixa i uruchamiam ponownie OTL z własnymi opcjami, tak?

1. Najpierw odinstalujesz Combofixa jak podałem powyżej

2. Następnie uruchomisz OTL wkleisz do niego podany powyżej skrypt i klikniesz Wykonaj skrypt po restarcie powstanie raport dasz go na forum

3. Następnie ponownie uruchomisz OTL klikasz ponownie Skanuj podasz nowy raport ze skanu na forum

[marcel21 (Mojtes)]

Log po skrypcie

http://wklej.org/id/627303/

log po restarcie

http://wklej.org/id/627304/

[spandaupol (Spandau)]

Coś mi tutaj nie pasuje Czy wykonałeś to zadanie?

Pobierz GrandPerms http://download.bleepingcomputer.com/fa … tPerms.zip rozpakuj, uruchom wklej do niego: Klikasz Unlock

Jeśli tak to

W okno Własne opcje skanowania / skrypt w OTL wklej:

:OTL :Files c:\windows$NtUninstallKB30036$ :Commands [emptytemp]

Klikasz na Wykonaj skrypt. Zgadzasz się na restart komputera. Log z usuwania na forum

Następnie wykonaj pełny skan Kasperski Virus Removal Tool http://www.dobreprogramy.pl/Kaspersky-V … 12768.html Jak program coś wykryje proszę nic nie usuwać tylko pokaż raport na forum.

[marcel21 (Mojtes)]

Zadanie z GrandPerms było wykonane. Po wciśnięciu Unlock pokazalo sie okienko z potwierdzeniem wykonania. Nie pamiętam dokładnie co było napisane ale na pewno wiadomość była rodzaju “Wykonano poprawnie”.

Log z OTL

http://wklej.org/id/627337/

Raport z Kaspersky

Status: Detected (events: 1)

2011-11-14 18:20:58 Detected virus HEUR:Trojan.Win32.Generic c:\Windows\System32\drivers\blbdrive.sys High

[spandaupol (Spandau)]

Plik nie ma sygnatury Microsoftu

DRV - [2009-07-13 23:23:04 | 000,035,328 | ---- | M] () [Kernel | System | Running] – C:\Windows\system32\DRIVERS\blbdrive.sys – (blbdrive)

Ja nie mam takiego pliku aby Ci go podać do podmiany Więc spróbujemy inaczej Wejdź do katalogu c:\Windows\System32\ drivers i sprawdź czy na ikonce pliku blbdrive.sys nie ma takiej (małej kłódeczki) jeśli jest to sprawdź czy na innych ikonkach sterowników nie ma kłódek

Jeśli są takie kłódeczki to ścieżki do tych plików z kłódeczkami wklej do GrantPerms

C:\Windows\system32\DRIVERS\blbdrive.sys

Klikasz Unlock

Po tym uruchom OTL klikasz Skanuj pokaż nowy raport na forum

Dodatkowo pobierz SystemLook (SystemLook) http://jpshortstuff.247fixes.com/SystemLook.html Wklej do niego

:filefind blbdrive.sys

Klikasz Look pokaż log na forum

[marcel21 (Mojtes)]

Faktycznie, była kłódeczka przy tym i jeszcze paru innych plikach. Usunięte wszystkie.

Log z OTL

http://wklej.org/id/628115/

Log z SystemLook

http://wklej.org/id/628117/

[spandaupol (Spandau)]

Dobrze zgodnie z tym http://www.faultwire.com/file_detail/bl … 36889.html będziemy podmieniać

W okno Własne opcje skanowania / skrypt w OTL wklej:

:OTL :Files C:\Windows\System32\drivers\blbdrive.sys|C:\Windows\System32\DriverStore\FileRepository\blbdrive.inf_x86_neutral_1aa816fe7dc98c3f\blbdrive.sys /replace :Commands [emptytemp]

Klikasz na Wykonaj skrypt. Zgadzasz się na restart komputera. Log z usuwania na forum

Następnie ponownie uruchamiasz OTL klikasz raz jeszcze Skanuj i dajesz nowy log na forum Czyli dwa logi jeden z usuwania drugi z nowego skanowania po usuwaniu.

[marcel21 (Mojtes)]

Log po podmianei pliku

http://wklej.org/id/628197/

log po restarcie

http://wklej.org/id/628201/

[spandaupol (Spandau)]

Plik został podmieniony prawidłowo

W okno Własne opcje skanowania / skrypt w OTL wklej:

:OTL SRV - File not found [Auto | Stopped] – -- (STacSV) :Commands [emptytemp]

Klikasz na Wykonaj skrypt.

Następnie uruchom OTL klikasz Sprzątanie

Następnie przeskanuj ponwonie system dla pewności Kasperski Virus Removal Tool Jak coś wykryje nie usuwaj tylko pokaż raport Jak nic nie znajdzie odinstaluj go http://support.kaspersky.com/pl/faq/?qid=208284189

Następnie użyj Security Check [http://www.fixitpc.pl/topic/61-diagnost … #entry9515](http://www.fixitpc.pl/topic/61-diagnostyka-ogolne-raporty-systemowe/page p 9515#entry9515) Uaktualnij to co wskaże program

[marcel21 (Mojtes)]

Raport Kaspersky

2011-11-16 18:47:38 Detected: HEUR:Trojan.Win32.Generic C:\Windows\System32\config\systemprofile\AppData\Local\86a40c0f\X

Log z SecurityCheck

Results of screen317’s Security Check version 0.99.26

Windows 7 x86 (UAC is disabled!)

Internet Explorer 8 Out of date!

``````````````````````````````

Antivirus/Firewall Check:

Windows Security Center service is not running! This report may not be accurate!

WMI entry may not exist for antivirus; attempting automatic update.

```````````````````````````````

Anti-malware/Other Utilities Check:

Java 6 Update 25

Out of date Java installed!

Adobe Flash Player ( 10.0.42.34) Flash Player Out of Date!

````````````````````````````````

Process Check:

objlist.exe by Laurent

``````````End of Log````````````

Nie wiem czy ma to jakieś znaczenie ale od momentu użycia ComboFix komputer uruchamia się wyłącznie w trybie awaryjnym. Nawet wciśnięcie F8 przy starcie i wybór uruchomienia normalnego nic nie daje.