Komputer zasypany wirusami po formacie

[ifun (Green0630)]

Witam. Nie wiedziałam nawet jak nazwać wątek, więc z góry przepraszam jeśli coś jest nie tak.

Dzisiaj formatowałam komputer z partycji recovery (mój system to windows vista), zainstalowałam wszystkie najważniejsze programy, SP 2, komupter działał bez zarzutów, przez jakąś godzinę miałam włączone aqq, przeglądarkę, słuchałam muzyki - korzystałam z niego normalnie. Uruchomiłam go ponownie i załadował się do pulpitu, ale zawiesił się po włączeniu przeglądarki (firefox) i menu start. Chcąc go uruchomić ponownie kliknęłam Ctrl+Alt+Del i pokazało się czarno tło, a po paru chwilach błąd, że nie można wykonać tej czynności. Wyłączyłam laptopa przyniskiem włączania, uruchomił się normalnie, znów pulpit się załadował i wyskoczyły 3 błędy: “Program windtr32.exe przestał działać”, “Program msvpwblot.exe przestał działać” i “Program acledit.exe przestał działać”. Potem nagle “Program Internet Explorer przestał działać” (chociaż wcale go nie włączałam) i “program 6.exe przestał działać”. Włączyłam firefox’a żeby zalogować się na forum, ale zawiesił się. Włączyłam go drugi raz - to samo. Włączyłam IE (bez dodatków) i dopiero mogłam coś zrobić. Następnie włączyłam Malwarebytes żeby sprawdzić czy wszystko w porządku i oczywiście wyskoczyły wykryte 34 obiekty… Teraz 47. Niżej zamieszczam log z programu:

Malwarebytes Anti-Malware 1.65.0.1400

www.malwarebytes.org


Wersja bazy: v2012.09.07.13


Windows Vista Service Pack 2 x86 NTFS

Internet Explorer 7.0.6002.18005

Aleksandra :: ALEKSANDRA-PC [administrator]


2012-09-18 18:36:33

mbam-log-2012-09-18 (18-55-56).txt


Typ skanowania: Szybkie skanowanie

Zaznaczone opcje skanowania: Pamięć | Rozruch | Rejestr | System plików | Heurystyka/Dodatkowe | Heuristyka/Shuriken | PUP | PUM

Odznaczone opcje skanowania: P2P

Przeskanowano obiektów: 185728

Upłynęło: 18 minut(y), 56 sekund(y)


Wykrytych procesów w pamięci: 7

C:\Windows\Temp\VRT9AE7.tmp (Trojan.Obfuscated) -> 2792 -> Nie wykonano akcji.

C:\Windows\Temp\VRTF79A.tmp (Trojan.Agent) -> 4016 -> Nie wykonano akcji.

C:\Windows\Temp\VRT409.tmp (Trojan.FakeMS) -> 3960 -> Nie wykonano akcji.

C:\Windows\System32\config\systemprofile\AppData\Roaming\napzck.exe (Trojan.Agent.DBGen) -> 3936 -> Nie wykonano akcji.

C:\Windows\System32\config\systemprofile\AppData\Roaming\alitr3j.exe (Trojan.Agent.DBGen) -> 3336 -> Nie wykonano akcji.

C:\Windows\System32\antivar.exe (Trojan.Pandora) -> 2844 -> Nie wykonano akcji.

C:\Windows\Temp\temp49.exe (Trojan.Downloader.Gen) -> 856 -> Nie wykonano akcji.


Wykrytych modułów w pamięci: 3

C:\Windows\Temp\s81A.tmp (Trojan.Bho) -> Nie wykonano akcji.

C:\Windows\System32\nwcwks.dll (Trojan.Inject) -> Nie wykonano akcji.

C:\ProgramData\OvnimhekRabz.dll (Trojan.Passwords) -> Nie wykonano akcji.


Wykrytych kluczy rejestru: 1

HKLM\SYSTEM\CurrentControlSet\Services\ServerNabs4 (Trojan.Pandora) -> Nie wykonano akcji.


Wykrytych wartości rejestru: 9

HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|tnssb (Trojan.Agent.DBGen) -> Data: C:\Windows\system32\config\systemprofile\AppData\Roaming\napzck.EXE -> Nie wykonano akcji.

HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|alijj (Trojan.Agent.DBGen) -> Data: C:\Windows\system32\config\systemprofile\AppData\Roaming\alitr3j.EXE -> Nie wykonano akcji.

HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Windows Time (Trojan.Passwords) -> Data: rundll32.exe "C:\ProgramData\OvnimhekRabz.dll",EntryPoint -> Nie wykonano akcji.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|smwcore (Trojan.Agent) -> Data: C:\Windows\system32\acledit.exe -> Nie wykonano akcji.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|gofyttetorib (Trojan.Obfuscated) -> Data: C:\ProgramData\gofyttetorib.exe -> Nie wykonano akcji.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run|25077 (Worm.Gamarue) -> Data: C:\PROGRA~2\LOCALS~1\Temp\msnave.exe -> Nie wykonano akcji.

HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|tcpudp (Trojan.Agent) -> Data: C:\Windows\VRTF79A.tmp -> Nie wykonano akcji.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Regedit32 (Trojan.Agent) -> Data: C:\Windows\system32\regedit.exe -> Nie wykonano akcji.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|SonyAgent (Trojan.Downloader.Gen) -> Data: C:\Windows\Temp\temp49.exe -> Nie wykonano akcji.


Wykryte wpisy rejestru systemowego: 1

HKLM\SYSTEM\CurrentControlSet\Control\Lsa|Notification Packages (Trojan.Bho) -> Złe: (22mr.dll) Dobre: () -> Nie wykonano akcji.


wykrytych folderów: 0

(Nie znaleziono zagrożeń)


Wykrytych plików: 26

C:\Windows\Temp\s81A.tmp (Trojan.Bho) -> Nie wykonano akcji.

C:\Windows\System32\nwcwks.dll (Trojan.Inject) -> Nie wykonano akcji.

C:\Windows\Temp\VRT9AE7.tmp (Trojan.Obfuscated) -> Nie wykonano akcji.

C:\Windows\Temp\VRTF79A.tmp (Trojan.Agent) -> Nie wykonano akcji.

C:\Windows\Temp\VRT409.tmp (Trojan.FakeMS) -> Nie wykonano akcji.

C:\Windows\System32\config\systemprofile\AppData\Roaming\napzck.exe (Trojan.Agent.DBGen) -> Nie wykonano akcji.

C:\Windows\System32\config\systemprofile\AppData\Roaming\alitr3j.exe (Trojan.Agent.DBGen) -> Nie wykonano akcji.

C:\ProgramData\OvnimhekRabz.dll (Trojan.Passwords) -> Nie wykonano akcji.

C:\Windows\System32\antivar.exe (Trojan.Pandora) -> Nie wykonano akcji.

C:\Windows\System32\acledit.exe (Trojan.Agent) -> Nie wykonano akcji.

C:\ProgramData\gofyttetorib.exe (Trojan.Obfuscated) -> Nie wykonano akcji.

C:\ProgramData\Local Settings\Temp\msnave.exe (Worm.Gamarue) -> Nie wykonano akcji.

C:\Windows\VRTF79A.tmp (Trojan.Agent) -> Nie wykonano akcji.

C:\Windows\System32\22mr.dll (Trojan.Bho) -> Nie wykonano akcji.

C:\ProgramData\Local Settings\Temp\msvpwblot.exe (Worm.Gamarue) -> Nie wykonano akcji.

C:\Windows\System32\config\systemprofile\AppData\Roaming\ljysba.exe (Trojan.Agent) -> Nie wykonano akcji.

C:\Windows\System32\drivers\388.exe (Trojan.Pandora) -> Nie wykonano akcji.

C:\Windows\System32\drivers\490.exe (Trojan.XBuild402) -> Nie wykonano akcji.

C:\Windows\Temp\s7EFE.tmp (Trojan.Bho) -> Nie wykonano akcji.

C:\Windows\Temp\VRT40F6.tmp (Worm.KoobFace) -> Nie wykonano akcji.

C:\Windows\Temp\VRT5939.tmp (Trojan.Agent) -> Nie wykonano akcji.

C:\Windows\Temp\VRT77E1.tmp (Trojan.FakeMS) -> Nie wykonano akcji.

C:\Windows\Temp\VRTB75D.tmp (Worm.KoobFace) -> Nie wykonano akcji.

C:\Windows\VRT5939.tmp (Trojan.Agent) -> Nie wykonano akcji.

C:\Windows\Temp\temp49.exe (Trojan.Downloader.Gen) -> Nie wykonano akcji.

C:\Windows\System32\drivers\606.exe (Rootkit.Agent) -> Nie wykonano akcji.


(zakończone)

Gdy usunę wszystkie znalezione “obiekty” wszystko wróci do normy? I jeszcze dobrze by było wiedzieć skąd to wszystko się wzięło… – Dodane 18.09.2012 (Wt) 19:36 – Usunęłam wszystko, komputer uruchomił się ponownie, znów wyskoczył błąd “Program windtr32.exe przestał działać”, odpaliłam znowu Malwarebytes 3 minuty skanowanie i znaleziono 19 obiektów… Co mam z tym zrobić? Polecacie jakiś lepszy program do usunięcia tych wirusów? Log z drugiego skonawania:

Malwarebytes Anti-Malware 1.65.0.1400

www.malwarebytes.org


Wersja bazy: v2012.09.18.06


Windows Vista Service Pack 2 x86 NTFS

Internet Explorer 7.0.6002.18005

Aleksandra :: ALEKSANDRA-PC [administrator]


2012-09-18 19:30:55

mbam-log-2012-09-18 (19-35-46).txt


Typ skanowania: Szybkie skanowanie

Zaznaczone opcje skanowania: Pamięć | Rozruch | Rejestr | System plików | Heurystyka/Dodatkowe | Heuristyka/Shuriken | PUP | PUM

Odznaczone opcje skanowania: P2P

Przeskanowano obiektów: 185929

Upłynęło: 4 minut(y), 30 sekund(y)


Wykrytych procesów w pamięci: 6

C:\Windows\System32\acprgwiz.exe (Trojan.Agent) -> 3520 -> Nie wykonano akcji.

C:\Windows\System32\acprgwiz.exe (Trojan.Agent) -> 3356 -> Nie wykonano akcji.

C:\Windows\Temp\VRTAF06.tmp (Trojan.Agent) -> 1920 -> Nie wykonano akcji.

C:\Windows\Temp\VRTC45B.tmp (Trojan.FakeMS) -> 712 -> Nie wykonano akcji.

C:\Windows\System32\config\systemprofile\AppData\Roaming\napzck.exe (Trojan.Agent.DBGen) -> 2832 -> Nie wykonano akcji.

C:\Windows\System32\config\systemprofile\AppData\Roaming\alitr3j.exe (Trojan.Agent.DBGen) -> 3584 -> Nie wykonano akcji.


Wykrytych modułów w pamięci: 0

(Nie znaleziono zagrożeń)


Wykrytych kluczy rejestru: 0

(Nie znaleziono zagrożeń)


Wykrytych wartości rejestru: 3

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|smwcore (Trojan.Agent) -> Data: C:\Windows\system32\acprgwiz.exe -> Nie wykonano akcji.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run|25077 (Worm.Gamarue) -> Data: C:\PROGRA~2\LOCALS~1\Temp\msznpywq.scr -> Nie wykonano akcji.

HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|tcpudp (Trojan.Agent) -> Data: C:\Windows\VRTAF06.tmp -> Nie wykonano akcji.


Wykryte wpisy rejestru systemowego: 0

(Nie znaleziono zagrożeń)


wykrytych folderów: 0

(Nie znaleziono zagrożeń)


Wykrytych plików: 10

C:\Windows\System32\acprgwiz.exe (Trojan.Agent) -> Nie wykonano akcji.

C:\Windows\Temp\VRTAF06.tmp (Trojan.Agent) -> Nie wykonano akcji.

C:\Windows\Temp\VRTC45B.tmp (Trojan.FakeMS) -> Nie wykonano akcji.

C:\Windows\System32\config\systemprofile\AppData\Roaming\napzck.exe (Trojan.Agent.DBGen) -> Nie wykonano akcji.

C:\Windows\System32\config\systemprofile\AppData\Roaming\alitr3j.exe (Trojan.Agent.DBGen) -> Nie wykonano akcji.

C:\ProgramData\Local Settings\Temp\msznpywq.scr (Worm.Gamarue) -> Nie wykonano akcji.

C:\Windows\VRTAF06.tmp (Trojan.Agent) -> Nie wykonano akcji.

C:\Windows\System32\nwcwks.dll (Trojan.Inject) -> Nie wykonano akcji.

C:\Windows\System32\config\systemprofile\AppData\Roaming\ljysba.exe (Trojan.Agent) -> Nie wykonano akcji.

C:\Windows\Temp\VRT82A7.tmp (Worm.KoobFace) -> Nie wykonano akcji.


(zakończone)

– Dodane 18.09.2012 (Wt) 19:44 –

Usunęłam to co wyskoczyło wcześniej, dokładnie ta sama sytuacja co wyżej, włączam Malwarebytes i wyskakują wirusy. Pomóżcie…

[Atis]

Prawdopodobnie jest to Virut który infekuje wszystkie pliki wykonywalne.

Przeskanuj za pomocą VirutKiller lub Klik

Wykonaj Pełne skanowanie za pomocą Dr.Web CureIt

Później pokaż logi z OTL na wklej.org.

[ifun (Green0630)]

Prawdopodobnie jest to Virut który infekuje wszystkie pliki wykonywalne. Przeskanuj za pomocą VirutKiller lub Klik Wykonaj Pełne skanowanie za pomocą Dr.Web CureIt Później pokaż logi z OTL na wklej.org.

http://www.wklej.org/id/831543/

http://www.wklej.org/id/831546/

– Dodane 18.09.2012 (Wt) 22:43 –

Formatujesz tylko partycję systemową, a wirusiki leżą na dysku D jak w SPA.

Czyli sformatować również dysk D?

[Atis]

Nie napisałaś czy skanery wykryły jakiegoś wirusa?

Do okna Własne opcje skanowania / skrypt wklej:

:OTL DRV - [2012-09-18 19:40:32 | 000,006,656 | ---- | M] () [Kernel | On_Demand | Unknown] – C:\Windows\System32\drivers\mcsysx.sys – (msfindsrv01) O4 - HKLM…\Run: [3nkuzvo] C:\Windows\System32\config\systemprofile\AppData\Roaming\62u02df.exe (Microsoft) O4 - HKLM…\Run: [AudioDriver] C:\Windows\System32\windtr32.exe () [2012-09-18 20:43:25 | 000,000,000 | —D | C] – C:\Users\Aleksandra\DoctorWeb [2012-09-18 19:31:46 | 000,006,656 | ---- | C] () – C:\Windows\System32\drivers\mcsysx.sys [2012-09-18 18:31:18 | 000,000,016 | -HS- | C] () – C:\Windows\System32\uuid.dat [2012-09-18 18:30:41 | 000,049,152 | ---- | C] () – C:\Windows\System32\drivers\6.exe [2012-09-18 18:30:18 | 000,025,427 | -HS- | C] () – C:\Windows\System32\dvvxtd.dat :Files C:\Windows\System32\config\systemprofile\AppData\Roaming*.exe :Commands [emptytemp]

Kliknij Wykonaj skrypt i zatwierdź restart.

Pokaż raport z usuwania i nowy log Skanuj.

[ifun (Green0630)]

Nie napisałaś czy skanery wykryły jakiegoś wirusa?

Tak, VirutKiller wyrył bardzo dużo zarażonych plików (ponad 500) /nie wiem jak to nazwać i wszystko “wyleczył” (niestety nie wiem gdzie znaleźć loga z tego programu), natomiast to co znalazł Dr. Web:

[Test ścieżki] c:\programdata\dunniscezugx.exe

c:\programdata\dunniscezugx.exe zainfekowany wirusem Trojan.MulDrop3.14959 - usunięty


[Test ścieżki] c:\programdata\local settings\temp\mszpeduu.scr

c:\programdata\local settings\temp\mszpeduu.scr zainfekowany wirusem BackDoor.Andromeda.22 - usunięty


c:\windows\system32\2vwr.dll - zostanie usunięty po ponownym uruchomieniu

c:\windows\system32\a3aw.dll - zostanie usunięty po ponownym uruchomieniu

c:\windows\system32\abii8c.dll - zostanie usunięty po ponownym uruchomieniu

c:\windows\system32\alsr.dll - zostanie usunięty po ponownym uruchomieniu

C:\Windows\System32\2vwr.dll - zostanie usunięty po ponownym uruchomieniu

C:\Windows\System32\a3aw.dll - zostanie usunięty po ponownym uruchomieniu

C:\Windows\System32\abii8c.dll - zostanie usunięty po ponownym uruchomieniu

C:\Windows\System32\alsr.dll - zostanie usunięty po ponownym uruchomieniu

C:\Windows\Temp\sB6EF.tmp - zostanie usunięty po ponownym uruchomieniu

C:\Windows\Temp\sD670.tmp - zostanie usunięty po ponownym uruchomieniu

Zaraz wykonam to co poleciłeś.

– Dodane 18.09.2012 (Wt) 23:41 –

raport -> http://www.wklej.org/id/831564/

OTL -> http://www.wklej.org/id/831566/

[Atis]

Pobierz i uruchom The Avenger

Do okna programu wklej:

Files to delete: C:\Windows\System32\dvvxtd.dat

Kliknij w Execute i zatwierdź restart.

Pokaż raport z usuwania i nowy log z OTL.

[ifun (Green0630)]

Atis , avenger -> http://www.wklej.org/id/831577/

OTL -> http://www.wklej.org/id/831578/

[Atis]

Wklej i kliknij Wykonaj skrypt:

:Reg [-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

Uruchom OTL i kliknij Sprzątanie.

Usuń stare punkty przywracania:

http://windows.microsoft.com/pl-PL/wind … tore-point

Uruchom SecurityCheck i aktualizuj programy oznaczone jako Out of date

Zabezpiecz się przed infekcją z USB BitDefender USB Immunizer

Dysk przeskanuj Kaspersky Virus Removal Tool 2011

W zakładce Scan scope zaznacz wszystkie dyski:

Jak zmienić obszar automatycznego skanowania w Kaspersky Virus Removal Tool 2011?

[ifun (Green0630)]

Atis , W SecurityCheck jest jedna opcja co do której nie jestem pewna w 100 % co zrobić, mianowicie:

Antivirus/Firewall Check: Windows Security Center service is not running! This report may not be accurate!

Kaspersky się pobiera, ale skanowaniem zajmę się rano. Wszystko inne co poleciłeś zrobione. Póki co życzę miłej nocy.

Kaspersky znalazł jeszcze kilka wirusów i już wiem skąd one pochodzą - z gier mojego chłopaka. Wszystkie już usunęłam. Jeszcze coś trzeba zrobić?

[Atis]

Jeżeli skanery nic nie wykrywają to znaczy, że wirus został usunięty.

Windows Security Center service is not running! This report may not be accurate!

Kliknij prawym na ikonie Komputer -> Zarządzaj -> Usługi

Kliknij dwukrotnie na usłudze Centrum Zabezpieczeń i tryb uruchomia ustaw na Automatycznie (opóźnione uruchomienie).

[ifun (Green0630)]

Atis , Klikam na “Zarządzaj” i wyskakuje mi okno “Ta funkcja nie jest obsługiwana w tym systemie”.

Weszłam w Centrum zabezpieczeń przez Panel sterowania klikam “Włącz teraz” i pokazuje błąd “Nie można włączyć usługi Centrum zabezpieczeń”

[Atis]

W menu start w polu Rozpocznij wyszukiwanie wpisz: services.msc

[ifun (Green0630)]

W menu start w polu Rozpocznij wyszukiwanie wpisz: services.msc

Znów “Ta funkcja nie jest obsługiwana w tym systemie.”.

[Leon1 (Leon$)]

Znów “Ta funkcja nie jest obsługiwana w tym systemie.”.

brak lub uszkodzone pliki systemowe

przeprowadź naprawę

http://windows.microsoft.com/pl-PL/wind … -questions

[ifun (Green0630)]

brak lub uszkodzone pliki systemowe przeprowadź naprawę http://windows.microsoft.com/pl-PL/wind … -questions

Zrobiłam wszystko tylko, że nie znaleziono żadnego błędu i system się nie naprawia w żaden sposób.

[Leon1 (Leon$)]

Zrobiłam wszystko tylko, że nie znaleziono żadnego błędu i system się nie naprawia w żaden sposób.

czy robiłaś naprawę z płyty

Jeśli posiadasz dysk instalacyjny systemu Windows: Włóż dysk instalacyjny. Ponownie uruchom komputer. Kliknij przycisk StartObraz przycisku Uruchom, potem strzałkę przy przycisku ZablokujObraz przycisku Zablokuj, następnie kliknij przycisk Uruchom ponownie. Jeśli zostanie wyświetlony monit, naciśnij dowolny klawisz, aby uruchomić system Windows z dysku instalacyjnego. Jeżeli konfiguracja komputera nie umożliwia uruchamiania z dysku CD lub DVD, zajrzyj do instrukcji dostarczonych z komputerem. Wybierz ustawienia języka, a następnie kliknij przycisk Dalej. Kliknij opcję Napraw komputer. Wybierz system operacyjny, który chcesz naprawić, a następnie kliknij przycisk Dalej. W menu Opcje odzyskiwania systemu kliknij polecenie Naprawa systemu podczas uruchomienia.

[ifun (Green0630)]

Leon$ , Nie mogłam, gdyż komputer się włączał, płyta chodziła w napędzie, ale nic się nie uruchamiało - normalny start systemu. Mam nagraną płytę recovery.

– Dodane 19.09.2012 (Śr) 20:29 –

Nie mogę też wejść do folderu “Windows” na dysku C. Wyskakuje błąd “Obecnie nie masz uprawnień dostępu do tego folderu.”. Klikam “Kontynuuj” pokazuje się okno “Odmowa uprawnień dostępu do tego folderu. Aby uzyskać dostęp do tego folderu, musisz użyć karty zabezpieczeń.” Klikam na tę kartę - “Nie masz uprawnień do przeglądania lub edycji ustawień uprawnienia tego obiektu”. Próbowałam wejść w kartę “Udostępnianie” zaznaczam “Udostępnij ten folder”, ale oczywiście nie można i wyskakuje błąd.

[Leon1 (Leon$)]

możesz spróbować tym sposobem

http://www.komputerswiat.pl/poradniki/p … wych-.aspx

[ifun (Green0630)]

możesz spróbować tym sposobem http://www.komputerswiat.pl/poradniki/p … wych-.aspx

Spróbowałam… Wszystko fajnie pięknie miałam tylko uruchomić ponownie komputer, ale już nie dał się uruchomić w żaden możliwy sposób (tryb awaryjny, tryb awaryjny z obsługą sieci, itd.). Próbowałam włączyć przywracanie systemu, ale wyskoczyła informacja, że nie ma żadnego dostępnego punktu przywracania systemu, więc sformatowałam dysko znowu i nie wiem czy teraz wszystko jest ok, czy coś mam jeszcze sprawdzić?

[Leon1 (Leon$)]

jeśli zrobiłaś format wszystkich partycji i dysków to OK

ale jeżeli po Virucie zostały partycje niesformatowane to może być za mało