Komunikat o infekcji - wml.exe

[kpt.Nemo (P Bogdanowicz Kpt Nemo)]

Witam

Proszę o pomoc w tej oto sprawie. Co jakieś 10-15 min pojawia mi się taki oto komunikat:

Szukałem pliku wml.exe jednak takowego nie odnalazłem. Przeskanowałem kompa Ad-awarem 2007, Odkurzaczem, SDFix-em i Avastem. Poniżej log Hijack This:

http://wklej.org/id/1ace501a8a

[baldys16 (Baldys15)]

wywal avasta,zainstaluj np Avire.

sfixuj:

O4 - HKLM…\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

53. O4 - HKLM…\Run: [apctovkj] regsvr32 /u “C:\Documents and Settings\All Users.WINDOWS\Dane aplikacji\apctovkj.dll”

54. O4 - HKLM…\Run: [chifcjmr] regsvr32 /u “C:\Documents and Settings\All Users.WINDOWS\Dane aplikacji\chifcjmr.dll”

zrób scana tym:

http://dobreprogramy.pl/index.php?dz=2& … +2.1.1.314

wrzuć loga z combofixa

[dawidek11 (Dawidex11)]

Ponizsze wpisy zafixuj w HijackThis , czyli zaznacz ptaszkiem wpisy i kliknij na Fix Checked …

C:\WINDOWS\system32\vpecgdaw.exe O2 - BHO: (no name) - {08524420-4464-798A-29DA-0A66356DDDCE} - C:\WINDOWS\system32\kzhujxkb.dll O2 - BHO: (no name) - {4121C820-0B3E-6104-F412-044F7FB05D9C} - C:\WINDOWS\system32\skpspwoc.dll O4 - HKLM…\Run: [MSDisp32] rundll32.exe C:\WINDOWS\system32\drvged.dll,startup O4 - HKLM…\Run: [apctovkj] regsvr32 /u “C:\Documents and Settings\All Users.WINDOWS\Dane aplikacji\apctovkj.dll” O4 - HKLM…\Run: [vpecgdaw] C:\WINDOWS\system32\vpecgdaw.exe O4 - HKLM…\Run: [chifcjmr] regsvr32 /u “C:\Documents and Settings\All Users.WINDOWS\Dane aplikacji\chifcjmr.dll”

Pobierz comboFix’a http://download.bleepingcomputer.com/sUBs/ComboFix.exe

Wklej do Notatnika:

File:: C:\WINDOWS\system32\vpecgdaw.exe C:\WINDOWS\system32\kzhujxkb.dll C:\WINDOWS\system32\skpspwoc.dll C:\WINDOWS\system32\drvged.dll C:\Documents and Settings\All Users.WINDOWS\Dane aplikacji\apctovkj.dll C:\WINDOWS\system32\vpecgdaw.exe C:\Documents and Settings\All Users.WINDOWS\Dane aplikacji\chifcjmr.dll

>>Plik>>Zapisz jako… >>> CFScript.txt

Przeciagnij i upusc plik CFScript.txt na plik ComboFix.exe (czyli ikonke CFScript.txt na ikonke ComboFix.exe)

Nastapi usuwanie , po tym ComboFix wygeneruje log który wklej na wklej.org a w poscie podaj tylko link .

Pozdrawiam

Daj loga jeszcze z SmitFraudFix …

Użyj SmitFraudFix http://siri.urz.free.fr/Fix/SmitfraudFix.zip wybierz opcji nr 2, oczywiście w trybie awaryjnym i po tym daj wygenerowany log .

[kpt.Nemo (P Bogdanowicz Kpt Nemo)]

Oto log z ComboFix-a:

http://wklej.org/id/1cb6d6fa13

a to z SmitfraudFix:

http://wklej.org/id/8bd020dd23

dorzucam jeszcze HiJack Thisa:

http://wklej.org/id/1029579358

[dawidek11 (Dawidex11)]

Sciagnij -->Avenger. http://swandog46.geekstogo.com/avenger2/avenger.exe

Wklej do niego to:

Files to delete: C:\WINDOWS\system32\winuqw32.dll C:\WINDOWS\system32\pddkhtfu.exe C:\DOCUME~1\KPTNEM~1.000\USTAWI~1\Temp\jnv4_mib.sys C:\Documents and Settings\All Users.WINDOWS\Dane aplikacji\apctovkj.dll C:\Documents and Settings\All Users.WINDOWS\Dane aplikacji\chifcjmr.dll C:\WINDOWS\system32\drvged.dll C:\WINDOWS\system32\kzhujxkb.dll C:\WINDOWS\system32\skpspwoc.dll C:\WINDOWS\system32\vpecgdaw.exe Registry keys to delete: [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2{4e40b630-f543-11dc-9627-00304f46f4fb}] [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2{fc07a484-ac20-11dc-953a-00304f46f4fb}] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\pddkhtfu] Drivers to delete jnv4_mib

Klikasz w Execute i zatwierdzasz reset kompa.

Potem pokaz Log z Avengera znajduje sie w C:\avenger.txt. .

[kpt.Nemo (P Bogdanowicz Kpt Nemo)]

Log z Avengera:

http://wklej.org/id/0499a53af8

[jessica]

Daj jeszcze raz log z ComboFixa, bo chyba Avenger nie wszystko usunął.

Chodzi tu zwłaszcza o zainfekowane klucze pendrive - Avenger usuwa tylko klucze z gałęzi “HKEY_LOCAL_MACHINE” - inych gałęzi nie potrafi.

Dlatego kluczy z gałęzi " HKEY_CURRENT_USER" nie usuwa.

jessi

[kpt.Nemo (P Bogdanowicz Kpt Nemo)]

Log z ComboFix-a

http://wklej.org/id/2cd9e38e4c

[Gutek]

Wklej do Notatnika:

Driver::

jnv4_mib


Registry::

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"IBP"=-

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

>>Plik>>Zapisz jako… >>> CFScript (najwygodniej będzie, jeśli zapiszesz w takiej lokalizacji, by ikonka CFScript.txt znalazła się obok ikonki ComboFix.exe )

Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe (czyli ikonkę CFScript.txt na ikonkę ComboFix.exe )

– podobnie jak na tym obrazku –>

(jeśli pojawi się pytanie " 1 or 2" - to wpisz 1 i naciśnij ENTER) Ma się rozpocząć usuwanie. (i powstanie log)

Po restarcie usuń ręcznie folder C: ** Qoobox**.

Po tym nowy log z Combo

[kpt.Nemo (P Bogdanowicz Kpt Nemo)]

Oto nowy log:

http://wklej.org/id/28bfaf29dd

[Gutek]

Start>>> uRUCHOM>>> CMD

SC STOP jnv4_mib

SC DELETE jnv4_mib

[kpt.Nemo (P Bogdanowicz Kpt Nemo)]

Dziękuję za pomoc

[Leon1 (Leon$)]

Oto nowy log: http://wklej.org/id/28bfaf29dd

otwórz notatnik i wklej

Windows Registry Editor Version 5.00 [-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Konnekt] [-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\pddkhtfu]

zapisz jako plik.reg >> wszystkie pliki >> scal z rejestrem >> restart

powstanie plik o takiej ikonie

w który dwa razy klikniesz potwierdzisz chęć dodania do rejestru potem restart

Po restarcie jeśli wszystko będzie OK usuń ręcznie folder C: \Qoobox

usuń instalkę Combofix z dysku.

Wyłącz i włącz przywracanie systemu na wszystkich dyskach.http://support.microsoft.com/kb/310405/pl

[Gutek]

Daj kontrolnie jeszcze log z Combo, zobaczymy czy na pewno usunięto wskazane klucze i jnv4_mib