Komunikat podobny do infekcji Blaster / Sasser

Dla specjalistów Bezpieczeństwo
#1

Witam

System sprawdzany pod kątem sprzętowym (HDD, RAM)

Nie ładuje się system. Dochodzi do okna logowania użytkownika.

Próbowałem Combofix - zawiesza się w awaryjnym. Skany AV też bez rezultatów.

Proszę o pomoc, zamieszczam log OTL: http://wklej.org/id/685183/

http://www.fotosik.pl/pokaz_obrazek/b2b … b68dd.html

http://www.fotosik.pl/pokaz_obrazek/48b … 60811.html

#2

Wydaje mi się że to może być rootkit zero access .

w okno Własne opcje skanowania / skrypt wklej:

:OTL

O3 - HKLM…\Toolbar: (&Yahoo! Companion) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\ycomp5_6_0_1.dll File not found

O3 - HKU\S-1-5-21-2568112518-2826930539-3053999018-500…\Toolbar\WebBrowser: (no name) - {0B53EAC3-8D69-4B9E-9B19-A37C9A5676A7} - No CLSID value found.

O3 - HKU\S-1-5-21-2568112518-2826930539-3053999018-500…\Toolbar\WebBrowser: (no name) - {C4069E3A-68F1-403E-B40E-20066696354B} - No CLSID value found.

O3 - HKU\S-1-5-21-2568112518-2826930539-3053999018-500…\Toolbar\WebBrowser: (&Yahoo! Companion) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\ycomp5_6_0_1.dll File not found

O4 - HKLM…\Run: [userFaultCheck] %systemroot%\system32\dumprep 0 -u File not found

O9 - Extra ‘Tools’ menuitem : Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\npjpi150_06.dll File not found

O32 - AutoRun File - [2011-12-07 10:42:16 | 000,000,128 | R— | M] () - D:\autorun.inf – [CDFS]

O33 - MountPoints2{3388f35a-d2c6-11df-8856-0016e658c282}\Shell - “” = AutoRun

O33 - MountPoints2{3388f35a-d2c6-11df-8856-0016e658c282}\Shell\AutoRun\command - “” = G:\LaunchU3.exe -a

O33 - MountPoints2{437cce8a-0d0f-11dd-864c-806d6172696f}\Shell\AutoRun\command - “” = D:\b.com

O33 - MountPoints2{437cce8a-0d0f-11dd-864c-806d6172696f}\Shell\explore\Command - “” = D:\b.com

O33 - MountPoints2{437cce8a-0d0f-11dd-864c-806d6172696f}\Shell\open\Command - “” = D:\b.com

O33 - MountPoints2{4e1c76ea-7a9f-11df-8835-0016e658c282}\Shell - “” = AutoRun

O33 - MountPoints2{4e1c76ea-7a9f-11df-8835-0016e658c282}\Shell\AutoRun\command - “” = G:\LaunchU3.exe -a

O33 - MountPoints2{646147a5-4c2c-11de-8751-0016e658c282}\Shell - “” = AutoRun

O33 - MountPoints2{646147a5-4c2c-11de-8751-0016e658c282}\Shell\AutoRun\command - “” = G:\LaunchU3.exe -a

O33 - MountPoints2{d38d9910-2285-11dd-865e-0016e658c282}\Shell\AutoRun\command - “” = G:\ranvrgn.exe

O33 - MountPoints2{d38d9910-2285-11dd-865e-0016e658c282}\Shell\explore\Command - “” = G:\ranvrgn.exe

O33 - MountPoints2{d38d9910-2285-11dd-865e-0016e658c282}\Shell\open\Command - “” = G:\ranvrgn.exe

O33 - MountPoints2{efa42ebe-117f-11df-87d3-0016e658c282}\Shell - “” = Autorun

O33 - MountPoints2{efa42ebe-117f-11df-87d3-0016e658c282}\Shell\AutoRun\command - “” = C:\WINDOWS\System32\setup.exe – [2008-04-14 18:21:39 | 000,023,040 | ---- | M] (Microsoft Corporation)

O33 - MountPoints2\D\Shell\Option1\Command - “” = D:\HBCD\HBCDMenu.exe – [2011-12-07 10:42:16 | 000,018,432 | R— | M] (http://www.hiren.info)

MsConfig - StartUpReg: DemonStarter - hkey= - key= - C:\Program Files\PWN\Definicje\BIN\Starter.exe ()

MsConfig - StartUpReg: HPUsageTracking - hkey= - key= - C:\Program Files\HP\HP UT\bin\hppusg.exe ( )

MsConfig - StartUpReg: NeroFilterCheck - hkey= - key= - File not found

MsConfig - StartUpReg: PinnacleDriverCheck - hkey= - key= - File not found

:Reg

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

:Commands

[emptytemp]

Klikasz na Wykonaj skrypt.Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie. Następnie uruchom OTL ponownie, tym razem kliknij (Skanuj).

Pokaż nowy log OTL.txt oraz raport z usuwania.

#3

Witam!

Czy był wykonany skan Kasperski Virus Removal lub DrWebem bo widzę że miałeś (może nadal masz) te aplikacje na dysku. Jeśli tak co było wykrywane? Co wykrywał Kasperski TDSSKiller? Brak raportu Extras.txt czyli na czas skanu nie była ustawiona opcja Rejestr skan dodatkowy na Użyj filtrowania.

Start - Uruchom - wpisujesz cmd i Enter w linii komend wpisz

netsh winsock reset i Enter

W okno Własne opcje skanowania / skrypt w OTL wklej:

Klikasz na Wykonaj skrypt. Zgadzasz się na restart komputera. Log z usuwania na forum

Następnie ponownie uruchamiasz OTL klikasz raz jeszcze Skanuj i dajesz nowy log na forum Czyli dwa logi jeden z usuwania drugi z nowego skanowania po usuwaniu.

#4

Witam,

zapomniałem o Extras.txt, to jest log sprzed zastosowania się do Twojej porady (spandaupol): http://wklej.org/id/685414/

Log po czynnościach: http://wklej.org/id/685417/

Wydaje się być OK. Dziękuję za pomoc.

#5

W poprzednim raporcie był naruszony łańcuch winsock

Sugerowana komenda

powinna to naprawić, ale dla pewności wykonaj dla siebie ponownie skan OTL i sprawdź czy nie powtórzyły się wpisy jak wyżej

Jeśli ich nie ma to OK

Błędy w raporcie Extras.txt wynikają z tego że komputer był uruchomiony w trybie awaryjnym, więc jest OK

Niektóre programy nadają się do aktualizacji, możesz użyć Security Check [http://www.fixitpc.pl/topic/61-diagnost … #entry9515](http://www.fixitpc.pl/topic/61-diagnostyka-ogolne-raporty-systemowe/page p 9515#entry9515) i uaktualnić to co wskaże program

To wszystko z mojej strony. Pozdrawiam