Laptop wysyła pakiety Muli internet

[jorket (A518568)]

moze ktoś zajrzęć w tego loga ? http://www.wklejto.pl/70167 mam kłopot po podlaczeniu do domowej sieci laptopa wysyla on mnostwo pakietów do sieci przez co dziala tylko gg i to nie zawsze a stronki wczytuja sie bez konca… co uniemozliwia calkowicie ich przegladanie Czy w logu coś widać ? co wysyła te pakiety ? z czego mały ułamek ich wraca… kaspersky nic nie wykrywa #-o ![-o<

[jessica]

Niezbyt dobrze to wygląda.

Jest półRootkit, są podstawione pliki, udające pliki Microsoftu, jest widoczna usługa atapi, co sugeruje możliwość obecności Rootkita TDS, są pliki Systemowe, które zostały zmodyfikowane w chwili rozpoczęcia infekcji, i nie ma pewności, że Kaspersky je naprawił.

c:\windows\winstart.bat c:\windows\system32\drivers\ggflt.sys c:\windows\system32\drivers\drmkaud.sys c:\windows\system32\drivers\dmusic.sys c:\windows\system32\drivers\Cdaudio.sys c:\windows\system32\drivers\ccdecode.sys c:\windows\system32\drivers\atmarpc.sys c:\windows\system32\drivers\aec.sys c:\windows\system32\drivers\Parport.sys

Sprawdź je na --> JOTTI/ albo na VIRUSTOTAL.

Podaj wyniki.

2. Użyj TDSKiller >http://support.kaspersky.com/pl/faq/?qid=208280681

Daj z niego raport

3. Ściągnij -->Avenger.

wklej do niego ten tekst:

Files to delete:

c:\windows\system32\drivers\qvjoyj.sys

c:\windows\system32\dllcache\lbrtfdc.sys

c:\windows\system32\drivers\lbrtfdc.sys

c:\windows\system32\dllcache\i2omgmt.sys

c:\windows\system32\drivers\i2omgmt.sys

c:\windows\system32\dllcache\changer.sys

c:\windows\system32\drivers\changer.sys

c:\documents and settings\LocalService\Dane aplikacji\vqdlkr.dat

c:\documents and settings\LocalService\Dane aplikacji\qvjsge.dat


Registry keys to delete:

HKEY_LOCAL_MACHINE\System\ControlSet001\Services\qvjoyj


Drivers to delete:

qvjoyj

Kliknij w " Execute" i zatwierdź restart komputera.

Zrestartuj komputer.

Daj Raport z Avengera z C:\avenger.txt.

4. Daj log z OTL , bo ComboFix nie pokazuje nawet wersji ServicePack.

Log zrób na dodatkowym ustawieniu:

W pole Custom Scans/Fixes wklej:

%systemdrive%\atapi.* /s /md5 %systemdrive%\ggflt.* /s /md5 %systemdrive%\drmkaud.* /s /md5 %systemdrive%\dmusic.* /s /md5 %systemdrive%\Cdaudio.* /s /md5 %systemdrive%\ccdecode.* /s /md5 %systemdrive%\atmarpc.* /s /md5 %systemdrive%\aec.* /s /md5 %systemdrive%\Parport.* /s /md5 netsvcs

i dopiero wtedy kliknij “Run Scan”.

jessi

[jorket (A518568)]

1. Więc tak - VIRUSTOTAL - nie chciał coś ruszyć… “Nie udało się nawiązać połączenia”

Więc użyłem JOTTI/…

c:\windows\winstart.bat c:\windows\system32\drivers\ggflt.sys c:\windows\system32\drivers\drmkaud.sys c:\windows\system32\drivers\dmusic.sys c:\windows\system32\drivers\Cdaudio.sys c:\windows\system32\drivers\ccdecode.sys c:\windows\system32\drivers\atmarpc.sys c:\windows\system32\drivers\aec.sys c:\windows\system32\drivers\Parport.sys

i tutaj, 1-szego pliku nie znalazłem już w systemie…

reszta scanu poza ostatnim wyjątkiem (patrz niżej) - Pozytywnie…

przy ostatnim pliku Parport.sys wyskakiwało info. plik pusty 0KB nie było czego przesłać na serwer, takze brak z niego testu…

2. Log z TDSKiller http://www.wklejto.pl/70313

3. Raport z Avenger’a http://www.wklejto.pl/70314

4. Log OTL http://www.wklejto.pl/70315

extras OTL http://www.wklejto.pl/70316

Także czekam na ewentualne wytyczne… dzięki serdeczne i pozdrawiam… :-({|=

BTW - ciekawie opisane podpunkty - sprawdź, kliknij, użyj, ściągnij, daj… :x [-X

[jessica]

1-szego pliku nie znalazłem już w systemie..

A w logu jest:

[2010-06-03 18:04:13 | 000,000,002 | RHS- | M] () – C:\WINDOWS\winstart.bat

Daję go do usuwania.

---

przy ostatnim pliku Parport.sys wyskakiwało info. plik pusty 0KB

A w logu widać, że ma rozmiar:

000,741,376 | ---- | M] () – C:\WINDOWS\System32\drivers\Parport.sys

Poza tym:

W raporcie TDSKiller:

Suspicious file (NoAccess): C:\WINDOWS\system32\drivers\Parport.sys. md5: 2aaca53b0486e329e516e30f5430e26a

Jak widać, MD5 jest rozpoznawalne, a w logu OTL:

[2010-06-17 16:12:14 | 000,741,376 | ---- | M] () Unable to obtain MD5 – C:\WINDOWS\system32\drivers\Parport.sys [2008-04-14 23:09:56 | 000,080,256 | ---- | M] () Unable to obtain MD5 – C:\WINDOWS\system32\drivers\Parport.sys.bak

jest napisane, że MD5 jest nierozpoznawalne.Jest tez jakiś plik .bak.

Ściągnij plik “parport.sys” stąd>http://www.speedyshare.com/files/23004772/parport.sys, i umieść go bezpośrednio na dysku C:\

Potem:

Uruchom OTL i w oknie Custom Scans/Fixes wklej to:

:OTL O2 - BHO: (no name) - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - No CLSID value found. O2 - BHO: (no name) - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - No CLSID value found. O4 - HKU.DEFAULT…\RunOnce: [nltide_2] File not found O4 - HKU\S-1-5-18…\RunOnce: [nltide_2] File not found O28 - HKLM ShellExecuteHooks: {AEB6717E-7E19-11d0-97EE-00C04FD91972} - Reg Error: Key error. File not found [2010-06-03 18:04:13 | 000,000,002 | RHS- | M] () – C:\WINDOWS\winstart.bat [2008-04-15 00:03:04 | 000,080,256 | ---- | C] () – C:\WINDOWS\System32\drivers\Parport.sys.bak @Alternate Data Stream - 12 bytes -> C:\WINDOWS\system32:{4B9A1497-0817-47C4-9612-D6A1C53ACF57} :Files C:\Windows\System32\drivers\parport.sys|C:\parport.sys /replace :Commands [emptytemp]

Kliknij w Run Fix. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.

Następnie uruchom OTL ponownie, tym razem kliknij “Run Scan”.

Pokaż nowy log OTL.txt oraz raport z usuwania.

ciekawie opisane podpunkty - sprawdź, kliknij, użyj, ściągnij, daj…

Na Forum nie ma miejsca na grzeczności, najlepiej zwracać się bezpośrednio.

jessi

[jorket (A518568)]

A w logu jest: [2010-06-03 18:04:13 | 000,000,002 | RHS- | M] () – C:\WINDOWS\winstart.bat Daję go do usuwania.

Dziwne, bo nie widzialem go nawet w ukrytych plikach jak i w search tez go na hdd nie lokalizowalo…

Tego z “bak” tez widzialem i probowalem wrzucic na JOTTI/ ale to samo fiasko co z sys czyli 0KB…

Tym razem ruszył virustotal i po załadowaniu parport wskakuje podobnie co JOTT…

“0 bytes size received / Se ha recibido un archivo vacio”

Kolejna gafa to plik od Ciebie ze speedyshare nie moglem go pobrać na dysk Niby sie zapisywal ale nie moglem go zlokalizowac “po”. Wiec pobralem z komputera z obok pokoju i przynioslem na pendrivie i tez zonk… nie mozna skopiowac pliku coś o zrodle itp… udalo sie w awaryjnym i wyladowal w koncu na C:\

Ale do meritum - Podaje raport z usuwania http://www.wklejto.pl/70345c + nowy log z OLT http://www.wklejto.pl/70343

co widać?

i mały offtop

Na Forum nie ma miejsca na grzeczności, najlepiej zwracać się bezpośrednio. jessi

ps. musze stwierdzić iż mógłbym doznawać codziennie takiego typu niegrzeczności… a co do bezposredniości to jestem za tym aby korzystać z niej i poza forum

Pokaż nowy log OTL.txt oraz raport z usuwania.

coraz bardziej podobają mi sie owe niegrzeczności, proszę zatem kontynuować… :biggrin:

[jessica]

Unable to replace file: C:\Windows\System32\drivers\parport.sys with C:\parport.sys

Nie udało się.

Spróbuj podmienić przy pomocy Replacer’a: >http://www.searchengines.pl/Replacer-t89288.html

jessi

[jorket (A518568)]

nie można zmienić atrybutu…

jednak F8, - awaryjny i poszło… Completed :D/

btw: po co to w ogóle czyniliśmy ?

…coś dalej mój O:) ??

[jessica]

po co to w ogóle czyniliśmy ?

Po to, by pozbyć się tego pliku podstawionego przez infekcję, który tylko z nazwy udawał plik Microsoftu, ale w ogóle nie był podobny do prawidłowego pliku, miał rozmiar prawie 10 razy większy od dobrego pliku.

Chyba, że chciałbyś mieć dalej ten plik infekcji w komputerze?

jessi

[jorket (A518568)]

Nie no, jakakolwiek forma infekcji jest niewskazana… hyhy Jednak to nie mój laptok więc moze jakos jej skutki bym przezyl… no ale fajnie ze chyba koniec koncem wszystko sie udało ? skoro nie slysze dalszych wytycznych…Pakiety podobno juz przed zalozeniem wątku przestały sie mnożyć jak chinskie dzieci Nawet jakby nie udało sie nic zrobić to jestem zobowiazany za przemiłe towarzystwo, czy dobrze odczytuje - damy?

Niestety nie bardzo mam jak sie zrewanżować… oczywiście nie infekcją więc bije brawo =D> i składam pokłony ![-o<