"Odradzające" się wirusy

olaolaolaa · 8 Marzec 2012 21:31

Hej,

ostatnio mój komputer został zainfekowany paroma trojanami (Microsoft Security Essentials wykrył: Trojan: Win32/Opachki.H, PWS:Win32/Karagany.A, Trojan.JS/Iframe.AN). Niby antywirus usunął już infekcje, ale musiał robić to kilka razy, gdyż po jednym usunięciu danego trojana, po jakimś czasie “odradzał się” on i znowu trzeba było go usuwać.

W związku z tym bardzo prosiłabym o sprawdzenie logów, ponieważ chciałabym się upewnić, że już wszystko na pewno zostało usunięte z mojego komputera.

http://wklejto.pl/119513

Atis · 8 Marzec 2012 21:53

Napisz w jakiej lokalizacji były wykrywane trojany.

Pokaż logi z OTL:

otl-gmer-rsit-dss-inne-instrukcje-t370405.html

Dysk przeskanuj Malwarebytes Anti-Malware.

Podczas instalacji kliknij Odrzuć żeby zainstalować tylko darmowy skaner.

http://www.dobreprogramy.pl/Malwarebyte … 13117.html

olaolaolaa · 8 Marzec 2012 23:15

Lokalizacja trojanów:

Win32/Opachki.H:

usunięcie: C:\Users\Karol\winlogon.exe
usunięcie: C:\Users\Karol\AppData\Local\Temp\24kkk729347.exe

Win32/Karagany.A:

usunięcie:

containerfile:C:\Users\Karol|AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\ILY4YA4Q\ftp[1].exe

file:C:\Users\Karol\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\ILY4YA4Q\ftp[1].exe->(UPX)->[Obfuscator.QG]

usunięcie:

containerfile:C:\Users\Karol\AppData\Local\Temp\5198.tmp

file:C:\Users\Karol\AppData\Local\Temp\5198.tmp->(UPX)->[Obfuscator.QG]

Trojan.JS/Iframe.AN:

C:\Users\Karol\AppData\Local\Opera\Opera\cache\g_006C\opr021Y3.tmp

C:\Users\Karol\AppData\Local\Opera\Opera\cache\g_006D\opr021ZG.tmp

C:\Users\Karol\AppData\Local\Opera\Opera\cache\g_006D\opr02207.tmp

Logi OTL: http://wklejto.pl/119528

Wynik przeskanowania przez Malwarebytes Anti-Malware: http://wklejto.pl/119529

Atis · 9 Marzec 2012 08:18

Odinstaluj w panelu sterowania DealPly, Babylon toolbar.

Do okna Własne opcje skanowania / skrypt wklej:

:OTL

IE - HKU\S-1-5-21-1804053116-2346979294-3403974136-1000\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://search.babylon.com/?AF=119998&babsrc=HP_ss&mntrId=10eaae2f000000000000002100d1976b

IE - HKU\S-1-5-21-1804053116-2346979294-3403974136-1000\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = http://search.babylon.com/?q={searchTerms}&AF=119998&babsrc=SP_ss&mntrId=10eaae2f000000000000002100d1976b

FF - prefs.js..browser.startup.homepage: "http://search.babylon.com/?AF=119998&babsrc=HP_ss&mntrId=10eaae2f000000000000002100d1976b"

FF - prefs.js..keyword.URL: "http://search.babylon.com/?AF=119998&babsrc=adbartrp&mntrId=10eaae2f000000000000002100d1976b&q="

FF - prefs.js..browser.search.defaultenginename: "Search the web (Babylon)"

FF - prefs.js..browser.search.selectedEngine: "Search the web (Babylon)"

FF - prefs.js..browser.search.order.1: "Search the web (Babylon)"

[2012-02-21 19:29:13 | 000,000,000 | ---D | M] (Babylon) -- C:\Users\Karol\AppData\Roaming\mozilla\Firefox\Profiles\6sbghhl2.default\extensions\ffxtlbr@babylon.com

[2012-02-21 19:29:38 | 000,000,000 | ---D | M] (DealPly) -- C:\Users\Karol\AppData\Roaming\mozilla\Firefox\Profiles\6sbghhl2.default\extensions\{EB9394A3-4AD6-4918-9537-31A1FD8E8EDF}

[2012-02-21 19:29:08 | 000,002,310 | ---- | M] () -- C:\Program Files (x86)\mozilla firefox\searchplugins\babylon.xml

O2 - BHO: (Babylon toolbar helper) - {2EECD738-5844-4a99-B4B6-146BF802613B} - C:\Program Files (x86)\BabylonToolbar\BabylonToolbar\1.5.3.17\bh\BabylonToolbar.dll (Babylon BHO)

O2 - BHO: (DealPly) - {A6174F27-1FFF-E1D6-A93F-BA48AD5DD448} - C:\Program Files (x86)\DealPly\DealPlyIE.dll (DealPly Technologies Ltd)

O3 - HKLM\..\Toolbar: (Babylon Toolbar) - {98889811-442D-49dd-99D7-DC866BE87DBC} - C:\Program Files (x86)\BabylonToolbar\BabylonToolbar\1.5.3.17\BabylonToolbarTlbr.dll (Babylon Ltd.)

O4 - HKU\S-1-5-19..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe File not found

O4 - HKU\S-1-5-20..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe File not found

[2012-03-07 17:41:24 | 000,000,292 | ---- | M] () -- C:\Windows\Tasks\DLL-files.com Fixer_UPDATES.job


:Reg

[HKEY_USERS\S-1-5-21-1804053116-2346979294-3403974136-1000\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"Shell"=- 


:Commands

[emptytemp]

Kliknij Wykonaj skrypt i zatwierdź restart.

Pokaż raport z usuwania i nowy log Skanuj.