Witam, proszę o pomoc. Prawdopodobnie złapałem trojana i zmodyfikował skutecznie rejestr. Efekt działania wirusa jest taki, że po starcie systemu pojawia się okienko (link poniżej)
Po zamknięciu okna, w katalogu (profilu) danego użytkownika np C:\Documments and Settingd\Administrator\Searched\
tworzą siętysiące plików z rozszerzeniem AVI. Prawdopodobnie będą się tworzyły do momentu zapisania całego wolnego miejsca na dysku. Każdy plik ma wielkość 45KB. Poniżej link do logu z Hijacka.
Witam ponownie. Niestety pierwsza odpowiedź nie pomogła. Dodam jeszcze że próbowałem usunąć to coś reanimatorem, ponieważ podejrzewałem zainfekowany plik systemowy csrss.exe. Okazało się nie to. Dodam jeszcze że mam zainstalowany darmowy program antywirusowy AVIRA. AVIRA wykrywa mi EXP/ASF.GetCodec.Gen. Przeczytałem że można to usunąć SUPERANTISPYWARE, lecz zanim sięgnę po to narzędzie chciałbym zasięgnąć porady, żeby nic nie zchrzanić. Zależy mi na utrzymaniu przy życiu tej instalacji. Co do logu z ComboFixa trochę się obawiam, bo uruchomienie programu automatycznie zamyka nieszczęsne okienko o którym pisałem w pierwszym poście i zaczyna się masowa generacja plików. I co będzie pierwsze wygenerowanie loga czy zapchanie dysku. Jeśli ktoś ma jakiś pomysł to proszę o pomoc.
Jeszcze jedno prawdopodobnie reanimator coś zainstalował bo tuż przed pojawieniem się okna logowania pojawia się na ułamek sekundy jakiś napis którego nie zdążam przeczytać. W dodatku blokuje mi to coś konsolę (brak możliwości wykonania RunCMD) albo uruchomienie REGEDIT, nie mówiąc już o menadżerze urządzeń.
Prblem tylko z przeczesaniem rejestru. Nie wiem gdzie to coś się schowało. Uruchamia się na ułamek sekundy i potem znika. Udało mi się za którymś razem uruchomić menadżera zadań i wciśnąć print screena. Może ktoś się spotkał z czymś podobnym.
Przeskanowałem w trybie awaryjnym i MalwerByte i SuperAntiSpyWare i kicha.
No i grunt to się nie poddawać. Udało mi się wywalić to g*^%$. Dziwne tylko że żaden antywirus tego nie wykrył. Żmudną metodą kolejnych włączeń i wyłączeń, śledzenia krok po kroku odkryłem że w rejestrze \HKLM\Software\Microsoft\Windows\Current_Version\Run utworzył się wpis nview.exe z podpisem NVIDIA. Jako że mam Radeona 9550 ze sterownikami detonator (NVIDIA) więc mnie to zmyliło. Przypadek zrządził że zwróciłem na ten proces uwagę, udało mi się go wyrzucić i szystko gra. Zainfekowany syf utworzył się i był uruchamiany z katalogu (profilu) użytkownika \Documents and Settings.
