Problem z kompem-zamulony totalnie

Dla specjalistów Bezpieczeństwo
#1

Witam !

Prośba o sprawdzenie loga. Totalnie zamulony komputer przy połączeniu z netem, jakby gdzieś coś w tle pracowało.

Log Hijack

http://wklejto.pl/txt5203

#2

To mi wygląda podejrzanie :expressionless:

#3

Infekcja " Vundo "

>>Hijack>>scan(Do a system scan only)>>zaznacz je >>Fix checked.

Daj log z Combofix

#4

Zrobiłem tak jak napisałeś, a oto log z Combifixa

http://wklejto.pl/txt5225 :roll:

#5

Pobierz ComboFix, ale nie uruchamiaj

Wklej do notatnika:

File::

C:\Temp\catchme.dll

C:\WINXP\system32\qbhxaklo.sys

C:\WINXP\system32\hellodonk.exe

C:\WINXP\system32\ngjxakin.sys

C:\WINXP\system32\weblsok.exe

C:\WINXP\system32\verptw.dll

C:\WINXP\system32\quaryfy.dll

C:\WINXP\system32\quaryfyk.exe

C:\WINXP\system32\qflxs.dll

C:\WINXP\system32\hellodon.dll

C:\WINXP\system32\weblso.dll

C:\WINXP\system32\yitalle.dll

C:\WINXP\system32\mrsingd.dll

C:\WINXP\system32\mrsingdk.exe

C:\WINXP\system32\msbod.dll

C:\WINXP\system32\msbodk.exe

C:\WINXP\system32\woasick.dll

C:\WINXP\system32\jfdses.dll

C:\WINXP\system32\ypdjhbmp.dll

C:\WINXP\system32\jfdses.dll

C:\WINXP\system32\mstimewd.dll

C:\WINXP\system32\pedadt.dll

C:\WINXP\system32\yxcsdhlp.dll


C:\WINXP\system32\zptldsys.dll

C:\WINXP\system32\detxciua.dll 

C:\WINXP\system32\mnmhhsrv.dll

C:\WINXP\system32\apzhdtde.dll"

C:\WINXP\system32\detxciua.dll


Folder::

C:\WINXP\AppPatch


Registry::

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]

"{81AF1CF6-D1C9-4C6A-AC01-EDE54E71945B}"=-

"{00180018-0018-0018-0018-00180018BB15}"=-

"{5E907A48-400E-4EA8-9792-FFAE052D59E9}"=-

"{45671234-7890-ABCD-CDEF-567801237654}"=-

"{60940F85-F015-14F1-A05F-F69858AC6D06}"=-

"{30618412-C528-C784-C056-C164D1F7C503}"=-

"{4D698451-2015-6358-9871-2015987452D4}"=-

"{8C8D1401-A58D-A81C-CD24-A5915C4517C8}"=-

"{A1954FAC-1023-154F-895A-1458258AD81A}"=-

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]

"mstimewd"=-

"DesktopWin"=-

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{a34d729c-9a84-11dc-8f1d-0000392130a2}]

Plik -> zapisz jako -> CFScript.txt (najwygodniej będzie, jeśli zapiszesz w takiej lokalizacji, by ikonka CFScript.txt znalazła się obok ikonki ComboFix.exe )

Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe tak jak tu ->

02f8f1e3c410a4cc.gif

Rozpocznie się usuwanie i powstanie log, który dasz na forum.

Logi dajesz na http://wklejto.pl a w poście dajesz tylko link

#6

O.k.

Zrobiłem tak jak kazałeś.

A oto log :

http://wklejto.pl/txt5236

Czekam na odpowiedź :roll:

#7

Wklej do Notatnika:

File::

C:\Temp\wmsetup.dll

C:\WINXP\system32\agxyaloe.exe

C:\WINXP\system32\akjsfkaq.dll

C:\WINXP\system32\aoqnabib.sys

C:\WINXP\system32\apsggjba.dll

C:\WINXP\system32\arjrhler.dll

C:\WINXP\system32\dazfajke.exe

C:\WINXP\system32\dehxaklo.exe

C:\WINXP\system32\dfqnabib.exe

C:\WINXP\system32\dtzfajke.sys

C:\WINXP\system32\erjxakin.sys

C:\WINXP\system32\erxybloe.dll

C:\WINXP\system32\fd233ds4f3.dll

C:\WINXP\system32\fdtxaiua.exe

C:\WINXP\system32\ictxaiua.sys

C:\WINXP\system32\ietzcpaq.dll

C:\WINXP\system32\igxyaloe.sys

C:\WINXP\system32\iujraler.sys

C:\WINXP\system32\mkjraler.exe

C:\WINXP\system32\mndshsrv.dll

C:\WINXP\system32\nhmxejkl.dll

C:\WINXP\system32\nttzapaq.sys

C:\WINXP\system32\oltzapaq.exe

C:\WINXP\system32\pqzfajke.dll

C:\WINXP\system32\pusqakol.exe

C:\WINXP\system32\rijxbkin.dll

C:\WINXP\system32\sbsqakol.sys

C:\WINXP\system32\skqnebib.dll

C:\WINXP\system32\smdsbsrv.sys

C:\WINXP\system32\snfybbyt.sys

C:\WINXP\system32\stjxakin.exe

C:\WINXP\system32\tisqctyu.dll

C:\WINXP\system32\tjfyabyt.exe

C:\WINXP\system32\tpfsajbo.exe

C:\WINXP\system32\tysqbkol.dll

C:\WINXP\system32\vlhxaklo.sys

C:\WINXP\system32\xbfsbjbo.sys

C:\WINXP\system32\xscqbhlp.sys

C:\WINXP\system32\xsdjbbmp.sys

C:\WINXP\system32\yzztlmsn.dll

C:\WINXP\system32\zscqahlp.exe

C:\WINXP\system32\zsdjabmp.exe

C:\WINXP\system32\zxmsewin.dll

C:\WINXP\system32\zywmgime.dll

>>Plik>>Zapisz jako… >>> CFScript (najwygodniej będzie, jeśli zapiszesz w takiej lokalizacji, by ikonka CFScript.txt znalazła się obok ikonki ComboFix.exe )

Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe (czyli ikonkę CFScript.txt na ikonkę ComboFix.exe )

– podobnie jak na tym obrazku –>88953CFScript-createdbyMiekiemoes.gif

(jeśli pojawi się pytanie " 1 or 2" - to wpisz 1 i naciśnij ENTER) Ma się rozpocząć usuwanie. (i powstanie log)

Po restarcie usuń ręcznie folder C: ** Qoobox**.

Po tym nowy log z Combo oraz skan http://www.kaspersky.pl/virusscanner.html

#8

Zrobiłem wszystko zgodnie z zaleceniami.

Oto raporty :

http://wklejto.pl/txt5498

#9

Log wyglada na czysty

usuń ręcznie folder C: \Qoobox , usuń instalkę Combofix z dysku.

Przeczyść komputer Ccleanerem

Wykonaj optymalizację autostartu

Wyłącz i włącz przywracanie systemu na wszystkich dyskach. Instrukcja

Przeskanuj obszar mojego komputera http://www.kaspersky.pl/virusscanner.html (uruchom przez IE) Daj raport z niego na forum

lub

Dr.WEB CureIt!

#10

Hmm…Niby wszystko już jest o.k. ale regularnie pojawia sie próba ataku trojanem murlo. Mam NOD 32 i on co pewien czas melduje o takim ataku.

Czy coś z tym mogę zrobić ? :frowning: