Problem z trojanem - blokada dostępu do dysku, zamulenie

Dla specjalistów Bezpieczeństwo
#1

Proszę o pomoc. Zainfekowało mi kompa. Jestem zielony jeśli idzie o informatykę, niemniej udało mi się wyczytać że mam wkleić loga.

Problem dotyczy trojana, albo trojanów z końcówkami GameTief.Magania; Trojan.Agent.Gen …

na chwile obecną nie mam dostępu do rzadnego z 3 dysków - pomocy !!

Mój log

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 19:34:38, on 2009-11-20

Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\COMODO\COMODO Internet Security\cmdagent.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\htpatch.exe

C:\Program Files\Java\jre6\bin\jusched.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\WINDOWS\system32\RunDll32.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Program Files\COMODO\COMODO Internet Security\cfp.exe

D:\Sony Ericsson PC Suite\SEPCSuite.exe

C:\Program Files\DAEMON Tools Lite\daemon.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AskBarDis\bar\bin\AskService.exe

C:\Program Files\AskBarDis\bar\bin\ASKUpgrade.exe

C:\Program Files\Java\jre6\bin\jqs.exe

C:\WINDOWS\system32\nvsvc32.exe

D:\Sony Ericsson PC Suite\SupServ.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\WINDOWS\system32\wuauclt.exe

C:\DOCUME~1\X\USTAWI~1\Temp\Rar$EX03.672\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.bearshare.com/sidebar.html?src=ssb

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.bearshare.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0 CE\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: AskBar BHO - {201f27d4-3704-41d6-89c1-aa35e39143ed} - C:\Program Files\AskBarDis\bar\bin\askBar.dll

O2 - BHO: My Global Search Bar BHO - {37B85A21-692B-4205-9CAD-2626E4993404} - C:\Program Files\MyGlobalSearch\bar\1.bin\MGSBAR.DLL (file missing)

O2 - BHO: Java Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O3 - Toolbar: DAEMON Tools Toolbar - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll

O3 - Toolbar: BearShare MediaBar - {D3DEE18F-DB64-4BEB-9FF1-E1F0A5033E4A} - C:\Program Files\BearShare Applications\BearShare MediaBar\BearShareMediaBar.dll

O3 - Toolbar: My Global Search Bar - {37B85A29-692B-4205-9CAD-2626E4993404} - C:\Program Files\MyGlobalSearch\bar\1.bin\MGSBAR.DLL (file missing)

O3 - Toolbar: Ask Toolbar - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Program Files\AskBarDis\bar\bin\askBar.dll

O4 - HKLM…\Run: [HTpatch] C:\WINDOWS\htpatch.exe

O4 - HKLM…\Run: [siSUSBRG] C:\WINDOWS\SiSUSBrg.exe

O4 - HKLM…\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM…\Run: [nwiz] nwiz.exe /install

O4 - HKLM…\Run: [sunJavaUpdateSched] “C:\Program Files\Java\jre6\bin\jusched.exe”

O4 - HKLM…\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM…\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM…\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM…\Run: [COMODO Internet Security] “C:\Program Files\COMODO\COMODO Internet Security\cfp.exe” -h

O4 - HKCU…\Run: [sony Ericsson PC Suite] “D:\Sony Ericsson PC Suite\SEPCSuite.exe” /systray /nologon

O4 - HKCU…\Run: [DAEMON Tools Lite] “C:\Program Files\DAEMON Tools Lite\daemon.exe” -autorun

O4 - HKCU…\Run: [cdoosoft] C:\DOCUME~1\X\USTAWI~1\Temp\herss.exe

O4 - HKUS\S-1-5-19…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‘?’)

O4 - HKUS\S-1-5-20…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‘?’)

O4 - HKUS\S-1-5-21-1659004503-2052111302-682003330-1003…\Run: [sony Ericsson PC Suite] “D:\Sony Ericsson PC Suite\SEPCSuite.exe” /systray /nologon (User ‘?’)

O4 - HKUS\S-1-5-18…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‘?’)

O4 - HKUS.DEFAULT…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‘Default user’)

O8 - Extra context menu item: Eksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra ‘Tools’ menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL

O20 - AppInit_DLLs: C:\WINDOWS\system32\guard32.dll

O23 - Service: ASKService - Unknown owner - C:\Program Files\AskBarDis\bar\bin\AskService.exe

O23 - Service: ASKUpgrade - Unknown owner - C:\Program Files\AskBarDis\bar\bin\ASKUpgrade.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

O23 - Service: COMODO Internet Security Helper Service (cmdAgent) - COMODO - C:\Program Files\COMODO\COMODO Internet Security\cmdagent.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe

O23 - Service: lmab_device - Unknown owner - C:\WINDOWS\system32\LMabcoms.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Sony Ericsson OMSI download service (OMSI download service) - Unknown owner - D:\Sony Ericsson PC Suite\SupServ.exe

–

End of file - 6311 bytes

co mam zrobić zeby się tego całego szajsu pozbyć ??

#2

Logi wklejasz na wklej.org lub wklej.to, a w poście dajesz link.

Wykonaj pełny skan Malwarebytes’ Anti-Malware - znalezione obiekty usuń.

Pokaż raport po usuwaniu.

Następnie pokaż logi:

:arrow: OTL

Przestawiasz w nim Processes i Modules na All oraz wklejasz w dolne białe okienko Custom Scans/Fixes :

Klikasz Run Scan.

:arrow: System Repair Engineer

#3

problem polega jednak na tym ze nie moge nawet zainstalować Malwarebytes’ Anti-Malware :frowning: Coś go blokuje !!

#4

Więc na razie zrób tylko logi.

PS. Odinstaluj BearShare, bo to od niego masz dużą część syfu.

#5

Mag84 , popraw tytuł tematu, używając przycisku ac7a4cd89050aa6e.gif

#6

ok - program poszedł ale na innym dysku, juz skanuje !!

#7

Ta infekcja blokuje otwieranie partycji i dysków poprzez dwuklik.

Do czasu jej usunięcia możesz jeszcze otwierać partycje w sposób: PPM na ikonkę dysku -> Eksploruj.

#8

jeszcze jedno. własnie teraz dowiedziałem się że kuzyneczka chciala sobie muzyke sciagnąc i podczas mojej nieobecnosci zainstalowała bearshare - nawet nie wiedziałem ze jest. Nie moge odinstalować - brak dostępu do pliku :evil:

– Dodane 20.11.2009 (Pt) 20:13 –

jeszcze tylko 2 pytanie

  • mam drugi komp. Czy moge z pulpitu cokolwiek przenosic po wczesniejszym przeskanowaniu przez pendrive z szansą ze nie bedzie infekcji ??
  1. Jaki program uchroni mnie przed tego typu przykrymi niespodziankami ??
#9

Ta infekcja się właśnie przenosi poprzez pendrive i znajduje się na nim.

Na razie nie używaj go.

No i zrób logi, o które prosiłem wcześniej.

#10

BARDZO CI SERDECZNIE POKI CO DZIEKUJE !!

na razie jeszcze jest scan malwarebytes - jak skonczy wszystko powklejam !!

2 komp tez bedzie do naprawy bo juz narzeczona musiała przeniesc !!

– Dodane 20.11.2009 (Pt) 20:43 –

poniżej link do raportu po usuwaniu malwarebytes

http://wklej.to/yrWa

Teraz OTL

– Dodane 20.11.2009 (Pt) 20:53 –

logi OTL

http://wklej.to/EIIo

– Dodane 20.11.2009 (Pt) 20:55 –

i jeszcze OTL extras

http://wklej.to/wunq

#11

Nie przestawiaj w OTL-u wszystkiego na All, bo to tylko utrudnia sprawdzanie.

Na All mają być przestawione tylko Processe s i Modules.

W białe dolne okno Custom Scans/Fixes w OTL wklej:

Run Fix. Restart, jeśli będzie potrzebny.

Potem log z usuwania oraz nowy log robiony opcją Run Scan.

#12

log z usuwania

http://wklej.to/SBb3

i kilka pytań:

czy mam zostawic avasta ?? CZy on w ogóle działa ?? Mam jeszcze comodo i nie wiem który jest lepszy ?? !!

co z penDrivami mam zrobić ?? Formatowanie ??

zaraz log OTL

– Dodane 20.11.2009 (Pt) 21:55 –

ihttp://wklej.org/id/211298/

#13

Zastosuj Flash Disinfector.

W logu czysto.

Wykonaj pełny skan Malwarebytes’ Anti-Malware - znalezione obiekty usuń.

Gdy będą wirusy pokaż raport po usuwaniu.

Wyczyść rejestr i dysk CCleaner.

Usuń zbędniki z autostartu.

#14

deFco :frowning: Flash Disinfector nie idzie :frowning:

pojawiają mi się takie informacje:

2mqp6r4.jpg

oraz

2nqd6pc.jpg
2nqd6pc.jpg803×124

A co COMODO ?? ZOstawić czy polecasz jakiś program do ochrony ??

#15

To ty używasz jednocześnie antywirusa Comodo i Avasta ??

Nie wiesz, że to grozi nawet niemożnością uruchomienia systemu?

Odinstaluj antywirus z pakietu Comodo i zostaw Avasta.

Flash Disinfector pobierz na nowo, gdyż Comodo pewnie zdążył go “rozpruć”.

W czasie działania Flash Disinfectora wyłączaj antywirusa.

#16

Malwarebytes’ Anti-Malware 1.41

Wersja bazy definicji: 3202

Windows 5.1.2600 Dodatek Service Pack 2

2009-11-20 22:47:41

mbam-log-2009-11-20 (22-47-41).txt

Typ skanowania: Pełne skanowanie (C:|D:|E:|I:|)

Przeskanowane obiekty: 128816

Upłynęło: 30 minute(s), 21 second(s)

Zainfekowane procesy w pamięci: 0

Zainfekowane moduły pamięci: 0

Zainfekowane klucze rejestru: 0

Zainfekowane wartości rejestru: 0

Zainfekowane pliki rejestru: 0

Zainfekowane foldery: 0

Zainfekowane pliki: 0

Zainfekowane procesy w pamięci:

(Nie wykryto groźnych plików)

Zainfekowane moduły pamięci:

(Nie wykryto groźnych plików)

Zainfekowane klucze rejestru:

(Nie wykryto groźnych plików)

Zainfekowane wartości rejestru:

(Nie wykryto groźnych plików)

Zainfekowane pliki rejestru:

(Nie wykryto groźnych plików)

Zainfekowane foldery:

(Nie wykryto groźnych plików)

Zainfekowane pliki:

(Nie wykryto groźnych plików)

=D>

Bardzo ci dziekuje !!

#17

Zaktualizuj system do stanu Service Pack 3.