Problem z usunięciem Win32:Rootkit-gen [Rtk]

Dla specjalistów Bezpieczeństwo
#1

Avast ciągle wykrywa na moim komputerze zawirusowany plik: Win32:Rootkit-gen [Rtk]. Nie mogę go usunąć, żadna z podjętych akcji nie przynosi żadnego efektu. Wysyłam logi, bardzo proszę o sprawdzenie i pomoc.

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 23:45, on 2009-06-30

Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal


Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe


R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ngohq.com

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ngohq.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA LOKALNA')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'USŁUGA SIECIOWA')

O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll

O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {67A5F8DC-1A4B-4D66-9F24-A704AD929EEE} (System Requirements Lab) - http://www.nvidia.com/content/DriverDownload/srl/2.0.0.1/sysreqlab2.cab

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: StarWind AE Service (StarWindServiceAE) - Unknown owner - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe (file missing)

O24 - Desktop Component 0: (no name) - file:///C:/DOCUME~1/krzysia/USTAWI~1/Temp/msohtml1/01/clip_image002.jpg


--

End of file - 4051 bytes

– Dodane 01.07.2009 (Śr) 0:30 –

logi: http://www.wklejto.pl/37516

#2

Chyba nie wydaje Ci się, że HijackThis pokaże rootkita.

Wklej logi z OTL i gmer

http://www.searchengines.pl/index.php?s … t&p=392369

http://www.gmer.net/

#3

Zmiana zasad wklejania logów na forum - viewtopic.php?f=16&t=253052

#4

Niestety nie wiem czy skanowanie w OTL się ukończyło, chyba coś się zawiesiło, no ale wysyłam plik który się zapisał:

http://www.wklej.org/id/127320/

– Dodane 28.07.2009 (Wt) 21:02 –

Logi z gmer:

http://www.wklej.org/id/127341/

Pomóżcie proszę !!

#5

Użyj ComboFix i wklej z niego log. Przed uruchomieniem zmień mu nazwę na losową.

viewtopic.php?p=1170959#p1170959

Podczas pobierania i skanu ComboFix’em wyłącz antywirusa i zapory.

#6

Wg zaleceń najpierw RSIT:

http://wklej.org/id/127776/

– Dodane 29.07.2009 (Śr) 18:51 –

I drugi plik: http://wklej.org/id/127780/

#7

Tutaj akurat zalecenia nie mają znaczenia.

Jest infekcja i priorytetowo ma być użyty Combofix.

#8

I logi z Combofixa:

http://wklej.org/id/127792/

#9

Nic tu nie ma. Jaki plik jest wykrywany przez Avasta? Dokładną ścieżkę do pliku napisz.

#10

Avast pokazuje to:

Plik: C:\WINDOWS\System32\x

Nazwa pasożyta: Win32:Rootkit-gen [Rtk]

Typ pasożyta: Rootkit

I tak z kilka razy na dzień…

#11

W logu go nie widać. Usuń ten plik/folder ręcznie lub za pomocą Unlocker’a.

#12

No właśnie w tym problem,że ten plik nie jest widoczny, a wirus siedzi…A w jaki sposób mogę usunąć unlockerem?

#13

Włącz pokazywanie plików ukrytych/systemowych w Opcjach folderów i spróbuj.

Jak się nie uda…

Pobierz The Avenger i uruchom.

Wklej w niego ten tekst:

Execute i zgadzasz się na restart.

Po restarcie kasujesz plik C:\Avenger\backup.zip i dajesz tutaj do sprawdzenia raport C:\avenger.txt

#14

Niestety chyba się nie udało…Raport:

http://wklej.org/id/127925/

– Dodane 30.07.2009 (Cz) 0:08 –

Zrobiłam jeszcze raz i niby usunął http://wklej.org/id/127952/

– Dodane 30.07.2009 (Cz) 18:48 –

No i po restarcie kompa pojawił się znowu;/

#15

No to jeszcze inaczej. Pobierz SystemLook. Wklej do niego taki tekst

Klikasz Look i wklejasz log.

#16

Przesyłam logi:

http://wklej.org/id/128737/

#17

Myślałem o fałszywym debuggerze ale nic nie wskazuje jego obecności.

Jeszcze w OTL przestaw wszystko na All, wykonaj skan i wklej log.

#18

Logi z OTL-a:

http://wklej.org/id/128828/

http://wklej.org/id/128830/

#19

Nic tu nie widać.

Zastosuj Dr.WEB CureIt. Lecz co się da, resztę usuwaj, wklej log.

Potem daj jeszcze jeden log z gmer.