Proces explorer.exe, spowolniona praca

Dla specjalistów Bezpieczeństwo
#1

Witam. Na poczatek mam do powiedzenia iz komputer chodzi strasznie wolno . W IE uruchamiaja sie strony spyware dotyczace stron z Antiwirusami “Error Safe” itd. Plik explorer.exe pozera prawie cala pamiec w krytycznych przypadkach. Na pasku zadan dostaje ponizsza ikonke ktora po kliknieciu przekierowuje mnie na strone ze spammem.

spamxf7.jpg

Wiec wklejam loga z HiJackThis. Prosze o pomoc, z gory dziekuje.

#2

Na początek postrzelamy:

Pobierz Windows Worms Doors Cleaner, ustaw znaczki na zielono, Netbios może być na żółto.

Po użyciu narzędzia wymagany jest restart.

Zastosuj SimtFraudFix, opcja 2 w trybie awaryjnym.

W trybie awaryjnym użyj VundoFix + FixVundo + VirtmundoBeGone

Po wykonaniu w/w daj log z ComboFix + opis zrobienia loga na samym dole.

#3

Bardzo proszę zmienić tytuł na konkretny,

gdyż w przeciwnym razie zaliczy Kosz

#4

Oki no wiec zaczynam opis:

1.Przy wlaczaniu Windows Worms Doors Cleaner wszystko ustawilem na zielono a NetBios na zolto. Wszystko ok!

2.Nastepnie restart i tryb awaryjny wciaz irytowala mnie pojawiajaca sie ikonka ktora wyzej opisalem. Program SimtFraudFix bardzo ladnie sie spisal po uzyciu funkcji 2 i restarcie systemu system chodzil o niebo lepiej i ikonka znikla. Daje loga z SimtFraudFixa w razie czego (log dlugi wiec wkleilem)

http://wklej.org/id/8b6a3301e6

3.Czas na Vundo, zrobilem tak jak w opisie duzo plikow znalazlo i usunelo.

4.Po tych wszystkich czynnosciach system chodzi o niebo lepiej, serdecznie dziekuje. Jesli jescze moge zastosowac jakies kosmetyczne zmiany to prosze mnie poinformowac. Teraz log z ComboFixa:

#5

A należało zacząć od czego innego :frowning:

Z powodu niekonkretnego tytułu Twój topic zostaje

zamknięty do czasu zatwierdzenia zaproponowanej

przez Ciebie zmiany, którą możesz wysłać, wraz

z linkiem do tematu, na PW do dowolnego Moderatora.

.

#6

Temat odblokowany

#7

Jeśli nie masz żadnego „usuwacza”, to ściągnij OTMoveIt.

Do pola Paste List of Files/Folders to be Moved wklej poniższe ścieżki:

Następnie wciśnij przycisk MoveIt!

Pojawi się komunikat, że jest potrzebny restart do usunięcia podanych plików/folderów- wciśnij Yes.

Po restarcie usuń ręcznie folder C:** _OTMoveIt** (Prawoklik >>> Usuń >>> Opróżnij Kosz).

Te w/w wpisy sfiksuj w Hijacku:

>>Hijack>>scan(Do a system scan only)>>zaznacz je >> Fix checked.

Potem daj nowe logi z Hijacka i ComboFixa.

.

#8

Ok dzięki! Wszystko wykonałem według wskazówek. O to logi:

-HiJackThis

http://www.wklej.org/id/d2cf959182

-ComboFix

http://www.wklej.org/id/b4a66f623a

Pozdrawiam.

#9

Mamy następną porcję:

Do pola Paste List of Files/Folders to be Moved wklej poniższe ścieżki:

Następnie wciśnij przycisk MoveIt!

Pojawi się komunikat, że jest potrzebny restart do usunięcia podanych plików/folderów- wciśnij Yes.

Po restarcie usuń ręcznie folder C:** _OTMoveIt** (Prawoklik >>> Usuń >>> Opróżnij Kosz).

I znowu daj log z Hijacka - pewnie będzie w nim następna porcja plików tego “VUNDO”. :slight_smile:

.

#10

Ok, o to proszony log z HiJackThis:

http://www.wklej.org/id/f805798761

#11

Przepraszam - pomyliłam się - chodziło mi o log z ComboFixa.

Jeszcze raz przepraszam za moją pomyłkę. :cry:

.

EDIT:

Przy okazji: sfiksuj ten w/w wpis w Hijacku.

.

#12

Tak coś właśnie myślałem :wink: Nic nie szkodzi zaraz dam edita i loga z ComboFixa.

EDIT:

ComboFix

http://www.wklej.org/id/716594cb4b

Już widze kolejną porcję. Mam jescze pytanie odnośnie tego rejestru. Były to servery w grze, których już dawno nie mam na dysku a nie moge usunąć tych błędów z rejestru.

#13

No tak, następna porcja. I chyba zostaniesz rekordzistą - bo do tej pory rekord wynosił 200 plików “VUNDO” - z takim przypadkiem się zetknęłam dotychczas. U Ciebie chyba ten rekord będzie znacznie wyższy, bo infekcję miałeś 5 maja, a usuwamy dopiero z 13 lipca - do 5 maja jeszcze daleko.

Do pola Paste List of Files/Folders to be Moved wklej poniższe ścieżki:

Następnie wciśnij przycisk MoveIt!

Pojawi się komunikat, że jest potrzebny restart do usunięcia podanych plików/folderów- wciśnij Yes.

Po restarcie usuń ręcznie folder C:** _OTMoveIt** (Prawoklik >>> Usuń >>> Opróżnij Kosz).

Widzę, że oprócz VUNDO miałeś od 14 lipca także Keyloggera.

.Daj nowy log z ComboFixa.

.

EDIT:

A jeśli chodzi o ten rejestr:

>>Start >>> Uruchom >>> wybierz (lub wpisz) REGEDIT >>OK>

>>rozwiń ten klucz:

>>(+)HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache

>>w okienku po prawej odszukaj te wartości >>prawoklik>>usuń

.

#14

Wszystko wyrzuciłem według wskazówek. Już nie ma tego aż tak dużo, czyżby to był koniec?:smiley: Log z ComboFixa:

http://www.wklej.org/id/0c9bde59f4

#15

Ja nie widzę już nic do usuwania!

Trochę jestem zaskoczona, bo pierwszy plik VUNDO był z 5 maja, ale widocznie później nastąpiła przerwa w infekcji.

Ale najważniejsze, że jest już czysto. :slight_smile: :slight_smile:

.

#16

Serdecznie dziękuje za pomoc miłej informatyczki. Ale przed chwilą zdziwił mnie natychmiastowy reset komputera bez żadnych ostrzeżeń. Jeśli problem się powtórzy to zwróce się ku pomocy. Narazie jescze raz dziękuje i pozdrawiam.