Prosze o pomoc w usunieciu zlosliwego oprogramowania

[CrazySuzy (Mrbooo)]

Witam,

j.w

http://www.wklejto.pl/41051 - HijackThis

http://www.wklejto.pl/41062 - OTL

http://www.wklejto.pl/41063 - Extras

Skanowanie systemu GMERem jest strasznie czasochłonne i sprowadziło mój komputer do samo wyłączenia

Na podstawie tego co tu jet można coś stwierdzić?

proszę o pomoc

[ciemnowidz (Henio Mazurek)]

Wklej log z OTL i GMER

Logi wklej na wklej.to a tutaj tylko link do wklejki.

[JNJN]

Sprawdzenie skanu HijackThis!

Proszę zmienić temat na konkretny, opcja EDYTUJ i popraw.JNJN

[CrazySuzy (Mrbooo)]

Uzupełniłem co było w mojej mocy, czekam na odpowiedź i proszę o pomoc

[ciemnowidz (Henio Mazurek)]

Wklej w OTL taki tekst

:Processes explorer.exe :OTL PRC - [2009-08-20 12:16:57 | 00,149,504 | ---- | M] () – C:\WINDOWS\msa.exe O2 - BHO: (XML Class) - {500BCA15-57A7-4eaf-8143-8C619470B13D} - C:\WINDOWS\System32\msxml71.dll () O3 - HKU\S-1-5-21-796845957-1647877149-725345543-1003…\Toolbar\WebBrowser: (no name) - {32099AAC-C132-4136-9E9A-4E364A424E17} - No CLSID value found. O4 - HKLM…\Run: [fuc] C:\WINDOWS\System32\fuc.exe () O4 - HKU\S-1-5-21-796845957-1647877149-725345543-1003…\Run: [Monopod] C:\Documents and Settings\Suzy\Ustawienia lokalne\Temp\b.exe () :Files C:\WINDOWS\msa.exe C:\WINDOWS\System32\msxml71.dll C:\WINDOWS\System32\fuc.exe C:\WINDOWS\tasks{BB65B0FB-5712-401b-B616-E69AC55E2757}.job C:\WINDOWS\tasks{7B02EF0B-A410-4938-8480-9BA26420A627}.job C:\WINDOWS\System32\secupdat.dat C:\WINDOWS\System32\kr_done1 C:\Documents and Settings\Suzy\Ustawienia lokalne\Temp\b.exe :Reg [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] “Userinit”=“C:\WINDOWS\system32\userinit.exe,” :Commands [emptytemp] [start explorer] [Reboot]

Kliknij Run Fix. Po restarcie klikasz w OTL Run Scan i wklejasz log.

Do tego do sprawdzenia na VirusTotal pliki

C:\WINDOWS\System32\winlogon.exe C:\WINDOWS\System32\services.exe C:\WINDOWS\explorer.exe C:\WINDOWS\System32\spoolsv.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\lsass.exe

[CrazySuzy (Mrbooo)]

Dzięki za pomoc, zrobiłem jak poleciłeś.

http://www.wklejto.pl/41083 -OTL

Z poszczególnych skanów wyszło że:

C:\WINDOWS\System32\winlogon.exe - czysty

C:\WINDOWS\System32\services.exe - 1/41, McAfee-GW-Edition 6.8.5 2009.08.22 Heuristic.BehavesLike.Win32.Spyware.H

C:\WINDOWS\explorer.exe - 7/41, a-squared 4.5.0.24 2009.08.22 Trojan.Win32.Patched!IK, AntiVir 7.9.1.3 2009.08.21 TR/Patched.CX.338, eSafe 7.0.17.0 2009.08.20 Win32.TRPatched.Cx, Ikarus T3.1.1.68.0 2009.08.22 Trojan.Win32.Patched, McAfee+Artemis 5716 2009.08.21 Artemis!E2A58A09AA66, McAfee-GW-Edition 6.8.5 2009.08.22 Trojan.Patched.CX.338, TheHacker 6.3.4.3.385 2009.08.22 Trojan/Patched.cx

C:\WINDOWS\System32\spoolsv.exe - 2/41, AntiVir 7.9.1.3 2009.08.21 TR/Patched.CX.311, McAfee-GW-Edition 6.8.5 2009.08.22 Trojan.Patched.CX.311

C:\WINDOWS\System32\svchost.exe - 5/41, AntiVir 7.9.1.3 2009.08.21 TR/Patched.CX.165, Antiy-AVL 2.0.3.7 2009.08.21 Trojan/Win32.Patched.gen, McAfee-GW-Edition 6.8.5 2009.08.22 Trojan.Patched.CX.165, Sophos 4.44.0 2009.08.22 Sus/BadSVC-A, TheHacker 6.3.4.3.385 2009.08.22 Trojan/Patched.cx

C:\WINDOWS\System32\lsass.exe - czysty

Co mam zrobić z zawirusowanymi plikami? Proszę o pomoc

[ciemnowidz (Henio Mazurek)]

Pobierz ale jeszcze nie uruchamiaj ComboFix. Podczas pobierania i skanu ComboFix’em wyłącz antywirusa i zapory.

Wklej do notatnika taki tekst

SRPeek:: C:\WINDOWS\System32\winlogon.exe C:\WINDOWS\System32\services.exe C:\WINDOWS\explorer.exe C:\WINDOWS\System32\spoolsv.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\lsass.exe C:\WINDOWS\System32\dllcache\winlogon.exe C:\WINDOWS\System32\dllcache\services.exe C:\WINDOWS\system32\dllcache\explorer.exe C:\WINDOWS\System32\dllcache\spoolsv.exe C:\WINDOWS\System32\dllcache\svchost.exe C:\WINDOWS\System32\dllcache\lsass.exe FileLook:: C:\WINDOWS\System32\dllcache\winlogon.exe C:\WINDOWS\System32\dllcache\services.exe C:\WINDOWS\system32\dllcache\explorer.exe C:\WINDOWS\System32\dllcache\spoolsv.exe C:\WINDOWS\System32\dllcache\svchost.exe C:\WINDOWS\System32\dllcache\lsass.exe

Zapisz jako CFScript.txt. Ten plik przeciągasz na ikonę ComboFix’a. Rozpocznie się usuwanie, wklej powstały log.

[CrazySuzy (Mrbooo)]

Ups, przez pomyłkę uruchomiłem ComboFxa i zaczeło się skanowanie systemu. Miedzy czasie pytało się o jakieś przywracanie systemu że nie jest zainstalowane i czy zainstalować po akceptacji tego okienka zaczęło się skanowanei calego systemu i nastąpil restart. Dopiero potem doczytalem co jest u dolu strony. Zrobilem tak jak poleciłeś jednak raportu nie widze natomiast na dysku C pojawiło się kilka plików obcego pochodzenia. Loga nie widzę ;/ Co teraz? Pomocy

[ciemnowidz (Henio Mazurek)]

No to zastosuj jeszcze raz ten skrypt. Log z ComboFix’a powinien być bezpośrednio na C. Jak się znowu nie pokaże to w wyszukaj wpisz combofix.txt.

[CrazySuzy (Mrbooo)]

Poszperałem trochę i znalazłem jednak loga http://www.wklejto.pl/41091

Co zrobić jednak apropo poprzedniego omyłkowego skanu i dziwnych plików na partycji C?

[ciemnowidz (Henio Mazurek)]

Dziwny ten log.

Pobierz SystemLook i wklej do niego

:dir c: :filefind winlogon.* services.* explorer.* spoolsv.* svchost.* lsass.* :file C:\WINDOWS\System32\winlogon.exe C:\WINDOWS\System32\services.exe C:\WINDOWS\explorer.exe C:\WINDOWS\System32\spoolsv.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\lsass.exe C:\WINDOWS\System32\dllcache\winlogon.exe C:\WINDOWS\System32\dllcache\services.exe C:\WINDOWS\system32\dllcache\explorer.exe C:\WINDOWS\System32\dllcache\spoolsv.exe C:\WINDOWS\System32\dllcache\svchost.exe C:\WINDOWS\System32\dllcache\lsass.exe

Kliknij Look i pokaż log. Tym razem wklej log tak, żeby były ukośniki \.

[CrazySuzy (Mrbooo)]

http://www.wklejto.pl/41093 takie coś otrzymałem, kopiuje prosto z notatnika nic nie zmieniam.

[ciemnowidz (Henio Mazurek)]

ComboFix coś tam podmieniał ale zdaje się nie do końca mu wyszło. Wklej do notatnika taki tekst

FCopy:: C:\WINDOWS\ServicePackFiles\i386\winlogon.exe | c:\windows\system32\winlogon.exe C:\WINDOWS\ServicePackFiles\i386\winlogon.exe | c:\windows\system32\dllcache\winlogon.exe C:\WINDOWS$hf_mig$\KB956572\SP3QFE\services.exe | c:\windows\system32\services.exe C:\WINDOWS$hf_mig$\KB956572\SP3QFE\services.exe | c:\windows\system32\dllcache\services.exe C:\WINDOWS\ServicePackFiles\i386\explorer.exe | c:\windows\explorer.exe C:\WINDOWS\ServicePackFiles\i386\explorer.exe | c:\windows\system32\dllcache\explorer.exe C:\WINDOWS\ServicePackFiles\i386\spoolsv.exe | c:\windows\system32\spoolsv.exe C:\WINDOWS\ServicePackFiles\i386\spoolsv.exe | c:\windows\system32\dllcache\spoolsv.exe C:\WINDOWS\ServicePackFiles\i386\svchost.exe | c:\windows\system32\svchost.exe C:\WINDOWS\ServicePackFiles\i386\svchost.exe | c:\windows\system32\dllcache\svchost.exe C:\WINDOWS\ServicePackFiles\i386\lsass.exe | c:\windows\system32\lsass.exe C:\WINDOWS\ServicePackFiles\i386\lsass.exe | c:\windows\system32\dllcache\lsass.exe DirLook:: c:\ckis c:\Downloads Folder:: c:_OTL Reboot::

Powtarzasz operację z CFScript i wklejasz log.

[CrazySuzy (Mrbooo)]

http://www.wklejto.pl/41098

[ciemnowidz (Henio Mazurek)]

Na ręczną kasację folder

c:\ckis

Poza tym wygląda, że zeszło.

W OTL kliknij CleanUp.

Wyłącz na chwilę przywracanie systemu - XP/Vista

Wykonaj pełny skan Malwarebytes Anti-Malware, jeśli coś znajdzie - usuń i wklej log.

Przeczyść dysk i rejestr CCleaner’em.

[CrazySuzy (Mrbooo)]

Oki, zrobiłem jak kazałeś powyżej, Malwarebytes Anti-Malware nic nie znalazł. CCleaner troche smieci znalazł wiec je usunąłem.

Jednak adal pozostaje problem plików na dysku C to miedzy innymi takie jak:cmdcons RECYCLER System Volume Information AUTOEXEC.BAT Boot.bak boot.ini Bootfont.bin cmldr CONFIG.SYS IO.SYS MSDOS.SYS NTDETECT.COM ntldr pagefile.sys pojawiły się one po tym jak przez omyłkę przeskanowałem system ComboFixem moge to ręcznie usunąć? Jakieś poważne konsekwencje są tego skanu?

z góry dzięki za wszystko!!

[ciemnowidz (Henio Mazurek)]

Nie było żadnych konsekwencji. Te pliki od zawsze były na dysku, tyle, że zawsze były ukryte. Nie ruszaj ich.

Opcje folderów => Widok => Przywróć domyślne.