Rootkit na win Vista (generic)

wolek14 · 3 Październik 2012 15:33

Skan TDS Killer wykazał obecność rootkita (Mal.Generic), dorzucam raporty OTL, proszę o instrukcję, wolę sam z tym nie kombinować.

http://www.wklej.org/id/841070/

http://wklej.org/id/841072/

EDIT. W logu Extras zauważyłem wpisy o błędach AQQ.exe, może ktoś wyjaśnić czemu program się wykłada?

spandaupol · 3 Październik 2012 16:39

Proszę dołączyć w takim razie raport ze skanu TDSSKillerem.

wolek14 · 4 Październik 2012 16:27

http://wklej.org/id/841584/ - TDS

Albo TDS się pomylił, i wywalił infekcję w sterowniku do napędów wirtualnych, albo faktycznie ta ■■■■■ tam siedzi…

spandaupol · 5 Październik 2012 10:10

Albo nie przeczytałeś instrukcji obsługi do TDSSKillera (nie ma tutaj żadnej infekcji) [http://www.fixitpc.pl/topic/8-dezynfekc … entry33542](http://www.fixitpc.pl/topic/8-dezynfekcja-zbior-narzedzi-usuwajacych/page p 33542#entry33542)

Odinstaluj DAEMON Tools Toolbar Kosmetycznie

W okno Własne opcje skanowania / skrypt w OTL wklej:

:OTL IE - HKLM…\SearchScopes{afdbddaa-5d3f-42ee-b79c-185a7020515b}: “URL” = http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2645238 IE - HKU\S-1-5-21-4248154822-2583061863-3977415574-1000\SOFTWARE\Microsoft\Internet Explorer\Main,bProtector Start Page = http://www.searchalgo.com?ch=10&cid=273 IE - HKU\S-1-5-21-4248154822-2583061863-3977415574-1000…\SearchScopes{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: “URL” = http://search.babylon.com/?q={searchTerms}&affID=110819&tt=280612_5_&babsrc=SP_ss&mntrId=825f132800000000000000241d1360b5 IE - HKU\S-1-5-21-4248154822-2583061863-3977415574-1000…\SearchScopes{3BD44F0E-0596-4008-AEE0-45D47E3A8F0E}: “URL” = http://www.searchalgo.com/search.html?ch=10&cid=273&q={searchTerms} IE - HKU\S-1-5-21-4248154822-2583061863-3977415574-1000…\SearchScopes{472EED59-63CE-4D91-B893-4B0BEE3668CA}: “URL” = http://websearch.ask.com/redirect?clien … &src=kw&q={searchTerms}&locale=en_US&apn_ptnrs=AU&apn_dtid=YYYYYYYYPL&apn_uid=43b747bf-6b4c-44e1-8ea2-be195331d289&apn_sauid=AF28E0D0-308C-44F1-BF8B-BE850353A8AD IE - HKU\S-1-5-21-4248154822-2583061863-3977415574-1000…\SearchScopes{95B7759C-8C7F-4BF1-B163-73684A933233}: “URL” = https://isearch.avg.com/search?cid={7532071E-F4EA-462B-AC20-397ADAC3A038}&mid=c32263e3f07f47d0b35fd16d5bf78946-defbf1b9a68a1302d044df67becf843af3db2863〈=pl&ds=ts026&pr=sa&d=2012-08-06 16:30:43&v=12.1.0.21&sap=dsp&q={searchTerms} IE - HKU\S-1-5-21-4248154822-2583061863-3977415574-1000…\SearchScopes{AD22EBAF-0D18-4fc7-90CC-5EA0ABBE9EB8}: “URL” = http://www.daemon-search.com/search?q={searchTerms} IE - HKU\S-1-5-21-4248154822-2583061863-3977415574-1000…\SearchScopes{afdbddaa-5d3f-42ee-b79c-185a7020515b}: “URL” = http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2645238 IE - HKU\S-1-5-21-4248154822-2583061863-3977415574-1000…\SearchScopes{CFF4DB9B-135F-47c0-9269-B4C6572FD61A}: “URL” = http://mystart.incredibar.com/mb165/?search={searchTerms}&loc=IB_DS&a=6PQzQJOHkR&i=26 FF - prefs.js…browser.search.defaultenginename: “AVG Secure Search” FF - prefs.js…browser.search.selectedEngine: “AVG Secure Search” FF - prefs.js…browser.search.order.1: “Ask.com” FF - prefs.js…browser.search.defaultengine: “Ask.com” FF - prefs.js…keyword.URL: “http://websearch.ask.com/redirect?client=ff&src=kw&tb=ALSV5&o=1665&locale=en_US&apn_uid=43b747bf-6b4c-44e1-8ea2-be195331d289&apn_ptnrs=AU&apn_sauid=AF28E0D0-308C-44F1-BF8B-BE850353A8AD&apn_dtid=YYYYYYYYPL&&q=” :Files C:\Users\celak\AppData\Roaming\mozilla\firefox\profiles\3s1cypq6.default\searchplugins\askcom.xml C:\Program Files\Mozilla Firefox\extensions\ffxtlbr@babylon.com :Commands [emptytemp]

Klikasz na Wykonaj skrypt. Zgadzasz się na restart komputera. Log z usuwania pokaż na forum.

Następnie ponownie uruchamiasz OTL klikasz raz jeszcze Skanuj i dajesz nowy log na forum Czyli dwa logi jeden z usuwania drugi z nowego skanowania po usuwaniu.