Rootkit - wvUmjKBU.dll

[Benzen (Akirkov)]

Cześć,

ostatnio jakieś świństewko zdecydowało się zamieszkać na moim dysku. Gmer wykrył rootkita.

Oto logi:

HijackThis

Silent Runners

Gmer

[huber2t]

fix w hijackthis

O2 - BHO: (no name) - {6C23AB0C-0244-4B01-8253-BEE724D0D2EC} - C:\WINDOWS\system32\awtrqQIb.dll O2 - BHO: (no name) - {CD2EDFF8-ED22-4F5C-B8B4-EADDB6847607} - C:\WINDOWS\System32\wvUmjKBU.dll O20 - Winlogon Notify: awtrqQIb - C:\WINDOWS\SYSTEM32\awtrqQIb.dll

Pobierz ComboFix, ale nie uruchamiaj

Wklej do notatnika:

File::

C:\WINDOWS\SYSTEM32\awtrqQIb.dll

C:\WINDOWS\system32\awtrqQIb.dll

C:\WINDOWS\System32\wvUmjKBU.dll

Plik -> zapisz jako -> CFScript.txt (najwygodniej będzie, jeśli zapiszesz w takiej lokalizacji, by ikonka CFScript.txt znalazła się obok ikonki ComboFix.exe)

Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe tak jak tu ->

Rozpocznie się usuwanie i powstanie log, daj ten log na forum.

[Benzen (Akirkov)]

Log z ComboFixa

Gmer nadal pokazuje ukryty proces: C:\WINDOWS\wmssvc.exe - co mam z tym zrobić?

[jessica]

Wklej do Notatnika :

File::

C:\WINDOWS\wmssvc.exe

C:\WINDOWS\system32\TFTP1664 

C:\WINDOWS\system32\TFTP1432 

C:\WINDOWS\system32\TFTP1252 

C:\WINDOWS\system32\TFTP1656 

C:\WINDOWS\T4 

C:\WINDOWS\system32\T3

C:\WINDOWS\system32\TFTP1024


Driver::

"NET Service"


Registry::

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"wmssvc.exe"=-

[-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\awtrqQIb]

>>Plik>>Zapisz jako… >>> CFScript

Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe

–>

Ma się rozpocząć usuwanie. (i powstanie log). Daj ten log, który powstanie w trakcie usuwania.

Jeśli pójdzie dobrze, to: Po restarcie usuń ręcznie folder C:** Qoobox**.

EDIT:

Ponieważ istnieje możliwość, że nie wszystkie “robaczki” są widoczne w logu ComboFixa, to radzę jeszcze użyć –SDFix -na dole strony z linku

Pokaż Report.txt znajdujący się w folderze SDFix.

jessi

[Leon1 (Leon$)]

Otwórz notatnik i wklej

File:: C:\expired.png C:\WINDOWS\system32\strings.exe C:\WINDOWS\system32\Process.exe C:\WINDOWS\system32\Ntrights.exe C:\WINDOWS\system32\restart.exe C:\WINDOWS\system32\locate.com C:\WINDOWS\wmssvc.exe C:\WINDOWS\system32\TFTP1024 C:\WINDOWS\system32\TFTP1664 C:\WINDOWS\system32\TFTP1432 C:\WINDOWS\system32\TFTP1252 C:\WINDOWS\system32\TFTP1656 C:\WINDOWS\T4 C:\WINDOWS\system32\T3 Folder:: C:\WINDOWS\T4 C:\WINDOWS\system32\T3 Driver:: NET Service Registry:: [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\awtrqQIb]

zapisz jako CFScript.txt (zapisz by ikonka CFScript.txt była obok ikonki ComboFix.exe) >> Przeciągnij i upuść ikonkę CFScript.txt na ikonkę ComboFix.exe

http://img.wklej.org/images/88953CFScri … iemoes.gif

Powinno rozpocząć się usuwanie

Potem log z usuwania Combofix