Trojan-PSW.Win32.OnLineGames.rie/rio

Dla specjalistów Bezpieczeństwo
#1

http://wklej.org/id/ca0487ace5

No więc po raz pierwszy w życiu stworzyłam loga i mam nadzieje, że coś to komuś powie :slight_smile:

Ogólnie problem wygląda następująco: Dostał mi się w rączki ostatnio nowy komputer, ponieważ mój normalny zostawiłam daleko, więc zainstalowałam sobie WOW’a no i parę addonów na deszczowe wieczory - no i zostałam brutalnie z hakowana (tzn moje konto na Warcrafcie) - jakoś to przeżyje ale chce się pozbyć tego ■■■■■■■■■■ a mi nie idzie!

Zainstalowałam Kaspersky (przyznaje na razie trial version) - wyrkywa 2 rzeczy głównie, z tego co się jestem w stanie połapać w tej chwili:

Trojan-PSW.Win32.OnLineGames.rio/rie (no i wiadomo jak dałam hakerom szanse)

Worm.Win32.Autorun.cou

Poszukałam troszku o tym ale mało w sieci jest na ten temat… parę postów tutaj (po jednym poleciałam SDFix’em ale nie pomogło).

Będę bardzo wdzięczna za pomoc!

(Przy okazji jeżeli ktoś ma jakiś pomysł na temat tej linijki “O23 - Service: WUSB54GCSVC - Unknown owner - C:\Program Files\Compact Wireless-G USB Adapter Wireless Network Monitor\WLService.exe” “WUSB54GC.exe (file missing)” [ostatnia w logu] to też będę wdzięczna - jakoś mi kiepsko działa adapter a oprogramowania nigdzie nie widać)

Z góry dziękuje za pomoc!

D.

edit: dodam, że Kaspersky go wyłapuje (tzn. ich) ale nic nie może z nimi zrobić. Teraz wyłapał jeszcze raz więc zrobiłam nowego loga, nie wiem czy to coś zmienia. Zrobię teraz ComboFix i wkleję jak skończę.

  1. log: http://www.wklej.org/id/f3ea356c80

No więc ComboFix trochę pokasował i log wygląda tak:

  1. http://www.wklej.org/id/d23d988b27

a z hijack’a tak:

  1. http://www.wklej.org/id/686cc01b29

po ComboFix’ie odezwał mi się SpyBot I pytał czy zezwolić na zmianę rejestru i tu się troszku pogubiłam bo nie wiedziałam czy chodzi o zmiany które właśnie wprowadzał ComboFix czy też system sobie wraca do tego co było (czyli syf dalej grasuje!)… zaakceptowałam ale teraz sie zastanawiam czy nie polecieć ComboFixem jeszcze jeden raz i zobaczyć co dalej.

(Wiem wiem cierpliwość nie jest moją mocną stroną)

#2

No dobra poddaje się, już nic nie tykam! Skanuje Kaspersky’m właśnie i mi jakieś nowe rzeczy wychodzą (wklej jak skończy za jakieś 2 godziny) - oczywiście mój nowy kumpel/syf OnLineGames nadal siedzi! :frowning:

edit: a ja ciul jestem! to mi wychodzi w QooBox/Quarantine :smiley: No to chyba dobrze! Moge to skasować ?

Co prawda mam jeszcze jakieś : virus Heur.Invader a to być nowe! *sigh*

#3

Pewnie gdzieś weszłaś skoro masz trojana bo raczej bez powodu sie nie pojawia.

Radze pobrać comodo firewall a wyłonczyć zapore systemową, a jak się na Kaspersky skończy licencja to pobierz avast, choć powinnaś wogule najlepiej kupić antywirusa najlepiej G data zależy ile masz ramu.

Te wpisy są poprawne:

C:\Program Files\Compact Wireless-G USB Adapter Wireless Network Monitor\WLService.exe

C:\Program Files\Compact Wireless-G USB Adapter Wireless Network Monitor\WUSB54GC.exe [-X

O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

To do skasowania.

A co do tego hmm… możesz skasować, a jakby coś było nie tak backup

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

Podaj ścieżke gdzie mieszczą sie te wirusy a najlepiej pobierz killbox i w puste okienko daj docelowy plik i skasuj jest tam krzyżyk.

Qoobox skasuj tam siedzą wirusy Po SDfix czy combofix ;P. Ten wirus Heur… nie jest niebezpieczny. Nie pamientam co powoduje, ale raczej nic.

#4

Tego nie kasuj! !!

#5
#6

@ Porchekarera -

zalecasz usuwanie tych poniższych, ale ich nie powinno się fiksować!

O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll -->Kaspersky

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll -->Microsoft

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll -->Windows Portable Device Shell Service Object

@ - daj nowy log z ComboFixa, bo tak namotałaś, że trudno się połapać, co jest, a czego nie ma…

jessi

#7

Robi się! W edytuje tutaj jak skończę.

Więc :P,

ComboFix: http://www.wklej.org/id/303c948a9c

Hijack (tak na wszelki wypadek): http://www.wklej.org/id/633ad32211

Chyba wszystko jest teraz ładnie… ale ja się nie znam :slight_smile:

#8

Kaspersky ogólnie nic nie wyrkył (nareszcie) po za tym:

not found: Trojan program Trojan-PSW.Win32.OnLineGames.rie File: F:\System Volume Information_restore{8221D1E8-C8D1-4BD3-9689-C6FCC7C2B559}\RP1\A0000005.bat

not found: Trojan program Trojan-PSW.Win32.OnLineGames.rie File: F:\System Volume Information_restore{8221D1E8-C8D1-4BD3-9689-C6FCC7C2B559}\RP2\A0000013.bat

Wychodzi na to, że włączyło mi się przywracanie systemu więc wyłęczyłam, restartnełam, wyłączyłam jeszcze raz i robie skan po raz 100, po za tym cisza :slight_smile:

#9

Wklej do Notatnika :

File::

F:\*0hct8ybw.bat

E:\*0hct8ybw.bat

C:\*0hct8ybw.bat

X:\*0hct8ybw.bat

X:\autorun.inf


Registry::

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\C]

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\E]

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\F]

Pod X podstaw literę pod jaką aktualnie będzie widziany pen (to się oczywiście zmienia przy podpinaniu).

Uwaga: Po wklejeniu do Notatnika usuń z tekstu *gwiazdki (dałam je, by po drodze nie nastąpiło przekłamanie).

>>Plik>>Zapisz jako… >>> CFScript

Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe

– podobnie jak na tym obrazku –>88953CFScript-createdbyMiekiemoes.gif

Ma się rozpocząć usuwanie. (i powstanie log).

Daj ten log, który powstanie w trakcie usuwania.

Jeśli pójdzie dobrze, to:

Po restarcie usuń ręcznie folder C: ** Qoobox**.

jesso

#10

No dobra zrobione, czy ja mogę tak z każdym penem co go używałam przy tym kompie? I czy coś jeszcze, mi się wydawało, że już poskromiłam a tu zonk!

log z ComboFix: http://www.wklej.org/id/52980bbe5d

#11

Log jest czysty.

Jeśli potrafisz, to możesz tak postępować z każdym penem.

jessi

#12

No nie wiem czy potrafię, a nie można tak jak z tym ? :stuck_out_tongue:

Oka mniejsza z tym już nie zawracam głowy! Bardzo bardzo bardzo (:P) dziękuje za pomoc! <3 x1000 :smiley: