TrojanSpy.Win32@de - cd

Dla specjalistów Bezpieczeństwo
#1

Wątek będący cd.

http://forum.dobreprogramy.pl/viewtopic … fc3c6cdbc8

Witam.

Mam problem związany z oprogramowaniem spyware. Objawia się to tym, że jako strona startowa w IE, ustawiona jest “C:\WINDOWS\system32\spywarewarning.mht”, a w prawym, dolnym rogu wyskakuje chmurka “Windows Security Alert”.

Jak wiele wirusów w życiu usuwałem, tak tan jest wręcz niemożliwy do usunięcia znanymi mi metodami. Pokręciłem się troszkę po zagranicznych stronach i coś niecoś znalazłęm, dzięki czemu usunąłem z katalogu Windows, kilka plików o nazwie “sv…”, które podobno miały z tym jakiś związek. Ale Nadal mam chmurkę i stronkę startową…

Mam to samo, log z HijackThis:

PROSZĘ O WSKAZANIE PLIKÓW DO PRZESKANOWANIA NA http://www.virustotal.com/en/indexf.html

#2

??

Nazwij temat konkretnie i popraw logi - obejmij je znacznikami

#3

>>Hijack>>scan(Do a system scan only)>>zaznacz je >> Fix checked.

Ściągnij -->ComboFix (na dole tej strony z linku).

Wklej do Notatnika :

File::

C:\WINNT\system32\spywarewarning.mht

C:\WINNT\system32\mszzg.dll

C:\winnt\vcpdll.exe

>>Plik>>Zapisz jako… >>> CFScript (najwygodniej będzie, jeśli zapiszesz w takiej lokalizacji, by ikonka CFScript.txt znalazła się obok ikonki ComboFix.exe )

Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe (czyli ikonkę CFScript.txt na ikonkę ComboFix.exe )

– podobnie jak na tym obrazku –>88953CFScript-createdbyMiekiemoes.gif

(jeśli pojawi się pytanie " 1 or 2" - to wpisz 1 i naciśnij ENTER) Ma się rozpocząć usuwanie. (i powstanie log)

Po restarcie usuń ręcznie folder C: ** Qoobox**.

Log z ComboFixa wklej na http://wklej.org/, a w poście daj tylko link.(czyli skopiuj adres z paska adresów) .

Te zaznaczone na czerwono możesz sprawdzić na VIRUSTOTAL.

jessi

#4

Logi znajdują się na

http://wklej.org/id/9d7c09b375

chmurka ma się zupełnie nieźle, z dwóch wskazanych plików tego drugiego (nspm.exe) nie znalazłem - musiałem go wcześniej usunąć.

spywarewarning.mht trzyma się mocno - nie mogę go usunąć ani zmienić mu nazwy: ‘there has been sharing violation’ - jakiś proces go trzyma.

#5

do kasacji pliki

Pobierz program SDFix

#6

Chmurki to jakoś nie ruszyło…

Może miało tu coś do rzeczy, że najpierw uruchomiłem SDFix-a, po czym dopiero skasowałem ręcznie

C:\Documents and Settings\Administrator\Application Data\tvmknwrd.dll

C:\Program Files\desktop.ini

a

C:\WINNT\system32\shdocpe.dll

nie znalazłem?

Log z SDFix:

Patrząc na log chętnie bym się pozbył

Wed 3 Oct 2007 48,128 …SHR — “C:\WINNT\system32\acsetupcp.exe”

Tue 31 Aug 2004 15,360 …SHR — “C:\WINNT\system32\shdocpe.dll”

Przepuściłem w/w dwa pliki przez ComboFix’a i w końcu pozbyłem się dziada.

Dziękuję za sensowne odpowiedzi/podpowiedzi (nie te o mks-ie…).

#7

Daj nowy log z ComboFix

#8

Nie zapisałem go nigdzie, chyba że z automatu jest gdzieś przechowywany.

#9

Na C:\ loga nie masz z Combo? :wink:

#10

http://wklej.org/id/6a401ca3af

Mam coś jeszcze przeskanować?

#11

To jest stary log miałeś dać z dnia dzisiejszego :wink:

#12

Log jest z dnia, w którym skasowałem ostatecznie trojana.