Ukryte pliki, brak dostępu do dysków, trojany i robaki. LOGI

Dla specjalistów Bezpieczeństwo
#1

Witam!

Najpierw Avast wysyłał mi powiadomienia o zarażonych plikach pamięci systemu. Z początku robiłam parę skanów a potem brałam “pomiń” (czy coś takiego).

Teraz Avast wykrył mi trojana Win32:Kamso i robaka VBS: Malware-gen

Na razie wykryłam, że nie da się zobaczyć ukrytych plików. Biorę aby były widzialne, ale dalej są ukryte. Oprócz tego nie mogę się dostać do żadnych dysków (w moim wypadku to : C:, H:, I: bo wyskakuje mi “otwórz za pomocą”.

Oto LOG :

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 13:01:08, on 2009-07-13

Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe

C:\WINDOWS\system32\Rundll32.exe

C:\Program Files\Winamp\winampa.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\PROGRA~1\AVG\AVG8\avgtray.exe

C:\WINDOWS\system32\ctfmon.exe

C:\PROGRA~1\AVG\AVG8\avgemc.exe

C:\PROGRA~1\AVG\AVG8\avgrsx.exe

C:\PROGRA~1\AVG\AVG8\avgnsx.exe

C:\Program Files\AVG\AVG8\avgcsrvx.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\Sferia\EasyWirelessNet\EasyWirelessNet.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\Gadu-Gadu\gg.exe

C:\Program Files\AVG\AVG8\avgscanx.exe

C:\Program Files\AVG\AVG8\avgcsrvx.exe

C:\Program Files\Alwil Software\Avast4\ashSimpl.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.yahoo.com/search/ie.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wyborcza.pl/0,0.html?p=015

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.wyborcza.pl/0,0.html?p=015

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG8\avgssie.dll

O2 - BHO: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\PROGRA~1\AVG\AVG8\AVGTOO~1.DLL

O3 - Toolbar: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\PROGRA~1\AVG\AVG8\AVGTOO~1.DLL

O4 - HKLM…\Run: [P17Helper] Rundll32 P17.dll,P17Helper

O4 - HKLM…\Run: [WinampAgent] “C:\Program Files\Winamp\winampa.exe”

O4 - HKLM…\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM…\Run: [QuickTime Task] “C:\Program Files\QuickTime\QTTask.exe” -atboottime

O4 - HKLM…\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe

O4 - HKLM…\Run: [Adobe Reader Speed Launcher] “C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe”

O4 - HKCU…\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU…\Run: [cdoosoft] C:\WINDOWS\system32\olhrwef.exe

O4 - HKUS\S-1-5-19…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‘USŁUGA LOKALNA’)

O4 - HKUS\S-1-5-20…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‘USŁUGA SIECIOWA’)

O4 - HKUS\S-1-5-18…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‘SYSTEM’)

O4 - HKUS.DEFAULT…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‘Default user’)

O4 - Startup: Tworzenie wycinków ekranu i uruchamianie programu OneNote 2007.lnk = C:\Program Files\Microsoft Office\Office12\ONENOTEM.EXE

O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200

O8 - Extra context menu item: E&ksportuj do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000

O9 - Extra button: Wyślij do programu OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll

O9 - Extra ‘Tools’ menuitem: Wyślij &do programu OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra ‘Tools’ menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O17 - HKLM\System\CCS\Services\Tcpip…{9385A61D-7630-4852-BF3B-F51CEFCA54FF}: NameServer = 193.41.112.18 193.41.112.14

O17 - HKLM\System\CS1\Services\Tcpip…{9385A61D-7630-4852-BF3B-F51CEFCA54FF}: NameServer = 193.41.112.18 193.41.112.14

O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files\AVG\AVG8\avgpp.dll

O20 - Winlogon Notify: avgrsstarter - C:\WINDOWS\SYSTEM32\avgrsstx.dll

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

O23 - Service: AVG Free8 E-mail Scanner (avg8emc) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgemc.exe

O23 - Service: AVG Free8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

–

End of file - 5478 bytes

Bardzo proszę o analizę…

Pozdrawiam, Karolina.

#2

HijackThis nie widzi w całości tej infekcji, dlatego wklej logi z OTL i gmer

http://oldtimer.geekstogo.com/OTL.exe

http://www.gmer.net/

Logi wklej na www.wklej.org a tutaj tylko link do wklejki.

#3

OTL

http://www.wklej.org/id/120300/

Extras

http://www.wklej.org/id/120303/

Gmer

http://www.wklej.org/id/120361/

#4

Właściwie to nic wielkiego tu nie ma. W OTL wklej

Klikasz Run Fix. Po restarcie klikasz CleanUp.

Wyłącz na chwilę przywracanie systemu.

http://support.microsoft.com/kb/310405/pll

Wykonaj pełny skan Malwarebytes Anti-Malware, jeśli coś znajdzie - usuń i wklej log.

http://dobreprogramy.pl/index.php?dz=2& … ntiMalware

Przeczyść dysk i rejestr CCleaner’em

http://dobreprogramy.pl/index.php?dz=2&id=1125&CCleaner

Podepnij pamięci przenośne i zastosuj FlashDisinfector

http://www.searchengines.pl/index.php?s … ntry369724

#5

zapomniałeś o pliku C:\autorun.inf dopisz do usunięcia

:slight_smile:

#6

“Wykonaj pełny skan Malwarebytes Anti-Malware, jeśli coś znajdzie - usuń i wklej log.”

Log mam wkleić ten, który mi podałeś wyżej?

#7

Można dopisać dodatkowo, ale wpis usuwający autorun.inf już się w skrypcie zawiera

To co podałem wyżej wklejasz w białe okienko OTL’a, potem klikasz Run Fix.

Natomiast co do Malwarebytes to skan dokładny, usuwasz co znajdzie i wklejasz log który się pojawił. Jak się nie pojawi to otwierasz program, zakładka Logi, otwierasz log i go wklejasz.

#8

http://www.wklej.org/id/120413/

tu log ze skanowania Malwarebytes. Bo rozumiem, że mam go tutaj wkleić.

A kiedy mam włączyć funkcję przywracania systemu?

#9

Te pliki co znalazł Malwarebytes to usuń.

Poza tym nic więcej nie ma, przywracanie można już włączyć.

Koniecznie do zastosowania FlashDisinfector, jeśli jeszcze nie był.

#10

OK. A co zrobić z 17-oma trojanami, które znajdują się w kwarantannie w Avast? i z 4-ema robakami ?

#11

Pliki które są w kwarantannie Avasta usuń.

#12

Czy przesłać jeszcze jakiś log aby mieć 100% pewność, że już wszystko wyczyszczone? :slight_smile:

#13

Już nie trzeba. To była prosta w usunięciu infekcja. Nic już nie ma.

#14

Aż mi lepiej na duchu :slight_smile: To tylko takie jeszcze pytania… Czy to możliwe aby te infekcje były z gry ? ( w tym wypadku the sims 2, którą zainstalowałam jakiś czas temu). Parę dni potem były informacje o zarażonych plikach pamięciowych i nawet gra czasem się zawieszała.

A drugie pytanie, to w jakim celu wyłączało się opcje przywracanie systemu?

#15

Te infekcje były z pamięci przenośnych. Co do Sims - jeśli to oryginał to nic nie powinno tam być, ale zdarzały się takie przypadki, że było (nie chodzi akurat o tę grę).

Przywracanie systemu wyłącza się po to by skasować kopię infekcji ulokowanych w folderze przywracania.