Mój brat miał następujący problem ze swoim laptopem (Windows 7). Wczoraj podczas przeglądania Internetu nagle wyskoczyło mu wiele okienek w przeglądarce, które próbował zamknąć (raptownie poklikał bóg wie gdzie). Po całej tej akcji i restarcie system uruchamiał się, jednakże po zalogowaniu na konto użytkownika automatycznie włączała się pusta karta Internet Explorera na pełny ekran o tytule (195.189.227.218). Nie można było okna zminimalizować, jedynie zamknąć przez Alt + F4. Jednakże po zamknięciu dostępna była jedynie tapeta na pulpicie (brak ikonek, żadnej reakcji na klawisze, itd.).
Uruchomiłem Win7 w trybie awaryjnym. W msconfig znalazłem aplikację efax.com odnosząca się do pliku jag406958.exe, który siedział w autostarcie. Wywaliłem go z katalogu i z autostartu (C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup). Z tego co znalazłem na Google, jest to trojan.
Po usunięciu tego pliku, uruchomiłem Windowsa w trybie normalnym. Przeglądarka Internet Explorer nie uruchamia się już na starcie, pulpit wraz z ikonami i paskiem zadań powrócił, itd., ale system działa nadal bardzo wolno, ponadto automatycznie po uruchomieniu wyłącza kompozycję (Aero) z powodu “nieoczekiwanego błędu”. Poza tym po około kilku minutach od włączenia systemu (nieważne czy w trybie awaryjnym, czy w normalnym), Windows pluje blusescreenem (różne błędy, najczęściej 0x19 i jakiś problem z (bodajże) win32k.sys).
Bardzo proszę o informacje jakie logi mam przedstawić tutaj na forum, aby móc do końca usunąć całą tę infekcję. Nie ukrywam, że zależy mi na czasie (tzn. mojemu bratu). Piszę w jego imieniu bo on samemu sobie z tym nie poradzi.
Niestety nie jestem w stanie wykonać skanowania za pomocą OTL, gdyż jak uruchamiam program, pojawia się tylko i wyłącznie pole tekstowe (do wprowadzenia własnych opcji skanowania). Poza tym, nic innego nie ma. Żadnych przycisków, nic, a nic. Próbowałem również z wersją *.com i *.scr. Ta sama sytuacja występuje również w trybie awaryjnym.
Maksymalizacja okna, rozszerzanie, etc. nie pomaga. Czyżbym coś przeoczył? Jest jakiś skrót do rozpoczęcia skanowania?
Dodam jeszcze, że plik został ściągnięty poprawnie. Na moim wirtualnym Win7 okienko jest całe (tak jak na screen’ach).
Nic nie przeoczyłeś. Proszę pobrać Malwarebytes http://www.dobreprogramy.pl/Malwarebyte … 13117.html zainstaluj, zaktualizuj. Wykonaj pełne skanowanie, jak program coś wykryje nic nie usuwaj tylko zaprezentuj raport na forum.
Z aktualizacją programu będzie problem, gdyż zauważyłem, że system (na awaryjnym lub normalnym) rzuca BSOD’ami gdy połączę się z Internetem (po kablu, Wifi, modem usb, whatever).
Jesteś pewny że jest to wina wyłącznie infekcji? Co do aktualizacji nie jest to wymóg konieczny, tylko się zastanawiam, czy będziesz w stanie wykonać pełne skanowanie (ono trochę potrwa) a w międzyczasie może, jak piszesz, wyrzucić BSOD’em. Jeśli ze skanuj wyjdą nici, możesz spróbować podać raport OTLPE lub FRST instrukcja http://www.fixitpc.pl/topic/4414-diagno … h-windows/
Jeszcze dzisiaj rano (jak mówił mi brat), żadnych BSOD’ów nie było. Całe cyrki się zaczęły po tych - jak to nazwał - okienkach przeglądarek. Wcześniej również nie było żadnego problemu z Internetem. Po infekcji brat nie łączył się z Internetem, gdyż w swoim domu korzysta tylko z Internetu po usb od Play’a. Nie łączył się, gdyż nie miał jak - cały czas otwierało mu się okno Internet Explorera i na tym stawało (nic innego nie mógł zrobić). W momencie jak pousuwałem te dziwne pliki, okienko już nie wyskakiwało, dlatego teraz można już normalnie uruchomić niektóre programy, tudzież połączyć się z siecią.
Dlatego te BSOD’y obwiniam również infekcją. Póki co wykonuję skanowanie przez Malwarebytes, bez połączenia z Internetem. Na razie żadnego blue screena. Jak wykona skanowanie, podam szczegóły tutaj. Jeżeli coś się posypie, zrobię skan OTLPE lub FRST (tak jak podałeś).
// EDIT
Ok, więc tak. Malwarebytes wywalał się kilka razy podczas skanowania ("Run-time error ‘6’: overflow). Tak więc tego logu przedstawić nie mogę. Przedstawiam za to log z OTLPE zgodnie z instrukcją na podanej stronie: http://wklej.org/id/706285/
Wygląda mi na próbę zainstalowania MCAfee pomimo, że jest już jeden antywirus Avast co może być powodem problemów
Jeśli tak, uruchom normalnie komputer odinstaluj antywirusa MCAfee przez Panel sterownia następnie dodatkowo do odinstalowania pozostałości użyj McAfee Consumer Products Removal tool zgodnie z instrukcją http://service.mcafee.com/FAQDocument.aspx?id=TS100507
Odinstaluj następujące Toolbary
Następnie spróbuj uruchomić OTL jak się uda W okno Własne opcje skanowania / skrypt w OTL wklej:
Klikasz na Wykonaj skrypt. Zgadzasz się na restart komputera. Log z usuwania na forum
Następnie ponownie uruchamiasz OTL klikasz raz jeszcze Skanuj i dajesz nowy log na forum Czyli dwa logi jeden z usuwania drugi z nowego skanowania po usuwaniu.
Co do MCAfee. Brat faktycznie miał go zainstalowane w momencie kupienia laptopa. Powiedział mi, że po kilkudziesięciu dniach usunął go i zainstalował Avasta. W Dodaj/Usuń programy nie było McAfee SecurityCenter, tylko McAfee Site Advisor (czy coś w tym stylu). Wywaliłem go. Toolbary usunąłem.
Niestety nadal nie jestem w stanie podać logu z OTL - powód ten sam co poprzednio: puste okienko. Poza tym narzędzie od mcafee (MCPR.exe) również nie działa, wyświetla puste okienka.
Windows Aero działa teraz poprawnie, jednakże dalej system się sypie przy jakiejkolwiek próbie podłączenia do Internetu.
W takim wypadku jak mam dalej postąpić? Skorzystać znowu z OTLPE z podanymi wyżej skryptami?
Plik zapisz pod nazwą FIX.txt Nagraj go na przykład na pendrive
Podłącz ten pendrive do komputera. Wystartuj ponownie ten komputer z płyty OTLPE
Uruchom program OTLPE zgodnie z instrukcją. Klikasz w Run Fix/Wykonaj skrypt. Zostaniesz poinformowany o braku skryptu i wtedy podasz ścieżkę do pliku o nazwie FIX.TXT. OTLPE wykona zadanie i poda log, zachowasz go i zaprezentujesz później na forum.
Następnie spróbuj teraz uruchomić normalnie system, i spróbuj uruchomić OTL jak się uda klikasz Skanuj pokaż nowy raport OTL.txt na forum
Windows nie wywala się już w momencie połączenia się z Internetem, jednakże:
podczas uruchamiania Firefoksa z dostępem do Internetu następuje blue screen (nonpaged area),
opera nie wczytuje praktycznie każdej strony,
Internet Explorer wczytuje nieliczne strony, większość raczej nie (wywala błąd: “Program przestał działać poprawnie z powodu wystąpienia problemu.” i na tym koniec),
nie działa taskmgr (“Został wyłączony przez administratora”),
do tego dochodzą wcześniej wspomniane problemy z okienkiem np.: OTL (teraz zauważyłem, że niektóre okna innych programów również “dziwnie wyglądają”, np.: Firefoksa, jakby zniekształcone, niepełne).
// EDIT
Z 4 udało mi się samemu poradzić. Nie mogę jednak rozwiązać problemu z przeglądarkami. Nawet ponowna instalacja nie pomaga. Usuwałem również pamięć podręczną.
Czy ta infekcja została usunięta czy nadal siedzi w systemie?
// EDIT
Może jeszcze raz przypomnę, że na początku infekcji usunąłem wpis w rejestrze, który w poleceniu miał podane:
Kurcze, nie mam pojęcia co jest z tym systemem. Przeglądarki dalej nie działają, nawet po reinstalacji, bez wyrzucania konkretnych błędów. W OTL puste okno, również przy próbie instalacji wielu innych programów.
Wykonałem pełne skanowanie Avastem - nie wykrył nic.
Szybkie skanowanie Malwarebytes również nic nie wykryło.
Udało mi się zaktualizować bazę danych Malwarebytes i wykonać nim pełne skanowanie - również 0 zagrożeń.
Jeśli pytasz czy widać w nim jakąś poważną aktywną infekcje to odpowiedź brzmi Nie co potwierdzają skanery Avast oraz Malwarebytes, które nic nie wykryły. Sprawdź czy działa teraz rejestr? Co do McAfee to jednak jest on nadal będziemy usuwać później
Hmm, krótko reasumując, aktualne problemy z przeglądarkami czy instalatorami (puste okna) obwiniasz najprawdopodobniej problemem sprzętowym, a nie samą infekcją? To byłby dość dziwny zbieg okoliczności - akurat po infekcji zaczęło się wszystko sypać.
Logi z HD Tune wrzucę niedługo, przeanalizuję je. Tak samo z problemami z bsodami.
Wiem że to dziwne, do kompletu brakuje właściwie raportu Gmera na obecność rootkitów instrukcja jak prawidłowo wykonać skan Gmerem http://www.fixitpc.pl/topic/60-diagnost … u-rootkit/ W raporcie OTL nic nie ma - oprócz szczątków po kasperskim toolbarach, McAfee itp. Avast oraz Malwarebytyes także nic nie wykrywały (tak napisałeś) Możesz oczywiście wykonać dodatkowo skan DrWebem Dr.WEB CureIt! kto wie, ale ja bazując na wynikach BlueScreenview twierdze, że to co się dzieje nie musi pochodzić od infekcji a np dysku