Wirus - spyware warning + log

Dla specjalistów Bezpieczeństwo
#1

Witam wszystkich

Problem ten już był tutaj opisywany. Otóż polega on na tym, że strona startowa w IE jest ustawiona na:

C:\WINDOWS\system32\spywarewarning.mht

a w prawym rogu na dole co jakiś czas wyskakują mi komunikaty o tym, że mój komputer został zaatakowany przez programy szpiegowskie.

Załączam log z HijackThis (wersja 2.0.2) i proszę, doradźcie, co tam jest nie tak.

#2

>>Hijack>>scan(Do a system scan only)>>zaznacz je >> Fix checked.

Potem ściągnij -->ComboFix.

Wklej do Notatnika :

File::

C:\WINDOWS\svc.exe

C:\WINDOWS\svhoster.exe

C:\WINDOWS\runsql.exe

C:\WINDOWS\system32\adsndsm.exe

C:\WINDOWS\system32\spywarewarning.mht

C:\documents and settings\administrator\dane aplikacji\errorsafeswedishnewreleaseinstall[2].exe

C:\documents and settings\administrator\dane aplikacji\errorsafeswedishnewreleaseinstall.exe

C:\WINDOWS\svzip.exe

C:\WINDOWS\sv.exe

C:\WINDOWS\system32\activedsd.exe

C:\WINDOWS\system32\amcompatt.exe

C:\WINDOWS\system32\advapi32f.exe

C:\WINDOWS\system32\1033t.exe

C:\WINDOWS\system32\1760907725hj.exe

C:\WINDOWS\system32\aaaamonp.exe

C:\WINDOWS\system32\1760907725h.exe

C:\WINDOWS\system32\acleditz.exe

C:\WINDOWS\system32\1041d.exe


Driver::

ClipSrvhelpsvc

ClipSrvSysmonLog

DhcpAppMgmt

DhcpAppMgmtShellHWDetectionNVSvc

DhcpWmi

HTTPFilterNetlogon

ShellHWDetectionNetDDEdsdm

ShellHWDetectionNVSvc

TapiSrvPolicyAgent

xmlprovSysmonLog


Registry::

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] 

"NI.UERSL_9999_N91S2209"=-

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] 

"net64"=-

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] 

"netzip"=-

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] 

"runsql"=-

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]

"netsv32"=-

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]

"netc"=-

>>Plik>>Zapisz jako… >>> CFScript (najwygodniej będzie, jeśli zapiszesz w takiej lokalizacji, by ikonka CFScript.txt znalazła się obok ikonki ComboFix.exe )

Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe (czyli ikonkę CFScript.txt na ikonkę ComboFix.exe )

– podobnie jak na tym obrazku –>88953CFScript-createdbyMiekiemoes.gif

(jeśli pojawi się pytanie " 1 or 2" - to wpisz 1 i naciśnij ENTER) Ma się rozpocząć usuwanie. (i powstanie log)

Po restarcie usuń ręcznie folder C: ** Qoobox**.

Daj log z Hijacka i log z ComboFixa.

Log wklej na http://wklej.org/, a w poście daj tylko link.(czyli skopiuj adres z paska adresów).

jessi

#3

Zrobiłam tak i wszystko już działa jak powinno :slight_smile:

Tu jest log z HijackThis:

http://wklej.org/id/c389efe399

A tu z Combofix (ten, który powstał po usunięciu śmieci)

http://wklej.org/id/3b94f15875

Dzięki :smiley:

#4

Wklej do Notatnika :

File::

C:\WINDOWS\system32\wqjevkyn.fsu


Driver::

WQJEVKYN

>>Plik>>Zapisz jako… >>> CFScript

Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe

– podobnie jak na tym obrazku –>88953CFScript-createdbyMiekiemoes.gif

Ma się rozpocząć usuwanie. (i powstanie log)

Po restarcie usuń ręcznie folder C: ** Qoobox**.

Log do kontroli.

jessi

#5

Log z ComboFix:

http://www.wklej.org/id/78b0ce308e

#6

Wg mnie - jest czysto. :slight_smile:

jessi

#7

:slight_smile: Dzięki za pomoc