Wirus z facebook'a

wojkow13 · 19 Sierpień 2011 23:05

Witam. Nie pierwszy (i pewnie nie ostatni) z własnej głupoty złapałem popularnego trojana z facebooka… Chodzi o filmik i infekowana wersja flash playera. Avast nic nie wykrył… Po restarcie odpaliłem Malware Anti Bites, zrobiłem skana i wyczyściłem rejestr ccleanerem. Niestety trojan nadal działa ;/ Proszę o pomoc.

Link z OTL

OTL.txt - http://wklej.org/id/579566/

Extras.txt - http://wklej.org/id/579567/

spandaupol · 20 Sierpień 2011 07:55

W okno Własne opcje skanowania / skrypt w OTL wklej:

:OTL PRC - [2011-08-19 23:09:53 | 000,382,464 | ---- | M] () – C:\WINDOWS\update.7.1\svchostdriver.exe MOD - [2011-08-19 23:09:53 | 000,382,464 | ---- | M] () – C:\WINDOWS\update.7.1\svchostdriver.exe SRV - [2011-08-19 23:09:53 | 000,382,464 | ---- | M] () [Auto | Running] – C:\WINDOWS\update.7.1\svchostdriver.exe – (ddservice) O4 - HKLM…\Run: [] File not found O4 - HKLM…\Run: [tray_ico] File not found O4 - HKLM…\Run: [tray_ico1] File not found O4 - HKLM…\Run: [tray_ico2] File not found O4 - HKLM…\Run: [tray_ico3] File not found O4 - HKLM…\Run: [tray_ico4] File not found [2011-08-19 23:16:03 | 000,000,000 | —D | C] – C:\WINDOWS\ufa [2011-08-19 23:16:03 | 000,000,000 | —D | C] – C:\WINDOWS\phoenix [2011-08-19 23:10:50 | 000,000,000 | -H-D | C] – C:\WINDOWS\update.5.0 [2011-08-19 23:10:26 | 000,000,000 | —D | C] – C:\Documents and Settings\LocalService\Dane aplikacji\WinRAR [2011-08-19 23:10:12 | 000,000,000 | -H-D | C] – C:\WINDOWS\update.2 [2011-08-19 23:09:54 | 000,000,000 | -H-D | C] – C:\WINDOWS\update.7.1 [2011-08-19 23:03:41 | 000,000,000 | —D | C] – C:\WINDOWS\av_ico [2011-08-19 23:01:52 | 000,000,000 | -H-D | C] – C:\WINDOWS\update.1 [2011-08-19 23:01:37 | 000,000,000 | -H-D | C] – C:\WINDOWS\update.tray-7-0-lnk [2011-08-19 23:01:37 | 000,000,000 | -H-D | C] – C:\WINDOWS\update.tray-7-0 [2011-08-19 23:16:02 | 005,589,370 | ---- | M] () – C:\WINDOWS\phoenix.rar [2011-08-19 23:16:02 | 000,246,272 | ---- | M] () – C:\WINDOWS\unrar.exe [2011-08-19 23:16:02 | 000,182,617 | ---- | M] () – C:\WINDOWS\ufa.rar [2011-08-19 23:16:01 | 001,075,284 | ---- | M] () – C:\WINDOWS\rpcminer.rar [2011-08-19 23:13:26 | 000,000,178 | ---- | M] () – C:\WINDOWS\info1 [2011-08-19 23:10:36 | 000,202,984 | -H-- | M] () – C:\WINDOWS\System32\drivers\etc\hosts [2011-08-19 23:10:24 | 000,904,792 | ---- | M] () – C:\WINDOWS\geoiplist.rar [2011-08-19 23:08:47 | 000,000,000 | ---- | M] () – C:\WINDOWS\loader2.exe_ok :Reg [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot] “AlternateShell”=“cmd.exe” [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] “C:\Documents and Settings\Wojtek\Pulpit\Flash-Player.exe” =- “C:\WINDOWS\update.1\svchost.exe” =- “C:\WINDOWS\services32.exe” =- “C:\WINDOWS\update.tray-7-0\svchost.exe” =- “C:\WINDOWS\update.tray-7-0-lnk\svchost.exe” =- “C:\WINDOWS\update.2\svchost.exe” =- :Commands [emptytemp] [resethosts]

Klikasz na Wykonaj skrypt. Zgadzasz się na restart komputera. Log z usuwania na forum

Następnie ponownie uruchamiasz OTL klikasz raz jeszcze Skanuj i dajesz nowy log na forum Czyli dwa logi jeden z usuwania drugi z nowego skanowania po usuwaniu.

wojkow13 · 20 Sierpień 2011 09:42

Log z usuwania - http://wklej.org/id/579685/

OTL.txt - http://wklej.org/id/579696/

Extras.txt - http://wklej.org/id/579698/

spandaupol · 20 Sierpień 2011 09:47

Uruchom OTL klikasz Sprzątanie

Wykonaj skan Malwarebytes Program masz na dysku jak coś znajdzie pokaż raport na forum

wojkow13 · 20 Sierpień 2011 10:49

Po wybraniu opcji Sprzątanie i restarcie komputera, zaraz po zalogowaniu dwukrotnie się zawiesił… Druga próba Sprzątania przebiegła bez problemów. Przeinstalowałem avasta i w końcu ruszył. Na szybko przeskanowałem system Spyware Doctor, o to screen http://imageshack.us/photo/my-images/851/spyware.png/

Teraz wykonuję pełny skan Malwarebytes, dam znać jak dobiegnie końca.

– Dodane 20.08.2011 (So) 16:50 –

Skanowanie Malwarebytes zakończone.

Log http://wklej.org/id/579974/

Według Malwarebytes czysto, według Spyware Doctor 66 zainfekowanych…

spandaupol · 20 Sierpień 2011 16:17

Ale ja nie wiem co konkretnie znalazł SpywareDoctor pisze tylko że infekcja ale w jakich plikach lokalizacja tego nie ma

wojkow13 · 20 Sierpień 2011 19:39

Rozumiem, w takim razie co można jeszcze zdziałać?

spandaupol · 21 Sierpień 2011 07:45

A nie możesz podejrzeć o jakie pliki chodzi, przecież chyba można? Można to usunąć, próbowałeś? Jeśli działa Avast wykonaj pełny skan systemu jeśli nie działa pisz

wojkow13 · 21 Sierpień 2011 20:20

Niestety, dzisiaj wirus zaatakował z jeszcze większym impetem. Pojawiły się kolejne infekcje…

Odnośnie avasta, to wirus dziś znów go zblokował i usunął…

Wirus kompletnie zablokował dwóch z trzech użytkowników, tzn. po logowaniu, nagle explorer i cała reszta się blokują… Trzeci użytkownik działa normalnie.

Dysponuję niestety tylko wesją testową, w której nie można usunąć znalezionych wirusów… Na szczęście można podpatrzeć o jakie pliki chodzi. Daje screeny.

http://imageshack.us/photo/my-images/829/24438965.png/

http://imageshack.us/photo/my-images/688/73200160.png/

http://imageshack.us/photo/my-images/4/89234799.png/

http://imageshack.us/photo/my-images/580/90075984.png/

http://imageshack.us/photo/my-images/805/34609370.png/

http://imageshack.us/photo/my-images/71 … uuvzq.png/

http://imageshack.us/f/24/40366861.png/

– Dodane 22.08.2011 (Pn) 0:58 –

Wykonałem szybki skan Malwarebytes

Log - http://wklej.org/id/581458/

spandaupol · 22 Sierpień 2011 07:31

Wykonaj pełny skan Malwarebytes Usuń co znajdzie program Pokaż raport na forum

Następnie pokaż nowe logi OTL

wojkow13 · 22 Sierpień 2011 13:01

Log z Malwarebytes - http://wklej.org/id/581878/

Log z OTL

OTL.txt - http://wklej.org/id/581876/

Extras.txt - http://wklej.org/id/581875/

spandaupol · 22 Sierpień 2011 13:08

Avasta naprawimy na końcu

W okno Własne opcje skanowania / skrypt w OTL wklej:

:OTL O4 - HKLM…\Run: [tray_ico] File not found O4 - HKLM…\Run: [tray_ico1] File not found O4 - HKLM…\Run: [tray_ico2] File not found O4 - HKLM…\Run: [tray_ico3] File not found O4 - HKLM…\Run: [tray_ico4] File not found [2011-08-21 19:49:38 | 000,000,000 | —D | C] – C:\WINDOWS\av_ico [2011-08-21 19:47:56 | 000,000,000 | -H-D | C] – C:\WINDOWS\update.1 [2011-08-21 19:47:31 | 000,000,000 | -H-D | C] – C:\WINDOWS\update.tray-7-0-lnk [2011-08-21 19:47:31 | 000,000,000 | -H-D | C] – C:\WINDOWS\update.tray-7-0 :Reg [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] “C:\Documents and Settings\Paweł\Moje dokumenty\Pobieranie\Flash-Player.exe” =- “C:\WINDOWS\update.1\svchost.exe” =- “C:\WINDOWS\update.tray-7-0\svchost.exe” =- [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot] “AlternateShell”=“cmd.exe” :Commands [emptytemp]

Klikasz na Wykonaj skrypt. Zgadzasz się na restart komputera. Log z usuwania na forum

Następnie ponownie uruchamiasz OTL klikasz raz jeszcze Skanuj i dajesz nowy log na forum Czyli dwa logi jeden z usuwania drugi z nowego skanowania po usuwaniu.

wojkow13 · 22 Sierpień 2011 16:08

Log z usuwania - http://wklej.org/id/582078/

OTL.txt - http://wklej.org/id/582079/

Extras.txt - http://wklej.org/id/582080/

spandaupol · 23 Sierpień 2011 07:10

Uruchom OTL klikasz Sprzątanie

Wyłącz i włącz przywracanie systemu na wszystkich dyskach. Instrukcja

Wykonaj pełny skan Malwarebytes Jak program coś znajdzie pokaż raport na forum

Ponieważ nie działa Avast proszę go odinstalować Jeśli nie da się normalnie proszę użyć do tego celu narzędzia http://www.avast.com/uninstall-utility Narzędzie należy uruchomić w trybie awaryjnym windows

Następnie proszę pobrać ponownie Avasta http://www.dobreprogramy.pl/avast-Free- … 13266.html zainstalować i wykonać pełne skanowanie

wojkow13 · 23 Sierpień 2011 09:43

Sprzątanie wykonane

Wyłączyłem i włączyłem przywracanie systemu na każdym dysku

Pełny skan Malwarebytes dysku systemowego nic nie wykazał, daje log - http://wklej.org/id/582693/

Cały folder Avasta w Program Files został usunięty przez wirusa, zainstalowałem Avasta, jednak ten nadal pozostaje zblokowany, wyskakuje ostrzeżenie ‘Ten system NIE jest ZABEZPIECZONY’ próby uruchominia go nie przynoszą rezultatów, gdy chcę wykonać Avastem pełny skan wyskakuje tylko informacja - ‘Nie można uruchomić procesu skanowania. Nie ma więcej dostępnych punktów końcowych z programu mapowania punktów końcowych’

spandaupol · 23 Sierpień 2011 10:04

Proszę użyć http://www.dobreprogramy.pl/Kaspersky-V … 12768.html