Zapytanie o fragment w logach OTL - rootkit ZeroAccess

[bet5 (Mic)]

Witam

Po skanowaniu komputera OTL, pokazało mi raport, jeden znajomy poinformował mnie ze mam rootkita ZeroAccess, wnioskując po tym fragmencie wpisu z OTL:

========== ZeroAccess Check ========== [2012-09-20 01:18:25 | 000,000,227 | RHS- | M] () – C:\WINDOWS\assembly\Desktop.ini [HKEY_CURRENT_USER\Software\Classes\clsid{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32] [HKEY_CURRENT_USER\Software\Classes\clsid{fbeb8a05-beee-4442-804e-409d6c4515e9}\InProcServer32] [HKEY_LOCAL_MACHINE\Software\Classes\clsid{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32] “” = %SystemRoot%\system32\shdocvw.dll – [2008-04-14 22:50:48 | 001,499,136 | ---- | M] (Microsoft Corporation) “ThreadingModel” = Apartment [HKEY_LOCAL_MACHINE\Software\Classes\clsid{5839FCA9-774D-42A1-ACDA-D6A79037F57F}\InProcServer32] “” = C:\WINDOWS\system32\wbem\fastprox.dll – [2009-02-09 12:53:44 | 000,473,600 | ---- | M] (Microsoft Corporation) “ThreadingModel” = Free [HKEY_LOCAL_MACHINE\Software\Classes\clsid{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InProcServer32] “” = C:\WINDOWS\system32\wbem\wbemess.dll – [2008-04-14 22:50:58 | 000,273,920 | ---- | M] (Microsoft Corporation) “ThreadingModel” = Both

Proszę o weryfikację, bo nie mam zielonego pojęcia, czy on mówi serio.

[Acorus]

Takie właśnie wpisy są prawidłowe(niezmodyfikowane).

[bet5 (Mic)]

Jak już przy okazji odpowiedziałeś, co się zmieni w tych wpisach jeżeli złapie się rootkita ?

[Atis]

Będzie widać składniki ZeroAccess, a występują różne odmiany tego rootkita.

Poniżej masz temat TR/ATRAPS.Gen2 i przykładowo widać to:

========== ZeroAccess Check ========== [2012-10-19 12:37:32 | 000,005,120 | -HS- | M] () – C:\Windows\assembly\GAC_32\Desktop.ini [2012-10-19 12:37:32 | 000,006,144 | -HS- | M] () – C:\Windows\assembly\GAC_64\Desktop.ini [HKEY_CURRENT_USER\Software\Classes\clsid{fbeb8a05-beee-4442-804e-409d6c4515e9}\InProcServer32] /64 “ThreadingModel” = Both “” = C:$Recycle.Bin\S-1-5-21-2639040-2585412177-2363645570-1000$d37e8612c78c487c664e902bc9598f53\n. [HKEY_LOCAL_MACHINE\Software\Classes\clsid{5839FCA9-774D-42A1-ACDA-D6A79037F57F}\InProcServer32] /64 “” = C:$RECYCLE.BIN\S-1-5-18$d37e8612c78c487c664e902bc9598f53\n – File not found “ThreadingModel” = Free