Logi z otl - IDP Trojan

[Ruperciak]

Dostępne tylko dla zarejestrowanych użytkowników

[XMan]

Obowiązkowe logi:
OTL.txt i Extras.txt --> http://www.hotfix.pl/obsluga-programu-otl-a143.htm
TDSSKiller --> http://www.hotfix.pl/instrukcja-obslugi ... r-a341.htm
Logi wrzucasz na:
Dostępne tylko dla zarejestrowanych użytkowników
a na forum podajesz linki do nich.

[filutka78]

Jest infekcja ZeroAcces, więc od razu:
1) Użyj >>Dostępne tylko dla zarejestrowanych użytkowników (aby pobrać kliknij na obrazek x64 po Lien de téléchargement :)
Kliknij w nim SCAN, a po wyszukaniu szkodliwych rzeczy kliknij DELETE. Pokaż oba raporty z niego.

2) Zrób log z Farbar Service Scanner >Dostępne tylko dla zarejestrowanych użytkowników (do skanowania zaznacz wszystko).

Potem wymagane logi, zgodnie z sugestią @XMan'a
Dodatkowo zrób logi z FRST > Dostępne tylko dla zarejestrowanych użytkowników

F.

[Ruperciak]

OTL
Logi z otl.exe - Dostępne tylko dla zarejestrowanych użytkowników
Logi z extras.exe - Dostępne tylko dla zarejestrowanych użytkowników
Logi z TDSSKiller - Dostępne tylko dla zarejestrowanych użytkowników
Logi z RogueKiller - Dostępne tylko dla zarejestrowanych użytkowników
Log z Farbar Service Scanner - Dostępne tylko dla zarejestrowanych użytkowników
FRTS

FRST.exe - Dostępne tylko dla zarejestrowanych użytkowników
Addition.exe - Dostępne tylko dla zarejestrowanych użytkowników

[filutka78]

1) Odinstaluj niepotrzebny BuzzSearch 2013.11.07.232809 (Version: 2013.11.07.232809)

2) Otwórz Notatnik i wklej w nim:

Winsock: Catalog5 01 mswsock.dll File Not found () ATTENTION: The LibraryPath should be "%SystemRoot%\system32\NLAapi.dll"
Winsock: Catalog5 02 mswsock.dll File Not found () ATTENTION: The LibraryPath should be "%SystemRoot%\System32\mswsock.dll"
Winsock: Catalog5-x64 01 mswsock.dll File Not found () ATTENTION: The LibraryPath should be "%SystemRoot%\system32\NLAapi.dll"
Winsock: Catalog5-x64 02 mswsock.dll File Not found () ATTENTION: The LibraryPath should be "%SystemRoot%\System32\mswsock.dll"
Task: {535CDF41-A27F-4E94-9611-1F68C835A672} - \FoxTab No Task File
AlternateDataStreams: C:\Windows\system32\config:!
HKLM-x32\...\Run: [] - [x]
Startup: C:\Users\Marcin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\start.lnk
ShortcutTarget: start.lnk -> C:\Users\Marcin\mcbjb\start.vbs ()
C:\Users\Marcin\mcbjb
FF SearchPlugin: C:\Program Files (x86)\mozilla firefox\browser\searchplugins\nation-secure-search.xml
S3 esgiguard; \??\C:\Program Files\Enigma Software Group\SpyHunter\esgiguard.sys [x]
C:\Users\Marcin\bsuve
C:\Users\Marcin\AppData\Local\Temp\GC_PCTOOLS.exe
C:\Users\Marcin\AppData\Local\Temp\ntdll_dump.dll
C:\Users\Marcin\AppData\Local\Temp\SHSetup.exe
CMD: netsh winsock reset

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt.
Daj go.

3) Pobierz poniższy plik. Zmień mu nazwę z TXT na REG, z prawokliku na plik Scal i potwierdź import do rejestru.
Dostępne tylko dla zarejestrowanych użytkowników

4) Pobierz narzędzie SetACL, (Dostępne tylko dla zarejestrowanych użytkowników
z folderu Commandline version wypakuj wersję dopasowaną do systemu (x86 = 32-bit, x64 = 64-bit) i umieść w katalogu C:\Windows.

5) W Notatniku wklej poniższą treść i zapisz plik pod nazwą fix.txt. Plik umieść bezpośrednio na C:\.

Kod: Zaznacz cały

"machine\SYSTEM\CurrentControlSet\Services\PolicyAgent",4,"O:BA"
"machine\SYSTEM\CurrentControlSet\Services\PolicyAgent\Parameters",4,"O:BA"
"machine\SYSTEM\CurrentControlSet\Services\PolicyAgent\Parameters\Cache",4,"O:BAD:PAI(A;OICI;CCDCLCSWRPRC;;;S-1-5-80-3044542841-3639452079-4096941652-1606687743-1256249853)"
"machine\SYSTEM\CurrentControlSet\Services\PolicyAgent\TriggerInfo",4,"O:BA"
"machine\SYSTEM\CurrentControlSet\Services\PolicyAgent\TriggerInfo\0",4,"O:BA"

START > w polu szukania wpisz cmd > z prawokliku Uruchom jako Administrator > wklej komendę:
SetACL -on "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" -ot reg -actn restore -bckp C:\fix.txt

6) Pobierz ten plik i umieść go bezposrednio na C:\
Dostępne tylko dla zarejestrowanych użytkowników
START > w polu szukania wpisz cmd > z prawokliku Uruchom jako Administrator > wklej komendę:
SetACL -on "HKLM\SYSTEM\CurrentControlSet\Services\RemoteAccess" -ot reg -actn restore -bckp C:\fix.txt

7) Pobierz >>Dostępne tylko dla zarejestrowanych użytkowników
Kliknij prawym na pliku ServicesRepair i wybierz Uruchom jako administrator.

8) Zrób nowy log z FSS

9) Zrób nowe logi z FRST.

F.

[Ruperciak]

Log z FSS
Dostępne tylko dla zarejestrowanych użytkowników
Fixlog
Dostępne tylko dla zarejestrowanych użytkowników
Logi z FRST
FRST.exe - Dostępne tylko dla zarejestrowanych użytkowników
Addition.exe - Dostępne tylko dla zarejestrowanych użytkowników

-- 21 lis 2013, 00:42 --

Prosze o szybka pomoc. Z gory bardzo dziekuje !!!

[filutka78]

Jest OK.
Szkody wyrządzone przez ZeroAcces są już naprawione.

Otwórz Notatnik i wklej w nim:

C:\Users\Marcin\AppData\Roaming\58947A
C:\Users\Marcin\lbsan
U4 esgiguard;
DeleteQuarantine:

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix.

przez SHIFT+DEL usuń pozostały folder C:\FRST

Rogue Killer - usuń ręcznie.

ESET Service Repair - usuń ręcznie.

TDSSKiller - usuń ręcznie.

SETAcl -usuń ręcznie.

FSS - usuń ręcznie.

W OTL kliknij na przycisk Sprzątanie - to go usunie razem z jego Kwarantanną.

Jeśli chcesz, to możesz włączyć WINDOWS DEFENDER:
>>START>>URUCHOM>>wybierz (lub wpisz): services.msc> w okienku po prawej znajdź: Windows Defender>>prawoklik >>Właściwości > w okienku Typ Uruchomienia wybierz: Automatycznie (lub ręcznie) >OK
Kliknij na "Uruchom ponownie".

To wszystko.

F.

[Ruperciak]

Ok. Usunalem wszystko. Mam pytanie czy plik uslugi.red ktory utworzylem tez moge usunac?
Jaka mogla byc przyczyna tego wirusa? i czy to byl tylko jeden wirus? Bardzo dziekuje za pomoc

[filutka78]

Mam pytanie czy plik uslugi.red ktory utworzylem tez moge usunac?

nie wiem, o co chodzi.

Jaka mogla byc przyczyna tego wirusa?

To nie jest jeszcze wyjaśnione.

czy to byl tylko jeden wirus?

Były dwie różne infekcje + sponsorskie śmieci

F.

[Ruperciak]

3) Pobierz poniższy plik. Zmień mu nazwę z TXT na REG, z prawokliku na plik Scal i potwierdź import do rejestru.
Dostępne tylko dla zarejestrowanych użytkowników

Chodzi mi o ten plik rejestru, ktory mialem zmienic.

[filutka78]

tak, oczywiście usuń go, swoją rolę już spełnił, więc nie jest już potrzebny.

F.

[Ruperciak]

Ok, dziekuje Ci bardzo za okazałą pomoc