Podejrzana infekcja komputera

[dennisek123]

Witam otóż podejrzewam infekcję komputera aczkolwiek zacznijmy opowiadanie

Wyjechałem z kolegami nad morze na 3 dni zostawiając komputer pod opieką młodszego brata, aczkolwiek (możecie się śmiać) zapomniałem zainstalować antywirusa, Ja zawsze co 2 dni skanuje komputer malwkiem aczkolwiek On tego nie potrafił, więc gdy wracam z nad morza okazuje się że komputer diametralnie zwolniał ledwo co wbije na internet to zużycie procesora przekracza 30% ...

Odrazu zrobiłem skan malwkiem i wykryło 23 zagrożenia z 12 to były robaczki a kolejne trojany, oczywiście odrazu je usunąłem przeczyściłem pliki ccleanerem sprawdziłem rejestr używając (eusing free registry cleaner) i znowu sprawdziłem malwkiem czy nie ma jakiś kłopotów, malwek nie wykrył nic tak więc prosze o sprawdzenie logów z OTL

Uzyskałem dziwny błąd w trakcie skanowania OTL na wstępie pisze że nie mam problemu z dyskami, odczytują się normalnie nie mają problemów z "traceniem" pamięci itd. (wcisnąłem kontynuuj)




OTL :

Dostępne tylko dla zarejestrowanych użytkowników


Extras :

Dostępne tylko dla zarejestrowanych użytkowników

Proszę pomóżcie

[kominekl]

odrazu zrobiłem skan malwkiem i wykryło 23 zagrożenia z 12 to były robaczki a kolejne trojany

Pokaż log z Malwarebytes`a.

Uzyskałem dziwny błąd w trakcie skanowania OTL na wstępie pisze że nie mam problemu z dyskami, odczytują się normalnie nie mają problemów z "traceniem" pamięci itd. (wcisnąłem kontynuuj)

Pewnie wina "zawalenia" lub dysku, o czym napiszę za chwilę.

"{7683B745-6060-41FD-AA75-0BBB383FEAD4}" = SweetIM for Messenger 3.7
"{774C0434-9948-4DEE-A14E-69CDD316E36C}" = Internet Explorer Toolbar 4.6 by SweetPacks
"LiveUpdate" = LiveUpdate 2.7 (Symantec Corporation)
"Malwarebytes' Anti-Malware_is1" = Malwarebytes Anti-Malware wersja 1.61.0.1400

To zbędne oprogramowanie. To wszystko (prócz Malwarabytes`a, którego musimy odinstalować, bo jest zainstalowany w złej formie) to śmieci. Odinstaluj to i ewentualnie zbędne oprogramowanie.

SRV - [2012-05-03 08:31:10 | 000,158,856 | R--- | M] (Skype Technologies) [Auto | Stopped] -- C:\Program Files\Skype\Updater\Updater.exe -- (SkypeUpdate)
O4 - HKLM..\Run: [NvCplDaemon] C:\WINDOWS\System32\NvCpl.dll (NVIDIA Corporation)
O4 - HKLM..\Run: [NvMediaCenter] C:\WINDOWS\System32\NvMcTray.dll (NVIDIA Corporation)
O4 - HKLM..\Run: [nwiz] C:\Program Files\NVIDIA Corporation\nView\nwiz.exe ()
O4 - HKLM..\Run: [Zune Launcher] d:\zune\ZuneLauncher.exe (Microsoft Corporation)
O4 - HKU\S-1-5-21-823518204-1897051121-1417001333-1004..\Run: [ALLUpdate] C:\Program Files\ALLPlayer\ALLUpdate.exe ()
O4 - HKU\S-1-5-21-823518204-1897051121-1417001333-1004..\Run: [DAEMON Tools Lite] C:\Program Files\DAEMON Tools Lite\DTLite.exe (DT Soft Ltd)
O4 - HKU\S-1-5-21-823518204-1897051121-1417001333-1004..\Run: [screenshooter] C:\Program Files\ScreenShooter\screenshooter.exe ()

To zbędne wpisy w autostarcie. Wejdź w START -> URUCHOM -> Msconfig -> Usługi -> odznacz tam usługę -> Skype Update i NVIDIA Display Driver Service (NVSVC). Resztę usunę skryptem.

Error - 2012-06-28 10:52:53 | Computer Name = NOWAKOWS-1D2DCC | Source = Ci | ID = 4118
Description = Nie można ukończyć skanowania zawartości na c:\.

Wejdź w START -> URUCHOM -> CMD -> CHKDSK /R -> Restart. Następnie podaj screenshoty z HD Tune -> Dostępne tylko dla zarejestrowanych użytkowników z zakładek Health i Error Scan.

Logi.

Uruchom OTL -> w oknie Własne opcje skanowania/skrypt wklej:

:OTL

IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = Dostępne tylko dla zarejestrowanych użytkowników{5146C7B8-54F7-4C77-8965-17E08379C449}
IE - HKLM\..\SearchScopes,DefaultScope = {cf6e4b1c-dbde-457e-9cef-ab8ecac8a5e8}
IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}&src={referrer:source?}
IE - HKLM\..\SearchScopes\{cf6e4b1c-dbde-457e-9cef-ab8ecac8a5e8}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników^HJ^xdm007^S01700^pl&si=COiQ0Lvj5rACFUJL3wodpG_u1A&ptb=D41F6ECA-300F-429D-B547-9E152DA043F2&ind=2012062904&n=77eda4b8&psa=&st=sb&searchfor={searchTerms}
IE - HKLM\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}&barid={5146C7B8-54F7-4C77-8965-17E08379C449}
IE - HKU\S-1-5-21-823518204-1897051121-1417001333-1004\..\URLSearchHook: {93a3111f-4f74-4ed8-895e-d9708497629e} - No CLSID value found
IE - HKU\S-1-5-21-823518204-1897051121-1417001333-1004\..\URLSearchHook: {EEE6C35D-6118-11DC-9C72-001320C79847} - C:\Program Files\SweetIM\Toolbars\Internet Explorer\mgHelper.dll (SweetIM Technologies Ltd.)
IE - HKU\S-1-5-21-823518204-1897051121-1417001333-1004\..\SearchScopes,DefaultScope = {cf6e4b1c-dbde-457e-9cef-ab8ecac8a5e8}
IE - HKU\S-1-5-21-823518204-1897051121-1417001333-1004\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}&src=IE-SearchBox&Form=IE8SRC
IE - HKU\S-1-5-21-823518204-1897051121-1417001333-1004\..\SearchScopes\{cf6e4b1c-dbde-457e-9cef-ab8ecac8a5e8}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników^HJ^xdm007^S01700^pl&si=COiQ0Lvj5rACFUJL3wodpG_u1A&ptb=D41F6ECA-300F-429D-B547-9E152DA043F2&ind=2012062904&n=77eda4b8&psa=&st=sb&searchfor={searchTerms}
IE - HKU\S-1-5-21-823518204-1897051121-1417001333-1004\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 1
IE - HKU\S-1-5-21-823518204-1897051121-1417001333-1004\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = 94.229.86.103:8080
FF - HKCU\Software\MozillaPlugins\@tools.google.com/Google Update;version=3: C:\Documents and Settings\Dennis\Ustawienia lokalne\Dane aplikacji\Google\Update\1.3.21.111\npGoogleUpdate3.dll (Google Inc.)
FF - HKCU\Software\MozillaPlugins\@tools.google.com/Google Update;version=9: C:\Documents and Settings\Dennis\Ustawienia lokalne\Dane aplikacji\Google\Update\1.3.21.111\npGoogleUpdate3.dll (Google Inc.)
[2012-04-04 19:04:32 | 000,000,000 | ---D | M] (DownloadHelper) -- C:\Documents and Settings\Dennis\Dane aplikacji\Mozilla\Firefox\Profiles\wobplgr5.default\extensions\{b9db16a4-6edc-47ec-a1f4-b86292ed211d}
O3 - HKLM\..\Toolbar: (no name) - {48586425-6bb7-4f51-8dc6-38c88e3ebb58} - No CLSID value found.
O3 - HKU\S-1-5-21-823518204-1897051121-1417001333-1004\..\Toolbar\WebBrowser: (no name) - {48586425-6BB7-4F51-8DC6-38C88E3EBB58} - No CLSID value found.
O4 - HKU\.DEFAULT..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 File not found
O4 - HKU\S-1-5-18..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 File not found
O4 - HKU\S-1-5-19..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 File not found
O4 - HKU\S-1-5-20..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 File not found
O8 - Extra context menu item: &Search - Dostępne tylko dla zarejestrowanych użytkowników^HJ^xdm007^S01700^pl&si=COiQ0Lvj5rACFUJL3wodpG_u1A&a=D41F6ECA-300F-429D-B547-9E152DA043F2&n=2012062904 File not found

:Files
C:\Documents and Settings\Dennis\Ustawienia lokalne\Dane aplikacji\Google\Update
C:\Documents and Settings\Dennis\Dane aplikacji\Malwarebytes
C:\Documents and Settings\All Users\Dane aplikacji\Malwarebytes
C:\WINDOWS\System32\drivers\mbam.sys
C:\Program Files\Malwarebytes' Anti-Malware
C:\Program Files\SweetIM
C:\Documents and Settings\All Users\Dane aplikacji\SweetIM
C:\7a296fb32d92801cbe490a
C:\WINDOWS\tasks\*.*
C:\Documents and Settings\Dennis\Dane aplikacji\1334
C:\Documents and Settings\Dennis\Dane aplikacji\EurekaLog

:Reg
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"=-
"NvMediaCenter"=-
"nwiz"=-
"Zune Launcher"=-
[HKEY_USERS\S-1-5-21-823518204-1897051121-1417001333-1004\Software\Microsoft\Windows\CurrentVersion\Run]
"ALLUpdate"=-
"DAEMON Tools Lite"=-
"screenshooter"=-
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

:Commands
[emptyflash]
[clearallrestorepoints]
[emptytemp]

Klikasz Wykonaj skrypt. Dajesz log z usuwania. Następnie podajesz nowe logi z OTL + log z TDSSKiller -> http://www.hotfix.pl/instrukcja-obslugi ... r-a341.htm.

[dennisek123]

Logi :

Dostępne tylko dla zarejestrowanych użytkowników

Dostępne tylko dla zarejestrowanych użytkowników

[kominekl]

Logi :

Dostarczyłeś logi z Malwarebytes`a. Na ich podstawie mogę już stwierdzić, że infekcja jest tu w trybie rozwojowym, lecz na szczęście jest trwale usuwana. Czekamy na wykonanie reszty instrukcji.

[dennisek123]

Po zastosowaniu powyższych instrukcji i wklejeniu Twojego skryptu do OTL, dostaję taki log z usuwania : Dostępne tylko dla zarejestrowanych użytkowników


Zaraz podam nowe logi z otl i tdsskiller

[kominekl]

Po zastosowaniu powyższych instrukcji i wklejeniu Twojego skryptu do OTL, dostaję taki log z usuwania :

Dobrze poszło.

Zaraz podam nowe logi z otl i tdsskiller.

Czekamy. Mam tylko nadzieję, że odinstalowałeś to, o co prosiłem.

[dennisek123]

OTL : Dostępne tylko dla zarejestrowanych użytkowników

Extras : Dostępne tylko dla zarejestrowanych użytkowników

W TDSS killer zaznaczyłem te opcje bo w intrukcji One nie były wpisane czy je zaznaczyć czy też nie ;/



Po zakończeniu skanowania znalazło te wirusy oczywiście skasowałem je :



Zrestartowałem komputer i dopiero się "skapnąłem" gdzie raport jest

Raport po usunięciu wirusów i zrestartowaniu komputer a z TDSSkiller :

Dostępne tylko dla zarejestrowanych użytkowników

[kominekl]

"Zune" = Zune

Używasz? Jeśli nie to odinstaluj to.

Logi.

Zastosuj Combofix -> http://www.hotfix.pl/articles.php?article_id=41. Pokaż raport po ukończeniu jego działań.

Logi.

Uruchom OTL -> w oknie Własne opcje skanowania/skrypt wklej:

:OTL

FF - HKLM\Software\MozillaPlugins\@ngm.nexoneu.com/NxGame: C:\Documents and Settings\All Users\Dane aplikacji\NexonEU\NGM\npNxGameeu.dll File not found
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {EEE6C35B-6118-11DC-9C72-001320C79847} - No CLSID value found.
O4 - HKLM..\Run: [SweetIM] C:\Program Files\SweetIM\Messenger\SweetIM.exe File not found
O4 - HKCU..\Run: [Google Update] "C:\Documents and Settings\Dennis\Ustawienia lokalne\Dane aplikacji\Google\Update\GoogleUpdate.exe" /c File not found

:Files
C:\WINDOWS\tasks\*.*

:Commands
[emptyflash]
[clearallrestorepoints]
[emptytemp]

Klikasz Wykonaj skrypt. Dajesz log z usuwania. Następnie podajesz nowe logi z OTL. Ponadto nie wykonałeś poprzednio wszystkiego.

[dennisek123]

Raport combofix'a po ukończeniu Jego działań : Dostępne tylko dla zarejestrowanych użytkowników

Ominąłem HD tune : tutaj ssy z zakłądki healt i error scan (100% zielone kwadraciki)



-- 02 lip 2012, 18:52 --

Raport OTL po wklejeniu powyższego skryptu : Dostępne tylko dla zarejestrowanych użytkowników

Nowe logi :

OTL : Dostępne tylko dla zarejestrowanych użytkowników

Extras : Dostępne tylko dla zarejestrowanych użytkowników

[kominekl]

(100% zielone kwadraciki)

Opcja Quick Scan odznaczona?

Combofix.

Wejdź w START -> URUCHOM -> i wklej tam -> "c:\documents and settings\Dennis\Pulpit\ComboFix.exe" /uninstall .

Logi.

Uruchom OTL -> w oknie Własne opcje skanowania/skrypt wklej:

:OTL

DRV - File not found [Kernel | On_Demand | Stopped] -- C:\DOCUME~1\Dennis\USTAWI~1\Temp\catchme.sys -- (catchme)

:Files
RECYCLER /alldrives
C:\DOCUME~1\Dennis\USTAWI~1\Temp
C:\Documents and Settings\Dennis\Pulpit\hdtune_255.exe
C:\Qoobox
C:\WINDOWS\erdnt
C:\TDSSKiller_Quarantine
C:\Documents and Settings\Dennis\Pulpit\TDSSKiller.exe
C:\Documents and Settings\Dennis\Pulpit\tdsskiller.zip

:Reg
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Gadu-Gadu 10"=-
"Skype"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SunJavaUpdateSched"=-
"Adobe Reader Speed Launcher"=-
"Adobe ARM"=-
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"=-

:Commands
[emptyflash]
[clearallrestorepoints]
[emptytemp]

Klikasz Wykonaj skrypt. Dajesz log z usuwania. Następnie podajesz nowe logi z OTL.

[dennisek123]

Po usuwaniu : Dostępne tylko dla zarejestrowanych użytkowników

OTL : Dostępne tylko dla zarejestrowanych użytkowników

Extras : Dostępne tylko dla zarejestrowanych użytkowników

[kominekl]

Logi.

W trybie awaryjnym uruchom OTL -> w oknie Własne opcje skanowania/skrypt wklej:

:OTL

:Files
RECYCLER /alldrives
C:\DOCUME~1\Dennis\USTAWI~1\Temp
C:\Documents and Settings\Dennis\Pulpit\hdtune_255.exe
C:\Qoobox
C:\WINDOWS\erdnt
C:\TDSSKiller_Quarantine
C:\Documents and Settings\Dennis\Pulpit\TDSSKiller.exe
C:\Documents and Settings\Dennis\Pulpit\tdsskiller.zip

:Reg
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Gadu-Gadu 10"=-
"Skype"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SunJavaUpdateSched"=-
"Adobe Reader Speed Launcher"=-
"Adobe ARM"=-
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"=-

:Commands
[emptyflash]
[clearallrestorepoints]
[emptytemp]

Klikasz Wykonaj skrypt. Dajesz log z usuwania. Następnie w OTL -> Sprzątanie.

"{26A24AE4-039D-4CA4-87B4-2F83216031FF}" = Java(TM) 6 Update 31

Odinstaluj i zainstaluj najnowszą wersję -> Dostępne tylko dla zarejestrowanych użytkowników.

"{AC76BA86-7AD7-1045-7B44-A95000000001}" = Adobe Reader 9.5.1 - Polish

Odinstaluj i zainstaluj najnowszą wersję -> Dostępne tylko dla zarejestrowanych użytkowników.

Kroki Finalizujące.

Przeczyść dysk i rejestr CCleaner`em -> Dostępne tylko dla zarejestrowanych użytkowników.
Wykonaj pełne skanowanie Malwarebytes`em Anti-Malware (nie gódź się na wersję testową) -> Dostępne tylko dla zarejestrowanych użytkowników, jeśli coś znajdzie usuń i daj raport.

[dennisek123]

Po usuwaniu : Dostępne tylko dla zarejestrowanych użytkowników = Czy "sprzątanie" mogę uruchomić w normalnym stanie systemu ? (bez trybu awaryjnego?)

[kominekl]

Czy "sprzątanie" mogę uruchomić w normalnym stanie systemu ? (bez trybu awaryjnego?)

Jak najbardziej. Jednak przed tym wykonaj ponownie skrypt w OTL.

[dennisek123]

sprzątnąłem bez wykonywania nowych logów ... zabij Mnie :<