Wirus backdoor powrócił

Wszystko co dotyczy bezpieczeństwa systemów oraz walki z malware, w szczególności analiza logów
JesteZawirusowany

Użytkownik
Posty: 40
Rejestracja: 28 kwie 2013, 13:45

Wirus backdoor powrócił

Post18 maja 2013, 14:04

Siemka, proszę o pomoc! Wirus backdoor powrócił!

Logi:

OTL:

Kod: Zaznacz cały

http://wklej.eu/index.php?id=e325a3f08d

Extras:

Kod: Zaznacz cały

http://wklej.eu/index.php?id=0c662a730b



Walić formata od razu D:? Bo dane mam na C: a system na D:, a ten syf wbija tam gdzie system, więc jeżeli nie chce Ci się tego leczyć to napisz. Bo szkoda czasu wtedy.

W sumie szkoda mi tych wszystkich aktualizacji, bo trochę ich było.

-- 18 maja 2013, 14:04 --

Dobra dał radę MBAM, dzięki za zainteresowanie, temat można do kosza dać.
Na górę
Awatar użytkownika
kominekl

Ekspert
Posty: 5855
Rejestracja: 27 lis 2011, 14:25
Kontaktowanie:
Skontaktuj się z kominekl

Wirus backdoor powrócił

Post18 maja 2013, 16:11

Dobra dał radę MBAM, dzięki za zainteresowanie, temat można do kosza dać.


Malwarebytes usuwa tylko widoczne elementy infekcji. Jednak jest ona wciąż obecna.

"{0108FFB9-D626-4670-A49B-9E04DAEBDD4F}" = ContinueToSave
"SP_d5f16954" = Search Assistant WebSearch 1.74


Odinstaluj.

SRV - File not found [Disabled | Stopped] -- -- (MSDTC)


Uszkodzona usługa Menedżer dysków logicznych. Zrób nowy log OTL na warunku dostosowanym, tzn. w sekcji Własne opcje skanowania/skrypt wklej, co podane poniżej i klik w Skanuj (a nie Wykonaj skrypt!).

/md5start
dmserver.dll
msdtc.exe
/md5stop


Logi.


Uruchom OTL -> w oknie Własne opcje skanowania/skrypt wklej:

:OTL

DRV - File not found [Kernel | On_Demand | Stopped] -- D:\WINDOWS\system32\NSNDIS5.SYS -- (NSNDIS5)
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = Dostępne tylko dla zarejestrowanych użytkowników
IE - HKLM\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A}
IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}&src={referrer:source?}
IE - HKLM\..\SearchScopes\{BB74DE59-BC4C-4172-9AC4-73315F71CFFE}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}&pid=658&r=2013/05/12&hid=1980702179&lg=EN&cc=PL&unqvl=14
IE - HKU\S-1-5-21-507921405-1715567821-682003330-1003\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = Dostępne tylko dla zarejestrowanych użytkowników
IE - HKU\S-1-5-21-507921405-1715567821-682003330-1003\..\SearchScopes,DefaultScope = {B455EE5C-D1FC-41AF-B889-6DDAF5890D38}
IE - HKU\S-1-5-21-507921405-1715567821-682003330-1003\..\SearchScopes\{BB74DE59-BC4C-4172-9AC4-73315F71CFFE}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}&pid=658&r=2013/05/12&hid=1980702179&lg=EN&cc=PL&unqvl=14
FF - prefs.js..browser.search.defaultenginename: "WebSearch"
FF - prefs.js..browser.search.defaultenginename,S: S", "WebSearch"
FF - prefs.js..browser.search.order.1: "WebSearch"
FF - prefs.js..browser.search.order.1,S: S", "WebSearch"
FF - prefs.js..browser.search.selectedEngine,S: S", "WebSearch"
FF - prefs.js..keyword.URL: "http://websearch.lookforithere.info/?pid=658&r=2013/05/12&hid=1980702179&lg=EN&cc=PL&unqvl=14&l=1&q="
FF - prefs.js..network.proxy.backup.ftp: ""
FF - prefs.js..network.proxy.backup.ftp_port: 0
FF - prefs.js..network.proxy.backup.socks: "7"
FF - prefs.js..network.proxy.backup.socks_port: 0
FF - prefs.js..network.proxy.backup.ssl: "7"
FF - prefs.js..network.proxy.backup.ssl_port: 0
FF - prefs.js..network.proxy.ftp: "7"
FF - prefs.js..network.proxy.ftp_port: 2
FF - prefs.js..network.proxy.http: "7"
FF - prefs.js..network.proxy.http_port: 2
FF - prefs.js..network.proxy.no_proxies_on: ""
FF - prefs.js..network.proxy.share_proxy_settings: true
FF - prefs.js..network.proxy.socks: "7"
FF - prefs.js..network.proxy.socks_port: 2
FF - prefs.js..network.proxy.ssl: "7"
FF - prefs.js..network.proxy.ssl_port: 2
[2013-05-12 03:19:01 | 000,000,000 | ---D | M] (cONNtiinuetossavea) -- D:\Documents and Settings\Grzegorz\Dane aplikacji\Mozilla\Firefox\Profiles\gtoosu04.default\extensions\dkg-iy@yrrqlbgtyw.co.uk
[2012-12-08 23:44:58 | 000,157,239 | ---- | M] () (No name found) -- D:\Documents and Settings\Grzegorz\Dane aplikacji\Mozilla\Firefox\Profiles\gtoosu04.default\extensions\jid0-irAmugmQgdURBSCIFZAcjR8ZQMg@jetpack.xpi
[2013-05-09 10:35:52 | 000,870,680 | ---- | M] () (No name found) -- D:\Documents and Settings\Grzegorz\Dane aplikacji\Mozilla\Firefox\Profiles\gtoosu04.default\extensions\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}.xpi
[2012-12-12 14:57:44 | 000,016,192 | ---- | M] () (No name found) -- D:\Documents and Settings\Grzegorz\Dane aplikacji\Mozilla\Firefox\Profiles\gtoosu04.default\extensions\{dd3d7613-0246-469d-bc65-2a3cc1668adc}.xpi
[2013-05-07 00:41:18 | 000,000,000 | ---D | M] (Microsoft .NET Framework Assistant) -- D:\WINDOWS\MICROSOFT.NET\FRAMEWORK\V3.5\WINDOWS PRESENTATION FOUNDATION\DOTNETASSISTANTEXTENSION
FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\dkg-iy@yrrqlbgtyw.co.uk: D:\Documents and Settings\Grzegorz\Dane aplikacji\Mozilla\Firefox\Profiles\gtoosu04.default\extensions\dkg-iy@yrrqlbgtyw.co.uk [2013-05-12 03:19:01 | 000,000,000 | ---D | M]
CHR - Extension: No name found = D:\Documents and Settings\Grzegorz\Ustawienia lokalne\Dane aplikacji\Google\Chrome\User Data\Default\Extensions\edndfnjammlmccnnaedofienmmmppagf\1\
O4 - HKLM..\Run: [Bron-Spizaetus] D:\WINDOWS\ShellNew\sempalong.exe ()
O4 - HKU\S-1-5-21-507921405-1715567821-682003330-1003..\Run: [Tok-Cirrhatus] D:\Documents and Settings\Grzegorz\Ustawienia lokalne\Dane aplikacji\smss.exe ()
O4 - Startup: D:\Documents and Settings\Grzegorz\Menu Start\Programy\Autostart\Empty.pif ()
O7 - HKU\S-1-5-21-507921405-1715567821-682003330-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoFolderOptions = 1
O7 - HKU\S-1-5-21-507921405-1715567821-682003330-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegistryTools = 1
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} Dostępne tylko dla zarejestrowanych użytkowników (Windows Genuine Advantage Validation Tool)
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} Dostępne tylko dla zarejestrowanych użytkowników (WUWebControl Class)
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} Dostępne tylko dla zarejestrowanych użytkowników (MUWebControl Class)
O20 - AppInit_DLLs: (d:\progra~1\contin~1\sprote~1.dll) - d:\Program Files\ContinueToSave\sprotector.dll ()
O20 - AppInit_DLLs: (d:\progra~1\websea~1\sprote~1.dll) - d:\Program Files\WebSearch\sprotector.dll ()
O20 - HKLM Winlogon: Shell - ("D:\WINDOWS\eksplorasi.exe") - D:\WINDOWS\eksplorasi.exe ()
[2013-05-18 11:40:00 | 000,000,000 | ---D | C] -- D:\Documents and Settings\Grzegorz\Ustawienia lokalne\Dane aplikacji\Loc.Mail.Bron.Tok
[2013-05-18 11:39:34 | 000,000,000 | ---D | C] -- D:\Documents and Settings\Grzegorz\Ustawienia lokalne\Dane aplikacji\Ok-SendMail-Bron-tok
[2013-05-18 11:33:54 | 000,000,000 | ---D | C] -- D:\Documents and Settings\Grzegorz\Ustawienia lokalne\Dane aplikacji\Bron.tok-12-18
[2013-05-18 11:33:49 | 000,000,000 | ---D | C] -- D:\WINDOWS\ShellNew
[2013-05-18 11:45:05 | 000,012,393 | ---- | M] () -- D:\Documents and Settings\Grzegorz\Ustawienia lokalne\Dane aplikacji\Update.12.Bron.Tok.bin
[2013-05-18 11:39:36 | 000,012,393 | ---- | M] () -- D:\Documents and Settings\Grzegorz\Ustawienia lokalne\Dane aplikacji\Bron.tok.A12.em.bin
[2012-11-08 00:40:10 | 000,042,687 | -H-- | C] () -- D:\WINDOWS\eksplorasi.exe
[2012-11-08 00:40:10 | 000,042,687 | ---- | C] () -- D:\Documents and Settings\Grzegorz\Ustawienia lokalne\Dane aplikacji\winlogon.exe
[2012-11-08 00:40:10 | 000,042,687 | ---- | C] () -- D:\Documents and Settings\Grzegorz\Ustawienia lokalne\Dane aplikacji\smss.exe
[2012-11-08 00:40:10 | 000,042,687 | ---- | C] () -- D:\Documents and Settings\Grzegorz\Ustawienia lokalne\Dane aplikacji\services.exe
[2012-11-08 00:40:10 | 000,042,687 | ---- | C] () -- D:\Documents and Settings\Grzegorz\Ustawienia lokalne\Dane aplikacji\lsass.exe
[2012-11-08 00:40:10 | 000,042,687 | ---- | C] () -- D:\Documents and Settings\Grzegorz\Ustawienia lokalne\Dane aplikacji\inetinfo.exe
[2012-11-08 00:40:10 | 000,042,687 | ---- | C] () -- D:\Documents and Settings\Grzegorz\Ustawienia lokalne\Dane aplikacji\csrss.exe
[2013-05-12 03:21:02 | 000,000,000 | ---D | M] -- D:\Documents and Settings\All Users\Dane aplikacji\cONNtiinuetossavea
[2013-05-12 03:19:18 | 000,000,000 | ---D | M] -- D:\Documents and Settings\All Users\Dane aplikacji\InstallMate
[2013-05-12 03:20:47 | 000,000,000 | ---D | M] -- D:\Documents and Settings\Grzegorz\Dane aplikacji\Systweak

:Files
RECYCLER /alldrives

:Reg
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]

:Commands
[clearallrestorepoints]
[emptytemp]


Klikasz Wykonaj skrypt. Dajesz log z usuwania. Następnie podaj log z Dostępne tylko dla zarejestrowanych użytkowników (z opcji Delete) + log z TDSSKiller + nowe logi z OTL.
Kiedy komputery staną się twoim jedynym życiem, jedynym totemem odstraszającym klątwę nudy, wtedy prędzej czy później granica między tymi dwoma wymiarami zniknie i postacie z Błękitnej Pustki zaczną pojawiać się w Realu. Czasem są twoimi przyjaciółmi. A czasem nie.
Na górę
JesteZawirusowany

Użytkownik
Posty: 40
Rejestracja: 28 kwie 2013, 13:45

Wirus backdoor powrócił

Post18 maja 2013, 20:55

ADWC:

Kod: Zaznacz cały

http://wklej.eu/index.php?id=256c300b4a


Reszta będzie za chwilkę.

-- 18 maja 2013, 20:42 --

TDSSK nic nie wykazał, ale daję log:

Kod: Zaznacz cały

http://wklej.eu/index.php?id=471caa9237


-- 18 maja 2013, 20:44 --

Za chwilkę dam skan z OTL'a z parametrami (własne opcje skanowania/skrypt):
/md5start
dmserver.dll
msdtc.exe
/md5stop

-- 18 maja 2013, 20:55 --

OTL:

Kod: Zaznacz cały

http://wklej.eu/index.php?id=33c39e6d76


Extras:

Kod: Zaznacz cały

http://wklej.eu/index.php?id=bdb7b52685
Na górę
Awatar użytkownika
kominekl

Ekspert
Posty: 5855
Rejestracja: 27 lis 2011, 14:25
Kontaktowanie:
Skontaktuj się z kominekl

Wirus backdoor powrócił

Post19 maja 2013, 15:52

ADWCleaner.


Odinstaluj.

SRV - File not found [Disabled | Stopped] -- -- (MSDTC)


Pliki usługi są OK. Czy masz płytkę z systemem (nie - nie chodzi o format :) ) ? Jeśli nie masz to otwórz Notatnik i wklej w nim:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSDTC]
"ImagePath"=hex(2):43,00,3a,00,5c,00,57,00,49,00,4e,00,44,00,4f,00,57,00,53,00,\
5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,6d,00,73,00,64,\
00,74,00,63,00,2e,00,65,00,78,00,65,00,00,00


Z menu Notatnika -> Plik -> Zapisz, jako -> Ustaw rozszerzenie na Wszystkie pliki -> Zapisz, jako FIX.REG -> Uruchom ten plik. Poza tym, jaka wartość widnieje w kluczu HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSDTC w części ImagePath.



Dostępne tylko dla zarejestrowanych użytkowników.

Logi.


Uruchom OTL -> w oknie Własne opcje skanowania/skrypt wklej:

:OTL

IE - HKU\S-1-5-21-507921405-1715567821-682003330-1003\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}&FORM=IE8SRC
IE - HKU\S-1-5-21-507921405-1715567821-682003330-1003\..\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}&FORM=IE8SRC

:Files
RECYCLER /alldrives

:Commands
[resethosts]
[clearallrestorepoints]
[emptytemp]


Klikasz Wykonaj skrypt. Dajesz log z usuwania. Następnie podajesz nowe logi z OTL.
Kiedy komputery staną się twoim jedynym życiem, jedynym totemem odstraszającym klątwę nudy, wtedy prędzej czy później granica między tymi dwoma wymiarami zniknie i postacie z Błękitnej Pustki zaczną pojawiać się w Realu. Czasem są twoimi przyjaciółmi. A czasem nie.
Na górę
JesteZawirusowany

Użytkownik
Posty: 40
Rejestracja: 28 kwie 2013, 13:45

Wirus backdoor powrócił

Post19 maja 2013, 18:05

Fix zrobiony, w części ImagePath jest C:\Windows\system32\msdtc.exe, nie mam google chrome'a :0 Widocznie coś się jakoś zastało po tym jak próbowałem go wgrać, ale chyba było jakieś niepowodzenie i sobie odpuściłem. Logi będą za chwilkę :)

-- 19 maja 2013, 17:50 --

Kod: Zaznacz cały

http://wklej.eu/index.php?id=0669fd2fc0

po usuwaniu.

-- 19 maja 2013, 18:05 --

Kod: Zaznacz cały

http://wklej.eu/index.php?id=3a24a7643c

extras

Kod: Zaznacz cały

http://wklej.eu/index.php?id=08dd07728e

otl
Na górę
Awatar użytkownika
kominekl

Ekspert
Posty: 5855
Rejestracja: 27 lis 2011, 14:25
Kontaktowanie:
Skontaktuj się z kominekl

Wirus backdoor powrócił

Post19 maja 2013, 18:29

Fix zrobiony, w części ImagePath jest C:\Windows\system32\msdtc.exe,


Fix nie dał rady ;) . Potrzebna będzie płyta z systemem. Masz ją? Jeśli tak to włóż płytę do napędu, a następnie wejdź w START -> URUCHOM -> CMD - i wpisz tam -> SFC /SCANNOW . Jeśli jej nie masz to pożycz od kogoś lub ją pobierz z sieci i wypal na płytkę.

Chrome.


Dostępne tylko dla zarejestrowanych użytkowników.
Kiedy komputery staną się twoim jedynym życiem, jedynym totemem odstraszającym klątwę nudy, wtedy prędzej czy później granica między tymi dwoma wymiarami zniknie i postacie z Błękitnej Pustki zaczną pojawiać się w Realu. Czasem są twoimi przyjaciółmi. A czasem nie.
Na górę
JesteZawirusowany

Użytkownik
Posty: 40
Rejestracja: 28 kwie 2013, 13:45

Wirus backdoor powrócił

Post19 maja 2013, 21:45

Kiedy robiłem ten SFC /SCANNOW to złapał gdzieś mniej więcej w połowie ścinę, trwała 10min, dalej nie czekałem, bo najzwyczajniej szkoda mi czasu... Chrome wyczyszczony, a co takiego jest z tymi usługami nie tak, że trzeba coś naprawiać??
Na górę
Awatar użytkownika
kominekl

Ekspert
Posty: 5855
Rejestracja: 27 lis 2011, 14:25
Kontaktowanie:
Skontaktuj się z kominekl

Wirus backdoor powrócił

Post19 maja 2013, 22:03

a co takiego jest z tymi usługami nie tak, że trzeba coś naprawiać??


Jedna jest uszkodzona. Jeśli masz płytę z systemem to po prostu Dostępne tylko dla zarejestrowanych użytkowników i wprowadź w Niej polecenie -> CHKDSK /R.
Kiedy komputery staną się twoim jedynym życiem, jedynym totemem odstraszającym klątwę nudy, wtedy prędzej czy później granica między tymi dwoma wymiarami zniknie i postacie z Błękitnej Pustki zaczną pojawiać się w Realu. Czasem są twoimi przyjaciółmi. A czasem nie.
Na górę
JesteZawirusowany

Użytkownik
Posty: 40
Rejestracja: 28 kwie 2013, 13:45

Wirus backdoor powrócił

Post20 maja 2013, 17:00

Dobra udało się, w konsoli odzyskiwania po zakończeniu tego wyskoczyło, że Usunięto jeden lub więcej błędów cz coś takiego.

Świeżutkie logi - tym razem jakoś szybkie były i nawet chyba zwiechy (tak długiej jak zawsze, bo trwała maksymalnie 20sek.) nie było na "D:\Windows\Fonts" :clap: :clap: :clap:

OTL:

Kod: Zaznacz cały

http://wklej.eu/index.php?id=a3ebea55be

Extras:

Kod: Zaznacz cały

http://wklej.eu/index.php?id=43c7e6998b
Na górę
Awatar użytkownika
kominekl

Ekspert
Posty: 5855
Rejestracja: 27 lis 2011, 14:25
Kontaktowanie:
Skontaktuj się z kominekl

Wirus backdoor powrócił

Post20 maja 2013, 20:21

Logi.


Uruchom OTL -> w oknie Własne opcje skanowania/skrypt wklej:

:OTL

SRV - File not found [Disabled | Stopped] -- C:\WINDOWS\system32\msdtc.exe -- (MSDTC)
O4 - HKLM..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k File not found
[2013-05-04 23:16:16 | 000,000,440 | ---- | M] () -- D:\WINDOWS\System32\drivers\etc\hosts.ics

:Commands
[clearallrestorepoints]
[emptytemp]


Klikasz Wykonaj skrypt. Dajesz log z usuwania. Następnie podaj log z Autoruns.
Kiedy komputery staną się twoim jedynym życiem, jedynym totemem odstraszającym klątwę nudy, wtedy prędzej czy później granica między tymi dwoma wymiarami zniknie i postacie z Błękitnej Pustki zaczną pojawiać się w Realu. Czasem są twoimi przyjaciółmi. A czasem nie.
Na górę
JesteZawirusowany

Użytkownik
Posty: 40
Rejestracja: 28 kwie 2013, 13:45

Wirus backdoor powrócił

Post22 maja 2013, 17:00

Dostępne tylko dla zarejestrowanych użytkowników
Log z usuwnia, za chwilę będzie z AR.

-- 22 maja 2013, 17:00 --

Kod: Zaznacz cały

http://speedy.sh/DketQ/AutoRuns.rar
Na górę
Awatar użytkownika
kominekl

Ekspert
Posty: 5855
Rejestracja: 27 lis 2011, 14:25
Kontaktowanie:
Skontaktuj się z kominekl

Wirus backdoor powrócił

Post22 maja 2013, 21:02

Autoruns.


W trybie awaryjnym, w Autoruns odznacz, a następnie usuń (co się będzie dało):

HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components

Wszystko.


HKCU\SOFTWARE\Microsoft\Internet Explorer\Desktop\Components

Wszystko.


HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects

Wszystko.


HKLM\Software\Microsoft\Internet Explorer\Extensions

Wszystko.


HKLM\System\CurrentControlSet\Services

Wszystko z frazą -> File Not Found.


Następnie podajesz nowe logi z OTL.
Kiedy komputery staną się twoim jedynym życiem, jedynym totemem odstraszającym klątwę nudy, wtedy prędzej czy później granica między tymi dwoma wymiarami zniknie i postacie z Błękitnej Pustki zaczną pojawiać się w Realu. Czasem są twoimi przyjaciółmi. A czasem nie.
Na górę

  • Reklama

Wróć do „Bezpieczeństwo”



Kto jest online

Użytkownicy przeglądający to forum: Obecnie na forum nie ma żadnego zarejestrowanego użytkownika i 1 gość