Wyskakująca niechciana reklama pod ie

[tenzin]

Witam,
Pracuję pod firefoxem, ale co jakiś czas wyskakuje reklama pod IE.

Nie wygenerowałem loga OTL, nie można go ściągnąć z podanej strony, wyskakuje błąd.

GMER początkowy:

Kod: Zaznacz wszystko

GMER 1.0.15.15281 - http://www.gmer.net
Rootkit quick scan 2010-07-20 16:49:45
Windows 5.1.2600 Dodatek Service Pack 2
Running: 12ksn6cm.exe; Driver: C:\DOCUME~1\x\USTAWI~1\Temp\pxtdipow.sys


---- Devices - GMER 1.0.15 ----

AttachedDevice  \FileSystem\Ntfs \Ntfs    InCDrec.SYS (InCD File System Recognizer/Nero AG)
AttachedDevice  \FileSystem\Fastfat \Fat  InCDrec.SYS (InCD File System Recognizer/Nero AG)

---- EOF - GMER 1.0.15 ----


GMER właściwy

Kod: Zaznacz wszystko

GMER 1.0.15.15281 - http://www.gmer.net
Rootkit scan 2010-07-21 10:37:06
Windows 5.1.2600 Dodatek Service Pack 2
Running: 12ksn6cm.exe; Driver: C:\DOCUME~1\x\USTAWI~1\Temp\pxtdipow.sys


---- Kernel code sections - GMER 1.0.15 ----

.text           C:\WINDOWS\system32\DRIVERS\nv4_mini.sys                                   section is writeable [0xF7C6F360, 0x24BB1D, 0xE8000020]
pnidata         C:\WINDOWS\System32\DRIVERS\secdrv.sys                                     unknown last section [0xB9AEDF00, 0x24000, 0x48000000]

---- User code sections - GMER 1.0.15 ----

.text           D:\Programy\Firefox2\firefox.exe[2740] ntdll.dll!LdrLoadDll                7C9161CA 5 Bytes  JMP 004013F0 D:\Programy\Firefox2\firefox.exe (Firefox/Mozilla Corporation)
.text           D:\Programy\Firefox2\plugin-container.exe[3236] USER32.dll!TrackPopupMenu  77D84F16 5 Bytes  JMP 104505FE D:\Programy\Firefox2\xul.dll (Mozilla Foundation)

---- Devices - GMER 1.0.15 ----

AttachedDevice  \FileSystem\Ntfs \Ntfs                                                     InCDrec.SYS (InCD File System Recognizer/Nero AG)
AttachedDevice  \Driver\Ftdisk \Device\HarddiskVolume1                                     snapman.sys (Acronis Snapshot API/Acronis)
AttachedDevice  \Driver\Ftdisk \Device\HarddiskVolume2                                     snapman.sys (Acronis Snapshot API/Acronis)
AttachedDevice  \FileSystem\Fastfat \Fat                                                   InCDrec.SYS (InCD File System Recognizer/Nero AG)

---- EOF - GMER 1.0.15 ----


DDS
http://wklej.org/id/367097/

Attach
http://wklej.org/id/367098/

RSIT
http://wklej.org/id/367099/
Pozdrawiam,

[NieWiem]

DDS albo RSIT wystarczy, ale...

Odpalanie naraz programów do tworzenia raportów kończy się tym, że RSIT wylistował gmera jako rootkita. Pamiętaj o tym, gdy następnym razem będziesz logi generował. Ma być najpierw jeden program, potem drugi.

Infekcja oczywiście jest. Użyjemy ComboFixa.

= = = = = C O M B O F I X = = = = =

Zamknij wszystko nad czym aktualnie pracujesz, także wyłącz swój program antywirusowy, zaporę, programy antyspyware. To ważne. Jak to zrobić, opisane tutaj.
Pamiętaj także o wyinstalowaniu wirtualnych napędów i usunięciu ich sterownika: klik

Pobierz ComboFixa od sUBs'a:
stąd lub stąd

ZANIM UŻYJESZ - Przeczytaj dokładnie jego instrukcję:
http://www.bleepingcomputer.com/combofix/pl/instrukcja-uzycia-combofix

Zalecam instalowanie Konsoli Odzyskiwania (XP, 2000), lub zaopatrzenie się w płytę WinRE (Vista, Se7en). Mimo wszystko ComboFix nie jest doskonały.

Przeklej na forum wyniki pracy narzędzia. Będą automatycznie otwarte w notatniku, znajdziesz je także w pliku C:\ComboFix.txt

[tenzin]

Dzięki za odpowiedź.
Win32:Sality, słowo honoru uruchomiłem je jeden po drugim. Nie wiem skąd taka sytuacja.

Combofix:
http://wklej.org/id/367296/

Pozdrawiam,

[NieWiem]

Czy reklama się dalej pojawia?

Wklej do notatnika:

Kod: Zaznacz wszystko

FILE::
c:\documents and settings\x\Menu Start\Programy\Autostart\ukssys32.exe

FOLDER::
C:\rsit

REGISTRY::
[-HKLM\~\startupfolder\C:^Documents and Settings^x^Menu Start^Programy^Autostart^ukssys32.exe]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
"RTHDBPL"=-

DIRLOOK::
c:\documents and settings\All Users\Dane aplikacji\NOS


Zapisz jako -> CFScript.txt i przeciągnij plik na ikonę ComboFixa. Wklej wynikowy raport.


Potem:

= = = = = O T S = = = = =

Pobierz OTS od OldTimera na pulpit:

stąd lub stąd lub stąd

Uruchom program z dwu-kliku ( użytkownicy Windows Vista i Windows Se7en - PPM na ikonę programu -> Uruchom jako Administrator )
Po pojawieniu się głównego okna programu, zaznacz u góry Scan All Users, nad prawym dolnym oknem kliknij w Extras.
Wklej to co poniżej do dolnego okienka o nazwie Custom Scans/Fixes

Kod: Zaznacz wszystko

netsvcs



Zamknij wszystkie programy z których obecnie korzystasz np. gadu-gadu, przeglądarka internetowa, gry itd... Kliknij Run Scan i czekaj aż program zakończy swoje działanie, nie uruchamiaj w tym czasie żadnych aplikacji.

Log OTS.txt zostanie automatycznie otwarty, skopiuj i wklej na stronę http://www.wklej.org lub bezpośrednio do posta

[tenzin]

Nie zauważyłem żeby reklama ponownie wyskoczyła.
Combofix (wersja zaktualizowana)
http://wklej.org/id/367388/

Niestety nie udało mi się uruchomić OTS - po kliknięciu na ikonę programu pojawia się czarny ekran i mrugający kursor.

[NieWiem]

Pobierz w takim razie nowego RSITa i wklej nowe logi (obydwa!)

[tenzin]

Ktoś wie, skąd ściągnąć najnowszego RSITA?, szukałem w Internecie, również na searchengines - tam też nie ma.

Mam RSITA w wersji 3.3.2.0 czy ta wersja wystarczy?
Pozdrawiam,

[wojtas]

to jest do najnowszej wersji:

http://images.malwareremoval.com/random/RSIT.exe

[tenzin]

Dzięki Wojtas!

Zastanawia mnie, wymieniony w logu proces: "C:\Program Files\trend micro\x.exe" Nie mam pojęcia skąd to się wzięło.

Log:
http://wklej.org/id/368115/
Info:
http://wklej.org/id/368116/

Pozdrawiam,

[Andziorka]

Plik pochodzi od programu Hijackthis.

[tenzin]

Hej,
Czy Ktoś, mógłby rzucić okiem na ostatni log i powiedzieć czy to koniec i co dalej?
Pozdrawiam,

[wojtas]

skasuj :

2010-07-24 17:18:53 ----D---- C:\rsit
2010-07-22 10:52:20 ----SHD---- C:\RECYCLER
2010-07-21 22:31:29 ----A---- C:\ComboFix.txt
2010-07-21 18:54:37 ----A---- C:\WINDOWS\zip.exe
2010-07-21 18:54:37 ----A---- C:\WINDOWS\SWXCACLS.exe
2010-07-21 18:54:37 ----A---- C:\WINDOWS\SWSC.exe
2010-07-21 18:54:37 ----A---- C:\WINDOWS\SWREG.exe
2010-07-21 18:54:37 ----A---- C:\WINDOWS\sed.exe
2010-07-21 18:54:37 ----A---- C:\WINDOWS\PEV.exe
2010-07-21 18:54:37 ----A---- C:\WINDOWS\NIRCMD.exe
2010-07-21 18:54:37 ----A---- C:\WINDOWS\MBR.exe
2010-07-21 18:54:37 ----A---- C:\WINDOWS\grep.exe
2010-07-21 18:54:23 ----D---- C:\Qoobox
2010-07-21 12:06:53 ----D---- C:\Program Files\trend micro

i bedzie ok

[tenzin]

Ręcznie, wystarczy? czy jakoś programowo?. Laik jestem, więc wolę dopytać.
Pozdrawiam,

[Andziorka]

Możesz ręcznie.