100% użycie prockapo resecie.wcześniej avira 'rkit/bubnix.s

**Posty:** 9 · przez **86878639** 18 Maj 2010, 02:17

Cześć, na początku chciałbym się przywitać. Mój problem polega na tym ze w pewnym momencie Avira pokazała komunikat:
Virus or unwanted program 'RKIT/Bubnix.S [trojan]'
detected in file 'C:\WINDOWS\system32\drivers\aec.sys.
Dałem opcje Deny Access podobnie jak w przypaku kolejnych plików:
Virus or unwanted program 'BAT/Delfiles.116 [virus]'
detected in file 'C:\WINDOWS\system32\fjhdyfhsn.bat.
Virus or unwanted program 'RKIT/Bubnix.S [trojan]'
detected in file 'C:\WINDOWS\system32\drivers\atmarpc.sys.
Virus or unwanted program 'RKIT/Bubnix.S [trojan]'
detected in file 'C:\WINDOWS\system32\drivers\btnetdrv.sys.
Virus or unwanted program 'RKIT/Bubnix.S [trojan]'
detected in file 'C:\Documents and Settings\Administrator\Ustawienia lokalne\temp\catchme.sys.
Virus or unwanted program 'RKIT/Bubnix.S [trojan]'
detected in file 'C:\WINDOWS\system32\drivers\ccdecode.sys.
Virus or unwanted program 'RKIT/Bubnix.S [trojan]'
detected in file 'C:\WINDOWS\system32\drivers\Cdaudio.sys.
Virus or unwanted program 'RKIT/Bubnix.S [trojan]'
detected in file 'C:\WINDOWS\system32\drivers\Changer.sys.
Virus or unwanted program 'RKIT/Bubnix.S [trojan]'
detected in file 'C:\WINDOWS\system32\drivers\dmusic.sys.
Virus or unwanted program 'RKIT/Bubnix.S [trojan]'
detected in file 'C:\WINDOWS\system32\drivers\drmkaud.sys.
Virus or unwanted program 'RKIT/Bubnix.S [trojan]'
detected in file 'C:\WINDOWS\system32\drivers\i2omgmt.sys.
Virus or unwanted program 'RKIT/Bubnix.S [trojan]'
detected in file 'C:\WINDOWS\system32\drivers\i8042prt.sys.
Wpisalem temat w google i wyskoczył mi link do Waszego forum. Po resecie kompa po użyciu SPTDinst użycie prock wynosi 100 % a po 5-6 min od właczenia muli strasznie.

log gmer: http://www.wklej.org/id/335780/
log otl: http://www.wklej.org/id/335783/
extras: http://www.wklej.org/id/335784/

Z góry dziekuje za pomoc !!! jeszcze mam pytanie czy to cos groźnego bo jestem w trakcie pisania pracy mgr i byłaby lipa jakby cos ją wszamało. Pozdrawiam i dzieki za wyrozumiałość !! ps. mam nadzieje ze logi dobrze zrobione.

**Posty:** 1916 · przez **lamar** 18 Maj 2010, 07:43

Odinstaluj sptd.sys

DRV - [2010-05-18 01:11:23 | 000,691,696 | ---- | M] () [Kernel | Boot | Running] -- C:\WINDOWS\System32\Drivers\sptd.sys -- (sptd)

a następnie daj nowego loga z Gmera.
programy-emulujace-napedy-wazne-vt117886.html.

**Posty:** 4765 · przez **ordynat** 18 Maj 2010, 10:22

1) Ściągnij plik "aec.sys" stąd: http://www.speedyshare.com/files/22495133/aec.sys, i umieść go bezpośrednio na dysku C:\
2) Ściągnij plik "atmarpc.sys" stąd: http://www.speedyshare.com/files/22495151/atmarpc.sys, i umieść go bezpośrednio na dysku C:\
3) Ściągnij plik "cdaudio.sys" stąd: http://www.speedyshare.com/files/22495169/cdaudio.sys, i umieść go bezpośrednio na dysku C:\
4) Ściągnij plik "dmusic.sys" stąd: http://www.speedyshare.com/files/22495180/dmusic.sys, i umieść go bezpośrednio na dysku C:\
5) Ściągnij plik "drmkaud.sys" stąd: http://www.speedyshare.com/files/22495188/drmkaud.sys, i umieść go bezpośrednio na dysku C:\
6) Ściągnij plik "drmkaud.sys" stąd: http://www.speedyshare.com/files/22495204/i8042prt.sys, i umieść go bezpośrednio na dysku C:\
Plików "btnetdrv.sys", "ccdecode.sys" nie mam, więc Ci nie podeślę - zobaczymy, czy nie masz gdzieś ich kopii.
W każdym bądź razie te zarażone pliki będą musiały w końcu być usunięte, bez względu na konsekwencje.

Potem:
Uruchom OTL i w oknie Custom Scans/Fixes wklej to:

:OTL
O4 - Startup: C:\Documents and Settings\Administrator\Menu Start\Programy\Autostart\wwwzuc32.exe ()
[2010-05-18 01:13:24 | 000,008,576 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\dllcache\i2omgmt.sys
[2010-05-18 01:13:24 | 000,008,192 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\drivers\changer.sys
[2010-05-18 01:13:24 | 000,008,192 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\dllcache\changer.sys
[2010-05-17 23:50:57 | 000,000,004 | ---- | M] () -- C:\Documents and Settings\Administrator\Dane aplikacji\avdrn.dat
[2010-05-17 23:51:04 | 000,000,012 | ---- | C] () -- C:\Documents and Settings\NetworkService\Dane aplikacji\qvjsge.dat

:Files
C:\Windows\System32\drivers\aec.sys|C:\aec.sys /replace
C:\Windows\System32\drivers\atmarpc.sys|C:\atmarpc.sys /replace
C:\Windows\System32\drivers\cdaudio.sys|C:\cdaudioc.sys /replace
C:\Windows\System32\drivers\dmusic.sys|C:\dmusic.sys /replace
C:\Windows\System32\drivers\drmkaud.sys|C:\drmkaud.sys /replace
C:\Windows\System32\drivers\i8042prt.sys|C:\i8042prt.sys /replace
C:\Windows\System32\drivers\ccdecode.sys|C:\WINDOWS\ServicePackFiles\i386\ccdecode.sys

:Commands
[emptytemp]
[Reboot]

Kliknij w Run Fix. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij "Run Scan".
Ten nowy log zrób na dodatkowym ustawieniu:
W pole Custom Scans/Fixes wklej:

%systemdrive%\btnetdrv.* /s /md5
%systemdrive%\ccdecode.* /s /md5

i dopiero wtedy kliknij "Run Scan".
Pokaż nowy log OTL.txt oraz raport z usuwania.
.

**Posty:** 9 · przez **86878639** 18 Maj 2010, 17:57

oto nowy log OTL: http://www.wklej.org/id/336108/
raport: http://www.wklej.org/id/336109/

**Posty:** 4765 · przez **ordynat** 18 Maj 2010, 18:10

C:\WINDOWS\system32\drivers\btnetdrv.sys
C:\WINDOWS\system32\drivers\ccdecode.sys

Te pliki nie wyglądają na zarażone, ale sprawdź je na wszelki wypadek na > JOTTI/ albo na VIRUSTOTAL.
Napisz o wynikach.

Podmiana jednego pliku się nie udała, więc:
Uruchom OTL i w oknie Custom Scans/Fixes wklej to:

:OTL
@Alternate Data Stream - 241 bytes -> C:\Documents and Settings\All Users\Dane aplikacji\TEMP:F46D2E85
@Alternate Data Stream - 162 bytes -> C:\Documents and Settings\All Users\Dane aplikacji\TEMP:B3D74A13
@Alternate Data Stream - 121 bytes -> C:\Documents and Settings\All Users\Dane aplikacji\TEMP:182F0EEA

:Files
C:\Windows\System32\drivers\cdaudio.sys|C:\cdaudio.sys /replace

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

:Commands
[Reboot]

Kliknij w Run Fix. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij "Run Scan".
Pokaż nowy log OTL.txt oraz raport z kopiowania.

Nic tu więcej ciekawego nie widzę.
.

**Posty:** 9 · przez **86878639** 18 Maj 2010, 22:14

Dalej jest problem, możliwe, że ja coś źle zrobiłem, logi:

http://wklej.org/id/336366/

http://wklej.org/id/336365/

POMOCY!! PS. Problem polega na tym, że nie mam np. neta wogole i nie mogę przywrócić systemu

**Posty:** 18165 · przez **wojtas** 18 Maj 2010, 22:26

Przeinstaluj sterowniki od płyty głównej do karty sieciowej Marvella...

czy to modyfikowany system ? :

SRV - File not found [Auto | Stopped] -- -- (gusvc)
SRV - File not found [On_Demand | Stopped] -- -- (ClipSrv)
SRV - File not found [On_Demand | Stopped] -- -- (CiSvc)

te skasuj do kosza :

C:\i8042prt.sys
[2010-05-18 17:49:54 | 000,002,944 | ---- | C] (Microsoft Corporation) -- C:\drmkaud.sys
[2010-05-18 17:49:53 | 000,142,464 | ---- | C] (Microsoft Corporation) -- C:\aec.sys
[2010-05-18 17:49:53 | 000,059,904 | ---- | C] (Microsoft Corporation) -- C:\atmarpc.sys
[2010-05-18 17:49:53 | 000,052,864 | ---- | C] (Microsoft Corporation) -- C:\dmusic.sys
[2010-05-18 17:49:53 | 000,018,688 | ---- | C] (Microsoft Corporation) -- C:\cdaudio.sys
[2010-05-18 17:06:32 | 000,053,248 | ---- | C] (Microsoft Corporation) -- C:\Documents and Settings\Administrator\Pulpit\i8042prt.sys
[2010-05-18 17:06:20 | 000,002,944 | ---- | C] (Microsoft Corporation) -- C:\Documents and Settings\Administrator\Pulpit\drmkaud.sys
[2010-05-18 17:06:07 | 000,052,864 | ---- | C] (Microsoft Corporation) -- C:\Documents and Settings\Administrator\Pulpit\dmusic.sys
[2010-05-18 17:05:52 | 000,018,688 | ---- | C] (Microsoft Corporation) -- C:\Documents and Settings\Administrator\Pulpit\cdaudio.sys
[2010-05-18 17:05:38 | 000,059,904 | ---- | C] (Microsoft Corporation) -- C:\Documents and Settings\Administrator\Pulpit\atmarpc.sys
[2010-05-18 17:05:19 | 000,142,464 | ---- | C] (Microsoft Corporation) -- C:\Documents and Settings\Administrator\Pulpit\aec.sys

napisz jeszcze jaki masz problem ? konkretnie

**Posty:** 9 · przez **86878639** 18 Maj 2010, 22:49

W jakim sensie modyfikowany system ??
a konkretnie to wszystko bylo ok poki nie wkleiłem do OTL'a informacji z ostatniego posta ktoW jakim sensie modyfikowany system ktory zniknoł. wiem ze to dziwnie brzmi ale tak mi sie wydaje. po wkejeniu tego
:OTL
@Alternate Data Stream - 241 bytes -> C:\Documents and Settings\All Users\Dane aplikacji\TEMP:F46D2E85
@Alternate Data Stream - 162 bytes -> C:\Documents and Settings\All Users\Dane aplikacji\TEMP:B3D74A13
@Alternate Data Stream - 121 bytes -> C:\Documents and Settings\All Users\Dane aplikacji\TEMP:182F0EEA

:Files
C:\Windows\System32\drivers\cdaudio.sys|C:\cdaudio.sys /replace

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

:Commands
[Reboot]

było ok. potem wkleiłem cos jeszcze co bylo opisane i reset. po właczeniu net nie dziala no i chcialem przywrócic system i opcja jest nieaktywna (dni sa nieaktywne).

Usunołem te pliki a sterowników nie ma ;/

Dodano Dzisiaj, 22:06:
Ok. z netem dałem rade jednak. znalazłem płytę ze sterownikami. coś jeszcze mam wgrywać ?? czy już wszystko jest ok ??

Dodano Dzisiaj, 22:07:
w sensie czy po logach coś czy już sie pozbyłem dzieki Wam tego bubla

**Posty:** 4765 · przez **ordynat** 18 Maj 2010, 23:16

Netu nie miałeś, bo po moim Scripcie był jeszcze inny Script, w którym pomyłkowo znalazł się plik odpowiedzialny za połączenie z netem. Script został wycofany, ale chyba zdążyłeś go użyć, skoro wynikł problem?

O32 - AutoRun File - [2010-05-05 11:13:40 | 000,000,718 | ---- | M] () - J:\autorun.inf -- [ FAT32 ]
O33 - MountPoints2\{12051187-e63f-11de-ac0f-00112fe459a7}\Shell\AutoRun\command - "" = J:\GLEDAJU//topimse.exe -- [2010-03-30 07:53:36 | 000,110,592 | RHS- | M] ()
O33 - MountPoints2\{12051187-e63f-11de-ac0f-00112fe459a7}\Shell\open\command - "" = J:\GLEDAJU//topimse.exe -- [2010-03-30 07:53:36 | 000,110,592 | RHS- | M] ()

Znasz te?

EDIT:
Jeśli nie znasz, to zrobisz to:
Uruchom OTL i w oknie Custom Scans/Fixes wklej to:

:OTL
O32 - AutoRun File - [2010-05-05 11:13:40 | 000,000,718 | ---- | M] () - J:\autorun.inf -- [ FAT32 ]
O33 - MountPoints2\{12051187-e63f-11de-ac0f-00112fe459a7}\Shell\AutoRun\command - "" = J:\GLEDAJU//topimse.exe -- [2010-03-30 07:53:36 | 000,110,592 | RHS- | M] ()
O33 - MountPoints2\{12051187-e63f-11de-ac0f-00112fe459a7}\Shell\open\command - "" = J:\GLEDAJU//topimse.exe -- [2010-03-30 07:53:36 | 000,110,592 | RHS- | M] ()

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

:Commands
[Reboot]

Kliknij w Run Fix. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij "Run Scan".
Pokaż nowy log OTL.txt oraz raport z usuwania.

Poza tym użyj >MBAM http://www.programosy.pl/program,malwarebytes-anti-malware.html
Co wykryje - usuwa, a raport tu dasz.
.

**Posty:** 18165 · przez **wojtas** 18 Maj 2010, 23:30

wydaje mi się że to może być coś związanego z infekcją z pendriva... :

Przy podpiętym urządzeniu przenośnym, uruchom USBFix z opcji 5 i pokaż raport na forum.

**Posty:** 9 · przez **86878639** 18 Maj 2010, 23:51

OTL log: http://www.wklej.org/id/336416/
USBFix log: http://www.wklej.org/id/336422/
mbam log: http://www.wklej.org/id/336433/

Dodano Dzisiaj, 22:55:
jest jeszcze jeden dziwny motyw. mam na pulpicie ikonę o nazwie "pozuda" i wygląda jak ukryty kosz. tak ma byc ?? czy co to jest ??

**Posty:** 18165 · przez **wojtas** 19 Maj 2010, 18:58

86878639 napisał(a):pozuda" i wygląda jak ukryty kosz

skasuj go ^
przy podpiętych urządzeniach Uruchom OTL i w oknie Custom Scans/Fixes wklej :

:OTL

:Files
C:\Qoobox
C:\RECYCLER
D:\RECYCLER
E:\RECYCLER
J:\SLATKO
J:\CAROBNJAK
J:\GLEDAJU

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

:Commands
[emptytemp]

Kliknij w Run Fix. I potwierdź reset komputera .

Następnie uruchamiasz OTL z opcją Run Scan. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia komputera + log z USBFIXA

**Posty:** 9 · przez **86878639** 19 Maj 2010, 20:32

witam, ponownie jest problem z tym trojanem. juz wiem z jakiej stronki sie ładuje bo po wejsciu na nia Avira znowu zaczeła wariować.
C:\WINDOWS\system32\drivers\aec.sys
C:\WINDOWS\system32\fjhdyfhsn.bat
C:\WINDOWS\system32\drivers\atmarpc.sys
C:\WINDOWS\system32\drivers\btnetdrv.sys
C:\Documents and Settings\Administrator\Ustawienia lokalne\temp\catchme.sys
C:\WINDOWS\system32\drivers\ccdecode.sys
C:\WINDOWS\system32\drivers\Cdaudio.sys
C:\WINDOWS\system32\drivers\Changer.sys
C:\WINDOWS\system32\drivers\dmusic.sys
C:\WINDOWS\system32\drivers\drmkaud.sys
C:\WINDOWS\system32\drivers\i8042prt.sys
C:\WINDOWS\system32\drivers\ip6fw.sys
C:\WINDOWS\system32\drivers\ipfltdrv.sys
C:\WINDOWS\system32\drivers\ipinip.sys
C:\WINDOWS\system32\drivers\irenum.sys
Te pliki poleciały.
log OTL: http://wklej.org/id/336883/

Dodano Dzisiaj, 19:40:
nowy log OTL ze wszystkimi opcjami zaznaczonymi: http://wklej.org/id/336886/
OTL extras: http://wklej.org/id/336891/

**Posty:** 18165 · przez **wojtas** 19 Maj 2010, 20:46

Daj loga z Combofixa + Gmer

**Posty:** 9 · przez **86878639** 19 Maj 2010, 23:26

log Combofix: http://wklej.org/id/337031/
log Gmer: http://www.wklej.org/id/337034/
przy skanie combofixu i resecie pojawił sie niebieski ekran z błedem pliku dałem zeby uruchomił na ostatnich dobrych ustawieniach i poszlo

**Posty:** 18165 · przez **wojtas** 20 Maj 2010, 09:28

te plik/i :

c:\windows\system32\drivers\Cdaudio.sys
c:\windows\system32\drivers\i8042prt.sys
c:\windows\system32\drivers\i2omgmt.sys

przeskanuj tu
http://virusscan.jotti.org/
http://www.virustotal.com/

i daj raporty ze skanow

Otworz notatnik i wklej w nim to:

File::
c:\windows\system32\drivers\lbrtfdc.sys
c:\windows\system32\dllcache\lbrtfdc.sys
c:\windows\system32\drivers\changer.sys
c:\windows\system32\dllcache\changer.sys
c:\windows\system32\drivers\rkvynht.sys

Driver::
rkvynhts

>>Plik>>Zapisz jako... >>> CFScript
Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe
-->

Rozpocznie się usuwanie i powstanie log daj go. + raporty ze skanów

**Posty:** 9 · przez **86878639** 20 Maj 2010, 13:03

log z Combofixa po operacji: http://www.wklej.org/id/337213/
Nie udało mi sie wygenerwoac loga z http://virusscan.jotti.org/ ale on nic nie znalazł.
http://www.virustotal.com/
log:http://www.wklej.org/id/337211/
http://www.wklej.org/id/337214/
http://www.wklej.org/id/337215/

**Posty:** 18165 · przez **wojtas** 20 Maj 2010, 13:46

Otworz notatnik i wklej w nim to:

File::
c:\documents and settings\NetworkService\Dane aplikacji\qvjsge.dat

>>Plik>>Zapisz jako... >>> CFScript
Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe
-->

Rozpocznie się usuwanie i powstanie log daj go.
Na dysku Masz Malwarebytes zrób aktualizację , przeskanuj , usuń co znajdzie i pokaż też raport z niego

**Posty:** 9 · przez **86878639** 20 Maj 2010, 17:53

log Combofix po operacji: http://www.wklej.org/id/337348/
log mbam: http://www.wklej.org/id/337352/

**Posty:** 18165 · przez **wojtas** 20 Maj 2010, 20:44

wydaje się być czysto

Kto jest na forum