Herss.exe

[Lisu63]

Witam.
6 dni temu formatowalem dysk C. Od tego czasu mam problemy z komputerem. Avast wyszukiwal mi zarazony plik o nazwie:
0fpdq2dw.exe
na posczegolnych dyskach (po kolei na kazdym). Kwarantanna oraz usuwanie nie przynosilo zadnych efektow. Poczytalem o tym na roznych forach i wszystko wskazywalo ze jest to trojan przenoszony przez pendrive. Nie moglem otwierac dyskow, nie moglem rowniez w narzedziach folderowych zaznaczyc opcji by ogladac ukryte pliki.

Dzisiejsze skanowanie avastem wyszukalo rowniez zlosliwy plik herss.exe.

Znalazlem tu podobny temat,w ktorym zalecono by pobrac OTL. Zamieszczam tu wynik jego pracy:

http://www.wklej.org/id/271480/

Nie jestem zbytnio obeznany w temacie wiec prosze o pomoc (im dokladniejsza tym lepiej )
Co zrobic dalej, majac pliki z OTL'a i co z prawdopodobnie zarazonym pendrivem.

[wojtas]

Uruchom OTL i w oknie Custom Scans/Fixes wklej :

:OTL
IE - HKU\S-1-5-21-796845957-839522115-1708537768-1003\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://www.ask.com?o=15161&l=dis
O2 - BHO: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll (Ask.com)
O3 - HKLM\..\Toolbar: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll (Ask.com)
O3 - HKU\S-1-5-21-796845957-839522115-1708537768-1003\..\Toolbar\WebBrowser: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll (Ask.com)
O4 - HKLM..\Run: [Cmaudio] File not found
O32 - AutoRun File - [2010-01-30 22:12:36 | 000,000,057 | RHS- | M] () - C:\autorun.inf -- [ NTFS ]
O32 - AutoRun File - [2010-01-30 22:12:36 | 000,000,057 | RHS- | M] () - D:\autorun.inf -- [ NTFS ]
O32 - AutoRun File - [2010-01-30 22:12:37 | 000,000,057 | RHS- | M] () - E:\autorun.inf -- [ NTFS ]
O32 - AutoRun File - [2007-12-11 19:32:24 | 000,000,000 | ---D | M] - F:\Automap -- [ NTFS ]
O32 - AutoRun File - [2010-01-30 22:12:37 | 000,000,057 | RHS- | M] () - F:\autorun.inf -- [ NTFS ]
O33 - MountPoints2\{60c4f260-0bf6-11df-a015-000e50103915}\Shell\AutoRun\command - "" = H:\y.exe -- File not found
O33 - MountPoints2\{60c4f260-0bf6-11df-a015-000e50103915}\Shell\open\Command - "" = H:\y.exe -- File not found

:Files
C:\WINDOWS\tasks\Scheduled Update for Ask Toolbar.job
C:\Program Files\Ask.com
C:\Documents and Settings\Lisu\Dane aplikacji\Mozilla\Firefox\Profiles\cr19986w.default\extensions\toolbar@ask.com
C:\Documents and Settings\Lisu\Ustawienia lokalne\Dane aplikacji\AskToolbar
C:\1hqup.exe
C:\autorun.inf
d:\1hqup.exe
d:\autorun.inf
e:\1hqup.exe
e:\autorun.inf
f:\1hqup.exe
f:\autorun.inf

:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"SuperHidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"Hidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"ShowSuperHidden"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
@=""

:Commands
[emptytemp]

Kliknij w Run Fix. I potwierdz reset kompa .

Następnie uruchamiasz OTL z opcją Run Scan. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia komputera

Autor postu otrzymał pochwałę

[Lisu63]

Po Run fix komputer nie chcial sie sam wylaczyc. Czekalem 20 min i wkoncu sam go zresetowalem.

Oto raport czyszczenia
http://wklej.org/id/271527/

i nowy log OTL'a
http://wklej.org/id/271534/

[NieWiem]

Jakiś dziwne sterownikowe usługi widzę jeszcze... No i trochę pozostałości.

• Przeczytaj uważnie instrukcję programu ComboFix[b], po czym wyłącz swój program antywirusowy, firewall i inne programy, które mogą zakłócać nawet pobieranie ComboFixa twierdząc, że jest wirusem. [b]Nie jest! Spokojnie go ściągnij i zapisz na pulpicie.
• Pobierz z któregoś poniższego linku:
  • LINK #1
  • LINK #2
• Pozamykaj wszystkie otwarte okna, komunikatory, programy. ComboFixowi nie powinno sie przeszkadzać.
• Uruchom program z dwukliku (VISTA: prawoklik i 'uruchom jako administrator').
• Pozwól mu spokojnie działać, nie klikaj ani nie stukaj w klawiaturę - to może spwodować zawieszenie się komputera.
• Zalecane jest też instalowanie konsoli odzyskiwania, jeśli ComboFix o nią poprosi. Dzięki niej można odrolować zmiany w przypadku pomyłki narzędzia.
• Jeśli będzie potrzeba - zgódź się na restart.
• Kiedy program skończy, wytworzy loga (będzie on także w pliku C:\ComboFix.txt), którego wklej w odpowiedzi, pamiętając o tagach [code] lub na http://www.wklej.org.

Autor postu otrzymał pochwałę

[Lisu63]

Zamieszczam log wygenerowany combofixem:
http://www.wklej.org/id/271845/

Od czasu uzycia combofixa albo mam problemy z polaczeniem sie z internetem albo lacze sie ale nie moge otworzyc strony internetowej.

[wojtas]

wykonaj jeszcze raz nowy log z OTL

[Lisu63]

Nowy log z OTL'a

plik OTL:
http://wklej.org/id/272028/

plik extras:
http://wklej.org/id/272029/

[wojtas]

w logach nic nie widać .. przeinstaluj sterowniki od urządzenia od neta

[Lisu63]

Ok zaraz to zrobie.

Caly czas pojawia mi sie tez problem z Generic Host Process for Win32 Services

[wojtas]

blad-generic-host-process-for-win32-services-vt79489.html

[Lisu63]

ponownie zainstalowalem oprogramowanie polaczenia internetowego
net dziala ale zamula

wlasnie w tym momencie avast wykryl mi kolejnego robaka: Win32:Malware-gen

A internet znow nie chce sie laczyc...

[Okocza]

Lisu63, daj log z Combofix

[Lisu63]

Windows Worms Doors Cleaner pobrany i porty poblokowane... Ale z komputerem nadal lipa

Mam jeszcze raz uzyc ComboFixa?

[Okocza]

Lisu63, Tak. Nowy log wygeneruj.

[Lisu63]

Nowy log z combofixa:

http://wklej.org/id/272510/

[Okocza]

Log jest czysty... Nic nie widać... Użyj Dr web cure it...

http://www.freedrweb.pl/

Autor postu otrzymał pochwałę

[Lisu63]

Ok juz dzialam w tej kwestii

Mam tylko pytanie czy to pendrive mogl byc przyczyna infekcji?
Jesli tak to co z nim zrobic? Bo nie chcialbym ponownie zainfekowac komputera podczas podlaczania

[Okocza]

Tego typu raczej nie, ale różnie to bywa.

Sformatuj wszystkie pamięci flash jakie masz w domu, pendrive, karty pamięci itp...

[Lisu63]

Witam, nie pisalem od razu bo chcialem troszke dluzej poobserwowac prace komputera.

Poki co wszystko dziala bez zarzutow dziekuje wszystkim za pomoc.