Infekcja adresu ip - logi otl i gmer i prośba o pomoc

[Niemieto]

Wszedłem na strone IPVoid (hmm nad skanerem był kogoś adres IP, nie mój, ale ok) Wkleiłem w pasek skanu swój ip i skanery CBL_AbuseAt i Spamhaus wsakazały (skanerów było 37) że jestem zarażony jakimś botnetem czy cbl'em, Pokaże wam screeny. z raportów
(Pierwszy screen w dwóch połówkach)
Cz.1 http://naforum.zapodaj.net/519d5391a631.png.html
Cz. 2 http://naforum.zapodaj.net/b95302670819.png.html
A tu kolejny http://naforum.zapodaj.net/4e83d997aa33.png.html
W ogóle tych treści opisujących mój problem było tyle że najwieksza polska lektura jest krótsza.
Oprócz treści w screenach pisało też coś po kliknieciu w pewien odnosnik, że

UWAGA!, Jeśli jesteś na tej stronie, ponieważ Twój e-mail jest zablokowany lub Twoje IP jest na liście, jesteś po złej stronie. I że na poczte mam jakiś włam

bla bla bla.... I jeszcze w następnym odnośniku coś o rejestracji, ale to bym waz zamęczył jakbym wam to wszystko dał. Myślę że te screeny wam wystarczą aby mi pomóc. PS. Później wpisałem w google "zarażenie botnet" i i przeczytałem nie pamiętam jaka to była strona aby przeskanować komputer na specjalnej stronie dns-changer.eu i tam wyszło że mam czystego kompa. Co mam zrobić aby usunąć infekcje? Kliknąć na ten duży niebieski link na drugim screenie ? Serio, nie jest mi do śmiechu. Mam nadzieje że zrozumiecie tłumaczenie. Jak coś to moge dać screeny z orginalną (angielską) pisownia. Jeszcze na stronie cbl nie jestem pewien, ale chyba odnalazłem jakąś lekturę jak usunąć tego botneta czy coś, może się przyda, nie wiem http://cbl.abuseat.org/advanced.html Skanowałem jednym z programów który radzi ta strona - programem Microsoft Windows Malicious Software Removal nic nie wykrył. Systematycznie skanuje kompa mbamem i avastem i nigdy nic nie wykrywają. Sprawa jest na tyle poważniejsza że na dwóch kompach mam to samo ip, więc musiałby ktoś sprawdzić logi z dwóch kompów chyba, ale moze nie wszystko na raz. Na razie prosze o pomoc z pierwszym kompem. A oto logi otl i gmer, dodam coś jeszcze jeśli będzie trzeba.
OTL.TXT http://wklej.org/id/758786/
EXTRAS.TXT http://wklej.org/id/758788/
GMER http://wklej.org/id/758790/

[exe98]

fwndrkoc.sys - to może byc ten syf. Jeżeli masz możliwosc to przeskanuj komputer Dr.Web CureIt! najlepiej z botowalnego windowsa PE. (xp w Hiren's BootCD 15.1)

[Niemieto]

Nie wiem o co chodzi za bardzo z tym bootowaniem, bo nigdy żadnego progsu nie uruchamiałem pod taki tryb. Nie mam też żadnych czystych płytek ani pendrive a wyczytałem że tego trzeba do takiego zabiegu tak? bo jeśli tak to to odpada. Nie mógłbym dr webem przeskanować w normalnym trybie? bo rozumiem że chyba hirensa można tylko i wyłącznie uruchomic na bootowaniu, ale dr web chyba może być uruchomiony normalnie hmm? Z resztą wiele razy tak właśnie skanowałem nim kompa juz wcześniej

[wojtas]

nie wiem gdzie Ty wszedłeś, ale nie widać aby system był zainfekowany...

nie wiem na jakie Ty strony zacząłeś wchodzić, po co ? nic z tego tekstu nie zrozumiałem ? jakieś podejrzane te strony są

[Niemieto]

Wszedłem na jakąś strone skanującą strony www bo virustotal miał przeciążenie a ja musiałem adres pewnej fotki przeskanować. I na tej stronie były różne inne strony do skanowania np poczty, folderów, i właśnie m.in ip. Wszedłem na ten od ip bo nmigdy nie skanowałem swojego adresu iu z czystej ciekawosci przeskanowałem. Wykazało że niby jestem czymś zarażony, co pokazałem na screenach i nie wiem co teraz robić - format czy co? klikać w ten wielki niebieski link w screenie cz. 2 o skreśleniu z listy czy co? Chciałem przeskanować na virustotal plik fwndrkoc.sys ale wyskakuje monit "nie mozna odnaleźć określonego pliku lub wpisana nazwa jest niepoprawna", windowsowa wyszukiwarka też go nie znajduje. Dużo osób mi mówiło że mam zarażony program pocztowy i wysyła spam i dlatego znalazłem sie na tej liście cbl. Jeszcze dodam że 2 dni temu miałem ekran śmierci, ale zapomniałem dodać, dzisiaj znowu się jakiś pojawił. Oto raporty z debugging tools for windows

Minidump

Kod: Zaznacz wszystko

Microsoft (R) Windows Debugger  Version 6.6.0003.5
Copyright (c) Microsoft Corporation. All rights reserved.


Loading Dump File [C:\WINDOWS\Minidump\Mini052312-01.dmp]
Mini Kernel Dump File: Only registers and stack trace are available

Symbol search path is: srv*c:\symbols*http://msdl.microsoft.com/download/symbols
Executable search path is:
Windows XP Kernel Version 2600 (Service Pack 3) UP Free x86 compatible
Product: WinNt
Built by: 2600.xpsp_sp3_gdr.120411-1615
Kernel base = 0x804d7000 PsLoadedModuleList = 0x805540c0
Debug session time: Wed May 23 17:28:59.171 2012 (GMT+2)
System Uptime: 0 days 0:01:38.251
Loading Kernel Symbols
...................................................................................................................
Loading User Symbols
Loading unloaded module list
........
*******************************************************************************
*                                                                             *
*                        Bugcheck Analysis                                    *
*                                                                             *
*******************************************************************************

Use !analyze -v to get detailed debugging information.

BugCheck D1, {72, 2, 1, f743ee67}

Unable to load image \SystemRoot\system32\DRIVERS\Rtnicxp.sys, Win32 error 2
*** WARNING: Unable to verify timestamp for Rtnicxp.sys
*** ERROR: Module load completed but symbols could not be loaded for Rtnicxp.sys
Probably caused by : Rtnicxp.sys ( Rtnicxp+e67 )

Followup: MachineOwner
---------

MEMORY.DMP

Kod: Zaznacz wszystko

Microsoft (R) Windows Debugger  Version 6.6.0003.5
Copyright (c) Microsoft Corporation. All rights reserved.


Loading Dump File [C:\WINDOWS\MEMORY.DMP]
Kernel Summary Dump File: Only kernel address space is available

Symbol search path is: srv*c:\symbols*http://msdl.microsoft.com/download/symbols
Executable search path is:
Windows XP Kernel Version 2600 (Service Pack 3) UP Free x86 compatible
Product: WinNt, suite: TerminalServer SingleUserTS Personal
Built by: 2600.xpsp_sp3_gdr.120411-1615
Kernel base = 0x804d7000 PsLoadedModuleList = 0x805540c0
Debug session time: Wed May 23 17:28:59.171 2012 (GMT+2)
System Uptime: 0 days 0:01:38.251
Loading Kernel Symbols
...................................................................................................................
Loading User Symbols
PEB is paged out (Peb.Ldr = 7ffd700c).  Type ".hh dbgerr001" for details
Loading unloaded module list
........
*******************************************************************************
*                                                                             *
*                        Bugcheck Analysis                                    *
*                                                                             *
*******************************************************************************

Use !analyze -v to get detailed debugging information.

BugCheck D1, {72, 2, 1, f743ee67}

*** ERROR: Module load completed but symbols could not be loaded for Rtnicxp.sys
Probably caused by : Rtnicxp.sys ( Rtnicxp+e67 )

Followup: MachineOwner
---------

[exe98]

Bsod dotyczy sterownika Realtek Semiconductor. Przeskanuj komputer jeszcze oprogramowaniem Kaspersky Antivirus i Avira AntiVir Personal ( najlepsza wykrywalnosc). Zaktualizuj oprogramowanie, system. (na MAC-u winna byla luka w Javie). Formatowanie to ostateczność.

[Niemieto]

Jak naprawić ten błąd sterownika aby nie występował już więcej jakby co Skanowałem poczte pandą online, nie wykryła żadnej infekcji. Słyszałem że nie powinno się mieć dwóch AV na kompie więc jak przeskanowac tym http://www.programosy.pl/program,kaspersky.html kompa skoro mam już avasta free? Najważniejsze aktualizacje systemu aktualizują mi sie same, jedynie w niestandardowych/ręcznych aktualizacjach mam takie propozycje do aktualizacji, ale sam nie wiem co instalować a co nie warto... http://naforum.zapodaj.net/fb04a7344aab.png.html i http://naforum.zapodaj.net/fa7ff149b723.png.html A jeżeli chodzi ci o co inną , inne aktualizacje , to napisałbyś czym albo co i jak zaktualizować? PS (na MAC-u winna byla luka w Javie) ? - nie zrozumiałem, mam xp

[exe98]

Sorry ale avast jest do dupy (używalem jakiś czas). Zawsze możesz odinstalować i zainstalować go spowrotem. Poprostu przeskanuj wszystkie komputery kasperskim i avirą. Jak nic nie znajdą to z tym botnetem to ściema. Co do mac-a na chip.pl był artykuł o sieci botnetu na komuterach mac spowodowanej przez luki w systemie, javie itd. ogólnie starych programach. Dlatego napisałem zeby zaktualizować. Z windowsem podobnie.


Off-topic
Dr.WEB CureIt! - specjalizuje sie w usuwaniu tego typu syfu. Odpalajac go z botowalnej płyty nie ma możliwosci aby mogł zostac zarażony. W hirens boot jest wiele narzedzi do usuwania trojanów , wirusów itd. np. Avira. Sam taki sposób usuwam syf i nie mam problemów.(od dawna niczym nie zarazilem kompa)
Teraz mam tylko firewalla (Privatefirewall 7.0.27.1). LOLZ
Comodo blokowal mi VMware Workstation (sterownik choć wył. defense). LOLZ

[Niemieto]

Ok, zaraz odinstaluje avasta i przetestuje kasperskiego. Jakim programem najlepiej zaktualizować programy na kompie? bo niestandardowych/ręcznych aktualizacji z windows update nie będę, nie wiem które są potrzebne, z resztą stale pobiera mi komp wszystkie krytyczne aktualizacje. Dalej apropo aktualizacji to powiem, że w firefoxie po sprawdzeniu aktualności wtyczek wyszło w rezultacie że mam nieaktualną "shockwave for director" (ale shockwave później sobie zreinstaluje. Ręcznie musiałem sprawdzić aktualność "mircosoft drm", "picasa" i "windows presentation foundation" Nie wiem skąd pobrać nowe wersje tych trzech a najważniejsze jest to, że "windows presentation foundation" okazała się w googlach bardzo niebezpieczną wtyczką

Dodano Dzisiaj, 01:55:
Zakończyłem kasperskim skan na pierwszym kompie (na drugim na szczęście nie instalowałem) wykrył na starcie aplikacje nexus dock jako podejrzane zachowanie i że jest zagrożenie z jej strony . Przeskanowałem na virustotal, było kilka "failed scan" i "skrypt przestał odpowiadać" ale udało sie przeskanować wszystkie pliczki i nie potwierdiło sie ostrzenie kaspera skanery na jotti tez nie potwierdziły żadnego syfu. Później zapuściłem skan na obecność luk, wykrył 12 jakiś pseudoluk. Nastepnie oficjalny skan kompa i nie wykrył żadnych infekcji. I nie wiem co robić ale piękny.. kasperek zawiesił mi po wszystkim kompa na amen. Nic nie moge uruchomic - żadnych progsów, nic, nawet przywracania systemu w trybie awaryjnym Jak mam to teraz naprawić? nawet nie piszcie że format PS drugiego kompa przeskanowałem testową wersją eseta nod32 - 0 wykrytych zagrożeń (nie chciał tylko przeskanować hiberfil.sys i pagefile.sys - nie można otworzyć obiektu, może być używany przez inną aplikacje lub system) chociaz jeszcze chyba nie wszystkich trybów skanu użyłem No ale teraz najważniejsze jest Jak mam wyciągnąć z opresji kompa na którym zainstalowałem przymulasa kasperskiego ? Bo jedyne co moge to wpisywać komendy w "uruchom" poprzez: naciśnięcie klawisza "windows"> strzałkami z klawiatury do "uruchom" > "enter" a tak z programów nie uruchamia sie nic, tym bardziej że kursor myszki jest bezwładny. Wszystko jest zamrożone

[exe98]

Masz 2 komputery. Dysk z kasperskim podłącz do 2 i usuń wszystko co jest związane z tym antywirusem. Done.

[Niemieto]

Jak mam ten dysk podłączyć? nie zleją się ze sobą pliki.. z obu kompów? PS komputer z kasperem jest stacjonarny (windows xp). Z esetem - notebook. (windows 7)

[exe98]

Płytka lub pendrive,karta pamieci.Wypal hirens boot lub linux live cd. Usuń kasperskiego.

Dodano Dzisiaj, 14:39:
Masz kolegów? (pożycz pendrive) Dziwne że kasperski ci się zawiesił. Możesz zainstalować system na tej samej partycij bez formatowania?(nadpisać)

[Niemieto]

Kaspersky przeprosił się z systemem - działa! Luki które wykrył podaje tobie ocenie (co mam z nimi zrobić) Autostaryty dysków raczej chciałbym mimo wszystko mieć zostawiony, wiem że jak jest włączony to infekcje z różnych pendrivów od kumpli jak przychodzą sobie coś zgrać mogą mnie przez to dopaść, ale chyba nie jest konieczne wyłączenie tej opcji jak ma sie antywira, + jak się nie nawidzi samemu szukać autorunu gier itp . Proszę ciebie o analizę wykrytych luk, które naprawić a na które przymknąć oko
http://naforum.zapodaj.net/090346f234d9.png.html
http://naforum.zapodaj.net/87689a2a8d65.png.html
flash playera i shockwave sam zainstaluje od nowa w wolnym czasie

PS I co mam zrobić z tym plikiem nexus.exe którego infekcji nie potwierdzają żadne antywiry na virustotal i jotti, gdy nawet po pobraniu instalki progsu dla pewności i przeskanowaniu nic nie zostało wykryte? ten cały nexus.exe nie został umieszczony w kwarantannie z tego co widze, tylko jest w raportach jako zagrożenie: PDM.DNS Query. Stan: nieaktywnyTyp: legalne oprogramowanie które może być wykorzystane do ataku przez cyberprzestępców, to samo jest z luką shockwave (drugi screen) tyle że inne zagrożenie coś chyba http://redirect.kaspersky.com bla bla bla............. a typ to luka. Mam te 2 zagrożenia (zwłaszcza nexus exe) usunąć czy przywrócić? a jak przywrócić to w jaki sposób? bo mam tylko opcje " usuń" i "wyczyść magazyn" i "otwórz folder w pierwotnej lokalizacji" a jak usunąć to w jaki?

[exe98]

IE - naprawa.Lepiej wł. wyświetlanie ukrytych plików i rozszerzeń. Plik nexus.exe używa niestandartowo DNS API.
Tu nic nie ma.

off-topic
Lepszy rainmeter (jak dla mnie) http://rainmeter.net/cms/ (mniejsze zużycie procesora, pamięci, brak przymulenia systemu)
Zmień DNS-y

[Niemieto]

Czyli:
1. mam naprawić luki microsoft internet explorer
2. autoodtwarzanie tych dysków i tego nośnika mam zostawić jak jest
3. Mam włączyć wyświetlanie ukrytych plików i rozszerzen, ale jak to zrobić? bo kaspersky nie wspomniał o takiej luce, więc sam tego nie zrobi

4. Nie rozumiem jak mam zmienić DNS. Przyjąłem za to, że plik nexus.exe w kasperskim mam usunąć. a aplikacje nexus dock odinstalować lepiej.. Tylko teraz co z shockwave? też usunąć czy wypuścić? a jeśli wypuścić to jak? "wyczyść magazyn" czy "otwórz folder w pierwotnej lokalizacji"? bo domniemam że nexus.exe mam usunąć poprzez "usun"

PS Rainmeter? trzeba będzie obczaić

[exe98]

Ad. 3 DNS-y i wyświetlanie ukrytych plików i rozszerzen według własnego upodobania. (nie wymagane)

panel sterowania, opcje folderów, zaznacz 'pokaż ukryte pliki' , odznacz 'ukryj rozszerzenia...' i 'ukryj chronione...'


Ad. 4 Możesz usunąć.

[Niemieto]

A co z lukami? ruszać? pominąć sprawę? No i dalej - to mam ustawiać te foldery w końcu czy nie? bo już sam nie wiem No ale ok, zrobiłem z tymi ukrytymi rozszerzeniami i folderami jak mi napisałeś. Ustawienia DNS też trzeba razem z tymi folderami przestawić czy to oddzielna sprawa i przede wszystkim co mi dało że przestawiłem zaznaczenia z tymi folderami i rozszerzeniami? Oraz czy na drugim kompie - notebooku windows 7 też mam tak pozaznaczać te foldery? bo nawet nie widze takiej możliwości. A co do Ad. 4 to spoko. Zrobię reinstal shockwave oraz odinstaluje nexus docka i spróbuje rainmetera

[exe98]

To podstawowa czynność do wykonania inaczej nie zobaczysz plików śmieci które wlazły ci do kompa.
http://www.cybertrash.pl/Tata/Wiedza/Ukrytepliki/Pokazywanie%20ukrytych.html

[Niemieto]

Kasper nie wykrył żadnej infekcji na xp (kompie stacjonarnym, gdzie jest zainstalowany) eset nod 32 nie wykrył nic na notebooku (windows 7, gdzie jest zainstalowany) teraz zajmijmy się ukrytymi folderami na xp, których ustawienia przestawiłem.Ten rejestr też mam ustawić jak w linku skoro showsuperhiden mam na 1 a superhiden na 0? dnsa nie będę ustawiał bo domniemam że to inna sprawa tak? zatem jak mam wiedzieć które ukryte pliki/foldery z tych które mi się pojawiły w np dysk lokalny (c:) są wirusami? bo przeskanowałem kompa właśnie po tym jak te pliki wyszły na wierzch i kasper nic nie wykrył. Skanowałem po kolei kilka plików (nie wszystkie bo mnóstwo ich w jednych folderze) na virustotal, bo MBAMa kasper mi usunął bo z nim kolidował i ogólnie tylko w jednym pliku (ntldr) mcafee wykrył: Heuristic.BehavesLike.Exploit.CodeExec.O a na jotti żaden AV wirusa nie potwierdził PS troche się boje aviry bo ma ask toolbar, pomijam to ze trzeba ją ponoć konfigurować

[exe98]

http://pl.wikipedia.org/wiki/Botnet_%28bezpiecze%C5%84stwo_komputerowe%29
http://pl.wikipedia.org/wiki/Botnet_%28IRC%29
Do eseta mam uprzedzenia. przeskanuj avirą.
Jak nic nie wykryje to zmienimy dns. i sie zobaczy czy nadal twój ip będzie rozsylal spam.


http://www.sciaga.pl/tekst/24229-25-zagrozenia_w_internecie_czyli_jak_rozpoznac_wirusa