Log; win server 2003 wyłacza się

[alojzy]

Witam
Złapałem jakiegoś syfa z pendrive.
Objawy: komputer co jakiś czas wyłącza się bez powodu. Przy tym nie jest to hard reset tylko kulturalnie się wylogowuje.
Dostęp do dysku C: stał się niemożliwy - po dwumlasku na ikonie daje mi do wyboru programy mające służyć do otwarcia (znaczy coś pokopane z autorunem - z tym sobie poradzę)
Skanowanie antywirami/spybootem/CWShreed etc wykazuje obecność trojanów, ktore grzecznie się usuwają. Oczywiście zapewne na ich miejsce pojawiają się nowe.
Poniżej log
http://wklej.org/id/127482/
Z góry dziękuję

[Okocza]

alojzy, wklej cały log, bo tu nie jest cały...

Autor postu otrzymał pochwałę

[alojzy]

Rzeczywiście przegapiłem. tu jest całość

http://www.wklej.org/id/127500/

[Okocza]

wklej w notatnik

Kod: Zaznacz wszystko

Windows Registry Editor Version 5.00

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\cdoosoft]

zapisz jako fix.reg i odpal - dodajesz do rejestru poprzez kliknięcie przycisku tak.


Pobierz narzędzie the avenger i w głównym oknie programu wklej:

Kod: Zaznacz wszystko

Files to delete:

C:\Bug.txt
C:\WINDOWS\system32\cmd.execf
C:\stop.bat
C:\w9hw8.exe

Folders to delete:

C:\32788R22FWJFW

klikasz przycisk execute

poza tym nie jest pełen log... wykona to, wróć z logiem z RSIT

[alojzy]

Wykonałem edycję rejestru.
Avenger nie odpala na Windows Server 2003.
Podane pliki usunąłem ręcznie, za wyjątkiem w9hw8.exe. Nie widac go na dysku C:\. Najprawdopodobniej jest ukryty. Robal najwyraźniej odebrał mi możliwość pokazania plików ukrytych bo ilekroć zaznaczam pokaż pliki ukryte to w sumie nic się nie dzieje, a jak wracam do tej opcji jest ona znowu ustawiona na niepokazywanie plików ukrytych. Plik stop.bat jest batchem, ktory sam pisze -nieszkodliwy.
Prezentowane logi są pełne - w zakresie jakim je dostaje. RSIT w pewnym momencie wyrzuca bląd "AutoIt error line -1 Error variable is used without being declared". Pewnie dla tego logi są poobcinane. Combofix w ogóle nie działa na WS2003
Najnowszy
http://wklej.org/id/127539/
Dzięki za pomoc

[Okocza]

alojzy, to co dasz radę wykonać na swoim systemie to wykonaj:

http://forum.programosy.pl/zhakowane-konto-wow-a-logi-po-czyszczeniu-vt111408.html#p844321

[wojtas]

Pobierz OTL i daj z niego loga

[alojzy]

Oto log
http://wklej.org/id/127589/

[wojtas]

Uruchom OTL i w oknie Custom Scans/Fixes wklej :

:OTL
PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation)
O32 - AutoRun File - [2009-07-29 12:44:41 | 00,000,055 | RHS- | M] () - C:\autorun.inf -- [ NTFS ]

:Files
C:\mb9x.exe
C:\autorun.inf
C:\cv8j.exe
C:\RECYCLER

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{db1b3e60-05ac-11de-a5d3-00001cd72a97}]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"SuperHidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"Hidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"ShowSuperHidden"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
@=""

:Commands
[emptytemp]
[start explorer]
[Reboot]

Kliknij w Run Fix. I potwierdz reset kompa .

Następnie uruchamiasz OTL z opcją Run Scan. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia kompa

[alojzy]

Log z czyszczenia
http://wklej.org/id/127604/
a tu po czyszczeniu
http://wklej.org/id/127613/

[wojtas]

Uruchom OTL i w oknie Custom Scans/Fixes wklej :

:OTL
PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation)
O4 - HKCU..\Run: [cdoosoft] C:\DOCUME~1\ADMINI~1\USTAWI~1\Temp\1\herss.exe File not found

:Commands
[emptytemp]
[start explorer]
[Reboot]

Kliknij w Run Fix. I potwierdz reset kompa .

wejdź na dysk na którym masz windows zainstalowany, tam w katalog WINDOWS -> system 32 -> drivers -> etc
i tam za pomocą notatnika otwórz plik hosts

Jeśli są jakieś wpisy pod

# 102.54.94.97 rhino.acme.com # serwer źródłowy
# 38.25.63.10 x.acme.com # komputer kliencki x
127.0.0.1 localhost

to usun tylko zostaw te pokazane przeze mnie wyzej zapisz edytowany plik


1.Uruchom OTL z opcji CleanUp
2. wykonaj optymalizację windowsa
3.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem]
4. zrób skan Malwarebytes Anti-Malware

[alojzy]

Wirusy udało się usunąć. Dziękuję bardzo za pomoc.

Co ważniejsze moje problemy nie były spowodowane przez wirusa. Okazuje się, że Windows Server 2003 for Small Business restartuje się co godzinę jeśli w ciągu tygodnia od instalacji nie zostanie promowany do roli serwera domen. Innymi słowy wygląda tak jakby Microsoft sam wprowadził wirusa we wlasny system. Po dokonaniu tego odkrycia ręce mi opadły.