Poważny wirus - wiele błędów etc.

**Posty:** 29 · przez **therifn** 14 Cze 2010, 07:09

Witam, mój komputer nabawił się wirusa, pewnie przez pendrive. Opisze jego funkcję:
1. nie mogę dać nic do folderu bo komputer się wiesza
2. nie mogę wejśc na strony virustotal.com i virusscan.jotti.org
3. nie mogę skopiować nic do Pendrive, pojawia się błąd:
http://img411.imageshack.us/i/bladrv.jpg/
4. komputer wiesza się co jakiś czas, nie mogę na chwilę obecną zrobić skan GMEREM, ponieważ wiesza się < pracuje nad tym >
5. ciężko mi zuploadować coś np. powyższe zdjęcie uploadowałem 5 minut, bo się wieszało

Proszę o pomoc. Zamieszczam logi:
* OTL:
http://wklej.org/id/350413/
* Extras.txt
http://wklej.org/id/350414/

nazwa użytkownika komputera jest dla żartów, proszę nie zwracać uwagi

Mam jeszcze pytanie:
* Czy to mogła być infekcja z płyty CD? Ponieważ wszystko zaczęło sie dziać jak dostałem Most Wanted.
* Może mi ktoś powiedzieć co to za wirus i czy mógł być on podłożony specjalnie < tzn. osoba X specjalnie wgrywa go na pendrive, żeby np. sterować moim komputerem >
* Czy ten wirus mógl przejść na płytę CD, miałem dziś Windowsa kolegi, wsadziłem do napędu i sie włączył, ale wyjąłem bo pojawił się błąd jak w pkt. 3. Windowsa oddałem, ale czy ten wirus mógł samoistnie przejśc na tą płytę? Nic do niej nie dogrywałem.

==== LOG Z GMERA DAM JAK SIĘ UDA, NARAZIE WIESZA MI SIĘ KOMPUTER ====

**Posty:** 2183 · przez **NieWiem** 14 Cze 2010, 08:26

Jest burdel. Jest mega burdel, na czele z paskudztwem najgorszym - Sality.

Przeczytaj uważnie instrukcję programu ComboFix, po czym wyłącz swój program antywirusowy, firewall i inne programy, które mogą zakłócać nawet pobieranie ComboFixa twierdząc, że jest wirusem. Nie jest! Spokojnie go ściągnij i zapisz na pulpicie.
Pobierz:
- LINK #1
- LINK #2
Upewnij się, że nie dzialałją ŻADNE emulatory wirtualnych napędów, a jeśli działają, wyinstaluj je według poniższych wskazówek:
http://www.searchengines.pl/index.php?act=announce&f=99&id=20
Pozamykaj wszystkie otwarte okna, komunikatory, programy. ComboFixowi nie powinno sie przeszkadzać.
Uruchom program z dwukliku (VISTA: prawoklik i 'uruchom jako administrator').
Pozwól mu spokojnie działać, nie klikaj ani nie stukaj w klawiaturę - to może spwodować zawieszenie się komputera.
Zalecane jest też instalowanie konsoli odzyskiwania, jeśli ComboFix o nią poprosi. Dzięki niej można odrolować zmiany w przypadku pomyłki narzędzia.
Jeśli będzie potrzeba - zgódź się na restart.
Kiedy program skończy, wytworzy loga (będzie on także w pliku C:\ComboFix.txt), którego wklej w odpowiedzi, pamiętając o tagach [code] lub na http://www.wklej.org.

Próbuj także gmera.

Co do Twoich pytań: infekcja ta to jest mutacja kodu plików wykonywalnych. Mogła się przenieść z pendriva, mogła się także ulokować z zarażonych exe z płyty. Natomiast nie ma szans na to, żeby się sama na płytę "dograla".

Decyduj, albo walka, która nie musi wcale być skuteczna, albo format wszystkiego. Wszystkich dysków i pendrivów.

Autor postu otrzymał pochwałę

**Posty:** 29 · przez **therifn** 14 Cze 2010, 09:01

udało się, GMER
http://wklej.org/id/350426/

#up
No więc narazie nie moge combofixa dać na pulpit bo zacina się.
Zaraz coś wykombinuję.

**Posty:** 2183 · przez **NieWiem** 14 Cze 2010, 09:12

Jeśli tak sie dzieje, to est zarażony.

Musisz pobrać nową wersję i próbować do skutku.

Pobierz aplikację The Avenger i zapisz ją na pulpicie.
Rozpakuj avenger.exe na pulpit.
Kliknij dwukrotnie na ikonę, aby uruchomić program (użytkownicy systemów Vista oraz Se7en => prawoklik oraz wybrać opcję Uruchom jako Administrator).
Wyskoczy informacja, kliknij OK.
W okienku na środku Input script here wklej to, co poniżej w ramce:
Kod: Zaznacz wszystko
Files to delete: G:\WINDOWS\system32\drivers\ndlmqn.sys Drivers to delete: asc3360pr
Upewnij się, że wszystkie pozostałe okna są zamknięte - inaczej Avenger je zamknie.
Kliknij Execute.
Pojawi sie pytanie, kliknij Tak.
Avenger poprosi o zgode na restart, kliknij Tak.
Po restarcie program automatycznie wyświetli raport z czyszczenia, który należy zapisać i wkleić w poście w tagach [code], lub na stronie [url]www.wklej.org[/url]

Plus komplet logów: OTL, Gmer, ComboFix... Tylko weź pod uwagę fakt, że narzędzia te w tej sytuacji po użyciu będą zarażone: musisz za każdym razem pobrać nową wersję żeby się w ogóle uruchomiły.

**Posty:** 29 · przez **therifn** 14 Cze 2010, 09:25

Log z combofixa < pobralem jednego, zawiesiło się. Pobrałem drugiego i nie zawiesiło kompa >
http://wklej.org/id/350430/

Log z OTL.txt:
http://wklej.org/id/350432/

GMER się zaciął, Avenger też, więc reset

**Posty:** 2183 · przez **NieWiem** 14 Cze 2010, 09:30

A jak z operacją Avengera?

**Posty:** 29 · przez **therifn** 14 Cze 2010, 09:36

No więc nie mogę sie zalogować na administratora po użyciu Avengera. Wyskakuje błąd , sekunde po tym następuje reset. Treści błędu nie zdołam przeczytać, znika w pół sekundy.

#EDIT == zalogowałem się wreszcie.
Avenger: http://wklej.org/id/350438/

log z otl w poprzednim poście jest po instalacji OTL.exe od nowa

**Posty:** 2183 · przez **NieWiem** 14 Cze 2010, 09:39

Czyli Sality się wdarlo już do jądra systemu.

Spróbuj tak: nakładnkowej reinstalacji systemu to raz. Dwa: na czystym (niezainfekowanym komputerze) pobierz i wypal płytę OTLPE i pokaż z niej raport.

Nie wykluczam, że tak czy siak może sie to skończyć formatem.

Pobierz obraz płyty OTLPE.iso i zapisz go na pulpicie ( UWAGA: Obraz waży 277 MB, więc pobieranie może trochę zająć )
Obraz OTLPE.iso wypalasz na czystą płytę CD ( np. za pomocą programu Active@ ISO Burner - wersja *.zip nie wymaga instalacji, a sam program jest dość prosty w obsłudze )
Restartujesz komputer i wchodzisz do BIOSu, zmieniasz 1 opcję bootowanie z dysku HDD na napęd CD i zatwierdzasz zmiany ( tak jak podczas instalacji Windowsa )
Wsadzasz płytę do napędu i ponownie restartujesz komputer
Komputer wystartuje z płyty - potrwa to ok 2 minut
W tym czasie będą Ci się pojawiały różne informacje np. w końcowej fazie :
Gdy program będzie gotowy wyświetli Ci się pulpit ( jego screen : )
Na pulpicie odnajdź ikonę programu OTLPE :
Uruchom program OTLPE ( normalnie, po przez dwu-klik )
UWAGA: Program może poprosić o wskazanie lokalizacji folderu z systemem - folderu Windows, w większości przypadków system jest zainstalowany na partycji C:\, więc lokalizacją wygląda C:\Windows
Program zada pytanie czy chcesz załadować profile użytkowników do skanowanie - kliknij Yes
Program poprosi o wybranie użytkownika ( tego samego którego używasz na windowsie ) zaznacz go, na moim przykładzie to po prostu a
Upewnij się, że opcja Automatically Load All Remaining Users jest zaznaczona, po czym kliknij OK
Uruchomi się program OTLPE, upewnij się, że w sekcjach Services, Drivers, Standard Registry jest zaznaczone Use SafeList, a w sekcji Extra Registry jest zaznaczone None. Po za tym nic nie zmieniaj.
Kliknij przycisk
Rozpocznie się skanowanie, proszę w tym czasie nie ulec pokusie wypróbowanie "tych różnych programów które są na pulpicie". Po prostu - zostaw komputer w spokoju. Skan nie powinien trwać dłużej niż 10 minut
Program po zakończeniu działania stworzy log OTL.txt - zostanie on zapisany bezpośrednio na partycji systemowej ( najczęściej C:\ ) i jego lokalizacja będzie wyglądała C:\OTL.txt. Log ten zostanie automatycznie otwarty za pomocą notatnika
Skopiuj log OTL.txt na pendriva lub inną pamięć flash i wklej na stronę http://www.wklej.org z innego komputera. Pamiętaj, żeby pamięć zabezpieczyć na przykład przy pomocy USBFix, Flash Disinfectora, czy Panda USB Vaccine.
Log możesz skopiować wchodząc do My Computer z pulpitu :

A następnie wchodząc na partycję z systemem - tam gdzie log został zapisany :

Następnie :
Zamknij program OTLPE
Kliknij na niebieską flagę Windowsa ( lewy, dolny róg ), a następnie kliknij Shut Down
Z listy wybierz opcję Restart, po czym kliknij OK
Poczekaj, aż komputer się uruchom ponownie, po czym wyjmij płytkę z napędu, wejdź do BIOSu i z powrotem zmień 1 opcję bootowania na dysk HDD

**Posty:** 29 · przez **therifn** 14 Cze 2010, 09:45

# OK zrobię to, lecz teraz muszę iść do szkoły, wrócę o 15, pójdę do kolegi, któremu będę musiał zrobić formata kompa, potem zainstaluję internet u niego i zastosuje się do podanych wskazówek. A więc odezwę się gdzieś o 18, może później. Proszę tu zajrzeć późniejszym popołudniem.

Dziękuje za dotychczasową pomoc!

Będę walczył chyba ze padnie wszystko, no to format

Pozdrawiam

**Posty:** 2183 · przez **NieWiem** 14 Cze 2010, 09:46

OK, zajrzę na pewno. Trzymam kciuki :ok:

Postaram się nawet być od okolo 17 dostępny tylko dla Ciebie, jeśli infekcja nie rozpanoszyła się za bardzo, to może wspólnymi siłami damy jej radę

Nie tak dawno samemu walczyłem z tą infekcją na komputerze u mnie w pracy i udało mi się wyjść z tego bez formatu.

**Posty:** 29 · przez **therifn** 14 Cze 2010, 17:17

Więc sytuacja przedstawia się następująco:
Jest krytyczna.

Zainstalowałem koledze Windowsa, wszystko OK, ale ni z gruchy ni z pietruchy nie idzie odpalić neta u niego.

Nie mogę nic zrobić, koledzy mieszkają daaleko ode mnie, nie mam możliwości zrobienia tego o co Pan prosił.

Rozumiem że jestem na przegranej pozycji?

**Posty:** 2183 · przez **NieWiem** 14 Cze 2010, 17:27

Se nie Pan.

Cóż, przegranej-nie przegranej, na pewno ciężkiej. Możesz próbować ratować się skanami z bootowalnych płytek, ale to może nie dać efektu dopóki nie wyrzucimy sterownika reinfekującego. Temu miało zresztą służyć OTLPE, jak również sprawdzeniu co infekcja już napsuła w systemie... Mówiąc brzydko: najlepiej by było jakbyś Ty siedział naprzeciwko tego komputera, a koło siebie miał drugi żeby ze mną tam pisać.

Jeśli jednak się nie da, to zalecam reformat. Sality to przebydlak i czasami nawet pozorne wyleczenie potrafi odnowić wszystko przez 1 zarażony plik.

**Posty:** 29 · przez **therifn** 14 Cze 2010, 17:32

hmm... w tej sytuacji poczekam do jutra, jeżeli kolega nie przywoła internetu do działania, to poddam się. Jednak jak się uda to zastosuje się do Pana instrukcji.

Mam jedno głupie pytanie:
wczoraj wysłałem plik *pdf do kolegi, czy on mógł zostać zainfekowany?

**Posty:** 2183 · przez **NieWiem** 14 Cze 2010, 17:34

Nie, Sality nie infekuje pdf.

Natomiast ja się chyba trochę pogubiłem... w końcu chodzi o komputer Twój, kolegi, czy jak? Bo już sam nie wiem...

**Posty:** 29 · przez **therifn** 14 Cze 2010, 17:40

Dzięki Bogu..
Więc:
kolegi komputer nadaje się do uzytku, tylko nie działa mu internet < radiówka >. Toteż odpada Pana plan ściągnięcia OTLPE.
mój komputer się sypie, gg padło i nie działa. Ale jeszcze się trzyma.

Mam stary komputer, który mogę podpiąć i ściągnąć OTLPE.
Tylko teraz pytanie czy ten wirus nie przejdzie z 1 kompa na 2 przez kabel sieciowy? < również mam radiówkę >
Jak nie to lecę podpinać stary i ściągać OTLPE.

**Posty:** 2183 · przez **NieWiem** 14 Cze 2010, 17:49

Przejść nie przejdzie. Możesz go przenieść przez jakiegoś pendriva czy coś, ale i na to znajdziemy sposób. Zrób tak...

Podepnij stary komputer do netu, nowy niech będzie odłączony.
Na starym najpierw sformatuj jakiegoś pendriva, potem ściągnij USBFix:
http://chiquitine.changelog.fr/UsbFix.exe
zastosuj go z opcji Vaccinate, razem z podpiętym pendrivem, który będzie migrował między tymi dwoma komputerami. To ważne, żeby pendrive był zabezpieczony.

Potem bierz się za OTLPE, a komputer (ten zarażony) niech będzie wyłączony dopóki OTLPE nie będzie gotowe. Oprócz tego wypal też sobie płytkę bootowalną ze skanerem Dr Web Cure It, bo też będziemy jej potrzebować:
http://www.fixitpc.pl/index.php?/topic/102-plyty-startowe-ze-skanerami/

**Posty:** 29 · przez **therifn** 14 Cze 2010, 17:52

Biorę się do roboty, nie wiem ile to potrwa, ale pewnie z 2h

Dzięki wielkie!!

**Posty:** 2183 · przez **NieWiem** 14 Cze 2010, 17:56

OK, powinienem się kręcić jakoś po okolicy :ok:

**Posty:** 29 · przez **therifn** 14 Cze 2010, 19:44

no to tak;
ściągnałem OTLPE, zgrałem na płytę
muszę sciągnąć dr weba i zgrać na płytę

niestety nie mogę już tego uczynić z głupiego powodu < jakieś fatum eeheh > burzy jaka zamierza się u mnie zagościć.
Bardzo przepraszam Pana za niepotrzebne zawracanie głowy, jutro dogram Dr Weba na płytę. Zrobię co Pan radzi.
Odezwę się jutro. Jeszcze raz przepraszam, cholera jasna fatum nade mną zawisło :cry:

**Posty:** 2183 · przez **NieWiem** 14 Cze 2010, 19:50

Napisz jeszcze raz "Pan" to się pomoc skończy :wink:

Nie ma problemu, poczekamy do jutra. Powinienem być od 8 rano dostępny i możemy podziałać.

Do jutra nie włączaj tamtego zainfekowanego komputera, żeby nie roznosić infekcji. Poza tym:

dogram

Nie dogram, tylko nagram na osobną płytę. Masz mieć 2 płytki

Kto jest na forum