Problem z rootkit

**Posty:** 13 · przez **fantastique** 13 Gru 2009, 22:27

Witam
Od niedawna mam problem z wirusem rootkit. Niestety żadne anty-rootkity go nie usuwają. Avast wykrywa go w C:\WINDOWS\system32\x.

oto log z OTL

http://wklej.org/id/234440/txt

**Posty:** 18165 · przez **wojtas** 13 Gru 2009, 22:49

Uruchom OTL i w oknie Custom Scans/Fixes wklej :

:OTL
PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation)

:Files
C:\WINDOWS\System32\x

:Commands
[emptytemp]
[start explorer]
[Reboot]

Kliknij w Run Fix. I potwierdz reset kompa .

1.Uruchom OTL z opcji CleanUp
2. wykonaj optymalizację windowsa
3.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem]
4. zrób skan Malwarebytes Anti-Malware (usuń co znajdzie ) i daj raport ze skanu

**Posty:** 13 · przez **fantastique** 14 Gru 2009, 18:47

Postąpiłem tak jak napisałeś. Malware po skanowaniu nic nie wykrył, niestety po kilku godzinach on znów się pojawia. Dorzuce loga po wykonaniu tych czynności
http://wklej.org/id/235400/txt

**Posty:** 18165 · przez **wojtas** 14 Gru 2009, 20:30

1.Uruchom OTL z opcji CleanUp
2. wykonaj optymalizację windowsa
3.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem]
4. zrób skan Malwarebytes Anti-Malware (usuń co znajdzie ) i daj raport ze skanu

Autor postu otrzymał pochwałę

**Posty:** 13 · przez **fantastique** 14 Gru 2009, 21:20

Podczas skanowania przez Malwarbytes avast znajduje kolejnego rootkita(Malwarebytes go nie wykrywa) w C:\WINDOWS\system32\config\systemprofile\Ustawienia lokalne\Temporary Internet Files\Content.IE5\MVCT8TW3\lrityd[1].jpg Btw myślę że przez niego wraca "x"

**Posty:** 18165 · przez **wojtas** 14 Gru 2009, 22:56

nie sądzę to jakieś zdjęcie .. sądzę że ten avast daje fałszywe alarmy.. zmień go np na avire i zeskanuj i napisz co i jak

**Posty:** 13 · przez **fantastique** 15 Gru 2009, 10:42

Avira pokazuje też te pliki jako zainfekowane:/

Kod: Zaznacz wszystko: Configuration settings for the scan: Jobname.............................: Complete system scan Configuration file..................: c:\program files\avira\antivir desktop\sysscan.avp Logging.............................: low Primary action......................: interactive Secondary action....................: ignore Scan master boot sector.............: on Scan boot sector....................: on Boot sectors........................: C:, Process scan........................: on Scan registry.......................: on Search for rootkits.................: on Integrity checking of system files..: off Scan all files......................: All files Scan archives.......................: on Recursion depth.....................: 20 Smart extensions....................: on Macro heuristic.....................: on File heuristic......................: medium Start of the scan: 15 grudnia 2009 09:31 Starting search for hidden objects. '19038' objects were checked, '0' hidden objects were found. The scan of running processes will be started Scan process 'avscan.exe' - '1' Module(s) have been scanned Scan process 'avcenter.exe' - '1' Module(s) have been scanned Scan process 'wanmpsvc.exe' - '1' Module(s) have been scanned Scan process 'svchost.exe' - '1' Module(s) have been scanned Scan process 'svchost.exe' - '1' Module(s) have been scanned Scan process 'razerofa.exe' - '1' Module(s) have been scanned Scan process 'razertra.exe' - '1' Module(s) have been scanned Scan process 'svchost.exe' - '1' Module(s) have been scanned Scan process 'svchost.exe' - '1' Module(s) have been scanned Scan process 'ati2sgag.exe' - '1' Module(s) have been scanned Scan process 'acsd.exe' - '1' Module(s) have been scanned Scan process 'avguard.exe' - '1' Module(s) have been scanned Scan process 'ctfmon.exe' - '1' Module(s) have been scanned Scan process 'qttask.exe' - '1' Module(s) have been scanned Scan process 'razerhid.exe' - '1' Module(s) have been scanned Scan process 'atiptaxx.exe' - '1' Module(s) have been scanned Scan process 'SOUNDMAN.EXE' - '1' Module(s) have been scanned Scan process 'explorer.exe' - '1' Module(s) have been scanned Scan process 'ati2evxx.exe' - '1' Module(s) have been scanned Scan process 'sched.exe' - '1' Module(s) have been scanned Scan process 'spoolsv.exe' - '1' Module(s) have been scanned Scan process 'svchost.exe' - '1' Module(s) have been scanned Scan process 'svchost.exe' - '1' Module(s) have been scanned Scan process 'svchost.exe' - '1' Module(s) have been scanned Scan process 'svchost.exe' - '1' Module(s) have been scanned Scan process 'ati2evxx.exe' - '1' Module(s) have been scanned Scan process 'lsass.exe' - '1' Module(s) have been scanned Scan process 'savedump.exe' - '1' Module(s) have been scanned Scan process 'services.exe' - '1' Module(s) have been scanned Scan process 'winlogon.exe' - '1' Module(s) have been scanned Scan process 'csrss.exe' - '1' Module(s) have been scanned Scan process 'smss.exe' - '1' Module(s) have been scanned 32 processes with 32 modules were scanned Starting master boot sector scan: Master boot sector HD0 [INFO] No virus was found! Start scanning boot sectors: Boot sector 'C:\' [INFO] No virus was found! Starting to scan executable files (registry). The registry was scanned ( '50' files ). Starting the file scan: Begin scan in 'C:\' C:\pagefile.sys [WARNING] The file could not be opened! [NOTE] This file is a Windows system file. [NOTE] This file cannot be opened for scanning. C:\WINDOWS\system32\config\systemprofile\Ustawienia lokalne\Temporary Internet Files\Content.IE5\MVCT8TW3\lrityd[1].jpg [DETECTION] Is the TR/Pakes.mlv Trojan C:\WINDOWS\system32\config\systemprofile\Ustawienia lokalne\Temporary Internet Files\Content.IE5\MVCT8TW3\pkizizc[1].gif [DETECTION] Contains recognition pattern of the WORM/Conficker.Z.30 worm Beginning disinfection: C:\WINDOWS\system32\config\systemprofile\Ustawienia lokalne\Temporary Internet Files\Content.IE5\MVCT8TW3\lrityd[1].jpg [DETECTION] Is the TR/Pakes.mlv Trojan [NOTE] The file was moved to '4b904bbd.qua'! C:\WINDOWS\system32\config\systemprofile\Ustawienia lokalne\Temporary Internet Files\Content.IE5\MVCT8TW3\pkizizc[1].gif [DETECTION] Contains recognition pattern of the WORM/Conficker.Z.30 worm [NOTE] The file was moved to '4b904bb6.qua'! End of the scan: 15 grudnia 2009 09:39 Used time: 06:31 Minute(s) The scan has been done completely. 1314 Scanned directories 99652 Files were scanned 2 Viruses and/or unwanted programs were found 0 Files were classified as suspicious 0 files were deleted 0 Viruses and unwanted programs were repaired 2 Files were moved to quarantine 0 Files were renamed 1 Files cannot be scanned 99649 Files not concerned 592 Archives were scanned 1 Warnings 3 Notes 19038 Objects were scanned with rootkit scan 0 Hidden objects were found

**Posty:** 2183 · przez **NieWiem** 15 Gru 2009, 10:57

Masz komputer zainfekowany Confickerem.

Do poczytania i zastosowania: KLIK

Oraz koniecznie zastosować którąś z linkowanych tutaj szczepionek na Confickera.

Plus nowe logi z OTL, bo to pewnie się gdzieś podczepiło pod usługi systemowe.

Autor postu otrzymał pochwałę

**Posty:** 13 · przez **fantastique** 15 Gru 2009, 14:00

Ok dzięki. Jest tylko problem bo pewnie conficker zablokował te strone i nie moge na nia wejść. Jest jakiś program albo inny sposób na usunięcie?

Dodano Dzisiaj, 16:43:
Chyba udało mi się to usunąć na dłużej
Wrzucam loga z OTL(prosze o spr) jeżeli czysty to temat do zamknięcia.
http://www.wklej.org/id/236399/txt

Btw dziękuję za wszelką udzieloną pomoc

**Posty:** 2183 · przez **NieWiem** 15 Gru 2009, 22:36

Powiem tak... z Confickerem to nigdy nic nie wiadomo. Ta infekcja lubi wracać na raz zakażone komputery.

Gdyby wróciło - zjaw się z logami z OTL i z raportem ze skanowania Malwarebytes'.

**Posty:** 13 · przez **fantastique** 15 Gru 2009, 23:11

Dobra, dzieki

Kto jest na forum