Proces herss.exe

[cdyone]

Witam!

Mój problem jest następujący:
Otrzymałem dziś od kuzynki pendrive'a, zgrałem dane, wszystko ładnie hulało, nie było żadnych problemów. Do czasu. Komputer zaczął dziwnie lagować, postanowiłem uruchomić go ponownie. Po ponownym uruchomieniu ukazał się pulpit, pojawiły się ikony, automatycznie odpaliło się gg i... koniec. Pulpit 'przestał reagować', po najechaniu kursora na pasek zadań pojawia się klepsydra. Jedyne co mogę zrobić to odpalić ALT+CTRL+DEL i stamtąd wpisywać polecenia. W procesach pojawiło się niejakie herss.exe. Wyczytałem w necie, że ów ten trojan/robak/cokolwiek pochodzi z pendrive'a. Próbowałem ściągnąć plik usuwający problem, jednak przy próbie zapisu pliku Firefox wiesza się. Próbowałem w trybie awaryjnym wyłączyć przywracanie systemu, jednak nic z tego. Chciałem ręcznie usunąć plik herss.exe z folderu Temp (o jego lokalizacji na dysku dowiedziałem się używając 'msconfig'), jednak ów plik jest ukryty, a ja nie mogę włączyć pokazywania ukrytych plików i folderów. Patologia, już nie wiem co robić. HiJackThis'a nie mam na kompie, a ściągać plików nie mogę, więc z logów nici. Proszę, pomóżcie.

Pozdrawiam!

[NieWiem]

Bez logów nic nie zrobimy. Musimy widzieć, co mamy usunąć.

Spróbuj się zalogować w trybie awaryjnym, ale nie dawaj loga z HiJacka, tylko z OTL.

• Pobierz aplikację OTL i zapisz ją na pulpicie.
• Kliknij dwukrotnie na ikonę, aby uruchomić program (użytkownicy systemów Vista oraz Se7en => prawoklik oraz wybrać opcję Uruchom jako Administrator).
• Gdy pojawi sie okno, skonfiguruj go następująco:
  • Zaznacz opcje LOP Check i Purity Check
  • Zaznacz opcje Scan All Users.
  • Upewnij się, że w okienku Extra Registry jest zaznaczone Use Safelist.
• Upewnij się, że wszystkie pozostałe okna są zamknięte i pozwól mu pracować bez zakłóceń - nie stukaj w klawiaturę, nie ruszaj myszką.
• Kliknij Run Scan i poczekaj cierpliwie aż program wykona swoje.
• Kiedy skanowanie sie skończy, pojawią sie 2 okna notatnika, zatytułowane OTL.txt i Extras.txt. Będą one zapisane w tym samym miejscu, co aplikacja OTL.
• Skopiuj (Edycja => Zaznacz wszystko, Edycja => Kopiuj) zawartość tych plików i wklej na http://www.wklej.org lub w poście w tagach [code].

[cdyone]

OTL.Txt
http://www.wklej.org/id/207443/

Extras.Txt
http://www.wklej.org/id/207447/

Edit:
Dodam, że udało mi się jakimś cudem ściągnąć OTL'a w trybie awaryjnym .

[NieWiem]

• Przeczytaj uważnie instrukcję programu ComboFix, po czym wyłącz swój program antywirusowy, firewall i inne programy, które mogą zakłócać nawet pobieranie ComboFixa twierdząc, że jest wirusem. Nie jest! Spokojnie go ściągnij i zapisz na pulpicie. Nie uruchamiaj!
• Pobierz:
  • LINK #1
  • LINK #2
• Otwórz systemowy notatnik (i tylko on, ponieważ ComboFix jest niekompatybilny z innymi) i wklej do niego poniższy skrypt:
  

  Kod: Zaznacz wszystko

  KillAll::

File::
C:\autorun.inf
D:\autorun.inf
C:\opdux.exe
D:\opdux.exe
C:\WINDOWS\system32\EXPLORER.EXE
C:\Documents and Settings\Administrator\Ustawienia lokalne\Temp\herss.exe

Folder::
C:\Program Files\DAEMON Tools Toolbar
C:\Program Files\Ask.com

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"=-
"Userinit"="C:\WINDOWS\system32\userinit.exe,"
"Shell"=-
"Shell"="C:\windows\Explorer.exe"

Reboot::

• Plik zapisz jako CFScript.txt
• Obowiązują te same zasady, jak przy normalnym używaniu ComboFixa, czyli:
  • nie klikać myszką
  • nie walić w klawiaturę
  • pozamykać wszystko co możliwe (to, co teraz czytasz też!)
  • wyłączyć antywirusa, firewalla i wszystko podobne
• Plik CFScript.txt przeciągnij i upuść na ikonę ComboFixa, jak na obrazku poniżej:
  
  
• To go uruchomi i rozpocznie się normalne działanie ComboFixa.
• Jeśli komputer poprosi o zgodę na resart - zgodzić się!
• Program wytworzy loga, którego wklejamy na forum w tagach [code] lub na stronie http://www.wklej.org

Plus ten plik

C:\Documents and Settings\All Users\Menu Start\Programy\Autostart\TDiagnostic.exe

sprawdź na stronie http://www.virusscan.jotti.org i pokaż wyniki.

[cdyone]

ComboFix log
http://www.wklej.org/id/207480/

TDiagnostic.exe skan
http://virusscan.jotti.org/pl/scanresult/def02ba06e64b88813e66169a3c2de39464c62cf

[NieWiem]

Skrypt niewykonany. Proszę powtórzyć operację.

BTW - oprócz suchego wklejania logów może byś powiedział ze dwa słowa o tym, jak działa komputer?

[cdyone]

Ponowiłem operację.
Cały czas pracuję w trybie awaryjnym, po wykonaniu skryptu sprawdziłem czy coś się zmieniło, jednak nadal dzieje się to samo. Dalej w trybie awaryjnym działam .

Log:
http://www.wklej.org/id/207523/

Edit:
Mogę ściągać pliki w trybie awaryjnym. Być może jest jakiś fix do pobrania w necie, by usunąć problem?

[NieWiem]

Hmmm... A pokaż mi nowego loga z OTL.

[cdyone]

OTL.Txt
http://www.wklej.org/id/207532/

Extras.Txt
http://www.wklej.org/id/207533/

Hmmm, jakiś dziwny przypadek czy mi się wydaje?

Edit:
A co z tym TDiagnostic.exe?

[NieWiem]

TDiagnostic można odpuścić, choć do końca to nie wiem co to jest.

Zastanawia mnie, czemu się nie możesz zalogować w trybie normalnym. Wygląda, że jest w porządku...

• Start => uruchom => regedit.exe
• klucz HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
  • w oknie po prawej stronie znajdź shell
  • kliknij podwójnie i sprawdź w okienku co jest w dane wartości.
• ten sam klucz HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
  • znajdź Userinit
  • jaka tam jest wartość?

[cdyone]

shell: Explorer.exe
Userinit: C:\WINDOWS\system32\userinit.exe

Edit:
Próbowałem ponownie zobaczyć czy coś się zmieniło, jednak bez zmian, nadal to samo. Odpalają się ikony, uruchamiają się programy i koniec. Nie wiem co jest grane .

[NieWiem]

Czy po userinit.exe jest przecinek? Ma to wyglądać dokładnie tak:

Kod: Zaznacz wszystko

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\WINDOWS\system32\userinit.exe,"

• Pobierz program Malwarebytes' Anti-Malware i zainstaluj.
• Wersja freeware nie ma opcji automatycznych aktualizacji, dlatego pod koniec instalacji upewnij się, że zaznaczone są opcje:
  • Update Malwarebytes' Anti-Malware
  • Launch Malwarebytes' Anti-Malware
• Wciśnij Finish.
• Przeprowadź pełne skanowanie komputera.
• Raport z tego skanowania proszę wkleić na forum w tagach [code], lub na stronie http://www.wklej.org a w odpowiedzi podać tylko linka do tej strony.

[cdyone]

Tak, jest przecinek.
Zrobiłem skan, usunąłem to co wykryło, jednak to nic nie dało. A myślisz może, że powiększenie pamięci wirtualnej by coś dało? Tylko nie wiem czy jest ta opcja dostępna w trybie awaryjnym. Poniżej skan:

http://www.wklej.org/id/207609/

Już nie mam zielonego pojęcia od czego mi się tak robi...

[wojtas]

Uruchom OTL i w oknie Custom Scans/Fixes wklej :

:OTL
PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation)
O4 - Startup: C:\Documents and Settings\All Users\Menu Start\Programy\Autostart\TDiagnostic.exe ()

:Files
C:\1a1dndah.exe
D:\1a1dndah.exe

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{db1b3e60-05ac-11de-a5d3-00001cd72a97}]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"SuperHidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"Hidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"ShowSuperHidden"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
@=""

:Commands
[emptytemp]
[start explorer]
[Reboot]

Kliknij w Run Fix. I potwierdz reset kompa .

Następnie uruchamiasz OTL z opcją Run Scan. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia kompa

Autor postu otrzymał pochwałę

[NieWiem]

Wojtas, wybacz, ale to będzie mało...

C:\Documents and Settings\cdy\Ustawienia lokalne\temp\eja1.tmp (Worm.Parite) -> No action taken.

Wszystko jasne. Prawdopodobnie Win32.Parite.B => Infekcja ta nie ma żadnych objawów, poza ogólnym kiepskim działaniem systemu, przenosi się też przez pendrive, a ostatnio ma jakiś dziwny wysyp... Jeśli to ona, to czarno to widzę.

Dobre wyniki w leczeniu ma też skaner Dr Web CureIt, jednakże czyszczenie tym programem spod działającego windowsa jest mało skutecznie, ponieważ uruchomione są pliki systemowe, które także są poinfekowane. O wiele lepszym (i nawet skutecznym!) rozwiązaniem jest wykonanie na innym, niezarażonym komputerze (czytaj: nie tym Twoim!) bootowalnej płyty Dr Web LiveCD i wykonanie z niej przynajmniej kilkukrotnie skanowania całego komputera. Pobieramy obraz ISO, który należy następnie wypalić na czystą płytę CD.

Od razu lojalnie uprzedzam: jeśli się nie uda, prawdopodobnie czeka Cię format wszystkiego bez wyjątku.

Autor postu otrzymał pochwałę

[cdyone]

Sprawdzę to jutro po powrocie ze szkoły. Napiszę nowego posta. Póki co dzięki za włożony trud i czas . Do jutra!

Dodano Dzisiaj, 15:31:
Ok, zrobiłem to co radził wojtas, pomogło .
Wrzucam skan z czyszczenia kompa i OTL.txt.

Skan:
http://www.wklej.org/id/208179/

OTL.Txt
http://www.wklej.org/id/208184/

Extras.Txt
http://www.wklej.org/id/208185/

Wielkie dzięki chłopaki!

[NieWiem]

Ja Ci dobrze radzę: odpal Dr Weba, bo ja widzę w logu działający moduł

MOD - [2009-11-17 15:25:55 | 00,176,128 | ---- | M] () -- C:\Documents and Settings\cdy\Ustawienia lokalne\temp\pwa2.tmp

który na 99% infekuje Ci właśnie pliki wykonywalne...

[cdyone]

Masz rację... znów to samo. Ehh, kombinuję dalej .

[NieWiem]

Mówię Ci:

• Bootowalna płyta Dr Web LiveCD
• Wypalasz na jakimś innym kompie na czystym CD
• z tej płyty odpalasz komputer i skanujesz, dopóki skan nie wykaże że czysto

Alternatywą jest format wszystkich partycji.

[cdyone]

Mam jeszcze małe pytanko...
Jeżeli już bym się decydował na format (choć i tak będę walczył do końca! ), to czy zostały zarażone pliki typu muzyka, filmy, obrazy?