Profilaktyczne sprawdzenie logów...

**Posty:** 2077 · przez **KaRi** 12 Mar 2011, 19:40

Witam,
ponieważ mój komputer dobrych kilka miesięcy latał bez żadnego AV, teraz skanowałem i Eset rzekomo coś wynalazł, ale nie wiem co dokładnie, także proszę o sprawdzenie logów:
Extras.txt
OTL.txt
GMER
Z góry dziękuję za ewentualną pomoc. :wink:

**Posty:** 9184 · przez **MUTOPOMPKA** 12 Mar 2011, 21:12

Masz syf w kompie. Widać to po logu otl-a. Piękne wpisy c:\autorun.inf f/:\setup.exe itp.

Musisz usunąć zdeko syfu

Antywir Ci nie pomoże, gdyż przed nim ładują się "syfki". Musiałbyś combofixem lub innym programem przelecieć po dysku. Kiedyś był "zakazany" combofix, gdyż mieszał coś w systemach, ale ja go z powodzeniem używałem ratując kompy znajomych. Teraz, jako user ubuntu tych problemów nie mam

**Posty:** 2077 · przez **KaRi** 12 Mar 2011, 21:19

AV zainstalowałem głównie po to żeby zeskanować i zobaczyć czy nic nie ma i widzę dobrze zrobiłem. Czyli co? Jakieś instrukcje czy coś, bo w tych sprawach ja jestem prawie że zielony

Combofix'a raz w życiu używałem, także proszę o wyrozumiałość

**Posty:** 9184 · przez **MUTOPOMPKA** 12 Mar 2011, 23:16

No to tak. Ja zawsze w kompach leczonych robiłem co następuje:

1. Ściągnięcie combofixa ze strony: Bleeping Computer
2. Odpalałem go, wcześniej dezaktuwyjąć antywira.
3. Pozwalałem mu zainstalować konsolę odzyskiwania systemu (aktywne połączenie internetowe)
4. Klikałem na potwierdzenie licencji itp. i zaczynał działać.
5. Po działaniu kompa i resecie zapuszczałem znów logi z otl-a i sprawdzałem "wizualnie", czy nie ma syfu.

PS. Widzisz pliki ukryte i systemowe?

**Posty:** 2077 · przez **KaRi** 12 Mar 2011, 23:23

PS. Widzisz pliki ukryte i systemowe?

Tak.

**Posty:** 18165 · przez **wojtas** 13 Mar 2011, 00:21

log z Gmera robiony w nieodpowiednich warunkach :

[Kernel | Boot | Running] -- C:\WINDOWS\System32\Drivers\sptd.sys -- (sptd)

poczytaj i zastosuj się do tego,

nie ma tu żadnej infekcji...

O32 - AutoRun File - [2010-09-11 09:47:29 | 000,000,000 | RHSD | M] - C:\Autorun.inf -- [ NTFS ]
O32 - AutoRun File - [2010-09-11 09:48:07 | 000,000,000 | RHSD | M] - D:\Autorun.inf -- [ NTFS ]
O32 - AutoRun File - [2010-09-11 09:48:08 | 000,000,000 | RHSD | M] - E:\Autorun.inf -- [ NTFS ]

wszystkie mają oznaczenie D czyli że jest to folder, zapewne tworzony w celu zabezpieczenia przed infekcją z pendriva...

Combofixa też nie trzeba.
odinstaluj DAEMON Tools Toolbar

Uruchom OTL i w sekcji własne opcje skanowania / skrypt wklej:

:OTL
IE - HKU\S-1-5-21-2427795108-4039480672-2885643646-1001\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://vshare.toolbarhome.com/?hp=df
FF - prefs.js..browser.search.defaultenginename: "Web Search..."
FF - prefs.js..keyword.URL: "http://vshare.toolbarhome.com/search.aspx?srch=ku&q="
[2010-09-23 12:01:31 | 000,000,000 | ---D | M] ("DAEMON Tools Toolbar") -- C:\Users\karol\AppData\Roaming\mozilla\Firefox\Profiles\6efe2tn3.default\extensions\DTToolbar@toolbarnet.com
[2010-09-23 12:01:25 | 000,002,059 | ---- | M] () -- C:\Users\karol\AppData\Roaming\Mozilla\Firefox\Profiles\6efe2tn3.default\searchplugins\daemon-search.xml
[2011-03-08 20:40:15 | 000,001,583 | ---- | M] () -- C:\Users\karol\AppData\Roaming\Mozilla\Firefox\Profiles\6efe2tn3.default\searchplugins\web-search.xml
[2011-03-08 20:40:11 | 000,000,000 | ---D | M] (vShare) -- C:\Users\karol\AppData\Roaming\mozilla\Firefox\Profiles\6efe2tn3.default\extensions\vshare@toolbar
O2 - BHO: (vShare Plugin) - {043C5167-00BB-4324-AF7E-62013FAEDACF} - C:\Program Files\vShare\vshare_toolbar.dll ()
O3 - HKLM\..\Toolbar: (vShare Plugin) - {043C5167-00BB-4324-AF7E-62013FAEDACF} - C:\Program Files\vShare\vshare_toolbar.dll ()
O3 - HKLM\..\Toolbar: (DAEMON Tools Toolbar) - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll ()
O3 - HKU\S-1-5-21-2427795108-4039480672-2885643646-1001\..\Toolbar\WebBrowser: (vShare Plugin) - {043C5167-00BB-4324-AF7E-62013FAEDACF} - C:\Program Files\vShare\vshare_toolbar.dll ()
O3 - HKU\S-1-5-21-2427795108-4039480672-2885643646-1001\..\Toolbar\WebBrowser: (DAEMON Tools Toolbar) - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll ()
O4 - HKLM..\Run: [S.M.A.R.T. Assistant] File not found
O4 - HKU\S-1-5-21-2427795108-4039480672-2885643646-1001..\Run: [S.M.A.R.T. Assistant] File not found

:Files
C:\Windows\Tasks\SMSIUXMS.job

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

:Commands
[emptytemp]
[emptyflash]

Kliknij wykonaj skrypt. I potwierdź reset komputera .

Wykonaj czynności końcowe :
*Uruchom OTL z opcji sprzątanie.
* wykonaj optymalizację Windowsa ( instrukcja dla Windowsa XP, lecz w innych systemach jest podobnie )
* zrób pełny skan Malwarebytes Anti-Malware (zaktualizuj, usuń co znajdzie )
* Skasuj stan przywracania systemu

Zaktualizuj zabezpieczenia:
>>> Adobe Reader (bez Free McAfee® Security Scan Plus)
>>> Mozilla Firefox

**Posty:** 2077 · przez **KaRi** 13 Mar 2011, 12:08

Loga z GMER'a nie mogę zrobić, wiesza mi się podczas skanowania...

Malwarebytes nic nie znalazł
Raport po czyszczeniu w OTL:

Kod: Zaznacz wszystko: All processes killed ========== OTL ========== HKU\S-1-5-21-2427795108-4039480672-2885643646-1001\SOFTWARE\Microsoft\Internet Explorer\Main\\Start Page| /E : value set successfully! Prefs.js: "Web Search..." removed from browser.search.defaultenginename Prefs.js: "http://vshare.toolbarhome.com/search.aspx?srch=ku&q=" removed from keyword.URL Folder C:\Users\karol\AppData\Roaming\mozilla\Firefox\Profiles\6efe2tn3.default\extensions\DTToolbar@toolbarnet.com\ not found. C:\Users\karol\AppData\Roaming\mozilla\Firefox\Profiles\6efe2tn3.default\extensions\vshare@toolbar\modules folder moved successfully. C:\Users\karol\AppData\Roaming\mozilla\Firefox\Profiles\6efe2tn3.default\extensions\vshare@toolbar\locale\en-US folder moved successfully. C:\Users\karol\AppData\Roaming\mozilla\Firefox\Profiles\6efe2tn3.default\extensions\vshare@toolbar\locale folder moved successfully. C:\Users\karol\AppData\Roaming\mozilla\Firefox\Profiles\6efe2tn3.default\extensions\vshare@toolbar\components folder moved successfully. C:\Users\karol\AppData\Roaming\mozilla\Firefox\Profiles\6efe2tn3.default\extensions\vshare@toolbar\chrome folder moved successfully. C:\Users\karol\AppData\Roaming\mozilla\Firefox\Profiles\6efe2tn3.default\extensions\vshare@toolbar folder moved successfully. Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{043C5167-00BB-4324-AF7E-62013FAEDACF}\ not found. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{043C5167-00BB-4324-AF7E-62013FAEDACF}\ not found. C:\Program Files\vShare\vshare_toolbar.dll moved successfully. Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\{043C5167-00BB-4324-AF7E-62013FAEDACF} not found. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{043C5167-00BB-4324-AF7E-62013FAEDACF}\ not found. File C:\Program Files\vShare\vshare_toolbar.dll not found. Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\{32099AAC-C132-4136-9E9A-4E364A424E17} not found. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{32099AAC-C132-4136-9E9A-4E364A424E17}\ not found. File C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll not found. Registry value HKEY_USERS\S-1-5-21-2427795108-4039480672-2885643646-1001\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{043C5167-00BB-4324-AF7E-62013FAEDACF} not found. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{043C5167-00BB-4324-AF7E-62013FAEDACF}\ not found. File C:\Program Files\vShare\vshare_toolbar.dll not found. Registry value HKEY_USERS\S-1-5-21-2427795108-4039480672-2885643646-1001\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{32099AAC-C132-4136-9E9A-4E364A424E17} deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{32099AAC-C132-4136-9E9A-4E364A424E17}\ not found. File C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll not found. Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\S.M.A.R.T. Assistant not found. Registry value HKEY_USERS\S-1-5-21-2427795108-4039480672-2885643646-1001\Software\Microsoft\Windows\CurrentVersion\Run\\S.M.A.R.T. Assistant not found. ========== FILES ========== File\Folder C:\Windows\Tasks\SMSIUXMS.job not found. ========== REGISTRY ========== Registry key HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\ deleted successfully. ========== COMMANDS ========== [EMPTYTEMP] User: All Users User: Default ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes User: Default User ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes User: Gość ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 67 bytes ->Java cache emptied: 0 bytes ->FireFox cache emptied: 0 bytes ->Opera cache emptied: 0 bytes ->Flash cache emptied: 974 bytes User: karol ->Temp folder emptied: 459539 bytes ->Temporary Internet Files folder emptied: 316187 bytes ->Java cache emptied: 541303 bytes ->FireFox cache emptied: 64975021 bytes ->Google Chrome cache emptied: 5864268 bytes ->Opera cache emptied: 0 bytes ->Flash cache emptied: 48891 bytes User: Public ->Temp folder emptied: 0 bytes User: zuzia ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 77078 bytes ->Java cache emptied: 683102 bytes ->FireFox cache emptied: 0 bytes ->Opera cache emptied: 0 bytes ->Flash cache emptied: 85410 bytes %systemdrive% .tmp files removed: 0 bytes %systemroot% .tmp files removed: 0 bytes %systemroot%\System32 .tmp files removed: 1619120 bytes %systemroot%\System32\drivers .tmp files removed: 0 bytes Windows Temp folder emptied: 116 bytes RecycleBin emptied: 1380437 bytes Total Files Cleaned = 73,00 mb [EMPTYFLASH] User: All Users User: Default User: Default User User: Gość ->Flash cache emptied: 0 bytes User: karol ->Flash cache emptied: 0 bytes User: Public User: zuzia ->Flash cache emptied: 0 bytes Total Flash Files Cleaned = 0,00 mb OTL by OldTimer - Version 3.2.22.3 log created on 03132011_105725 Files\Folders moved on Reboot... Registry entries deleted on Reboot...

A resztę Twoich zaleceń wykonuję...

@down
Tam pisałem, ponieważ trochę spanikowałem...

**Posty:** 18165 · przez **wojtas** 13 Mar 2011, 15:12

no i to na tyle

a i jak pytasz na innym forum, to pytaj tam po co 2 osoby maja to samo praktycznie podawać co usunąć...

Kto jest na forum