Proszę o sprawdzenie logów po czyszczeniu wirusów.

**Posty:** 1850 · przez **Tomaszu** 21 Wrz 2010, 16:31

Witam.
Nie wiedziałem co napisać w nazwie tematu. Chodzi o to, że prawdopodobnie na pendrivie miałem jakiś syf, który mi się zainstalował i po prostu z tego jednego pliczku naroiło się masę robali. Przeskanowałem avastem, usunęło trochę pliczków i teraz chciałbym prosić i sprawdzenie logów. Chcę wiedzieć czy coś jeszcze siedzi czy już mogę być spokojny.

Gmer:
http://wklej.org/id/391845/

OTL:
http://wklej.org/id/391848/

Extras:
http://wklej.org/id/391850/

Do tego kilka procesów w menedżerze mnie niepokoi;
FTRTSVC.exe
i smss.exe
screen wszystkich: http://up.programosy.pl/view/sss_38.jpg.html

Mam nadzieję, że wszystko wykonane prawidłowo.
Dzięki.

**Posty:** 2183 · przez **NieWiem** 21 Wrz 2010, 18:28

smss.exe - systemowy manager sesji
FTRTSVC.exe - od neostrady

Uruchom ponownie OTL

w oknie na dole wklej

Kod: Zaznacz wszystko: :OTL O4 - HKLM..\Run: [Regedit32] C:\WINDOWS\System32\regedit.exe File not found O4 - HKLM..\Run: [UserFaultCheck] File not found O4 - HKU\S-1-5-21-839522115-1979792683-1801674531-1003..\Run: [NetLog2] C:\WINDOWS\svc2.exe File not found O4 - HKU\S-1-5-21-839522115-1979792683-1801674531-1003..\Run: [NetLog3] C:\WINDOWS\svc3.exe File not found O4 - HKU\S-1-5-21-839522115-1979792683-1801674531-1003..\Run: [wuaucldt] c:\documents and settings\tomek.pol-a173485f45c\wuaucldt.exe File not found :commands [emptytemp] [emptyflash] [createrestorepoint]

Wciskasz Wykonaj skrypt.

Wracasz z raportem z czyszczenia i nowym logiem z OTL.

z tego jednego pliczku naroiło się masę robali

z jakiego pliczku? pamiętasz nazwę? albo coś więcej? bo jak infekcja w wykonywalnych, to nieciekawie, choć tutaj nic takiego nie widzę

**Posty:** 1850 · przez **Tomaszu** 21 Wrz 2010, 19:07

Nazwy nie pamiętam, ale po przeskanowaniu tego nośnika jako wirusa potraktowało explorer.exe. Nie mam pojęcia czy to naprawdę wir i jak się tam znalazł plik o takiej nazwie. Dziś rano robiłem formata i mniemam, że to właśnie tam siedział jakiś syf, ale przeskanowałem i avast właśnie to znalazł i usunął (mam nadzieję, że skutecznie).

Log po wykonaniu skryptu:

Kod: Zaznacz wszystko: All processes killed ========== OTL ========== Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\Regedit32 deleted successfully. Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\UserFaultCheck deleted successfully. Registry value HKEY_USERS\S-1-5-21-839522115-1979792683-1801674531-1003\Software\Microsoft\Windows\CurrentVersion\Run\\NetLog2 deleted successfully. Registry value HKEY_USERS\S-1-5-21-839522115-1979792683-1801674531-1003\Software\Microsoft\Windows\CurrentVersion\Run\\NetLog3 deleted successfully. Registry value HKEY_USERS\S-1-5-21-839522115-1979792683-1801674531-1003\Software\Microsoft\Windows\CurrentVersion\Run\\wuaucldt deleted successfully. ========== COMMANDS ========== [EMPTYTEMP] User: All Users User: All Users.WINDOWS User: Default User ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: Default User.WINDOWS ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: LocalService ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: LocalService.ZARZĄDZANIE NT ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: NetworkService ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: NetworkService.ZARZĄDZANIE NT ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: Tomek ->Temp folder emptied: 95590659 bytes ->Temporary Internet Files folder emptied: 33170 bytes ->Java cache emptied: 0 bytes ->Opera cache emptied: 255938 bytes ->Flash cache emptied: 608 bytes User: Tomek.POL-A173485F45C ->Temp folder emptied: 377673009 bytes ->Temporary Internet Files folder emptied: 38323128 bytes ->Java cache emptied: 0 bytes ->Opera cache emptied: 21072651 bytes ->Flash cache emptied: 10823 bytes User: TOMEK~1~POL %systemdrive% .tmp files removed: 0 bytes %systemroot% .tmp files removed: 0 bytes %systemroot%\System32 .tmp files removed: 2596 bytes %systemroot%\System32\dllcache .tmp files removed: 0 bytes %systemroot%\System32\drivers .tmp files removed: 0 bytes Windows Temp folder emptied: 1121498 bytes RecycleBin emptied: 0 bytes Total Files Cleaned = 510,00 mb [EMPTYFLASH] User: All Users User: All Users.WINDOWS User: Default User User: Default User.WINDOWS User: LocalService User: LocalService.ZARZĄDZANIE NT User: NetworkService User: NetworkService.ZARZĄDZANIE NT User: Tomek ->Flash cache emptied: 0 bytes User: Tomek.POL-A173485F45C ->Flash cache emptied: 0 bytes User: TOMEK~1~POL Total Flash Files Cleaned = 0,00 mb Restore point Set: OTL Restore Point (0) OTL by OldTimer - Version 3.2.14.0 log created on 09212010_185240 Files\Folders moved on Reboot... File\Folder C:\WINDOWS\temp\_avast5_\Webshlock.txt not found! Registry entries deleted on Reboot...

I log OTL:
http://wklej.org/id/391923/

**Posty:** 2183 · przez **NieWiem** 22 Wrz 2010, 09:06

Wklej do notatnika

Windows Registry Editor Version 5.00

[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"C:\Program Files\NetMeter\NetMeter.exe"=-

Plik -> zapisz jako -> wszystkie pliki -> fix.reg, po czym odpal ten plik, zatwierdź dodanie do rejestru i zresetuj komputer.

Nic tu więcej nie widzę.

Pobierz i zainstaluj MBAM:
mirror do pobrania

Podczas instalacji zaznaczone mają być opcje:

Update Malwarebytes' Anti-Malware
Launch Malwarebytes' Anti-Malware

Wykonaj pełne skanowanie i pokaż raport.

**Posty:** 1850 · przez **Tomaszu** 22 Wrz 2010, 10:23

Dzięki :-) Przed skanowaniem miałem problem z opcją pokazywania ukrytych folderów. Po zaznaczeniu opcji 'pokazuj ukryte pliki i foldery' i kliknięciu ok powracało do domyślnego stanu, ale po skanowaniu i usunięciu działa już poprawnie :-)
Log po:

Kod: Zaznacz wszystko: Malwarebytes' Anti-Malware 1.46 www.malwarebytes.org Wersja bazy: 4669 Windows 5.1.2600 Dodatek Service Pack 3 Internet Explorer 8.0.6001.18702 2010-09-22 10:10:48 mbam-log-2010-09-22 (10-10-48).txt Typ skanowania: Pełne skanowanie (C:\|E:\|) Przeskanowano obiektów: 221712 Upłynęło: 43 minut(y), 47 sekund(y) Zainfekowanych procesów w pamięci: 0 Zainfekowanych modułów w pamięci: 0 Zainfekowanych kluczy rejestru: 1 Zainfekowanych wartości rejestru: 4 Zainfekowane informacje rejestru systemowego: 1 Zainfekowanych folderów: 0 Zainfekowanych plików: 19 Zainfekowanych procesów w pamięci: (Nie znaleziono zagrożeń) Zainfekowanych modułów w pamięci: (Nie znaleziono zagrożeń) Zainfekowanych kluczy rejestru: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDORSYS (Malware.Trace) -> Quarantined and deleted successfully. Zainfekowanych wartości rejestru: HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows\init (Trojan.Agent) -> Quarantined and deleted successfully. HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows\win (Trojan.Agent) -> Quarantined and deleted successfully. HKEY_USERS\.DEFAULT\Software\Microsoft\Windows NT\CurrentVersion\Windows\win (Malware.Trace) -> Quarantined and deleted successfully. HKEY_USERS\.DEFAULT\Software\Microsoft\Windows NT\CurrentVersion\Windows\init (Malware.Trace) -> Quarantined and deleted successfully. Zainfekowane informacje rejestru systemowego: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue (Hijack.System.Hidden) -> Bad: (0) Good: (1) -> Quarantined and deleted successfully. Zainfekowanych folderów: (Nie znaleziono zagrożeń) Zainfekowanych plików: C:\Documents and Settings\Tomek\Ustawienia lokalne\Dane aplikacji\Opera\Opera\cache\g_0000\opr00014.tmp (Trojan.Dropper.PGen) -> Quarantined and deleted successfully. C:\Documents and Settings\Tomek.POL-A173485F45C\Pulpit\Różne rzeczy\CrossFire hacks\pierwszy\CroosFire Hack\PerX.exe (Backdoor.Bot) -> Quarantined and deleted successfully. C:\Documents and Settings\Tomek.POL-A173485F45C\Pulpit\Różne rzeczy\Digital.Sound.Recorder.v3.2.5\Keygen.exe (Malware.Packer.Gen) -> Quarantined and deleted successfully. C:\Documents and Settings\Tomek.POL-A173485F45C\Pulpit\Różne rzeczy\Programy\revelation\revelation\Revelation.exe (HackTool.Snadboy) -> Quarantined and deleted successfully. C:\System Volume Information\_restore{9DAB22ED-5135-4694-833D-F31411323366}\RP11\A0003016.exe (Trojan.Downloader) -> Quarantined and deleted successfully. C:\System Volume Information\_restore{9DAB22ED-5135-4694-833D-F31411323366}\RP11\A0003068.OCX (Worm.Nyxem) -> Quarantined and deleted successfully. C:\System Volume Information\_restore{9DAB22ED-5135-4694-833D-F31411323366}\RP11\A0004125.dll (Trojan.Onlinegames) -> Quarantined and deleted successfully. C:\System Volume Information\_restore{9DAB22ED-5135-4694-833D-F31411323366}\RP11\A0004126.OCX (Worm.Nyxem) -> Quarantined and deleted successfully. C:\System Volume Information\_restore{E89D9F74-BB32-4B45-860F-B5D86915C694}\RP11\A0005288.dll (Trojan.Onlinegames) -> Quarantined and deleted successfully. C:\System Volume Information\_restore{E89D9F74-BB32-4B45-860F-B5D86915C694}\RP11\A0005537.scr (Trojan.Dropper.PGen) -> Quarantined and deleted successfully. C:\System Volume Information\_restore{E89D9F74-BB32-4B45-860F-B5D86915C694}\RP11\A0005540.exe (Trojan.Agent.Gen) -> Quarantined and deleted successfully. C:\System Volume Information\_restore{E89D9F74-BB32-4B45-860F-B5D86915C694}\RP11\A0005541.exe (Trojan.LVBP) -> Quarantined and deleted successfully. C:\System Volume Information\_restore{E89D9F74-BB32-4B45-860F-B5D86915C694}\RP11\A0005543.exe (Malware.Packer.Gen) -> Quarantined and deleted successfully. C:\System Volume Information\_restore{E89D9F74-BB32-4B45-860F-B5D86915C694}\RP11\A0005544.exe (Malware.Packer.Gen) -> Quarantined and deleted successfully. C:\Program Files\lame_enc.dll (Spyware.OnlineGames) -> Quarantined and deleted successfully. C:\WINDOWS\system32\comsats.sys (Trojan.Agent) -> Quarantined and deleted successfully. C:\WINDOWS\system32\service.sys (Rootkit.Agent) -> Quarantined and deleted successfully. C:\WINDOWS\system32\updata.exe (Trojan.Agent) -> Quarantined and deleted successfully. C:\Documents and Settings\Tomek.POL-A173485F45C\oashdihasidhasuidhiasdhiashdiuasdhasd (Malware.Trace) -> Quarantined and deleted successfully.

**Posty:** 2183 · przez **NieWiem** 22 Wrz 2010, 10:38

Odrobinę mnie te wyniki z MBAM zaskoczyły. Zróbmy jeszcze jedną rzecz...

Pobierz Iceswords
STĄD
Zapisz i wypakuj do folderu na Pulpicie.

Jeśli zobaczysz mnóstwo wpisów oznaczonych na czerwono w logu - nie podejmuj akcji!

Uruchom Icesword
kliknij Processes - zapisz PathName procesów oznaczonych na czerwono (jeśli są) po czym u góry kliknij LOG i zapisz to do pliku.
kliknij Win32 Services - zapisz ModuleName usług zaznaczonych na czerwono (jeśli są), po czym u góry kliknij LOG i zapisz to do pliku.
Kliknij Startup - zapisz Path wpisów oznaczonych na czerwono, po czym u góry kliknij LOG i zapisz to do pliku.
Kliknij Kernel Module - zapisz nazwę wpisów czerwonych, po czym u góry kliknij LOG i zapisz to do pliku.
Kliknij SSDT - sprawdź czy są czerwone wpisy. Jeśli są - przepisz ich KModule Name.

Całość informacji spakuj, wrzuć na www.speedyshare.com i daj mi linka do paczki.

**Posty:** 1850 · przez **Tomaszu** 22 Wrz 2010, 17:15

W SSDT jest 12 takich samych wpisów na czerwono o KModule: SystemRoot\System32\Drivers\aswSP.SYS
I teraz kolejno napiszę co jest w każdym z czerwonych wpisów w kolumnie NAME:
NtClose
NtCreateKey
NtDeleteKey
NtDeleteValueKey
NtDuplicateObject
NtOpenKey
NtOpenProcess
NtOpenThread
NtQueryValueKey
NtRenameKey
NtRestoreKey
NtSetValueKey

Mam nadzieję, że w miarę zrozumiale napisałem :-)

**Posty:** 2183 · przez **NieWiem** 22 Wrz 2010, 17:40

No świetnie, ale gdzie jest link do paczki z pozostałymi logami z tego programu? Muszę na to rzucić okiem.

**Posty:** 1850 · przez **Tomaszu** 23 Wrz 2010, 09:36

Aha, źle zrozumiałem najwyraźniej, bo zrozumiałem to tak że jeśli gdzieś są czerwone wpisy to z tego mam zarzucić loga :-)
Ale zrobiłem teraz.
http://www.speedyshare.com/files/24371698/logi.rar

**Posty:** 2183 · przez **NieWiem** 23 Wrz 2010, 11:48

Nie widzę nic interesującego, więc takie dwie małe rzeczy jeszcze i tyle :ok:

Pobierz CKScanner -> stąd
Zapisz na pulpicie

Uruchom i wybierz Search For Files

Gdy program ukończy wybierz opcję Save List To File
Przeklej zawartość utworzonego pliku

Pobierz Security Check od screen317
stąd lub stąd

Uruchom i postępuj za instrukcjami
Po zakończeniu pracy otworzy się plik w notatniku - przeklej jego zawartość

**Posty:** 1850 · przez **Tomaszu** 23 Wrz 2010, 14:26

CKScanner

Kod: Zaznacz wszystko: CKScanner - Additional Security Risks - These are not necessarily bad c:\windows\prefetch\keygen.exe-1fefa756.pf scanner sequence 3.AP.11 ----- EOF -----

SecurityCheck

Kod: Zaznacz wszystko: Results of screen317's Security Check version 0.99.5 Windows XP Service Pack 3 Internet Explorer 8 [b]`````````````````````````````` [u]Antivirus/Firewall Check:[/u][/b] [color=red][b]Windows Security Center service is not running! This report may not be accurate![/b][/color] avast! Free Antivirus [size=1]WMI entry may not exist for antivirus; attempting automatic update.[/size] [b]``````````````````````````````` [u]Anti-malware/Other Utilities Check:[/u][/b] Malwarebytes' Anti-Malware CCleaner (remove only) Java 2 Runtime Environment, SE v1.4.0_03 Adobe Flash Player 10.1.85.3 [b]```````````````````````````````` Process Check: [u]objlist.exe by Laurent[/u][/b] Alwil Software Avast5 AvastSvc.exe Alwil Software Avast5 avastUI.exe [b]```````````````````````````````` [u]DNS Vulnerability Check:[/u][/b] GREAT! (Not vulnerable to DNS cache poisoning) [b]``````````End of Log````````````[/b]

**Posty:** 2183 · przez **NieWiem** 24 Wrz 2010, 08:51

No to po robocie.

Skasuj gmera, skasuj CKScanner i Security Check.

Potem uruchom OTL i wybierz opcję Sprzątanie. Tyle

Autor postu otrzymał pochwałę

Kto jest na forum