Rkit/bubnix.s i daurso.a

[m_ogorek]

Cześć,
mam następujący problem po skanie Avira zidentyfikował RKIT/Bubnix.S nie mógł go usunąć ani wrzucic do kwarantanny nie mogłam go też przeskanować przy pomocy skannera w internecie Jotti
znalazłam w internecie pomysł jak usunąć ten wirus podobna strona tylko że po angielsku:
http://www.geekstogo.com/forum/Malware-Spyware-Cleaning-Guide-t2852.html
postępowałam zgodnie z instrukcją do końca
Później znalazłam ten sam problem na tej stronie więc w związku z tym że dzisiaj ktoś miał podobny problem chciałam także wrzucić mój problem by uzyskać szybką odpowiedź i zaczęłam postepowac zgodnie z regulaminem zakładki Bezpieczeństwo
jednak nie udało mi się pomyślnie zakończyć pierwszego kroku: pozbycie się z systemu pliku sptd.sys: przeszłam do drugiego kroku czyli gmer no i wtedy dwukrotnie podczas skanowania pojawił się blue screen i przywracanie systemu więc pomyślałam że przedstawię log z gmera i OTL które zrobiłam dwie godziny wcześniej:
gmer:
http://www.wklej.org/id/336439/
OTL:
http://www.wklej.org/id/336440/
Byłabym bardzo wdzięczna za pomoc zwłaszcza że ten Daurso.A skanuje ponoć hasła i według defendera pozio zagrożenia jest powaźny
Gośka

[ordynat]

Jest także Rootkit.
>>GMER>>
>Rozwiń>>>zakładka CMD>>zaznacz CMD ---w górne czarne pole wklej to:

gmer -del service rgqkucw
gmer -del file C:\Windows\System32\drivers\rgqkucw.sys
gmer -del reg HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{602ADB0E-4AFF-4217-8AA1-95DAC4DFA408}
gmer -del file C:\Users\xxx\AppData\Roaming\qvjsge.dat
gmer -del reg HKLM\SYSTEM\CurrentControlSet\Services\rgqkucw
gmer -del reg HKLM\SYSTEM\ControlSet003\Services\rgqkucw
gmer -del reg HKCU\software\microsoft\windows\currentversion\explorer\mountpoints2
gmer -del reg HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{7E853D72-626A-48EC-A868-BA8D5E23E045}
gmer -reboot

Kliknij „Uruchom” z prawej strony. Komputer powinien się samoczynnie wyłączyć i włączyć.

Daj nowe logi.
Zobacz w Kwarantannie Aviry, jakie pliki były usuwane, spisz wszystkie te, które miały rozszerzenie .sys, i podaj tu.
.

[m_ogorek]

Cześć,
no więc zrobiłam wszystko zgodnie z instrukcją i po pierwsze wysłało komunikat:
wystąpił błąd w czasie kasowania pliku C:Windows\System32\drivers\rgqkucw.sys
Potem kolejny komunikat:
Wymagany klucz wyszukiwania nie został odnaleziony w żadnym aktywnym kontekście
ale potem pokazał się komunikat:
polecenie wykonane poprawnie.
w avirze tylko:

C:\WINDOWS\System32\drivers\rgqkucw.sys
[DETECTION] Contains recognition pattern of the RKIT/Bubnix.S root kit

Beginning disinfection:
C:\WINDOWS\System32\drivers\rgqkucw.sys
[DETECTION] Contains recognition pattern of the RKIT/Bubnix.S root kit
[WARNING] The file could not be copied to quarantine!
[WARNING] The file could not be deleted!
[WARNING] The file could not be selected for deletion after the restart. Possible cause: Urządzenie podłączone do komputera nie działa.


strasznie długo trwa skanowanie gmerem i znowu się zatrzymał i pokazał blue screena ale potem juz się udało
gmer:
http://www.wklej.org/id/336526/
otl:
http://www.wklej.org/id/336527/
extras:
http://www.wklej.org/id/336528/
czekam na kolejne instrukcje
pozdrawiam

[ordynat]

Usuwanie się nie udało.
Zmieniamy metodę:
1) Do Notatnika wklej:

Kod: Zaznacz wszystko

Windows Registry Editor Version 5.00

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

[-HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{7E853D72-626A-48EC-A868-BA8D5E23E045}]

[-HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{602ADB0E-4AFF-4217-8AA1-95DAC4DFA408}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA}"=-


Z Menu Notatnika >> Plik >> Zapisz jako >> Ustaw rozszerzenie na Wszystkie pliki >> Zapisz jako> FIX.REG >>
plik uruchom (dwuklik i OK).

Potem:

Ściągnij -->Avenger.
wklej do niego ten tekst:

Kod: Zaznacz wszystko

Files to delete:
C:\Windows\System32\drivers\rgqkucw.sys

Registry keys to delete:
HKLM\SYSTEM\CurrentControlSet\Services\rgqkucw
HKLM\SYSTEM\ControlSet003\Services\rgqkucw

Drivers to delete:
rgqkucw



Kliknij w "Execute" i zatwierdź restart komputera.
Zrestartuj komputer.
Daj Raport z Avengera z C:\avenger.txt.

Nowe logi
.

[m_ogorek]

zgodnie z instrukcja wysyłam raport z avengera:

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows Vista

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

File "C:\Windows\System32\drivers\rgqkucw.sys" deleted successfully.
Registry key "HKLM\SYSTEM\CurrentControlSet\Services\rgqkucw" deleted successfully.
Registry key "HKLM\SYSTEM\ControlSet003\Services\rgqkucw" deleted successfully.

Error: registry key "\Registry\Machine\System\CurrentControlSet\Services\rgqkucw" not found!
Deletion of driver "rgqkucw" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Completed script processing.

*******************

Finished! Terminate.

nie udało mi się wygenerować raportu z gmer, raz blue screen, potem przeskanował ale zawiesił się przy zapisywaniu raportu, ponieważ skanowanie trwa ok 1,5h to wiecej nie próbowałam
z OTL:
http://www.wklej.org/id/336680/
nie wiem czy przy skanowaniu komp powinień wykorzystywać 100% procesora...

Dodano Dzisiaj, 16:27:
zrobiłam jeszcze skan malwarebytes:
raport:

Malwarebytes' Anti-Malware 1.46
http://www.malwarebytes.org

Wersja bazy: 4112

Windows 6.0.6000
Internet Explorer 7.0.6000.17037

2010-05-19 16:24:28
mbam-log-2010-05-19 (16-24-28).txt

Typ skanowania: Szybkie skanowanie
Przeskanowano obiektów: 118441
Upłynęło: 3 minut(y), 45 sekund(y)

Zainfekowanych procesów w pamięci: 0
Zainfekowanych modułów w pamięci: 0
Zainfekowanych kluczy rejestru: 0
Zainfekowanych wartości rejestru: 0
Zainfekowane informacje rejestru systemowego: 0
Zainfekowanych folderów: 0
Zainfekowanych plików: 10

Zainfekowanych procesów w pamięci:
(Nie znaleziono zagrożeń)

Zainfekowanych modułów w pamięci:
(Nie znaleziono zagrożeń)

Zainfekowanych kluczy rejestru:
(Nie znaleziono zagrożeń)

Zainfekowanych wartości rejestru:
(Nie znaleziono zagrożeń)

Zainfekowane informacje rejestru systemowego:
(Nie znaleziono zagrożeń)

Zainfekowanych folderów:
(Nie znaleziono zagrożeń)

Zainfekowanych plików:
C:\WINDOWS\Temp\1308767e.tmp (Trojan.Downloader) -> No action taken.
C:\WINDOWS\Temp\1bcc7d9.tmp (Trojan.Downloader) -> No action taken.
C:\WINDOWS\Temp\4c937fa7.tmp (Trojan.Downloader) -> No action taken.
C:\WINDOWS\Temp\6a649fa0.tmp (Trojan.Downloader) -> No action taken.
C:\WINDOWS\Temp\6b4c5370.tmp (Trojan.Downloader) -> No action taken.
C:\WINDOWS\Temp\d2909b6a.tmp (Trojan.Downloader) -> No action taken.
C:\WINDOWS\Temp\d30a8958.tmp (Trojan.Downloader) -> No action taken.
C:\WINDOWS\Temp\f30a32b4.tmp (Trojan.Downloader) -> No action taken.
C:\WINDOWS\Temp\fc102504.tmp (Trojan.Downloader) -> No action taken.
C:\WINDOWS\Temp\febbae34.tmp (Trojan.Downloader) -> No action taken.

Dodano Dzisiaj, 16:33:
i raport z malwarebytes po próbie usunięcia, która się powiodła:
http://www.wklej.org/id/336684/

[ordynat]

czy przy skanowaniu komp powinień wykorzystywać 100% procesora

To zależy od mocy procesora.

Avenger usunął, co miał usunąć, choć nie znalazł usługi Rootkita.
A ponieważ nie ma nowego logu z GMER, to nie wiemy, czy tej usługi naprawdę już nie ma, czy może tylko Avenger nie potrafi jej dostrzec.
W nowym logu OTL nie widać nic szkodliwego (ale OTL nie potrafi dostrzec usług Rootkitów!)
Trochę niepokoi mnie to, co wykrył MBAM.
Ale mam nadzieję, że to tylko resztki po infekcji.
.

[m_ogorek]

intel (R) Core (TM)2 Duo CPU T8300 @ 2,40Ghz

Dodano Dzisiaj, 16:52:
spróbuje jeszcze raz włączyć tego gmera i jak tylko uda mi się stworzyć raport to go zaprezentuje

[ordynat]

intel (R) Core (TM)2 Duo CPU T8300 @ 2,40Ghz

To było tylko stwierdzenie/pytanie retoryczne.

Tak, chciałbym zobaczyć , czy w logu GMER naprawdę nie ma już tego Rootkita.
.

[m_ogorek]

log z gmera:
http://www.wklej.org/id/336754/

[ordynat]

Nie ma Rootkita.
Więc można uznać, że jest czysto.
W OTL kliknij na przycisk "CleanUp" - to go usunie razem z jego Kwarantanną. Zniknie też jednocześnie Avenger (i chyba GMER?).
.