Rkit/bubnix.s jak usunąć?

**Posty:** 4 · przez **arciox** 18 Maj 2010, 12:39

Witam, od kilku dni mam na kompie tego szkodnika

i nie wiem jak się go pozbyć. Avira go wykrywa ale nie może go usunąć, a Malwarebyte nic nie widzi.
log z OTL:
http://www.wklej.org/id/335880/

**Posty:** 4765 · przez **ordynat** 18 Maj 2010, 13:34

>Avenger>
wklej do niego ten tekst:

Kod: Zaznacz wszystko: Files to delete: C:\WINDOWS\System32\drivers\fudf.sys C:\WINDOWS\System32\drivers\wwzco.sys C:\Documents and Settings\Arek\Dane aplikacji\qvjsge.dat C:\Documents and Settings\NetworkService\Dane aplikacji\kcmdte.dat Drivers to delete: fudf wwzco

Kliknij w "Execute" i zatwierdź restart komputera.
Zrestartuj komputer.
Daj Raport z Avengera z C:\avenger.txt.
Potem:
Uruchom OTL i w oknie Custom Scans/Fixes wklej to:

:OTL
IE - HKCU\..\URLSearchHook: {E312764E-7706-43F1-8DAB-FCDD2B1E416D} - C:\Program Files\pdfforge Toolbar\SearchSettings.dll (Spigot, Inc.)
FF - prefs.js..extensions.enabledItems: pdfforge@mybrowserbar.com:1.1.2
FF - prefs.js..extensions.enabledItems: searchsettings@spigot.com:1.2.3
O2 - BHO: (pdfforge Toolbar) - {B922D405-6D13-4A2B-AE89-08A030DA4402} - C:\Program Files\pdfforge Toolbar\IE\1.1.2\pdfforgeToolbarIE.dll (Spigot, Inc.)
O2 - BHO: (no name) - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} - C:\Program Files\pdfforge Toolbar\SearchSettings.dll (Spigot, Inc.)
O3 - HKLM\..\Toolbar: (pdfforge Toolbar) - {B922D405-6D13-4A2B-AE89-08A030DA4402} - C:\Program Files\pdfforge Toolbar\IE\1.1.2\pdfforgeToolbarIE.dll (Spigot, Inc.)
O4 - HKLM..\Run: [SearchSettings] C:\Program Files\pdfforge Toolbar\SearchSettings.exe (Spigot, Inc.)
[2010-05-14 08:09:49 | 000,000,000 | ---D | C] -- C:\Documents and Settings\Arek\Dane aplikacji\Search Settings
[2010-05-13 13:11:31 | 000,000,000 | ---D | C] -- C:\Program Files\Application Updater
[2010-05-13 13:11:30 | 000,000,000 | ---D | C] -- C:\Program Files\pdfforge Toolbar
[2010-05-18 11:53:03 | 000,061,440 | ---- | C] () -- C:\WINDOWS\System32\drivers\fudf.sys
[2010-05-04 15:01:36 | 000,000,000 | ---- | C] () -- C:\WINDOWS\System32\drivers\wwzco.sys
[2010-05-04 15:01:04 | 000,000,012 | ---- | C] () -- C:\Documents and Settings\Arek\Dane aplikacji\qvjsge.dat
[2010-04-20 15:42:37 | 000,000,012 | ---- | C] () -- C:\Documents and Settings\NetworkService\Dane aplikacji\kcmdte.dat

:Commands
[emptytemp]
[Reboot]

Kliknij w Run Fix. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij "Run Scan".
Pokaż nowy log OTL.txt oraz raport z usuwania.

Zajrzyj do Kwarantanny Aviry, i zobacz, czy były usuwane jakieś pliki o rozszerzeniu .sys.
Jeśli tak, to podaj jakie.
.

**Posty:** 4 · przez **arciox** 18 Maj 2010, 14:58

log a avenger'a
http://www.wklej.org/id/335961/

zauważyłem jeszcze takie coś, że zanim zrobiłem to co napisałeś avengerem wydajność procka miałem 100% a teraz mam prawie 0% i komp od razu szybciej chodzi.

**Posty:** 4765 · przez **ordynat** 18 Maj 2010, 15:12

Avenger wykrył jeszcze jednego półRootkita, więc:
>Avenger>
wklej do niego ten tekst:

Kod: Zaznacz wszystko: Files to delete: %windir%\system32\drivers\ygck.sys c:\windows\system32\drivers\ygck.sys Drivers to delete: ssnvmxm ygck

Kliknij w "Execute" i zatwierdź restart komputera.
Zrestartuj komputer.
Daj Raport z Avengera z C:\avenger.txt.

I wykonaj resztę zaleceń z mojego poprzedniego postu.
.

**Posty:** 4 · przez **arciox** 18 Maj 2010, 16:15

raport z usuwania:
http://www.wklej.org/id/336023/

log po scanie:
http://www.wklej.org/id/336026/

a w Avirze w kwarantannie jest napisane tylko co do pliku C:\\WINDOWS\system32\driver\wwzco.sys "Contains recognition pattern of the RKIT/Bubnix.S root kit"

i co do tego co wyżej napisałem co o użycia procesora, to po uruchomieniu systemu chodzi normalnie wszystko, jednak po jakiś 10-15 min zaczyna tak mulić że nawet jak tutaj pisze to skacze mi kurrsor co kilka literek.

edit: i jeszcze jeden z avengera: http://www.wklej.org/id/336045/

edit2: kurde ja to siedzę w robocie przy kompie którym mam właśnie ten kłopot, i będę już kończył. Ale dale o rady i pomoc prosze, wróce jutro rano od 8:00 bede z

**Posty:** 4765 · przez **ordynat** 18 Maj 2010, 16:27

Dziwne, że Avenger nie znalazł tego, co przedtem sam wykrył.
Prawie czysto, do usunięcia jeszcze usługa:
Uruchom OTL i w oknie Custom Scans/Fixes wklej to:

:OTL
Application Updater

:Commands
[Reboot]

Kliknij w Run Fix. Zatwierdź restart komputera.
Logu nie musisz już dawać.

W OTL kliknij na przycisk "CleanUp" - to go usunie razem z jego Kwarantanną. Zniknie też Avenger.

Usuń kopie szkodników z folderu "System Volume Information" poprzez chwilowe wyłączenie "Przywracania Systemu":

>START>Panel Sterowania>System>Przywracanie Systemu>>zaznacz w okienku przy "Wyłącz przywracanie na wszystkich dyskach">Zastosuj>OK.
(W czasie tego chwilowego wyłączenia te kopie usuną się samoczynnie, więc nie ma potrzeby zaglądania do folderu.)
Potem możesz powrócić do poprzedniego ustawienia (czyli usunąć zaznaczenie z okienka).

.
EDIT:
Przeskanuj jeszcze tym: >http://www.programosy.pl/program,malwarebytes-anti-malware.html
.

Autor postu otrzymał pochwałę

**Posty:** 4 · przez **arciox** 18 Maj 2010, 18:21

Dzięki za pomoc, jutro zrobię to co napisałeś w ostatnim poście, bo już jestem w domu, a jak pisałem wcześniej komputer który jest zarażony jest w robocie i zrobię to jutro rano.

Wielkie dzięki. Jak coś będzie jeszcze nie tak to będę jeszcze pisał.

[edit]: Dokończyłem właśnie wszystko co wyżej napisałeś i tym malwarebyte też przeskanowałem i nic już nie wykrywa.
Jeszcze raz wielkie dzięki.

Kto jest na forum