Rkit/bubnix.s - prośba o pomoc w usunięciu

**Posty:** 3 · przez **Evvcia** 09 Maj 2010, 12:51

Witam, mój komputer został zainfekowany przez rkit/bubnix.s
Avira i Sophost znajdują zainfekowany plik (vrunv.sys), ale nie mogą usunąć. Z kolei wg Malwarebytes komputer jest czysty.

Logi:
GMER: http://www.wklej.org/id/330724/
OTL: http://www.wklej.org/id/330726/
Extras: http://www.wklej.org/id/330728/

Proszę o pomoc w pozbyciu się intruza

**Posty:** 4765 · przez **ordynat** 09 Maj 2010, 14:48

Daję też do usuwania pliki Microsoftu, bo w rzeczywistości takich plików nie powinno być; Microsoft przygotował dla nich miejsce w Systemie, ale nigdy takich plików tam nie umieścił.
Usuwanie będzie dwuetapowe, co nie usunie Avenger, to usunie OTL, i odwrotnie.
Najpierw:
Ściągnij -->Avenger.
wklej do niego ten tekst:

Kod: Zaznacz wszystko: Files to delete: C:\WINDOWS\System32\drivers\vrunv.sys C:\WINDOWS\System32\fjhdyfhsn.bat C:\Documents and Settings\Admin\Dane aplikacji\wzmjhy.dat C:\WINDOWS\System32\drivers\lbrtfdc.sys C:\WINDOWS\System32\dllcache\lbrtfdc.sys C:\WINDOWS\System32\dllcache\i2omgmt.sys C:\WINDOWS\System32\drivers\Changer.sys C:\WINDOWS\System32\dllcache\changer.sys Registry keys to delete: HKLM\SYSTEM\CurrentControlSet\Services\vrunv HKLM\SYSTEM\ControlSet003\Services\vrunv Drivers to delete: vrunv

Kliknij w "Execute" i zatwierdź restart komputera.
Zrestartuj komputer.
Daj Raport z Avengera z C:\avenger.txt.
Potem:
Uruchom OTL i w oknie Custom Scans/Fixes wklej to:

:OTL
O37 - HKU\S-1-5-21-3703758730-2928563746-2669482221-1005\...exe [@ = exefile] -- Reg Error: Key error. File not found

:Files
C:\WINDOWS\System32\drivers\vrunv.sys
C:\WINDOWS\System32\fjhdyfhsn.bat
C:\Documents and Settings\Admin\Dane aplikacji\wzmjhy.dat
C:\WINDOWS\System32\drivers\lbrtfdc.sys
C:\WINDOWS\System32\dllcache\lbrtfdc.sys
C:\WINDOWS\System32\dllcache\i2omgmt.sys
C:\WINDOWS\System32\drivers\Changer.sys
C:\WINDOWS\System32\dllcache\changer.sys

:Services
vrunv

:Commands
[emptytemp]
[Reboot]

Kliknij w Run Fix. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij "Run Scan".
Pokaż nowy log OTL.txt oraz raport z usuwania.
.

Autor postu otrzymał pochwałę

**Posty:** 3 · przez **Evvcia** 09 Maj 2010, 15:43

Wykonałam wszystkie zalecane czynności i chyba się udało:

Raport z Avengera: http://www.wklej.org/id/330837/
Raport z czyszczenia OTL: http://www.wklej.org/id/330838/
Nowy log OTL: http://www.wklej.org/id/330839/

Bardzo dziękuję!

**Posty:** 4765 · przez **ordynat** 09 Maj 2010, 16:06

Usuwanie się udało.

W OTL kliknij na przycisk "CleanUp" - to go usunie razem z jego Kwarantanną i z ... Avenger'em.

Usuń kopie szkodników z folderu "System Volume Information" poprzez chwilowe wyłączenie "Przywracania Systemu":

>START>Panel Sterowania>System>Przywracanie Systemu>>zaznacz w okienku przy "Wyłącz przywracanie na wszystkich dyskach">Zastosuj>OK.
(W czasie tego chwilowego wyłączenia te kopie usuną się samoczynnie, więc nie ma potrzeby zaglądania do folderu.)
Potem możesz powrócić do poprzedniego ustawienia (czyli usunąć zaznaczenie z okienka).

Możesz dodatkowo przeskanować komputer przy pomocy >MBAM
Jeśli coś wykryje, to niech usunie, a raport z niego tu pokażesz.

EDIT:

Deletion of driver "vrunv" failed!

Daj jeszcze raz log z GMER, bo nie jestem pewny, czy tej usługi już naprawdę nie było, czy może tylko Avenger jej nie potrafił dostrzec.
.

.

**Posty:** 3 · przez **Evvcia** 09 Maj 2010, 16:41

Posprzątane, pozamiatane

Przeskanowałam komputer MBAM - nic nie znalazł (ale wcześniej też nic nie wykrywał):

Kod: Zaznacz wszystko: Malwarebytes' Anti-Malware 1.46 www.malwarebytes.org Wersja bazy: 4082 Windows 5.1.2600 Dodatek Service Pack 2 Internet Explorer 6.0.2900.2180 2010-05-09 16:19:52 mbam-log-2010-05-09 (16-19-52).txt Typ skanowania: Szybkie skanowanie Przeskanowano obiektów: 108909 Upłynęło: 3 minut(y), 39 sekund(y) Zainfekowanych procesów w pamięci: 0 Zainfekowanych modułów w pamięci: 0 Zainfekowanych kluczy rejestru: 0 Zainfekowanych wartości rejestru: 0 Zainfekowane informacje rejestru systemowego: 0 Zainfekowanych folderów: 0 Zainfekowanych plików: 0 Zainfekowanych procesów w pamięci: (Nie znaleziono zagrożeń) Zainfekowanych modułów w pamięci: (Nie znaleziono zagrożeń) Zainfekowanych kluczy rejestru: (Nie znaleziono zagrożeń) Zainfekowanych wartości rejestru: (Nie znaleziono zagrożeń) Zainfekowane informacje rejestru systemowego: (Nie znaleziono zagrożeń) Zainfekowanych folderów: (Nie znaleziono zagrożeń) Zainfekowanych plików: (Nie znaleziono zagrożeń)

Przeskanowałam też więc Avirą, która wcześniej krzyczała o infekcji - i tutaj też czysto

Jeszcze raz - serdeczne wielkie dzięki za pomoc!!

EDIT:
GMER przy uruchomieniu też już nic nie pokazuje, ale załączam log, o który prosiłeś:

Kod: Zaznacz wszystko: GMER 1.0.15.15281 - http://www.gmer.net Rootkit scan 2010-05-09 16:58:11 Windows 5.1.2600 Dodatek Service Pack 2 Running: 1pmjjw5z.exe; Driver: C:\DOCUME~1\Admin\USTAWI~1\Temp\pxtdapob.sys ---- System - GMER 1.0.15 ---- SSDT F6FCD07E ZwCreateKey SSDT F6FCD074 ZwCreateThread SSDT F6FCD083 ZwDeleteKey SSDT F6FCD08D ZwDeleteValueKey SSDT F6FCD092 ZwLoadKey SSDT F6FCD060 ZwOpenProcess SSDT F6FCD065 ZwOpenThread SSDT F6FCD09C ZwReplaceKey SSDT F6FCD097 ZwRestoreKey SSDT F6FCD088 ZwSetValueKey SSDT F6FCD06F ZwTerminateProcess ---- Kernel code sections - GMER 1.0.15 ---- .text C:\WINDOWS\system32\DRIVERS\nv4_mini.sys section is writeable [0xF6FEC380, 0x22083D, 0xE8000020] ---- User code sections - GMER 1.0.15 ---- .text D:\Program Files\Mozilla Firefox\firefox.exe[2640] ntdll.dll!LdrLoadDll 7C9161CA 5 Bytes JMP 004013F0 D:\Program Files\Mozilla Firefox\firefox.exe (Firefox/Mozilla Corporation) ---- Devices - GMER 1.0.15 ---- AttachedDevice \Driver\Kbdclass \Device\KeyboardClass0 SynTP.sys (Synaptics Touchpad Driver/Synaptics, Inc.) AttachedDevice \Driver\Kbdclass \Device\KeyboardClass1 SynTP.sys (Synaptics Touchpad Driver/Synaptics, Inc.) AttachedDevice \FileSystem\Fastfat \Fat fltMgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation) ---- EOF - GMER 1.0.15 ----

**Posty:** 4765 · przez **ordynat** 09 Maj 2010, 16:52

Skoro uważasz, że jest OK, to pewnie tak jest.
Ja jednak wolałbym zobaczyć w logu GMER, że tej usługi Rootkita naprawdę nie ma.

EDIT:
Nie zauważyłem, że dałaś w międzyczasie log z GMER.
Rzeczywiście, nie ma już Rootkita.
Sprawa, wg mnie jest zakończona
.