Rootkit... nowy sys i heur suspicious

[zywczok6]

Zaczne od opisu co sie przytrafiło mojemu systemowi... wczoraj spokojnie cos tam robie sicagam z torrentow czy coś i ni z tąd i z owąd nagle okienko wierszu polecenia i reakcja awast. W okienku dobrze nie pamietam co było chyba natsch.exe czy jakoś tak. Oczywiscie avast mnie uprzejmie powiadomił że znalazł Win32: Rootkit gen. Myslalem ze po skanie z restartem i usunieciu sobie poradzi... niestety chyba nie bardzo. Dzisiaj rano leczenie spyware doctor i ad-aware... O samym rootkicie chwilowo mi nic nie wyskakuje ale z rana jeszcze miałem okienka o wysylaniu dużej ilosci wiadomosci (w temacie cos z viagrą czy coś)
dodaje loga z hijackthis. Nie wiem czy wstawie dobrze ale spróbuje.
http://wklej.org/id/267502/
system już długi czas stoi wiec moze być sporo smieci...
prosze o pomoc
będę bardzo wdzięczny i postaram sie teraz zaglądać na forum bo widze sporo ciekawych tematów


edit:
aktualnie nic nie wyskakuje niby ale svchost zżera jeden rdzen (50% procesora bierze) a nie wiem czy to normalne w jego przypadku

Dodano Dzisiaj, 10:45:
spoko chłopaki dzięki za pomoc...
po ponownym uruchomieniu system już nei ruszył (po wybrnaiu użytkownika niebieski ekran z błędem i restart... tryb awaryjny też nie poszedł)
poszedł format C:
teraz prosze powiedzcie mi co zrobić aby sie przed tym ochronić na nastepny raz i teraz zabezpieczyć przed tego typu ścierwem...

[wojtas]

antywirus + własne rozsądne smiganie po necie

[zywczok6]

no i tu wlasnie moje ze zastano wienie bo nie wiem czy to ze strony internetowej czy gdzies w torrentach siedzialo bo sporo sciagalem setow zdjec modelek
a co polecacie z anty? bo avasta uzywalem ale widac na dobre mi to nie wyszlo i teraz bym chcial zeskanowac wszystko w poszukiwaniu czy gdzies to jeszcze nie siedzi

[Mikou@j]

Z darmowych Comodo Internet Security.

[zywczok6]

sory ze znowu zawracam głowe ale na świeżo zainstalowanym systemie dałem comodo zgodnie z zaleceniem. Praktycznie nie wchodziłem na żadne stony. SP i troche sterowników i po skanie comodo... HEUR SUSPICIOUS pliki rcimlby i jeszcze kilka innych usunąłem... i gdzies znalazłem w forum o usunieciu wpisu z rejestru mount 2 czy jakoś tak ale nie wiem czy to wszystko co powinienem zrobić... prosze o szybką pomoc bo nie mam ochoty znowu instalować na nowo...
a może jakiś lepszy płatny antywirus polecicie czym oczyszcze kompa ?

[wojtas]

zrób skan combofixem oraz DR Webem i daj raporty

[zywczok6]

NirCMD doszlo jakies
jejku juz sie w tym nie łapie tymbardziej ze nic nie robiłem praktycznie... na chwile wszedłem na E słynny folder downloads i teraz zastanawiam sie czy nie przeformatowac jeszcze raz i powiedzcie czym od razu odkazic pozostałe partycje (jednak dane z D E i przenosnego bym chciał zachować )

[NieWiem]

NirCmd to poprawne narzędzie i nie ma się nim co przejmować.

Daj jakieś logi / raporty. Żeby z czymś walczyć muszę coś zobaczyć. Poszedł ten ComboFix?

[zywczok6]

combofix mi nie chce coś odpalić nawet jak comodo wyłączam
problem pojawiał mi sie taki że iexplorer n.pif czy jakoś tak i nircmd mi comodo oznaczyło jako zainfekowane win32:nircmd
dodałem do zaufanych zeby combofix mogl podziałać ale jakiś błąd wyskakuje i tyle
gg xxxxxx czekam na pomoc...
zaraz tu zwariuje
nawet nie wiem co robić prosze o pomoc

[NieWiem]

Po 1 primo pomoc na forum, nie na GG.

Po 2 primo, jakieś logi muszę mieć. Muszę widzieć z czym walczę.
OTL albo DDS albo RSIT.

[zywczok6]

ok ok... po prostu chciałem na czasie zaoszczędzieć sory...
poszło OTL...

otl.txt
http://wklej.org/id/268662/

i extras.txt
http://wklej.org/id/268665/

tak na wszelki wypadek jakbym nie mogl sie rano zalogować to... po ponownym formacie i instalacji XP czym przeskanowac pozostałe partycje dyski w celu wykluczenia tych gówien ?


i jeśli coś źle zrobiłem to pisz...

[NieWiem]

Będąc bardzo brutalnym: w logu nic nie ma.
zróbmy tak...

Usuń poprzednią wersję ComboFixa. Pobierz nową wersję ComboFixa, ale zapisz ją pod zmienioną nazwą, nie jako ComboFix.exe tylko jako svchost.com. Oczywiście COMODO ma być wyłączone już przed pobieraniem programu.

Próbujesz odpalić - jeśli się da ++> wracasz z logiem. Jeśli nie ++> ze screenem z komunikatu ComboFixa.

[zywczok6]

nie wiem czemu pokazuje mi ze niby comodo dalej włączone (mimo wyłaczenia ) ale z pulpitu pod przez Ciebie podaną nazwą poszło...

oto log
http://wklej.org/id/268725/

i sprawa... system windows nie moze odnalźć NirCMD nie wiem czy w kwarantanne wsadzilem czy moze go usunąłem przypadkiem... na początku ładowania combofix sporo linijek o braku dostępu czy jakoś tak

a czy mógłbyś mi napisać czym przeskanować jeśli z rana będę zmuszony go sformatować ponownie ? jak przeszukac bo że zabezpieczyc comodo mozna zauwazylem ale chcialbym to z innych partycji skutecznie usunąć


w tym momencie zadnych komunikatow ani nic nie otrzymuje... ale boje sie wyłączyć kompa bo pare plikow z SP poszło "przypadkiem" w kasacje z powodu wku***ienia.. wiec takzde prosze o informacje czym zeskanowac w przypadku ponownego formatu

[NieWiem]

Po pierwsze, to jak zobaczę jeszcze jedno przekleństwo, to załatwię z moderatorem, żebyś długo już nie napisał nic na forum.

Dwa - Gdzie jest konsola odzyskiwania?? Bez tego nie ruszymy z miejsca. Start => uruchom => wpisujesz ComboFix /uninstall i enter

Trzy... Wyinstaluj COMODO. Pobierasz nowego CF, zapisz jako svchost.com i jeszcze raz. I tym razem widzę że się zgadzasz na konsolę odzyskiwania.

[zywczok6]

ok poprawilem to iii

http://wklej.org/id/268753/

system restartowałem i uruchomił sie bez problemów <szok>
sory za przekleństwa

[NieWiem]

Ok... To znaczy nie OK.

Co to jest za wersja systemu, bo wygląda na jakoś udziwnianą...

• Pobierz program Malwarebytes' Anti-Malware i zainstaluj.
• Wersja freeware nie ma opcji automatycznych aktualizacji, dlatego pod koniec instalacji upewnij się, że zaznaczone są opcje:
  • Update Malwarebytes' Anti-Malware
  • Launch Malwarebytes' Anti-Malware
• Wciśnij Finish.
• Przeprowadź pełne skanowanie komputera.
• Raport z tego skanowania proszę wkleić na forum w tagach [code], lub na stronie http://www.wklej.org a w odpowiedzi podać tylko linka do tej strony.

Autor postu otrzymał pochwałę

[zywczok6]

http://wklej.org/id/269236/

[wojtas]

skasuj to co znalazł

Autor postu otrzymał pochwałę

[zywczok6]

no i ok poszło do kasacji restart ponowny skan i program nic nie znajduje
wiec słynne pytanie na co kolej teraz? co działać jeszcze?

[wojtas]

już w systemie nic nie ma wg. loga z Malware