Rootkit wg gmera

**Posty:** 123 · przez **maciek_s** 11 Mar 2012, 00:01

Witam,

Laptop hp compaq presario win xp sp3

różne cuda się dzieją, przeglądarki się same zamykają, miga i nie daje się wyłączyć gg, przekierowują się przeglądarki na strony o "niechcianej zawartości" :-)

dodaję loga z gmera (który wyrzucił komunikat o prawdopodobnym rootkicie) z otl nie daję bo otl wyłącza się od raz po uruchomieniu

pomocy

**Posty:** 18165 · przez **wojtas** 11 Mar 2012, 12:58

daj loga z OTL, spróbuj w trybie awaryjnym odpalić .

**Posty:** 123 · przez **maciek_s** 11 Mar 2012, 13:14

log z otla z safe mode'a

**Posty:** 18165 · przez **wojtas** 11 Mar 2012, 22:39

Uruchom OTL i w sekcji własne opcje skanowania / skrypt wklej:

:OTL
SRV - File not found [Auto | Stopped] -- -- (lbmidmqkxwdbyp)
DRV - [2011/11/13 17:03:24 | 000,004,096 | ---- | M] () [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\02.tmp -- (qvclrx)
O20 - Winlogon\Notify\mdhcp32: DllName - (mdhcp32.dll) - File not found
[2010/10/16 14:41:19 | 000,168,772 | RHS- | C] () -- C:\Windows\System32\hyhhthoj.dll

:Files
C:\Windows\System32\hyhhthoj.dll
C:\WINDOWS\system32\02.tmp

:Services
qvclrx
lbmidmqkxwdbyp

:Commands
[emptytemp]
[emptyflash]

Kliknij wykonaj skrypt. I potwierdź reset komputera .

Następnie uruchamiasz OTL z opcją skanuj. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia (zawartość notatnika, która otworzy się po restarcie) oraz nowy log zGmera

**Posty:** 123 · przez **maciek_s** 12 Mar 2012, 00:29

w załącznikach

**Posty:** 18165 · przez **wojtas** 12 Mar 2012, 17:41

Użyj AdwCleaner i kliknij w nim Delete (uruchom z prawokliku "jako Administrator)
Pokaż raport z niego

Uruchom BlitzBlank w karcie Script wklej :

DeleteFile:
"C:\Windows\System32\hyhhthoj.dll"

Klik w Execute Now. Zatwierdź restart komputera.
Pokaż nowy log z OTL i raport z pracy BlitzBlank

Uruchom OTL i w sekcji własne opcje skanowania / skrypt wklej:

:OTL
O4 - HKU\S-1-5-21-725345543-484763869-854245398-1003..\Run: [Java] C:\Documents and Settings\Owner\Application Data\Microsoft\jusched.exe ()
O33 - MountPoints2\{0a004e60-5715-11e0-90f3-000e35b33663}\Shell - "" = AutoRun
O33 - MountPoints2\{0a004e60-5715-11e0-90f3-000e35b33663}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{0a004e60-5715-11e0-90f3-000e35b33663}\Shell\AutoRun\command - "" = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RUNdLl32.ExE .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx,ahaezedrn
O33 - MountPoints2\{0b9fabd0-7431-11e0-913c-000e35b33663}\Shell - "" = AutoRun
O33 - MountPoints2\{0b9fabd0-7431-11e0-913c-000e35b33663}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{0b9fabd0-7431-11e0-913c-000e35b33663}\Shell\AutoRun\command - "" = F:\MicroLauncher.exe
O33 - MountPoints2\{1f04e380-dac2-11df-8f72-000e35b33663}\Shell - "" = AutoRun
O33 - MountPoints2\{1f04e380-dac2-11df-8f72-000e35b33663}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{1f04e380-dac2-11df-8f72-000e35b33663}\Shell\AutoRun\command - "" = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RuNdLl32.EXE .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx,ahaezedrn
O33 - MountPoints2\{20c64780-5a0e-11e1-9410-000e35b33663}\Shell - "" = AutoRun
O33 - MountPoints2\{20c64780-5a0e-11e1-9410-000e35b33663}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{20c64780-5a0e-11e1-9410-000e35b33663}\Shell\AutoRun\command - "" = C:\Windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RuNdLl32.EXE .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx,ahaezedrn
O33 - MountPoints2\{215214e0-1029-11e1-933a-000e35b33663}\Shell - "" = AutoRun
O33 - MountPoints2\{215214e0-1029-11e1-933a-000e35b33663}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{215214e0-1029-11e1-933a-000e35b33663}\Shell\AutoRun\command - "" = C:\windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RuNdLl32.EXE .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx,ahaezedrn
O33 - MountPoints2\{2c8c89f3-fee5-11e0-92ef-000e35b33663}\Shell - "" = AutoRun
O33 - MountPoints2\{2c8c89f3-fee5-11e0-92ef-000e35b33663}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{2c8c89f3-fee5-11e0-92ef-000e35b33663}\Shell\AutoRun\command - "" = C:\windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RuNdLl32.EXE .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx,ahaezedrn
O33 - MountPoints2\{2c8c89f4-fee5-11e0-92ef-000e35b33663}\Shell - "" = AutoRun
O33 - MountPoints2\{2c8c89f4-fee5-11e0-92ef-000e35b33663}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{2c8c89f4-fee5-11e0-92ef-000e35b33663}\Shell\AutoRun\command - "" = C:\windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RuNdLl32.EXE .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx,ahaezedrn
O33 - MountPoints2\{34187480-7231-11e0-9137-000e35b33663}\Shell - "" = AutoRun
O33 - MountPoints2\{34187480-7231-11e0-9137-000e35b33663}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{34187480-7231-11e0-9137-000e35b33663}\Shell\AutoRun\command - "" = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RuNdLl32.EXE .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx,ahaezedrn
O33 - MountPoints2\{503f5f85-e3fc-11df-8f8d-000e35b33663}\Shell - "" = AutoRun
O33 - MountPoints2\{503f5f85-e3fc-11df-8f8d-000e35b33663}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{503f5f85-e3fc-11df-8f8d-000e35b33663}\Shell\AutoRun\command - "" = C:\Windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RuNdLl32.EXE .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx,ahaezedrn
O33 - MountPoints2\{8e8e74c0-10ee-11e1-9344-000e35b33663}\Shell - "" = AutoRun
O33 - MountPoints2\{8e8e74c0-10ee-11e1-9344-000e35b33663}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{8e8e74c0-10ee-11e1-9344-000e35b33663}\Shell\AutoRun\command - "" = C:\windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RuNdLl32.EXE .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx,ahaezedrn
O33 - MountPoints2\{9322a2d0-209f-11e0-904b-000e35b33663}\Shell - "" = AutoRun
O33 - MountPoints2\{9322a2d0-209f-11e0-904b-000e35b33663}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{9322a2d0-209f-11e0-904b-000e35b33663}\Shell\AutoRun\command - "" = C:\Windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RuNdLl32.EXE .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx,ahaezedrn
O33 - MountPoints2\{cff8d7c0-3c45-11e0-90a3-000e35b33663}\Shell - "" = AutoRun
O33 - MountPoints2\{cff8d7c0-3c45-11e0-90a3-000e35b33663}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{cff8d7c0-3c45-11e0-90a3-000e35b33663}\Shell\AutoRun\command - "" = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RuNdLl32.EXE .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx,ahaezedrn
O33 - MountPoints2\{cff8d7c1-3c45-11e0-90a3-000e35b33663}\Shell - "" = AutoRun
O33 - MountPoints2\{cff8d7c1-3c45-11e0-90a3-000e35b33663}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{cff8d7c1-3c45-11e0-90a3-000e35b33663}\Shell\AutoRun\command - "" = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RuNdLl32.EXE .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx,ahaezedrn
O33 - MountPoints2\{e23f3650-acb3-11e0-91e5-000e35b33663}\Shell\AutoRun\command - "" = RunDll32.EXE .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx,ahaezedrn
O33 - MountPoints2\{e23f3650-acb3-11e0-91e5-000e35b33663}\Shell\Explore\command - "" = G:\
O33 - MountPoints2\{e23f3650-acb3-11e0-91e5-000e35b33663}\Shell\Open\command - "" = G:\
O33 - MountPoints2\{e8f26f20-35d8-11e1-93ad-000e35b33663}\Shell - "" = AutoRun
O33 - MountPoints2\{e8f26f20-35d8-11e1-93ad-000e35b33663}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{e8f26f20-35d8-11e1-93ad-000e35b33663}\Shell\AutoRun\command - "" = C:\Windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RuNdLl32.EXE .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx,ahaezedrn
O33 - MountPoints2\{fac79a61-aa53-11e0-91e1-000e35b33663}\Shell\AutoRun\command - "" = F:\kolikoje/menito.exe
O33 - MountPoints2\{fac79a61-aa53-11e0-91e1-000e35b33663}\Shell\Explore\command - "" = F:\kolikoje/menito.exe
O33 - MountPoints2\{fac79a61-aa53-11e0-91e1-000e35b33663}\Shell\Open\command - "" = F:\kolikoje/menito.exe
[2012-03-11 20:59:10 | 000,000,884 | ---- | M] () -- C:\Windows\tasks\GoogleUpdateTaskMachineUA.job
[2012-03-11 02:00:00 | 000,000,342 | ---- | M] () -- C:\Windows\tasks\AdobeAAMUpdater-1.0-PRIVE-BDXXP8P8F-Owner.job
[2012-02-28 17:58:10 | 044,040,192 | ---- | M] () -- C:\Documents and Settings\Owner\Local Settings\Application Data\update.exe
[2012-02-28 17:58:07 | 046,137,344 | ---- | M] () -- C:\Documents and Settings\Owner\Local Settings\Application Data\jusched.exe
[2012-02-28 17:58:07 | 000,001,917 | ---- | M] () -- C:\Documents and Settings\Owner\Local Settings\Application Data\localstore.rdf
[2012-02-28 17:58:07 | 000,000,226 | ---- | M] () -- C:\Documents and Settings\Owner\Local Settings\Application Data\Setup.dat
[2012-02-28 17:58:04 | 045,088,768 | ---- | M] ( ) -- C:\Documents and Settings\Owner\Local Settings\Application Data\DTlite.exe
[2012-02-28 17:58:07 | 000,000,226 | ---- | C] () -- C:\Documents and Settings\Owner\Local Settings\Application Data\Setup.dat

:Commands
[emptytemp]
[emptyflash]

Kliknij wykonaj skrypt. I potwierdź reset komputera .

Następnie uruchamiasz OTL z opcją skanuj. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia (zawartość notatnika, która otworzy się po restarcie). + raport z ADW + raport z BlitzBlank (C:\blitzblank.log) . Forum akceptuje tylko rozszerzenie txt więc zmień z .log na txt

**Posty:** 123 · przez **maciek_s** 12 Mar 2012, 21:35

jak odpalam blitzblank to po kliknięciu execute now pojawia się komunikat syntax error in line 2 Invalid file path

edit: jak sprawdziłem w katalogu to nie ma takiego pliku w tej lokalizacji

edit2: puściłem search, plik się znalazł w katalogu c:\_OTL\MovedFiles\...

edit3: no to załączniki:

**Posty:** 18165 · przez **wojtas** 12 Mar 2012, 22:24

Uruchom OTL i w sekcji własne opcje skanowania / skrypt wklej:

:OTL
SRV - File not found [Auto | Stopped] -- -- (akuhy)
[2012-03-06 17:42:26 | 000,000,000 | ---D | M] (Stardoll Community Toolbar) -- C:\Documents and Settings\Owner\Application Data\Mozilla\Firefox\Profiles\cbquv3gt.default\extensions\{192a6019-26d2-4611-aead-07cd7733b146}
[2012-02-17 20:49:51 | 000,000,000 | ---D | M] (FoxyTunes) -- C:\Documents and Settings\Owner\Application Data\Mozilla\Firefox\Profiles\cbquv3gt.default\extensions\{463F6CA5-EE3C-4be1-B7E6-7FEE11953374}
[2012-03-08 21:45:40 | 000,000,000 | ---D | M] (uTorrentBar Community Toolbar) -- C:\Documents and Settings\Owner\Application Data\Mozilla\Firefox\Profiles\cbquv3gt.default\extensions\{bf7380fa-e3b4-4db2-af3e-9d8783a45bfc}
[2011-09-10 22:05:07 | 000,001,565 | ---- | M] () -- C:\Documents and Settings\Owner\Application Data\Mozilla\Firefox\Profiles\cbquv3gt.default\searchplugins\web-search.xml
O2 - BHO: (DivX Plus Web Player HTML5 <video>) - {326E768D-4182-46FD-9C16-1449A49795F4} - C:\Program Files\DivX\DivX Plus Web Player\ie\DivXHTML5\DivXHTML5.dll File not found
O32 - AutoRun File - [2008-04-14 04:41:58 | 000,095,034 | RHS- | M] () - E:\autorun.inf -- [ FAT32 ]
O32 - AutoRun File - [2008-04-14 04:41:58 | 000,059,288 | RHS- | M] () - U:\autorun.inf -- [ FAT ]

:Commands
[emptytemp]
[emptyflash]

Kliknij wykonaj skrypt. I potwierdź reset komputera .

daj log extras.txt z OTL ( zaznacz wszystkie opcje jak w przyklejonym o OTLu wtedy bedziesz miał dwa logi )

**Posty:** 123 · przez **maciek_s** 12 Mar 2012, 22:59

załączniki

**Posty:** 18165 · przez **wojtas** 12 Mar 2012, 23:03

*Uruchom OTL z opcji sprzątanie.
* wykonaj optymalizację Windowsa ( instrukcja dla Windowsa XP, lecz w innych systemach jest podobnie )
* zrób pełny skan Malwarebytes Anti-Malware (zaktualizuj, usuń co znajdzie )
* Skasuj stan przywracania systemu

Zaktualizuj zabezpieczenia:
>>> Internet Explorer 8
>>> Java™ 6
>>> Mozilla Firefox

napisz jak sytuacja z komputerem

Autor postu otrzymał pochwałę

**Posty:** 123 · przez **maciek_s** 12 Mar 2012, 23:20

Dzięki wygląda ok, ale popatrzę jeszcze jutro i wieczorem dam znać czy aby na pewno

Kto jest na forum