Sality, sector, komputer po formacie.

[Limka1]

Mam system operacyjny Windows XP.
W Menadżer zadań Windows nie mogłam wyłączyć procesu JQS.exe (dokładnej nazwy w tej chwili nie pamiętam) gdyż automatycznie po wyłączeniu procesu wyskakiwała ramka, że komputer zostaje automatycznie uruchomiony za ileś tam sekund. Prawdziwy problem się pojawił jak zapora windows się automatycznie wyłączała.
Sformatowałam komputer z nadzieją, że wszystko wróci do poprzedniego stanu, jednak bardzo się myliłam. Ściągnęłam pierwszy lepszy antywirus (arca vir) i przystąpiłam do skanowania i został wykryty wirus Sality.Dropper.
Dodatkowo po usunięciu plików nie mogłam uruchomić dysku C, wyskakiwało powiadomienie: 'Otwórz za pomocą'.
Podczas skanowania cały czas wyskakiwały mi wirusy, których nie dało się usunąć lub usuwanie nic nie dało o nazwie W32.Sality.BH.Dropper

Kod: Zaznacz wszystko

C:\Documents and Settings\All Users\Dane aplikacji\ArcaBit\logs\20110721\20110721121600{001a4864-0000067c-00000d24}M.xml
D:\guvy.pif
W32.Sality.BH.Dropper
Plik został skasowany

Takich plików było mnóstwo i cały czas wyskakiwały nowe, zarówno na dysku C jak i D.

Szukając w sieci natknęłam się na ten temat: win32-sality-komputer-drastycznie-zwalnia-vp891119.html
Zgodnie ze wskazówkami ściągnęłam program Dr Web CureIt i przeskanowałam komputer
Log Dr Web CureIt: (jest to tylko szybkie skanowanie, które i tak trwało całe wieki)
http://www.wklej.org/id/564846/

Następnie ściągnęłam VirusRemover for Win32/Sality.
Log: http://www.wklej.org/id/564853/



Wymagane skany.
Gamer: http://www.wklej.org/id/564860/
OTL: http://www.wklej.org/id/564865/
http://www.wklej.org/id/564866/

Pytanie: jak się pozbyć tego paskudztwa? Nie ma sensu nawet aktualizować komputera skoro nadal jest jakiś wirus.
Bardzo proszę o pomoc.

[wojtas]

formatowałaś wszystkie partycje ? łącznie z pendrivem to co podłączasz do kompa ? bo ta infekcja może się rozprzestrzeniać przez urządzenia przenośne...

czy przed robieniem loga z Gmera usunęłaś sptd.sys zgodnie z zasadami ?? bo w OTL widzę go..

w logu nie widzę usługi , ale na pewno infekcja jest...

nie widać także blokowania rejestru, menadżera, sprawdź czy działa awaryjny ( infekcja to psuje ), być może format to zdezaktywował

Uruchom OTL i w sekcji własne opcje skanowania / skrypt wklej:

:Reg
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"D:\kxvdrj.exe"=-
"C:\WINDOWS\Explorer.EXE"=-
"C:\DOCUME~1\Caroline\USTAWI~1\Temp\kvfh.exe"=-
"C:\DOCUME~1\Caroline\USTAWI~1\Temp\mklq.exe"=-
"C:\DOCUME~1\Caroline\USTAWI~1\Temp\winugovn.exe"=-
"C:\DOCUME~1\Caroline\USTAWI~1\Temp\windmfd.exe"=-
"C:\DOCUME~1\Caroline\USTAWI~1\Temp\winkwatar.exe"=-
"C:\DOCUME~1\Caroline\USTAWI~1\Temp\ksdj.exe"=-
"C:\DOCUME~1\Caroline\USTAWI~1\Temp\winfxynfg.exe"=-
"C:\DOCUME~1\Caroline\USTAWI~1\Temp\winesnt.exe"=-
"C:\DOCUME~1\Caroline\USTAWI~1\Temp\fcnr.exe"=-
"C:\DOCUME~1\Caroline\USTAWI~1\Temp\hetwrb.exe"=-
"C:\DOCUME~1\Caroline\USTAWI~1\Temp\winxbtfym.exe"=-
"C:\DOCUME~1\Caroline\USTAWI~1\Temp\nrbc.exe"=-
"C:\DOCUME~1\Caroline\USTAWI~1\Temp\hhejc.exe"=-
"C:\DOCUME~1\Caroline\USTAWI~1\Temp\windghhft.exe"=-
"C:\DOCUME~1\Caroline\USTAWI~1\Temp\ntaj.exe"=-
"C:\DOCUME~1\Caroline\USTAWI~1\Temp\winmaba.exe"=-

:Commands
[emptytemp]
[emptyflash]

Kliknij wykonaj skrypt. I potwierdź reset komputera .

przeskanuj całego kompa tym skanuj do skutku dopóki nie będzie znajdował niczego podejrzanego... (pokaż raport w następnym poście )

jeśli tryb awaryjny nie działa to napraw go tym

dajesz więc poprawnie wygenerowanego loga z Gmera, chyba że ten wyżej jest ok , raport z OTL i SalityKiller

[Limka1]

Formatowałam wszystkie partycje, a podłączany do komputera był tylko i wyłącznie telefon komórkowy.
Wszystko robiłam wg zasad wymienionych w poradniku. Jednak po ściągnięciu programu do usuwania programów emulujących nie pokazywało mi niczego na komputerze. Więc uznałam, że wszystko jest OK.

nie widać także blokowania rejestru, menadżera, sprawdź czy działa awaryjny ( infekcja to psuje ), być może format to zdezaktywował

Nie bardzo rozumiem co mam tutaj zrobić Wejść w tryb awaryjny i sprawdzić czy działa mi menadżer urządzeń? Bo w normalnym trybie on nigdy nie był zablokowany, tylko nie działała zapora systemu.

Raport z wklejenia własnego skryptu:
http://www.wklej.org/id/565287/

Raport ze skanowania:

(wklejam screena bo nie można tego skopiować, albo jestem na tyle ciemna, że po prostu nie umiem).

[wojtas]

czyli być może infekcja jest na telefonie ... daj jeszcze nowego loga z OTL ( dwa logi )

chodziło mi o to żebyś sprawdziła czy działa tryb awaryjny, menadżer zadań , rejestr... bo w logu tego nie ma ale dla pewności chcę widzieć ..

[Limka1]

Log z OTL: http://www.wklej.org/id/565415/
http://www.wklej.org/id/565416/

Tryb awaryjny w ogóle nie chce się uruchomić na komputerze. Gdy go wybieram, komputer uruchamia się ponownie i jest do wyboru, tryb awaryjny lub normalny. Gdy ponownie wybiorę awaryjny to sytuacja się powtarza.

[wojtas]

wklej do notatnika

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"D:\hadi.pif"=-

w notatniku u góry>>>plik zapisz jako>>>Zmien rozszerzenie z TXT na Wszystkie pliki *.* >>> Zapisz pod nazwą FIX.REG

Klikasz dwa razy na powstały plik fix i dodajesz go do rejestru....

spróbuj naprawić tryb awaryjny z w/w linku..

zrób pełny skan Malwarebytes Anti-Malware (zaktualizuj, usuń co znajdzie )
* Skasuj stan przywracania systemu

[Limka1]

Wszystko co napisałeś zrobiłam. Antywirus znalazł 4 wirusy (2 sality i 2 trojany) wszystko zostało skasowane. Skanowałam póki niczego nie znalazło.

Kod: Zaznacz wszystko

Malwarebytes' Anti-Malware 1.51.1.1800
www.malwarebytes.org

Wersja bazy: 7232

Windows 5.1.2600 Dodatek Service Pack 2
Internet Explorer 8.0.6001.18702

2011-07-22 22:20:35
mbam-log-2011-07-22 (22-20-35).txt

Typ skanowania: Pełne skanowanie (C:\|D:\|)
Przeskanowano obiektów: 161827
Upłynęło: 13 minut(y), 57 sekund(y)

Zainfekowanych procesów w pamięci: 0
Zainfekowanych modułów w pamięci: 0
Zainfekowanych kluczy rejestru: 0
Zainfekowanych wartości rejestru: 0
Zainfekowane informacje rejestru systemowego: 0
Zainfekowanych folderów: 0
Zainfekowanych plików: 0

Zainfekowanych procesów w pamięci:
(Nie znaleziono zagrożeń)

Zainfekowanych modułów w pamięci:
(Nie znaleziono zagrożeń)

Zainfekowanych kluczy rejestru:
(Nie znaleziono zagrożeń)

Zainfekowanych wartości rejestru:
(Nie znaleziono zagrożeń)

Zainfekowane informacje rejestru systemowego:
(Nie znaleziono zagrożeń)

Zainfekowanych folderów:
(Nie znaleziono zagrożeń)

Zainfekowanych plików:
(Nie znaleziono zagrożeń)


Z trybem awaryjnym powalczę dopiero w poniedziałek.
Czy teraz jest wszystko okej?

[wojtas]

no nie widać infekcji , lecz nie wiem czy ona czasem nie jest na telefonie skoro formatowane były wszystkie partycje...

Autor postu otrzymał pochwałę

[Limka1]

W takim przypadku nie będę podłączać więcej telefonu do komputera
Dziękuję za załatwienie wirucha. W poniedziałek powalczę z trybem awaryjnym.

Dziękuję

Dodano Dzisiaj, 00:52:
Wszystko działa jak trzeba. Bardzo dziękuję za pomoc.