Sprawdzenie loga - wirus olmarik

[teroris]

Witam wszystkich, pierwszy raz na forum

Ostatnio mój komputer zaczoł się brzydko zachowywać, prawdopodobnie napaskudziło się od pendriva przyniesionego ze szkoły bądź przez jeden zwolniony port forwarding, możliwe że przez oba te źródła plus nieaktualny i słaby antywirus.. Znalazłem odrazu niemal identyczny problem na tym forum dlatego zdecydowałem się na ComboFixa i zamieszczam LOGa.. Oto link do tego tematu: http://forum.programosy.pl/wirus-w-pamieci-operacyjnej-prosze-o-sprawdzenie-loga-vp853592.html
W momencie gdy zauważyłem "zło" w moim PC zainstalowałem NODa32 i rozpoczołem interwencje, skasowałem shitowe pliki siecowe, tempy i rozpoczołem skan nodem, tak jak w przypadku kolegi nie dał rady z wirem pt. win32/olmarik umiejscowionym w pamięci oraz z \\?\globalroot\systemroot\system32\gasfkylxfmlwer.dll - Win32/Olmarik.MF koń trojański - wyleczony przez usunięcie - poddany kwarantannie [1]
z resztą drobnych pierdołek dał sobie radę, po przeczytaniu tematu kolegi zainstalowałem ComboFixa który wykrył i usunął Rootkity, ale czy napewno?
Po skanie CF właczyłem skan NODa i ku mojemu zdziwieniu, znalazł on nowe wirusy którymi usuwaniem zajoł się rzekomo CF i do tego nie usunął gasflylxfmlwer.dll którego NOD znajdował już wcześniej..
Z wirusów z które NOD wykrył i sobie nie poradził z ich leczeniam/usuwaniem, a dał im rade CF był tylko Olmarik z pamięci operacyjnej..

Link do LOGa z Combofixa: http://wklej.to/lTjY

Proszę o pomoc.

Dodano Dzisiaj, 19:40:
( Nie mogłem inaczej edytować gdyż przenosi mnie po jakiś różnych linkach, z pewnością któryś wirus daje w kość)
Edit: Chciałem dodać jeszcze że podczas skanu CF nie zaznaczałem Konsoli Odzyskiwania, bo jej nie miałem a po drugie nie chciałem robić czegoś zbyt pochopnego za co pewne i tak już zostane skomentowany[?] - Przed zainstalowaniem NODa robiłem skan przez Pande2.0 ( skan online ) z wynikiem pozytywnym na wirusy oczywiście i teraz zastanawiam się, choc było by to dosc dziwne ale podczas klikania w link wrzuca mnie czasem na jakaś blokowaną witryne scanonline16 czy coś podobnego.. To tak na marginesie..

[NieWiem]

teroris, zainstaluj sobie tą konsolę odzyskiwania. Uwierz, to dla Twojego bezpieczeństwa, nie naszego

Do notatnika wklej to, co poniżej w ramce

File::
c:\documents and settings\LocalService\ntuser.dll
c:\windows\system32\calc.dll
c:\windows\system32\config\systemprofile\ntuser.dll
c:\documents and settings\Rado\ntuser.dll
c:\documents and settings\Rado\Menu Start\Programy\Autostart\scandisk.dll
c:\documents and settings\Rado\Menu Start\Programy\Autostart\scandisk.lnk

Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"calc"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"calc"=-
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"calc"=-

Plik zapisz jako CFScript.txt, po czym przeciągnij go i upuść na ikonę ComboFixa. Dasz loga, który powstanie później.

Wyczyść lokalizacje tymczasowe używając programu TFC

Przeskanuj komputer Malwarebytes Anti-Malware i pokaż raport na forum.

[teroris]

Zatem..

Najpierw usunołem shit programem który poleciłeś, TFC - Znalazł on 121mb! Który pod koniec operacji zażądał resetu który jednak zacioł sie podczas zamykania systemu i monitor iluminował Windowskim błękitem przez parenaście minut bez skutecznie.. Zresetowałem go na obudowie, sprawdziłem potem czy skończył swoje działanie - nie zostało śladu po tych plikach

Nastepnie uruchowiłem ComboFixa z CFSscript który mi podałeś, reset został sprawnie dokonany i po resecie pracował dalej jak należy
Oto log: http://wklej.to/hda7

Nastepnie uruchomiłem Malwarebytes Anti-Malware który po zakończeniu prac także chciał się zresetowac lecz przycioł się tak samo jak w przypadku TFC..
Screen z odnalezionych plików przed usuwaniem: http://img5.imageshack.us/img5/4256/malwarebytes.png
Następnie log: http://wklej.to/qJbu
A na koniec sprawdziłem w programie czy coś się stało przez brak resetu i zobaczyłem wszystkie te pliki w kwarantannie: http://img44.imageshack.us/img44/4311/malwarebytes2.png
I jeszcze dorzucę odczyt procesów który był podczas włączonego malwarebytes na powyższym oknie, bez pracy. http://img132.imageshack.us/img132/4277/procesy.png

---

Utworzył mi się na C:/ katalog Qoobox mam go usunac recznie ?
Widzę jeszcze tam katalog config.Msi którego chyba nie powinienem widzeć powinien, gdyż nie wyłączałem z opcji folderów, ich ukrycia
Co do tego foldera, dodam jeszcze że już przed wszystkimi akcjami folder SVI odmawia mi dostępu do wejścia w niego z /uruchom a gdy chce ustawic w opcjach żeby był widoczny, niestety nie pojawia sie wogóle..

[NieWiem]

Wywal co znalazł MBAM, chociaż to są backupy usunięte przez ComboFixa i syfy w przywracaniu systemu

Usuń z dysku katalog C:\Qoobox poprzez wciśnięcie Shift + Del - omija kosz.

Przeskanuj plik

c:\windows\TEMP\ggcifxoxtp.exe

na http://www.virusscan.jotti.org i pokaż raport.

Montuj taki skrypt w notatniku teraz bo jeszcze coś siedzi

File::
c:\documents and settings\NetworkService\ntuser.dll

Ta sama procedura (CFScript.txt i log po wszystkim do oceny.

Autor postu otrzymał pochwałę

[teroris]

c:\windows\TEMP\ggcifxoxtp.exe

Takiego pliku nie ma w tempie.. Jest jedynie plik "Perflib_Perfdata_644.dat" i tu nowość, najpierw patrzyłem przez wyszukiwarke plików na stronie z tym skanem jotti po czym dla pewności jeszcze poudostępniałem pliki systemowe w opcji folderów i wchodzę już normalnie do temp'a po czym widzę dwa pliki, jeden właśnie ten który wymieniłem wyżej a drugi zajmujący 0KB nazwy nie zdążyłem spamiętac bo momentalnie się "wkleił" w ten drugi plik, coś dużymi literami z większością liter "H", jakaś fraza żaden wyraz.

Bez skanu pliku ggcifxoxtp.exe jak i bez niego samego, mam wykonać dalej skan ComboFixem przez ten skrypt ?

Dodano Dzisiaj, 13:08:
Ukazał mi się jeszcze plik na pulpicie, zapewne przez wzgląd na pliki systemowe.. Tylko co on robi na pulpicie? Nazwa: Thumbs.db

[Okocza]

teroris, zastosuj sobie ATF_Cleaner - zaznacz wszystkie punkty i wyczyść.

[teroris]

Okocza, używałem już TFC.. Jest sens jeszcze czyścic przez ATF ?

[Okocza]

Tak.

[teroris]

Wyczyszczone i przez ATF.
Dzisiaj jak widzę Radka mojego imiennika nie było na forum.. Szkoda

[Okocza]

Daj log z combofixa - nowy, zrób teraz.

[teroris]

Log z ComboFixa, bez żadnego spkryptu - http://wklej.to/oraB

[Okocza]

Pobierz narzędzie the avenger, w oknie głównym programu, wklej w białe pole:

Kod: Zaznacz wszystko

Files to delete:

c:\documents and settings\NetworkService\ntuser.dll

po czym kliknij na execute.

Autor postu otrzymał pochwałę

[teroris]

Mam nic nie zmianiać w ustawieniach tego programu ? Tylko "Scan for rootkits" ma być zaznaczone, bez "Automatically disable any rootkits found" ?

[Okocza]

Tak.

[teroris]

Gotowe.
Oto log: http://wklej.to/kbkI

[Okocza]

teroris, powinno być w porządku. pliki usunięte, nie ma rootkita

[teroris]

Aa i pytanie na koniec ?
Jak podejrzewasz którędy wpadł wirus ? I co zawiniło że się przedostał ?
Ja sądzę że było to spowodowane zainfekowanym pendrive, od teraz wyłączyłem autorun dla pendriv'ów i zamierzam pierw skanowac go chociaż NODem, no chyba że znasz jakiś konkretny program do tego celu?
- Mam zwolniony na routerze jeden port do hostowania gry -> 6112 - Jeśli to mógłbym być dość sensowny powód to czy można jakimś programem blokowac odbieranie drobnych pliczków itp. przez ten port, nie zamykając dostępu do hosta ?


- Dziękuje za pomoc

Dodano Dzisiaj, 12:37:
Edit: Aha.. I co jeszcze z takim fantem jak pliki w kwarantannach ? W NODzie siedzi 22pliczków i w MalwareBytes A-M tyle ile widać na screenie wyżej.

[Okocza]

teroris, Przez pendrive ten rodzaj wirusa się nie przenosi - dla pewności, sformatuj wszystkie pendrive i inne pamięci przenośne (karty pamięci itp)

Co do portu, możliwe, możesz zabezpieczyć sobie komputer, przeczytaj te tematy:

blad-generic-host-process-for-win32-services-vt79489.html <-- zastosuj i WWDC i SeconfigXP

komputer-w-sieci-bezpieczenstwo-prywatnych-danych-vt96718.html <-- Tego nie musisz robić, jednak zawsze można zabezpieczyć i od tej strony komputer

Co do kwarantan, opróżnij Malwarebyte's i jakie masz pliki w NOD ?

[teroris]

A który program jest skuteczniejszy SeconfigXp czy WWDC ? Boje się o zamulenie PC w przypadku zainstalowaniu obu na raz..
Z Malwara mam usunąć wszystkie pliki, one tak naprawdę nie istnieją (?)
Kwarantanna NODa: http://img35.imageshack.us/img35/2841/noddd.png

[Okocza]

Usuwaj i z malwarebyte's i z nod

Nie będzie zamulenia, po zastosowaniu Seconfig i WWDC możesz obydwa usunąć. Tylko po jakimś czasie trzeba ponowić operację