Trojan.win32.autorun

[peter221]

Przegrzebałem co nieco o tym szkodniku w sieci i wygląda na to że też jestem jego szczęśliwym posiadaczem
przy starcie systemu mam ciągle herss.exe has encountered an error. Jak mogę się tego pozbyć?

Logi otl

http://wklej.org/id/296657/

http://wklej.org/id/296658/

[wojtas]

Proszę zastosować się do obowiązkowych zasad w dziale bezpieczeństwo . Wstaw log z Gmera tylko przed tworzeniem usuń programy emulujące + sptd.sys

[peter221]

http://wklej.org/id/296743/

http://wklej.org/id/296744/

http://wklej.org/id/296745/

[wojtas]

Uruchom OTL i w oknie Custom Scans/Fixes wklej :

:OTL
O4 - HKU\S-1-5-21-3698448596-3933528841-2624923868-500..\Run: [cdoosoft] C:\Documents and Settings\Administrator\Local Settings\Temp\herss.exe ()
O4 - HKU\.DEFAULT..\RunOnce: [tscuninstall] C:\WINDOWS\SysWow64\tscupgrd.exe File not found
O4 - HKU\S-1-5-18..\RunOnce: [tscuninstall] C:\WINDOWS\SysWow64\tscupgrd.exe File not found
O4 - HKU\S-1-5-20..\RunOnce: [tscuninstall] C:\WINDOWS\SysWow64\tscupgrd.exe File not found

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

:Commands
[emptytemp]

Kliknij w Run Fix. I potwierdź reset kompa

Następnie uruchamiasz OTL z opcją Run Scan. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia komputera

Autor postu otrzymał pochwałę

[peter221]

http://wklej.org/id/296781/

http://wklej.org/id/296782/

[wojtas]

Czynności końcowe :

1.Uruchom OTL z opcji CleanUp
2. wykonaj optymalizację windowsa
3.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem]
4. zrób skan Malwarebytes Anti-Malware (zaktualizuj, usuń co znajdzie )

[peter221]

ok dzięki wielkie za pomoc

co byś polecił do usunięcia tego wirusa z penów i kart sd?

[wojtas]

najlepiej sformatować a jak nie to mozemy przez OTL wyczyścić

Podepnij dysk przenośny (pendrive, karta pamięci). Wejdź w Start >>> Uruchom >>> CMD i wpisz polecenie:

X:

(za X podstaw literę pod jaką jest widoczny dysk przenośny)

Następnie wpisz polecenie tworzenia raportu:

DIR /A:H >C:\LOG.TXT & start notepad C:\LOG.TXT

Wklejasz zawartość pliku log.txt na forum

[peter221]

Kod: Zaznacz wszystko

Volume in drive E is Nowy
Volume Serial Number is 3A64-E732

Directory of E:\

2009-10-26  18:18    <DIR>          $RECYCLE.BIN
2010-03-12  18:15           118˙272 3dcs9.exe
2010-02-02  21:05            94˙208 9d6tpg.exe
2010-03-03  14:48           115˙200 fk.exe
2010-02-21  12:42    <DIR>          RECYCLER
2009-11-09  10:36    <DIR>          System Volume Information
2006-07-05  11:56            95˙034 trz1.tmp
               4 File(s)        422˙714 bytes
               3 Dir(s)  42˙242˙789˙376 bytes free


[wojtas]

z podlaczonym urządzeniem Uruchom OTL i w oknie Custom Scans/Fixes wklej :

:Files
c:\3dcs9.exe
c:\9d6tpg.exe
c:\fk.exe
c:\RECYCLER
c:\trz1.tmp
d:\3dcs9.exe
d:\9d6tpg.exe
d:\fk.exe
d:\RECYCLER
d:\trz1.tmp
e:\3dcs9.exe
e:\9d6tpg.exe
e:\fk.exe
e:\RECYCLER
e:\trz1.tmp
f:\3dcs9.exe
f:\9d6tpg.exe
f:\fk.exe
f:\RECYCLER
f:\trz1.tmp
g:\3dcs9.exe
g:\9d6tpg.exe
g:\fk.exe
g:\RECYCLER
g:\trz1.tmp

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"SuperHidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"Hidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"ShowSuperHidden"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
@=""

:Commands
[emptytemp]

Kliknij w Run Fix. I potwierdź reset kompa . i już powinno być dobrze

[peter221]

dzięki wielkie za wszystko. system mam czysty jak łza natomiast jedyna rzecz która pozostała po tym świństwie to to, że dysk d nie chce się otworzyć podwójnym kliknięciem. trzeba dawać prawy i eksploruj. czy da się jakoś temu zaradzić bez formata?

używam xp32bit. pod vistą 64bit o dziwo nie ma tego problemu

[wojtas]

daj nowy log z OTL + jeśli masz pendriva to :
Przy podpiętym urządzeniu przenośnym, uruchom USBFix z opcji 5 i pokaż raport na forum.
nawet jak nie masz pendriva czy jakiejś pamięci to pokaż raport z USB i OTL

[peter221]

http://wklej.org/id/336915/

plik extras mi nie wyskoczył nie wiem czemu

[wojtas]

a gdzie log z USBFix ?
Uruchom OTL i w oknie Custom Scans/Fixes wklej :

:OTL
O32 - AutoRun File - [2010-03-18 12:42:48 | 000,000,057 | RHS- | M] () - D:\autorun.inf -- [ NTFS ]

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"SuperHidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"Hidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"ShowSuperHidden"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
@=""

:Commands
[emptytemp]

Kliknij w Run Fix. I potwierdź reset komputera .
i uzupełnij brakujący log

[peter221]

http://wklej.org/id/336988/

[wojtas]

powinno być ok jeśli wykonałeś skrypt z OTL

[peter221]

jest git i jestem pod wrażeniem twoich umiejętności. czy mogę w dwu słowach zapytać na czym polegało to cudo które teraz zrobiliśmy ze dysk zaczął znow działać ładnie?

[wojtas]

usunięcie klucza z rejestru mountpoints2 :

O32 - AutoRun File - [2010-03-18 12:42:48 | 000,000,057 | RHS- | M] () - D:\autorun.inf -- [ NTFS ]

i pliku D:\autorun.inf

zastosuj USBFIX z opcji 3 w celu zabezpieczenia. to tyle