Win32/olmarik

**Posty:** 5 · przez **qziom** 04 Maj 2010, 17:59

witam. mam problem z koniem trojańskim Win32/Olmarik. Mam ESET Nod, skanowalem tez Spyware Doctor i Malwarebytes' Anti-Malware i dalej siedzi.info o wirusie wyskakuje przy wlaczeniu komputera i jest to info z ESETa ze nie da sie usunac i siedzi w pamieci operacyjnej. ogolnie troche mi sie komp muli czasem i internet. no i google chrome mi nie dziala wogole. zamieszczam logi i prosze o pomoc
http://www.wklej.org/id/328039/Gmer
http://www.wklej.org/id/328052/OTL
z gory dzieki za pomoc

**Posty:** 18165 · przez **wojtas** 04 Maj 2010, 18:10

Gmer pokazał modyfikację :

File C:\WINDOWS\system32\drivers\atapi.sys suspicious modification

Pobierz plik zgodny z Twoją wersją systemu zapisz na C:

http://www.sendspace.com/file/z484xt

Uruchom OTL i w oknie Custom Scans/Fixes wklej :

:OTL
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = http://search.yahoo.com/search?p=
O2 - BHO: (MediaBar) - {0974BA1E-64EC-11DE-B2A5-E43756D89593} - C:\Program Files\BearShareTb\BearShareDx.dll ()
O3 - HKLM\..\Toolbar: (MediaBar) - {0974BA1E-64EC-11DE-B2A5-E43756D89593} - C:\Program Files\BearShareTb\BearShareDx.dll ()
O20 - Winlogon\Notify\youja_: DllName - youja_.dll - C:\WINDOWS\System32\youja_.dll ()
O20 - HKLM Winlogon: UIHost - (logonui.exe) - File not found
O32 - AutoRun File - [2008-04-24 06:44:40 | 000,114,688 | R--- | M] (Huawei Technologies Co., Ltd.) - G:\AutoRun.exe -- [ CDFS ]
O32 - AutoRun File - [2007-11-07 08:41:52 | 000,000,047 | R--- | M] () - G:\AUTORUN.INF -- [ CDFS ]
O33 - MountPoints2\{0b11859f-919f-11de-8b87-0016cf517907}\Shell\PRM\command - "" = Thumbs.exe -start
O33 - MountPoints2\{4c1878bd-3dd4-11df-bcbe-0016cf517907}\Shell - "" = AutoRun
O33 - MountPoints2\{4c1878bd-3dd4-11df-bcbe-0016cf517907}\Shell\AutoRun\command - "" = G:\WD SmartWare.exe -- File not found
O33 - MountPoints2\{6dee659f-f074-11de-bc4c-0016d41c6b5a}\Shell - "" = AutoRun
O33 - MountPoints2\{6dee659f-f074-11de-bc4c-0016d41c6b5a}\Shell\AutoRun\command - "" = G:\AutoRun.exe -- [2008-04-24 06:44:40 | 000,114,688 | R--- | M] (Huawei Technologies Co., Ltd.)
O33 - MountPoints2\{88e2f4e2-f32f-11de-bc4d-0016d41c6b5a}\Shell - "" = AutoRun
O33 - MountPoints2\{88e2f4e2-f32f-11de-bc4d-0016d41c6b5a}\Shell\AutoRun\command - "" = G:\AutoRun.exe -- [2008-04-24 06:44:40 | 000,114,688 | R--- | M] (Huawei Technologies Co., Ltd.)
O33 - MountPoints2\{aeda0dac-eec5-11de-bc49-0016d41c6b5a}\Shell\AutoRun\command - "" = H:\PRVA\\\\\STRANA.exe -- File not found
O33 - MountPoints2\{aeda0dac-eec5-11de-bc49-0016d41c6b5a}\Shell\explore\command - "" = H:\PRVA\\\\\\STRANA.exe -- File not found
O33 - MountPoints2\{aeda0dac-eec5-11de-bc49-0016d41c6b5a}\Shell\open\command - "" = H:\PRVA\\\\\\STRANA.exe -- File not found
O33 - MountPoints2\{eb01cb8b-f2ef-11de-bc4f-0016cf517907}\Shell - "" = AutoRun
O33 - MountPoints2\{eb01cb8b-f2ef-11de-bc4f-0016cf517907}\Shell\AutoRun\command - "" = G:\AutoRun.exe -- [2008-04-24 06:44:40 | 000,114,688 | R--- | M] (Huawei Technologies Co., Ltd.)
O33 - MountPoints2\H\Shell - "" = AutoRun
O33 - MountPoints2\H\Shell\AutoRun\command - "" = H:\AutoRun.exe -- File not found
@Alternate Data Stream - 204 bytes -> C:\Documents and Settings\All Users\Application Data\TEMP:DFC5A2B2
@Alternate Data Stream - 109 bytes -> C:\Documents and Settings\All Users\Application Data\TEMP:A8ADE5D8
FF - prefs.js..browser.search.defaultenginename: "BearShare Web Search"
FF - prefs.js..browser.search.order.1: "BearShare Web Search"
FF - prefs.js..keyword.URL: "http://search.bearshare.com/webResults.html?src=ffb&q="

:Files
C:\WINDOWS\System32\youja_.dll
C:\lqyedbfe.exe
C:\jwxfhba.exe
C:\vsosmix.exe
C:\gyid.exe
C:\iymfsrlv.exe
C:\bcgft.exe
C:\-119424514
C:\Program Files\BearShareTb
C:\WINDOWS\System32\DRIVERS\atapi.sys|C:\atapi.sys /replace

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

:Commands
[emptytemp]
[resethosts]
[emptyflash]
[clearallrestorepoints]

Kliknij w Run Fix. I potwierdź reset kompa .

Następnie uruchamiasz OTL z opcją Run Scan. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia komputera + log z Gmera + USBFix z opcji 5

**Posty:** 5 · przez **qziom** 04 Maj 2010, 22:25

Z czyszczenia http://wklej.org/id/328254/
OTLhttp://wklej.org/id/328260/
Gmerhttp://wklej.org/id/328268/
USBFixhttp://wklej.org/id/328272/

**Posty:** 18165 · przez **wojtas** 04 Maj 2010, 22:36

pobierz ale nie uruchamiaj
http://www.programosy.pl/program,combofix.html

zapisz ten plik na partycji C
http://www.sendspace.com/file/z484xt

Otworz notatnik i wklej w nim to:

Fcopy::
c:\atapi.sys| c:\windows\system32\dllcache\atapi.sys
c:\atapi.sys | c:\windows\system32\drivers\atapi.sys

>>Plik>>Zapisz jako... >>> CFScript
Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe
-->

Rozpocznie się usuwanie i powstanie log daj go. + log z Gmera

**Posty:** 5 · przez **qziom** 05 Maj 2010, 13:00

wlaczam combofixa i po pewnym czasie jest takie okienko i w nim jest napisane:
"Skanowanie w poszukiwaniu zainfekowanych plików...
zwykle operacja ta nie zajmuje wiecej niz 10 minut
w przypadku mocno zainfekowanych komputerów czas skanowania moze sie nieznacznie przedluzyc"
robi sie juz ponad pol godziny i nic.

Dodano Dzisiaj, 14:26:
uzylem programu XDelBox - znalazlem na jakiejs amerykanskiej stronie porade zeby go uzyc... przy wlaczeniu kompa nie wyskakuje juz wirus. daje logi z OTL i Gmera i jakbys mogl zobaczyc czy rzeczywiscie go usunelo to bylbym wdzieczny.
OTLhttp://wklej.org/id/328514/
Gmerhttp://wklej.org/id/328515/

Dodano Dzisiaj, 15:35:
jednak znowu wyskakuje:/

**Posty:** 18165 · przez **wojtas** 05 Maj 2010, 16:26

Otworz notatnik i wklej w nim to:

File::
C:\Documents and Settings\Admin\My Documents\Downloads\atapi.sys

FCopy::
c:\atapi.sys | c:\windows\system32\dllcache\atapi.sys
c:\atapi.sys | c:\windows\system32\drivers\atapi.sys

>>Plik>>Zapisz jako... >>> CFScript
Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe
-->

Rozpocznie się usuwanie i powstanie log z Combofixa daj go. + nowy log z Gmera

**Posty:** 5 · przez **qziom** 05 Maj 2010, 18:03

w koncu poszlo
Combofixhttp://wklej.org/id/328636/
Gmerhttp://wklej.org/id/328638/

**Posty:** 18165 · przez **wojtas** 05 Maj 2010, 18:06

wklej do notatnika

Windows Registry Editor Version 5.00

[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{74322BF9-DF26-493f-B0DA-6D2FC5E6429E}]

w notatniku u góry>>>plik zapisz jako>>>Zmien rozszerzenie z TXT na Wszystkie pliki *.* >>> Zapisz pod nazwą FIX.REG

Klikasz dwa razy na powstały plik fix i dodajesz go do rejestru....

Wykonaj czynności końcowe :

1.Uruchom OTL z opcji CleanUp
2. wykonaj optymalizację Windowsa
3.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem
4. zrób skan Malwarebytes Anti-Malware (zaktualizuj, usuń co znajdzie )

Zaktualizuj zabezpieczenia:
>>> Adobe Reader 9.3 (bez Free McAfee® Security Scan Plus)
>>> Internet Explorer 8
>>> Service Pack 3
>>> Java™ 6 Update 20

**Posty:** 5 · przez **qziom** 05 Maj 2010, 20:15

dzieki wielkie wyglada na to ze juz wszystko ok:)

**Posty:** 13 · przez **ania_brzoza** 10 Maj 2010, 23:06

mam problem z tym samym koniem trojańskim dostaje komunikat z noda ale jak chce go naprawic to daje komunikat ze nie moze naprawic bo nie ma dostepu do tego typu plikow. Jestem laikiem jezeli chodzi o takie sprawy. Czytając podobny watek na jakim innym forum zainstalowalam tylko program system look i zrobilam skana. prosze o pomoc ale badzcie wyrozumiali bo ja sie totalnie na tym nie znam.

SystemLook v1.0 by jpshortstuff (11.01.10)
Log created at 22:38 on 10/05/2010 by Ania (Administrator - Elevation successful)

========== filefind ==========

Searching for "atapi*"
C:\Windows\System32\DriverStore\FileRepository\mshdc.inf_7de13c21\atapi.sys --a--- 21560 bytes [13:42 01/03/2008] [13:42 01/03/2008] B35CFCEF838382AB6490B321C87EDF17
C:\Windows\System32\DriverStore\FileRepository\mshdc.inf_c6c2e699\atapi.sys --a--- 19048 bytes [10:25 02/11/2006] [09:49 02/11/2006] 4F4FCB8B6EA06784FB6D475B7EC7300F
C:\Windows\System32\drivers\atapi.sys --a--- 21560 bytes [13:42 01/03/2008] [13:42 01/03/2008] B35CFCEF838382AB6490B321C87EDF17
C:\Windows\winsxs\x86_mshdc.inf_31bf3856ad364e35_6.0.6000.16632_none_db337a442479c42c\atapi.sys --a--- 21560 bytes [13:42 01/03/2008] [13:42 01/03/2008] B35CFCEF838382AB6490B321C87EDF17
C:\Windows\winsxs\x86_mshdc.inf_31bf3856ad364e35_6.0.6000.20757_none_dbac78a93da31a8b\atapi.sys --a--- 21560 bytes [13:42 01/03/2008] [13:42 01/03/2008] E03E8C99D15D0381E02743C36AFC7C6F

-=End Of File=-

**Posty:** 12734 · przez **Mikou@j** 10 Maj 2010, 23:11

ania_brzoza, napisz swój temat, nazwij go odpowiednio, opisz problem i zastosuj obowiazkowe-zasady-wstawiania-logow-wazne-vt117887.html
log z otl, extras i log z gmera (najpierw usuń programy emulujące i sterowniki)
wszystko jest opisane w linku powyżej.

Kto jest na forum