Win32/pacex.ad na pendrive

[heymen]

Witam!

Na laptopie mam zainstalowanego NOD32. Nie było problemu do dziś. Potrzebowałem na szybko coś przenieść na pendrive na inny komputer (nieznajomy). No i powstała infekcja.
Komunikat NOD - F:\p3vwxx.exe - odmiana Win32/Pacex.AD wirus

Tylko, że nie potrafi z nim nic zrobić, za każdym razem się pojawia.

http://www.wklej.org/id/337867/

http://www.wklej.org/id/337868/

http://www.wklej.org/id/337869/

Żadnych innych niepokojących objawów nie zauważyłem, zresztą myślę, że NOD nie pozwoliły.
Tylko ten nieszczęsny dysk przenośny.

[NieWiem]

Pobierz USBFix:
http://pagesperso-orange.fr/NosTools/Chiquitine29/UsbFix.exe

Następnie zastosuj opcję 3 (bez pendriva), a potem z podpiętym pendrivem opcję 5 i pokaż loga po tej drugiej operacji.

Plus KOMPLETNEGO loga z Gmera, a nie preskan w którym nic nie widać.

[heymen]

W międzyczasie udało mi się uruchomić dr web cure it i niby zakończono pomyślnie usuwanie.

Ale dla pewności jeszcze wklejam logi.

Po opcji 3 - http://wklej.org/id/337893/

Po opcji 5 - http://wklej.org/id/337894/

[NieWiem]

Nic nie wskazuje na aktywną infekcję. Ale dla pewności zalecam zeskanowanie komputera takim oto czymś:
http://www.programosy.pl/program,malwarebytes-anti-malware.html

Wróć tutaj z raportem z pełnego skanowania komputera.

[heymen]

Nic nie wskazuje na aktywną infekcję. Ale dla pewności zalecam zeskanowanie komputera takim oto czymś:
http://www.programosy.pl/program,malwarebytes-anti-malware.html

Wróć tutaj z raportem z pełnego skanowania komputera.

niestety programu nie udało mi się pomyślnie zainstalować,
pojawiają się różne błędy podczas instalacji

ps. zaległy log z gmera http://wklej.org/id/337912/

[NieWiem]

A widzisz, w Gmerze są dość paskudne odczyty.

• Pobierz programKatesKiller od Kaspersky'ego i zapisz go na pulpicie
  http://support.kaspersky.com/downloads/utils/kateskiller.zip
  Program jest spakowany do ZIPa, więc będziesz go musiał rozpakować ( PPM -> Wyodrębnij wszystkie... )
  WAŻNE: Program musi znajdować się na pulpicie !
• Idź do Start -> Uruchom i wklej to co poniżej :
  

  Kod: Zaznacz wszystko

  "%useprofile%\Pulpit\kateskiller.exe" -y -l raport.txt -v

  
  i kliknij OK
• Jeśli by nie chciało - zastąp w powyższej komendzie słowo pulpit słowem desktop
• Rozpocznie się praca programu KatesKiller
• Po jej zakończeniu zawartość raportu ( plik raport.txt powinien się znajdować na pulpicie ) wklejasz na stronę http://www.wklej.org

• Przeczytaj uważnie instrukcję programu ComboFix, po czym wyłącz swój program antywirusowy, firewall i inne programy, które mogą zakłócać nawet pobieranie ComboFixa twierdząc, że jest wirusem. Nie jest! Spokojnie go ściągnij i zapisz na pulpicie.
• Pobierz z któregoś poniższego linku:
  • LINK #1
  • LINK #2
• Pozamykaj wszystkie otwarte okna, komunikatory, programy. ComboFixowi nie powinno sie przeszkadzać.
• Uruchom program z dwukliku (VISTA: prawoklik i 'uruchom jako administrator').
• Pozwól mu spokojnie działać, nie klikaj ani nie stukaj w klawiaturę - to może spwodować zawieszenie się komputera.
• Zalecane jest też instalowanie konsoli odzyskiwania, jeśli ComboFix o nią poprosi. Dzięki niej można odrolować zmiany w przypadku pomyłki narzędzia.
• Jeśli będzie potrzeba - zgódź się na restart.
• Kiedy program skończy, wytworzy loga (będzie on także w pliku C:\ComboFix.txt), którego wklej w odpowiedzi, pamiętając o tagach [code] lub na http://www.wklej.org.

Potem też nowy Gmer i nowe OTL.

[heymen]

kurcze, teraz ciężko mi otworzyć plik txt z killera


pojawia się komunikat z błędem verify class id

czy jest jakiś sposób na "ręczne" wyłączenie skanera nod32? w trybie awaryjnym itp ? ponieważ mam założone hasło na antywirusa (komputer służbowy)

[NieWiem]

A czy Ty pracujesz w trybie awaryjnym? Nie da się odpalić CF w trybie normalnym?

[heymen]

http://wklej.org/id/337930/ - killer

tryb normalny wszytsko pięknie ładnie.
Myślę że CF odpali, tylko że tak jak pisałem nie ma szans aby wyłączyć NODa, bo nie znam hasła

[NieWiem]

No tak, ale to nieco komplikuje sprawę. A jakikolwiek program możesz zainstalować na komputerze? Masz uprawnienia administratora?

[heymen]

z instalacjami nie ma raczej problemów (w 95%)

[NieWiem]

A uprawnienia Admina masz?

Autor postu otrzymał pochwałę

[heymen]

w panelu sterowania-> konta użytkownika
przy koncie jest dopis administrator komputera
oprócz tego jest również konto Admin

Dodano 21.05.2010 20:13:45:
cf - http://wklej.org/id/337961/

ryzyk fizyk, odpaliłem

otl - http://wklej.org/id/337962/
http://wklej.org/id/337963/

gmera log

http://wklej.org/id/337985/

[wojtas]

nie używamy Combofixa gdy nie są usunięte programy emulujące + c:\windows\system32\drivers\sptd.sys

te plik/i :

C:\WINDOWS\system32\wxvault.dll

przeskanuj tu
http://virusscan.jotti.org/
http://www.virustotal.com/

i daj raporty ze skanow

[heymen]

C:\WINDOWS\system32\wxvault.dll

nic nie wykryło

CF - http://wklej.org/id/338934/

OTL - http://wklej.org/id/338939/
http://wklej.org/id/338941/

Gmer - http://wklej.org/id/338969/

ps. co jakiś czas pojawia się okienko Verify Class ID

wystąpił problem z aplikacją verify class id i zostanie ona zamknięta.
(..)
i na koniec opcje: debuguj, wyslij raport o bledach, nie wysylaj

[wojtas]

pokaż screena z błedu, spróbuj w awaryjnym lub normalnym odpalić Malwarebytes

[heymen]

Malwarebytes uruchomione z opcji szybkiego i pełnego skanowania, nic nie wykryło

Błąd póki co, nie pojawia się od tamtego momentu, po ponownym uruchomieniu komputera


Czy ewentualnie mogę podać jeszcze logi z 2 laptopa, gdzie ten pendrive tez był włączony, ponieważ parę razy sam otworzył mi się cd-rom. ale to moze przypadkowo, bo innych symptomów nie widać.
Pozdrawiam!

Dodano 28.05.2010 15:42:51:
Witam ponownie!

Trochę czasu minęło od ostatniej wizyty w moim temacie, chciałbym się zapytać czy już w logach wszystko w porządku jest ?

[wojtas]

tak w logach, nie ma nic, możesz dać z 2 lapka jak chcesz

[heymen]

a czy oprogramowanie (java, adobe) w wersji przystępnej ?
foldery po Cobofixie można usunąć?

2 laptop - gmer http://www.wklej.org/id/343596/
otl - http://www.wklej.org/id/343600/
extras - http://www.wklej.org/id/343602/

[wojtas]

zaktualizuj :
>>> Java™ 6 Update 20

Autor postu otrzymał pochwałę