Win32:patched-hn[trj]

**Posty:** 4 · przez **skubisz** 16 Gru 2009, 01:13

Witam mam problem z tym trojanem nie moge sie go pozbyć ciągle wyskakuje jeszcze chyba wyskakiwało cos z svchost.exe :-|

licze na pomoc z waszej strony to mój pierwszy log

przesyłam (nie mieści sie w [code]

http://wklej.org/id/237018/

Z góry dziękuje za udzieloną pomoc

**Posty:** 2183 · przez **NieWiem** 16 Gru 2009, 09:01

No siedzi sobie wujek herss, czyli infekcja z mediów przenośnych.

[center]

[/center]

Pobierz narzędzie The Avenger:
- wersja. *.exe
- wersja *.zip
Jeśli pobrałeś wersję *.zip, wypakuj ją na pulpicie.
Kliknij dwukrotnie na ikonę, aby uruchomić program (użytkownicy systemów Vista oraz Se7en => prawoklik oraz wybrać opcję Uruchom jako Administrator).
W głównym okienku programu wklej to, co poniżej w ramce:
Kod: Zaznacz wszystko
Files to delete: C:\Documents and Settings\Mr.Skubisz\Ustawienia lokalne\Temp\herss.exe C:\nqdymj.exe D:\autorun.inf
Kliknij Execute.
Komputer poprosi o potwierdzenie, wciśnij Yes.
Pojawi się jeszcze jedno okienko z zapytaniem o restart komputera: zgódź się, ponieważ część operacji będzie wykonywana dopiero po restarcie.
Komputer automatycznie wyświetli raport z wykonania podanych czynności. Należy go zapisać i wkleić w poście w tagach [code] lub na stronie http://www.wklej.org, a w poście podać odnośnik do niego.

Oprócz tego wykonaj nowego loga z OTL z opcji Run Scan, ale skonfiguruj program następująco:

zaznacz LOP Check
zaznacz Purity Check
zaznacz Scan All Users
w okienku na dole wklej następujące komendy:
C:\*
D:\*

**Posty:** 4 · przez **skubisz** 16 Gru 2009, 16:21

więc tak sytuacja wygląda następująco: wirus już nie wyskakuje co chwile na pulpicie tzn dotychczas ani razu sie nie pojawila jakakolwiek informacja ale nie moge w ustaweiniach wybrać "pokaz pliki ukryte" zaznaczam daje zastosuj ok ale nic wraca do wczesniejszej opcji jaka byla zaznaczona po drugie nie moge polaczyc sie z internetem (bezprzewodowy) wyskakuje mi ze nie moze odnalezc certyfikatu po trzecie nie wlacza mi sie C: jedynie jesli dam eksploruj po czwarte wlasnie robie skana w avascie i wyskoczyl mi jednak wirus C:\System Volume Information\_restore{F76C661D-4DC5-49CF-BE8A-0D3A9B5B05B7}\RP10\A0001936.exe Wirus/robak 091216-0, 2009-12-16 wklejam raprost z avengera

Kod: Zaznacz wszystko: Logfile of The Avenger Version 2.0, (c) by Swandog46 http://swandog46.geekstogo.com Platform: Windows XP ******************* Script file opened successfully. Script file read successfully. Backups directory opened successfully at C:\Avenger ******************* Beginning to process script file: Rootkit scan active. No rootkits found! File "C:\Documents and Settings\Mr.Skubisz\Ustawienia lokalne\Temp\herss.exe" deleted successfully. Error: file "C:\nqdymj.exe" not found! Deletion of file "C:\nqdymj.exe" failed! Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND) --> the object does not exist File "D:\autorun.inf" deleted successfully. Completed script processing. ******************* Finished! Terminate.

a tu log z otl
http://wklej.org/id/237461/

ech nienawidze takich sytuacji ... dobrze że są tacy pomocni ludzie jak Wy !! : )

**Posty:** 18165 · przez **wojtas** 16 Gru 2009, 17:02

Uruchom OTL i w oknie Custom Scans/Fixes wklej :

:OTL
PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation)
O4 - HKU\S-1-5-21-583907252-261478967-725345543-1004..\Run: [cdoosoft] C:\DOCUME~1\MRD2A8~1.SKU\USTAWI~1\Temp\herss.exe File not found
O32 - AutoRun File - [2009-12-16 14:58:13 | 00,000,059 | RHS- | M] () - C:\autorun.inf -- [ NTFS ]
O33 - MountPoints2\{440b4208-e9a6-11de-97d5-806d6172696f}\Shell - "" = AutoRun
O33 - MountPoints2\{440b4208-e9a6-11de-97d5-806d6172696f}\Shell\AutoRun\command - "" = E:\.\Bin\ASSETUP.exe -- File not found
O33 - MountPoints2\{440b4209-e9a6-11de-97d5-806d6172696f}\Shell\AutoRun\command - "" = nqdymj.exe
O33 - MountPoints2\{440b4209-e9a6-11de-97d5-806d6172696f}\Shell\open\Command - "" = nqdymj.exe

:Files
C:\autorun.inf

:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"SuperHidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"Hidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"ShowSuperHidden"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
@=""

:Commands
[emptytemp]
[start explorer]
[Reboot]

Kliknij w Run Fix. I potwierdz reset kompa .

Następnie uruchamiasz OTL z opcją Run Scan. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia kompa

**Posty:** 4 · przez **skubisz** 16 Gru 2009, 22:53

WSZYSTKO POKI CO DZIAŁA SPRAWNIE DYSK C WLACZA SIE PLIKI UKRYTE SIE POKAZUJA JEDYNE CO TO TYLKO Z TYM NETEM PROBLEM nie moze odnalesc certyfikatu .... ; /

RAPORT

Kod: Zaznacz wszystko: All processes killed ========== OTL ========== No active process named explorer.exe was found! Registry value HKEY_USERS\S-1-5-21-583907252-261478967-725345543-1004\Software\Microsoft\Windows\CurrentVersion\Run\\cdoosoft deleted successfully. C:\autorun.inf moved successfully. Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{440b4208-e9a6-11de-97d5-806d6172696f}\ deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{440b4208-e9a6-11de-97d5-806d6172696f}\ not found. Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{440b4208-e9a6-11de-97d5-806d6172696f}\ not found. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{440b4208-e9a6-11de-97d5-806d6172696f}\ not found. File E:\.\Bin\ASSETUP.exe not found. Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{440b4209-e9a6-11de-97d5-806d6172696f}\ deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{440b4209-e9a6-11de-97d5-806d6172696f}\ not found. File nqdymj.exe not found. Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{440b4209-e9a6-11de-97d5-806d6172696f}\ not found. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{440b4209-e9a6-11de-97d5-806d6172696f}\ not found. File nqdymj.exe not found. ========== FILES ========== File\Folder C:\autorun.inf not found. ========== REGISTRY ========== HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\\"SuperHidden"|dword:00000001 /E : value set successfully! HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\\"Hidden"|dword:00000001 /E : value set successfully! HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\\"ShowSuperHidden"|dword:00000001 /E : value set successfully! HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\\"CheckedValue"|dword:00000001 /E : value set successfully! Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden\ deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden\\@|"" /E : value set successfully! ========== COMMANDS ========== [EMPTYTEMP] User: All Users User: Default User ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: LocalService ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: Mr.Skubisz ->Temp folder emptied: 3440169 bytes ->Temporary Internet Files folder emptied: 3173879 bytes User: NetworkService ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 402 bytes %systemdrive% .tmp files removed: 0 bytes %systemroot% .tmp files removed: 19569 bytes %systemroot%\System32 .tmp files removed: 17302444 bytes Windows Temp folder emptied: 106924 bytes RecycleBin emptied: 0 bytes Total Files Cleaned = 22,99 mb OTL by OldTimer - Version 3.1.17.0 log created on 12162009_212701 Files\Folders moved on Reboot... File\Folder C:\WINDOWS\temp\_avast4_\Webshlock.txt not found! C:\WINDOWS\temp\Perflib_Perfdata_49c.dat moved successfully. Registry entries deleted on Reboot...

OTL
http://wklej.org/id/237931/

**Posty:** 18165 · przez **wojtas** 16 Gru 2009, 22:55

daj screena z błędu

**Posty:** 4 · przez **skubisz** 16 Gru 2009, 23:40

**Posty:** 18165 · przez **wojtas** 16 Gru 2009, 23:52

czytaj cały temat może któraś z rad Ci pomoże

**Posty:** 2 · przez **kaczoris** 19 Gru 2009, 15:31

**Posty:** 18165 · przez **wojtas** 19 Gru 2009, 17:53

kaczoris, załóż swój temat

Kto jest na forum