Win32 rootkit-gen... system32...

[qwqwqw]

Włączyłem sobie zwiastun na hataku i bach nagle Avast mi wykrywa coś w driversach w system32...
Logi w trybie normalnym udało mi sie tylko zrobić przy pomocy Rsita i GMER'a. OTL z trybu awaryjnego ale myśle że to nie problem:



RSIT: http://wklej.org/id/286241/
GMER: http://wklej.org/id/286240/
W OTL dałem w Processesi Modules "All"
OTL: http://wklej.org/id/286237/
OTL Extras: http://wklej.org/id/286236/

Proszę o pomoc. Męczę się już z tym kilka h. ;/

[wojtas]

Uruchom OTL i w oknie Custom Scans/Fixes wklej :

:OTL
FF - prefs.js..extensions.enabledItems: {4DC70064-89E2-4a55-8FC6-E8CDEAE3612C}:0.6.5
FF - prefs.js..extensions.enabledItems: {31E65147-5A53-4e52-8A64-FF7EBFA36D76}:2.3.3.6
FF - prefs.js..extensions.enabledItems: {6e098d65-7d2d-46d4-ada0-2f882a29f795}:0.2.3
FF - prefs.js..extensions.enabledItems: {fd6951b7-c35d-499d-8a16-0147946b613b}:1.1.9
FF - prefs.js..extensions.enabledItems: {DDC359D1-844A-42a7-9AA1-88A850A938A8}:1.1.8
FF - prefs.js..extensions.enabledItems: {e58e39bf-52d1-4a26-9fd8-c14800bb59e7}:0.2.5
FF - prefs.js..extensions.enabledItems: {19503e42-ca3c-4c27-b1e2-9cdb2170ee34}:1.2.1.13
FF - prefs.js..extensions.enabledItems: {e4a8a97b-f2ed-450b-b12d-ee082ba24781}:0.8.20091209.4
FF - prefs.js..extensions.enabledItems: {F5DDF39C-9293-4d5e-9AA8-E04E6DD5E9B4}:1.4.2
FF - prefs.js..extensions.enabledItems: {b8ccaffc-1f41-45bf-ad7a-1c730d9a4656}:0.5.8
FF - prefs.js..extensions.enabledItems: {8f8fe09b-0bd3-4470-bc1b-8cad42b8203a}:0.15
FF - prefs.js..extensions.enabledItems: {02450954-cdd9-410f-b1da-db804e18c671}:0.96.2
FF - prefs.js..extensions.enabledItems: {EF522540-89F5-46b9-B6FE-1829E2B572C6}:4.0
FF - prefs.js..extensions.enabledItems: pdfforge@mybrowserbar.com:1.1.2
FF - prefs.js..extensions.enabledItems: searchsettings@spigot.com:1.2.3
O2 - BHO: (pdfforge Toolbar) - {B922D405-6D13-4A2B-AE89-08A030DA4402} - D:\Program Files\pdfforge Toolbar\IE\1.1.2\pdfforgeToolbarIE.dll (Spigot, Inc.)
O2 - BHO: (no name) - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} - D:\Program Files\pdfforge Toolbar\SearchSettings.dll (Spigot, Inc.)
O2 - BHO: () - {FCADDC14-BD46-408A-9842-CDBE1C6D37EB} - D:\Program Files\SmartStopper\SSHelper.dll ()
O3 - HKLM\..\Toolbar: (pdfforge Toolbar) - {B922D405-6D13-4A2B-AE89-08A030DA4402} - D:\Program Files\pdfforge Toolbar\IE\1.1.2\pdfforgeToolbarIE.dll (Spigot, Inc.)
O3 - HKLM\..\Toolbar: (&Smart Stopper) - {C4370071-9FF8-4442-B9C7-F849AC0789CA} - D:\Program Files\SmartStopper\SmartStopper.dll ()
O3 - HKCU\..\Toolbar\ShellBrowser: (no name) - {3041D03E-FD4B-44E0-B742-2D9B88305F98} - No CLSID value found.
O3 - HKCU\..\Toolbar\ShellBrowser: (no name) - {D3DEE18F-DB64-4BEB-9FF1-E1F0A5033E4A} - No CLSID value found.
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {D3DEE18F-DB64-4BEB-9FF1-E1F0A5033E4A} - No CLSID value found.
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {E67C74F4-A00A-4F2C-9FEC-FD9DC004A67F} - No CLSID value found.
O4 - HKLM..\Run: [] File not found
O4 - HKLM..\Run: [SearchSettings] D:\Program Files\pdfforge Toolbar\SearchSettings.exe (Spigot, Inc.)
O4 - Startup: D:\Documents and Settings\D\Menu Start\Programy\Autostart\winesm32.exe ( )
O10 - Protocol_Catalog9\Catalog_Entries\000000000002 - File not found
O10 - Protocol_Catalog9\Catalog_Entries\000000000003 - File not found
O10 - Protocol_Catalog9\Catalog_Entries\000000000025 - File not found

:Files
D:\WINDOWS\tasks\GoogleUpdateTaskUserS-1-5-21-1202660629-115176313-725345543-1004UA.job
D:\Program Files\pdfforge Toolbar
D:\WINDOWS\tasks\1-Click Maintenance.job
D:\Program Files\SmartStopper
D:\Documents and Settings\D\Dane aplikacji\.drv190904.dat
D:\Program Files\.drv120405.dat
D:\Documents and Settings\D\Dane aplikacji\.drv120205.dat
D:\Program Files\.data211204.dat
D:\Program Files\.data211004.dat
D:\Program Files\.data110704.dat
D:\Documents and Settings\D\Dane aplikacji\.data001.dat
D:\Documents and Settings\D\Dane aplikacji\.data000.dat
D:\Program Files\.dat000002.dat
D:\Program Files\.dat000001.dat
D:\Documents and Settings\D\Dane aplikacji\.app190905.dat
D:\Documents and Settings\D\Dane aplikacji\.addit001.dat
D:\WINDOWS\System32\fjhdyfhsn.bat

:Commands
[emptytemp]

Kliknij w Run Fix. I potwierdz reset kompa .

zrób skan Malwarebytes Anti-Malware (zaktualizuj, usuń co znajdzie ) i pokaż raport

[qwqwqw]

Log po usuwaniu twoim skryptem: http://wklej.org/id/286410
Log innego usuwania OTL'em. Po twoim skrypcie: http://wklej.org/id/286412

Nowy log OTL: http://wklej.org/id/286413
Log z MAlware: http://wklej.org/id/286439/

------~21:00--------
Ok Combofix nie chciał działać dopóki nie skasowałem pliczków Malwarebytesem. Odblokował się wtedy pasek startu i mogłem wyłączyc na jakiś czas Avasta i nic sie nie zacięło. Combo coś tam pousuwał no i teraz wydaje sie że główny problem zniknął. Jednak komputerek muli się na początku przy włączaniu pulpitu. Oto logi ze wszystkiego ;d :

Avast nie wykrywa mi na starcie w trybie normalnym żadnych rootkitów itd, ale strasznie długo się włącza na samym starcie systemu. Przez trzeba czekać dobre kilka minut.
Zdarza się że po 10-15 minutach działania system po prostu staje. Jest coraz wolniej.... i wolniej.

W logach można zobaczyć jak to wyglądało. Przy skanie OTL znalażl mi w folderze WINDOWS zainfekowanego firefox.exe ale trojanem jakimś. Zobacz w logach ktore dołączam.
Log ComboFix: http://wklej.org/id/286469/
Log RSIT: http://wklej.org/id/286471/
Log OTL: http://wklej.org/id/286495/
Log DDS: http://wklej.org/id/286486/
Log DDS- Attach: http://wklej.org/id/286488/
Log z Malwarebytes: http://wklej.org/id/286439/
Log/Report Avast'a: http://wklej.org/id/286500/

Dzięki za dalszą pomoc. Czekam na dalsze instrukcje! =]

[NieWiem]

Nie mam za dobrych wieści, ale jakoś sobie spróbujemy poradzić. Jest infekcja rootkitowa i to chyba tdss+tdl3.

Przeczytaj linkowany poniżej tekst i CAŁKOWICIE wyinstaluj napędy wirtulane z systemu, bo będą nam teraz bardzo przeszkadzać. Dopiero jak powiem, że jest czysto, zainstalujesz je na nowo.
http://www.searchengines.pl/index.php?act=announce&f=99&id=20



1.

• Pobierz TDSSKiller i zapisz go na pulpicie.
• Wypakuj zawartośc na pulpit.
  Ważne: TDSSKiller.exe musi być zapisany bezpośrednio na pulpicie!
• Wciśnij naraz klawisz z symbolem Windowsa oraz R - pokaże się okienko, do którego wkleisz następującą komendę:
  

  Kod: Zaznacz wszystko

  "%userprofile%\Desktop\TDSSKiller.exe" -l C:\TDSSKiller.txt -v

• Gdyby powyższa komenda nie dała rady, zastąp w niej słowo "desktop" słowem "pulpit".
• jeśli narzędzie zwróci komunikat "Hidden Service detected" wciśnij ENTER, nic innego!
• Po zakończeniu działania na dysku C:\ będzie będzie plik TDSSKiller.txt - pokaż tego loga w swojej odpowiedzi.

2.

Wyrzucasz starą wersję ComboFixa, pobierasz nową i pokazujesz loga.


3.

Oprócz tego log z Gmera:

• Pobierz Gmer na pulpit. Będzie nazwany jako losowa kombinacja cyfr i liter.
• Kliknij dwukrotnie na ikonę, aby uruchomić program (użytkownicy systemów Vista oraz Se7en => prawoklik oraz wybrać opcję Uruchom jako Administrator).
• Upewnij się, że wszystkie pozostałe okna są zamknięte i pozwól mu pracować bez zakłóceń - ten typ skanów może dawać wiele fałszywych odczytów, dlatego tak ważne jest, aby system pracował bez żadnych ingerencji.
• Uwaga dla użytkowników systemów Vista oraz Se7en - podczas skanowania może wystąpić bluescreen. Nie należy się tym przejmować, po prostu Gmer na tych systemach nie czuje się dobrze. W takim przypadku proszę o tym napisać w poście na forum.
• Gdy pojawi się okno, poczekaj chwile, aż zakończy się wstępne skanowanie.
• Jeśli pojawi się komunikat, że znaleziono działalność rootkitów, proszę nie podejmować samemu żadnych działań, tylko wytworzyć loga i pokazać go do analizy!
• Kliknij Szukaj. Nie zmieniaj żadnych ustawień. Skanowanie może trwać długo.
• Kiedy skanowanie się skończy, kliknij Kopiuj.
• Udaj się na stronę http://wklej.org/ i wklej zawartość schowka (PPM -> Wklej), a na forum wklej tylko link do loga.