Win32:rootkit siedzi w system32/drivers

[sgt185]

Mam problem bo od pewnego czasu avast wyrzuca mi pasożyta, właśnie tego rootkita

wydaje mi się, że mąci coś w sterownikach bo ostatnio drukarka nie chciała się uruchomić z word'a, a dziś mozilla nagle się "zgubiła"

ogólnie komp zamula a pasożyt, jak zastosuje kwarantannę, pojawia się w innym pliku momentlnie

aha, i nie wiem czy ma to coś wspólnego ale procesor chodzi mi cały czas na 100% mocy, a najwięcej CPU zabiera plik svchost.exe- tak wynika z menadżera

Sdfix'a stosowałem, nie pomógł...

oto logi:

Rsit
http://wklej.org/id/285781/

OTL
http://wklej.org/id/285779/

[wojtas]

Uruchom OTL i w oknie Custom Scans/Fixes wklej :

:OTL
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = http://search.bearshare.com/sidebar.html?src=ssb
FF - prefs.js..extensions.enabledItems: {d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}:1.1.1
FF - prefs.js..extensions.enabledItems: en-US@dictionaries.addons.mozilla.org:3.0.3
O2 - BHO: (UrlHelper Class) - {74322BF9-DF26-493f-B0DA-6D2FC5E6429E} - C:\Program Files\BearShare Applications\BearShare\BearShareIEHelper.dll ()
O3 - HKCU\..\Toolbar\WebBrowser: (BearShare MediaBar) - {B7D3E479-CC68-42B5-A338-938ECE35F419} - C:\Program Files\BearShare MediaBar\MediaBar.dll File not found
O3 - HKLM\..\Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - No CLSID value found.
O4 - HKCU..\Run: [msword98] C:\Documents and Settings\Łukasz\msword98.exe File not found
O4 - Startup: C:\Documents and Settings\Łukasz\Menu Start\Programy\Autostart\monnid32.exe ()
O4 - Startup: C:\Documents and Settings\Łukasz\Menu Start\Programy\Autostart\winesm32.exe ()
O32 - AutoRun File - [2005-11-01 05:31:28 | 000,729,088 | R--- | M] () - G:\AutoRun.exe -- [ UDF ]
O32 - AutoRun File - [2005-11-01 05:31:28 | 000,729,088 | R--- | M] () - G:\AutoRun.exe -- [ UDF ]
O32 - AutoRun File - [2005-11-01 06:04:05 | 000,000,160 | R--- | M] () - G:\autorun.inf -- [ UDF ]
O32 - AutoRun File - [2005-10-14 09:02:16 | 000,585,728 | R--- | M] () - G:\AutoRunGUI.dll -- [ UDF ]
O33 - MountPoints2\{e569d400-4d19-11dd-869f-001346b272f8}\Shell\Open(&0)\command - "" = H:\Recycled\ctfmon.exe -- File not found

:Files
C:\WINDOWS\System32\fjhdyfhsn.bat
C:\Documents and Settings\Łukasz\Dane aplikacji\avdrn.dat
C:\Documents and Settings\Łukasz\Menu Start\Programy\Autostart\monnid32.exe ()
C:\Documents and Settings\Łukasz\Menu Start\Programy\Autostart\winesm32.exe
C:\Program Files\Mozilla Firefox\searchplugins\BearShareWebSearch.xml
C:\Documents and Settings\Łukasz\Dane aplikacji\Mozilla\Firefox\Profiles\fp7ige9v.default\searchplugins\BearShareWebSearch.xml
C:\Program Files\BearShare MediaBar

:Commands
[emptytemp]

Kliknij w Run Fix. I potwierdz reset kompa .

Następnie uruchamiasz OTL z opcją Run Scan. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia komputera

[sgt185]

A więc :

raport

Kod: Zaznacz wszystko

All processes killed
========== OTL ==========
HKLM\SOFTWARE\Microsoft\Internet Explorer\Search\\SearchAssistant| /E : value set successfully!
Prefs.js: {d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}:1.1.1 removed from extensions.enabledItems
Prefs.js: en-US@dictionaries.addons.mozilla.org:3.0.3 removed from extensions.enabledItems
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{74322BF9-DF26-493f-B0DA-6D2FC5E6429E}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{74322BF9-DF26-493f-B0DA-6D2FC5E6429E}\ deleted successfully.
C:\Program Files\BearShare Applications\BearShare\BearShareIEHelper.dll moved successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{B7D3E479-CC68-42B5-A338-938ECE35F419} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{B7D3E479-CC68-42B5-A338-938ECE35F419}\ deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\{E0E899AB-F487-11D5-8D29-0050BA6940E3} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E0E899AB-F487-11D5-8D29-0050BA6940E3}\ not found.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\msword98 deleted successfully.
File move failed. C:\Documents and Settings\Łukasz\Menu Start\Programy\Autostart\monnid32.exe scheduled to be moved on reboot.
File move failed. C:\Documents and Settings\Łukasz\Menu Start\Programy\Autostart\winesm32.exe scheduled to be moved on reboot.
File move failed. G:\AutoRun.exe scheduled to be moved on reboot.
File move failed. G:\AutoRun.exe scheduled to be moved on reboot.
File move failed. G:\autorun.inf scheduled to be moved on reboot.
File move failed. G:\AutoRunGUI.dll scheduled to be moved on reboot.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{e569d400-4d19-11dd-869f-001346b272f8}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{e569d400-4d19-11dd-869f-001346b272f8}\ not found.
File H:\Recycled\ctfmon.exe not found.
========== FILES ==========
C:\WINDOWS\System32\fjhdyfhsn.bat moved successfully.
C:\Documents and Settings\Łukasz\Dane aplikacji\avdrn.dat moved successfully.
File\Folder C:\Documents and Settings\Łukasz\Menu Start\Programy\Autostart\monnid32.exe () not found.
File move failed. C:\Documents and Settings\Łukasz\Menu Start\Programy\Autostart\winesm32.exe scheduled to be moved on reboot.
C:\Program Files\Mozilla Firefox\searchplugins\BearShareWebSearch.xml moved successfully.
C:\Documents and Settings\Łukasz\Dane aplikacji\Mozilla\Firefox\Profiles\fp7ige9v.default\searchplugins\BearShareWebSearch.xml moved successfully.
C:\Program Files\BearShare MediaBar\Cache folder moved successfully.
C:\Program Files\BearShare MediaBar folder moved successfully.
========== COMMANDS ==========

[EMPTYTEMP]

User: All Users

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 429950 bytes

User: Łukasz
->Temp folder emptied: 4173057 bytes
->Temporary Internet Files folder emptied: 24559189 bytes
->Java cache emptied: 12921354 bytes
->FireFox cache emptied: 54255463 bytes
->Google Chrome cache emptied: 5836864 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 2114584 bytes
%systemroot%\System32 .tmp files removed: 2596 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 221847 bytes
RecycleBin emptied: 873400 bytes

Total Files Cleaned = 101,00 mb


OTL by OldTimer - Version 3.1.30.2 log created on 02252010_213516

Files\Folders moved on Reboot...
C:\Documents and Settings\Łukasz\Menu Start\Programy\Autostart\monnid32.exe moved successfully.
C:\Documents and Settings\Łukasz\Menu Start\Programy\Autostart\winesm32.exe moved successfully.
File move failed. G:\AutoRun.exe scheduled to be moved on reboot.
File move failed. G:\autorun.inf scheduled to be moved on reboot.
File move failed. G:\AutoRunGUI.dll scheduled to be moved on reboot.

Registry entries deleted on Reboot...


OTL.text
http://wklej.org/id/285848/

EDIT:

w tym miejscu zatrzymuje się scan na OTL'u i avast włącza ostrzeżenie że jest plik zainfekowany

DRV - [2010-02-24 12:27:07 | 000,792,064 | ---- | M] () [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\PDFRAME.sys -- (PDFRAME)

[wojtas]

przeskanuj tu
http://virusscan.jotti.org/
http://www.virustotal.com/

i daj raporty ze skanow
oraz zrób skan Malwarebytes Anti-Malware (zaktualizuj, usuń co znajdzie i daj raport )

[sgt185]

C:\WINDOWS\system32\drivers\PDFRAME.sys niby strony pokazują, że 0 bytes ............ także raportu nie ma

znalazł coś również na
C:\System Volume Information\_restore{416F023D-50BC-4EB7-B0F

i paru innych plikach w tym folderze
ale nie moge wejść nawet na ten folder bo nie jest udostępniony a wyszukiwarka go nie widzi

Malwara mam włączone już całą noc ale jeszcze nie przeskanował....

EDIT:
to mi avast widzi:


EDIT1:

Raport z malwara. Jedynie nie może usunąć PDFRAME

Kod: Zaznacz wszystko

Malwarebytes' Anti-Malware 1.44
Wersja bazy definicji: 3793
Windows 5.1.2600 Dodatek Service Pack 2
Internet Explorer 6.0.2900.2180

2010-02-26 05:42:36
mbam-log-2010-02-26 (05-42-36).txt

Typ skanowania: Pełne skanowanie (C:\|)
Przeskanowane obiekty: 163434
Upłynęło: 6 hour(s), 23 minute(s), 32 second(s)

Zainfekowane procesy w pamięci: 0
Zainfekowane moduły pamięci: 0
Zainfekowane klucze rejestru: 5
Zainfekowane wartości rejestru: 0
Zainfekowane pliki rejestru: 0
Zainfekowane foldery: 5
Zainfekowane pliki: 6

Zainfekowane procesy w pamięci:
(Nie wykryto groźnych plików)

Zainfekowane moduły pamięci:
(Nie wykryto groźnych plików)

Zainfekowane klucze rejestru:
HKEY_CLASSES_ROOT\xbtb01621.ietoolbar (Adware.Softomate) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\xbtb01621.ietoolbar.1 (Adware.Softomate) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\xbtb01621.xbtb01621 (Adware.Softomate) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\xbtb01621.xbtb01621.1 (Adware.Softomate) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\MyGlobalSearch (Adware.BookedSpace) -> Quarantined and deleted successfully.

Zainfekowane wartości rejestru:
(Nie wykryto groźnych plików)

Zainfekowane pliki rejestru:
(Nie wykryto groźnych plików)

Zainfekowane foldery:
C:\Program Files\MyGlobalSearch (Adware.MyWebSearch) -> Quarantined and deleted successfully.
C:\Program Files\MyGlobalSearch\bar (Adware.MyWebSearch) -> Quarantined and deleted successfully.
C:\Program Files\MyGlobalSearch\bar\History (Adware.MyWebSearch) -> Quarantined and deleted successfully.
C:\Program Files\MyGlobalSearch\bar\Settings (Adware.MyWebSearch) -> Quarantined and deleted successfully.
C:\Program Files\VVSN (Adware.WhenU) -> Quarantined and deleted successfully.

Zainfekowane pliki:
C:\WINDOWS\system32\drivers\PDFRAME.sys (Rootkit.Agent) -> Delete on reboot.
C:\_OTL\MovedFiles\02252010_213516\C_Documents and Settings\Łukasz\Menu Start\Programy\Autostart\monnid32.exe (Malware.Packer.Gen) -> Quarantined and deleted successfully.
C:\Program Files\MyGlobalSearch\bar\History\search (Adware.MyWebSearch) -> Quarantined and deleted successfully.
C:\Program Files\MyGlobalSearch\bar\Settings\settings.dat (Adware.MyWebSearch) -> Quarantined and deleted successfully.
C:\Program Files\MyGlobalSearch\bar\Settings\settings.htm (Adware.MyWebSearch) -> Quarantined and deleted successfully.
C:\Documents and Settings\Łukasz\Dane aplikacji\wiaserva.log (Malware.Trace) -> Quarantined and deleted successfully.


[wojtas]

ten plik pdframe jest ok :


Czynności końcowe :

1.Uruchom OTL z opcji CleanUp
2. wykonaj optymalizację windowsa
3.Wyłącz przywracanie systemu ( właściwości mój komputer-zakładka przywracanie - wyłącz przywracanie na wszystkich dyskach). Po chwili włącz je powrotem]

[sgt185]

robię tę optymalizację

w msconfig wyłączyłem te funkcje ale nie wiem czy dobre bo wyskakuje mi komunikat taki jak zapodałe na prscreen'ie

może za dużo powyłączałem?

Komp ma jeszcze takiego muła, jak włączam WORD'a 2007 to z dwie minutki muszę poczekać zanim klepsydra na myszce się wyłączy i funkcję będą dostępne bo w przeciwnym wypadku program nie odpowiada, nawet na wyłączanie.

[wojtas]

zaznacz nie pokazuj...

odznacz jeszcze jusched,qttask

Autor postu otrzymał pochwałę