Wirus olmarik/kryptik

[piotr_alex]

Witam,
załapałem poprzez dysk wymienny jakiegoś wirusa, mam SP3 i Nod32 4.0, czasem wykrywa Olmarik lub Kryptik, problem polega na tym że w zewnętrznym dysku lub pendrive wszystkie ikony pokazuje jako skróty i nie można ich otworzyć, użyłem ComboFix wklejam log niżej i proszę o pomoc.
Piotr.

Kod: Zaznacz wszystko

http://www.piotr.home.pl/log.txt

[NieWiem]

Masz tutaj solidną infekcję Panie kolego. Generalnie nie pomagam osobom, które BEZMYŚLNIE (sic!) używają ComboFixa, ale powiedzmy że tym razem podarowane, choć na Twoim komputerze to ten ComboFix wyrządził więcej szkód niż pożytku. Od teraz stosujesz tylko narzędzia polecone na forum przez doświadczonych ludzi, bo na tej Twojej głupiej modyfikacji systemowej ComboFix usunął Ci np. msconfig i inne rzeczy. CF nie używa się na modyfikacjach systemowych.

Zaczniemy od całkowitego usunięcia emulatorów napędów wirtualnych:
programy-emulujace-napedy-wazne-vt117886.html

• Pobierz TDSSKiller i zapisz go na pulpicie.
• Wypakuj zawartośc na pulpit.
  Ważne: TDSSKiller.exe musi być zapisany bezpośrednio na pulpicie!
• Wciśnij naraz klawisz z symbolem Windowsa oraz R - pokaże się okienko, do którego wkleisz następującą komendę:
  

  "%userprofile%\Pulpit\TDSSKiller.exe" -l C:\TDSSKiller.txt -v

• jeśli narzędzie zwróci komunikat "Hidden Service detected" wciśnij ENTER, nic innego!
• Po zakończeniu działania na dysku C:\ będzie będzie plik TDSSKiller.txt - pokaż tego loga w swojej odpowiedzi.

Potem czytasz to:
otl-dds-combofix-vt117885.html
gmer-opis-dzialania-vt117883.html

i wracasz do mnie z kompletem logów: TDSSKiller + OTL + Gmer

[piotr_alex]

oto logi:
po wklejeniu kodu
TDSSKiller wyświetla Valid command line parameters:
-l <file_name< (path to log file)
-qpath <folder_name> (path to quarantine folder)
-qall (copy all objects to quarantine)
-qsus (copy all suspicious objects to quarantine)
-qmbr (copy all mbr to quarantine)

OTL

Kod: Zaznacz wszystko

www.piotr.home.pl/OTL.Txt
www.piotr.home.pl/Extras.Txt

Gmer

Kod: Zaznacz wszystko

http://www.piotr.home.pl/gmer.txt

gdyby się źle wyświetlały spakowałem je rarem

Kod: Zaznacz wszystko

www.piotr.home.pl/logi.rar

[NieWiem]

W takim razie po prostu pobierz nową wersję TDSSKillera, wypakuj i uruchom. Na końcu kliknij przycisk Report i przeklej log.

I wklejaj logi na www.wklej.org bo tam, gdzie teraz wklejasz to mi sieczkę robi taką, że nie da się tego czytać.

[piotr_alex]

TDSSKiller

Kod: Zaznacz wszystko

http://www.wklej.org/id/369604/

OTL

Kod: Zaznacz wszystko

http://www.wklej.org/id/369605/
http://www.wklej.org/id/369606/

Gmer

Kod: Zaznacz wszystko

http://www.wklej.org/id/369608/

[NieWiem]

Uruchom OTL

W oknie na dole wklej:

Kod: Zaznacz wszystko

:processes
killallprocesses
:files
net stop atksgt /c
net stop lirsgt /c
C:\Documents and Settings\All Users\Dane aplikacji\{D3742F82-1C1A-4DCC-ABBD-0E7C3C0185CC}
C:\Documents and Settings\All Users\Dane aplikacji\{55A29068-F2CE-456C-9148-C869879E2357}
:services
catchme
:otl
O4 - HKU\S-1-5-21-1757981266-1214440339-725345543-1001..\Run: [svlur] C:\Documents and Settings\SysOp\svlur.exe File not found
O4 - HKU\S-1-5-21-1757981266-1214440339-725345543-1001..\Run: [tiavow] C:\Documents and Settings\SysOp\tiavow.exe File not found
O4 - HKU\S-1-5-21-1757981266-1214440339-725345543-1001..\Run: [toiix] C:\Documents and Settings\SysOp\toiix.exe ()
O4 - HKU\S-1-5-21-1757981266-1214440339-725345543-1001..\Run: [wiavos] C:\Documents and Settings\SysOp\wiavos.exe File not found
O4 - HKU\S-1-5-21-1757981266-1214440339-725345543-1001..\Run: [beoogu] C:\Documents and Settings\SysOp\beoogu.exe File not found
O4 - HKU\S-1-5-21-1757981266-1214440339-725345543-1001..\Run: [beuunoy] C:\Documents and Settings\SysOp\beuunoy.exe File not found
O4 - HKU\S-1-5-21-1757981266-1214440339-725345543-1001..\Run: [gbveox] C:\Documents and Settings\SysOp\gbveox.exe File not found
O4 - HKU\S-1-5-21-1757981266-1214440339-725345543-1001..\Run: [jiaayul] C:\Documents and Settings\SysOp\jiaayul.exe ()
O4 - HKU\S-1-5-21-1757981266-1214440339-725345543-1001..\Run: [juwob] C:\Documents and Settings\SysOp\juwob.exe File not found
O4 - HKU\S-1-5-21-1757981266-1214440339-725345543-1001..\Run: [qoemaar] C:\Documents and Settings\SysOp\qoemaar.exe File not found
[2010-07-27 19:11:52 | 000,000,000 | ---- | C] () -- C:\Documents and Settings\SysOp\faahed.exe
[2010-07-27 19:11:35 | 000,141,312 | RHS- | C] () -- C:\Documents and Settings\SysOp\jiaayul.exe
[2010-07-27 19:11:32 | 000,141,312 | RHS- | C] () -- C:\Documents and Settings\SysOp\toiix.exe
[2010-07-27 19:11:26 | 000,224,447 | ---- | C] () -- C:\Documents and Settings\SysOp\foxah.exe
[2010-07-27 13:30:51 | 000,224,447 | ---- | C] () -- C:\Documents and Settings\SysOp\rohab.exe
[2010-07-27 13:29:49 | 000,000,000 | ---- | C] () -- C:\Documents and Settings\SysOp\giakuq.exe
[2010-07-27 13:29:35 | 000,000,000 | ---- | C] () -- C:\Documents and Settings\SysOp\havit.exe
[2010-07-27 13:29:03 | 000,224,447 | ---- | C] () -- C:\Documents and Settings\SysOp\kiadq.exe
:reg
:commands
[purity]
[emptytemp]
[reboot]



Wciśnij Run Fix (Wykonaj skrypt) i zatwierdź restart

Do wglądu raport z czyszczenia


Potem


uruchom ponownie OTL,

upewnij się że w extra registry jest użyj filtrowania
w oknie na dole wklej

Kod: Zaznacz wszystko

C:\windows\system32\drivers\* /lockedfiles
c:\windows\system32\dllcache\* /lockedfiles
/md5start
ndis.sys
atapi.sys
iastor.sys
msconfig.exe
midimap.dll
tcpip.sys
winlogon.exe
wuauclt.exe
user32.dll
explorer.exe
ctfmon.exe
sfc_os.dll
/md5stop
netsvcs


Wciśnij skanuj i przeklej wynikowego loga.


Czy masz płytę instalacyjną swojego Windowsa? Być może, że będziemy potrzebowali z niej skorzystać.

[piotr_alex]

Raport:

Kod: Zaznacz wszystko

http://www.wklej.org/id/369619/

OTL:

Kod: Zaznacz wszystko

http://www.wklej.org/id/369622/
http://www.wklej.org/id/369623/

Tak, mam płytę CD.

[NieWiem]

Jaja jakieś... W poprzednim logu z ComboFixa widać jak byk podstawionego ndis, a w tych logach wszystko jest ok. Ręce cycki opadają.

Pobierz nowego ComboFixa i wklej z niego raport. Poza tym czeka nas przecież przywracanie msconfig.

[piotr_alex]

Nic więcej sam nie robiłem, stosuje się tylko do Twojej instrukcji.
log ComboFix

Kod: Zaznacz wszystko

http://wklej.org/id/369639/

[NieWiem]

Nie mam pewności co do jednego pliku, czy jest usunięty poprawnie.

Uruchom Mozilla Firefox albo Internet Explorer
Wejdź na stronę -> jotti
następnie przeskanuj tam plik

Kod: Zaznacz wszystko

c:\windows\system32\sqlite3.dll


przeklej wyniki skanowania

[piotr_alex]

W folderze

Kod: Zaznacz wszystko

C:/Windows/system32

nie było tego pliku, był on ukryty w:

Kod: Zaznacz wszystko

C:\Qoobox\Quarantine\C\WINDOWS\system32\sqlite3.dll

są tu także pliki msconfig.exe.vir, WanPacket.dll.vir plik sqlite3.dll znalazłem jeszcze w

Kod: Zaznacz wszystko

C:\Program Files\DeviceVM\Browser Configuration Utility\sqlite3.dll

i

Kod: Zaznacz wszystko

C:\Program Files\Mozilla Firefox\sqlite3.dll

w żadnym z tych 3 plików podana strona nie wykryła wirusów.

[NieWiem]

Dobra, w takim razie przywrócimy te pliki, które są poprawne.

Otwórz notatnik i wklej w nim:

Kod: Zaznacz wszystko

DeQuarantine::
C:\Qoobox\Quarantine\C\WINDOWS\system32\sqlite3.dll.vir
C:\Qoobox\Quarantine\C\WINDOWS\system32\msconfig.exe.vir
Quit::

Plik -> zapisz jako -> CFScript.txt
Po czym plik ten zapisujesz na pulpicie i przeciągasz na ikonę ComboFixa jak na obrazku poniżej:



Poczekaj na ukończenie zadania.


Potem zostanie resztka do wyczyszczenia, więc uruchom OTL, wklej nowego loga.

[piotr_alex]

ComboFix

Kod: Zaznacz wszystko

http://wklej.org/id/369664/

OTL

Kod: Zaznacz wszystko

http://wklej.org/id/369666/
http://wklej.org/id/369667/

[NieWiem]

skrypt do CF kompletnie niewykonany. Powtórz proszę operację.

[piotr_alex]

Poszło ComboFix wyrzucił 2 linijki że pliki przywrócono, msconfig działa.
OTL:

Kod: Zaznacz wszystko

http://wklej.org/id/369674/
http://wklej.org/id/369675/

[NieWiem]

Może głupio to zabrzmi, ale jaką masz ustawioną datę w systemie? Bo chyba ja już pomieszania zmysłów dostaję.

Ja widzę taką:
2010-09-03

I pytanie skąd się to wzięło? Możesz przestawić na poprawnie, sprawdzić czy po resecie będzie poprawna/niepoprawna i wtedy wykonać nowe logi z OTL?

[piotr_alex]

Fakt dziwne bo wczoraj ściągnąłem Kaspersky Anty-Virus darmową wersję na 30 dni a dziś wyświetla że licencja wygasła, kliknąłem na zegarek i wskazywał poprawną, zrobiłem aktualizację z time.windows.com, uruchomiłem ponownie i oto logi:
OTL:

Kod: Zaznacz wszystko

http://wklej.org/id/369718/
http://wklej.org/id/369719/

[NieWiem]

No jaja. OTL uruchomiony jest:
OTL logfile created on: 2010-07-28 13:38:56 - Run 6

Ale w sekcji plików utworzonych data jest np:
[2010-09-03 21:15:55 | 000,006,400 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\drivers\enum1394.sys

i są to w większości pliki Windowsowskie. tak, jakbyś Windowsa miał zainstalowanego... w przyszłości

Sprawdź datę systemową oraz datę biosu. Od kiedy stoi ten system?

[piotr_alex]

W Biosie data jest OK, komputer złożony na nowych częściach mam od marca tego roku tak samo jak system, nie był przeinstalowywany ani razu, bateria płyty głównej w Everest wskazuje 3,25V więc OK. Wszedłem w ten plik który podałeś i tak: utworzony 26 października 2001 o 21:25:32, ostatnio używany 3 września 2010 o 21:07:14

[NieWiem]

Cholera wie co to jest...

Pobierz Dr Web Cure It
mirror

• Kliknij dwukrotnie na ikonę, aby uruchomić program (użytkownicy systemów Vista oraz Se7en => prawoklik oraz wybrać opcję Uruchom jako Administrator).
• Kliknij Scan żeby odpalić szybkie skanowanie, w wyskakującym okienku wciśnij OK.
• Jeśli coś zostanie znalezione, kliknij Yes żeby wyleczyć/usunąć.
• Po szybkim skanowaniu wybierz opcję Complete Scan.
• Po prawej stronie kliknij zieloną strzałkę.
• Jeśli zostaniesz poproszony w trakcie skanowania, kliknij Yes to all (automatyczne leczenie i/lub usuwanie).
• Ten skan może trwać bardzo długo - zalecam, żeby odpalić go na noc, zostawiając komputer włączonym!
• Po ukończeniu skanowania, wybierz Menu File => Save Report list.
• Plik zapisz na pulpicie. Będzie nazywał się DrWeb.cvs
• Zrestartuj komputer - to bardzo ważne, ponieważ Dr Web niektóre pliki będzie mógł wyleczyć/usunąć dopiero po restarcie!
• Za pomocą notatnika otwórz plik DrWeb.csv i wklej jego zawartość na forum w znacznikach [code] na forum, albo na stronie http://www.wklej.org, a w poście daj tylko linka.