Wirus z facebooka

[Cziken]

Moj system to xp sp 3 32 bit. Na FB otrzymałem wiadomość od znajomego o ciekawym filmie z moim udziałem, otrzymałem link, który bezmyślnie otworzyłem. Otworzona strona podobna do strony youtube za wyjątkiem adresu poprosiła mnie o instalację dodatku Adobe Flash Player, który nie pochodził ze strony producenta. Drugi raz popełniłem błąd, którego teraz żałuję. System nie uruchamia żadnych stron www, uruchamianie systemu w trybie Safe Mode powoduje automatyczny restart do trybu normalnego.
Skanowałem Dr.Web 5.0 i nic nie pomaga a nod32 pisze operates under enhanced protection mode this is a temporary measure necessary for immediate response to the threat from virus no action in required from you nie moge włączyć OTL i zrobić logów i wyłącza mi się komputer i włącza w stan awaryjny i znowu sie wylacza i na stan normalny i tak czasami się robi

Będę bardzo wdzięczny za okazaną pomoc.


info.txt http://www.wklej.org/id/568140/

log.txt http://www.wklej.org/id/568142/

[NieWiem]

Będzie to chyba do naprawienia, ale musimy pomyśleć co zrobić z naprawą trybu awaryjnego, bo przyznam się szczerze - nie pamiętam jak się to robiło. Ale to i tak później, bo na razie mamy ważniejsze sprawy na głowie.

Pobierz OTLPENet.exe od OldTimera - link

• Narzędzie pobieramy i wypalamy na czystej, niezainfekowanej maszynie!
• Upewnij się, że w napędzie jest czysta płyta CD.
• Uruchom OTLPENet.exe - to uruchomi procedurę dekompresji i wypalenia płyty, z której będziemy korzystać.
• Uruchom zainfekowany komputer z płyty, którą właśnie wypaliłeś. Wskazówki tutaj
• A jako że chwilę to zajmie, zanim płytka rozpozna sprzęt i załaduje system, więc zalecam w tym momencie kubek herbaty/kufel piwa

(...ładną chwilę później... ponieważ system i wszystko jest ładowane z płyty, uzbrój się w solidny zapas cierpliwości)

• Wyświetli się pulpit Reatogo. Znajdź na nim ikonę OTLPE i uruchom.
• Wskaż katalog, gdzie zainstalowany jest system. KATALOG, NIE DYSK! (np. C:\WINDOWS...)
• Na pytanie "Do you wish to load the remote registry", odpowiedz Yes
• Na pytanie "Do you wish to load remote user profile(s) for scanning", odpowiedz Yes
• Upewnij się że opcja "Automatically Load All Remaining Users" jest zaznaczona i wciśnij OK, to uruchomi OTL
• W OTL wciśnij Run Scan. Gdy skończy, log będzie zapisany jako C:\OTL.txt

Uruchom Internet Explorera i przeklej mi tutaj logi z OTLPE, bo z tego środowiska chyba także będziemy usuwać.

[Cziken]

Nie robiłem tego z Pobierz OTLPENet.exe od OldTimera zainstalowałem doctor spyware i juz komputer się nie wyłącza ale dalej tak pisze na nod32 i ciągle jakieś certyfikaty wyskakują logi udało mi się zrobić oto one :

OTL.tht http://www.wklej.org/id/568364/

Extras.Txt http://www.wklej.org/id/568366/

[NieWiem]

Zobacz czy jesteś w stanie odpalić ComboFixa.

Zamknij wszystko nad czym aktualnie pracujesz, także wyłącz swój program antywirusowy, zaporę, programy antyspyware. To ważne. Jak to zrobić, opisane tutaj.

Pamiętaj także o wyinstalowaniu wirtualnych napędów i usunięciu ich sterownika: klik

Pobierz ComboFixa od sUBs'a:
stąd lub stąd

ZANIM UŻYJESZ - Przeczytaj dokładnie jego instrukcję:
http://www.bleepingcomputer.com/combofix/pl/instrukcja-uzycia-combofix

Zalecam instalowanie Konsoli Odzyskiwania (XP, 2000), lub zaopatrzenie się w płytę WinRE (Vista, Se7en). Mimo wszystko ComboFix nie jest doskonały.

Przeklej na forum wyniki pracy narzędzia. Będą automatycznie otwarte w notatniku, znajdziesz je także w pliku C:\ComboFix.txt

[Cziken]

Comobofix odpalił tylko na avaryjnym systemie ale logi są oto one

combofix.txt http://www.wklej.org/id/568556/

Dodano Dzisiaj, 11:46:
To chyba był keyloger czy cos w tym stylu bo nie mogę wejść na Steam i swoją 2 poczte bo piszę że złe hasła

[NieWiem]

Bardzo uprzejmie proszę zainstalować konsolę odzyskiwania (!), jeszcze raz pobrać swieżą wersję ComboFixa, usunąć starą i puścić jeszcze raz.

Tak, to na pewno były rzeczy wykradające hasła. Tylko na Boga, na razie żadnych haseł nie zmieniaj, bo jeszcze nie dokończyliśmy sprzątania, więc jak dasz teraz nowe to i tak Ci je wykradną.

[Cziken]

Ok konsole zainstalowałem udało mi się uruchomić Combofix na nie awaryjnym a konto do emile odzyskałem na i zmieniłem hasło na innym komputerze a o to logi z combofix

Combofix.txt http://www.wklej.org/id/568604/

[NieWiem]

Wygląda na to, że większość puściła. Jeszcze dla pewności coś takiego:

Zamknij wszystko nad czym aktualnie pracujesz.
Upewnij się, że żadne programy AV, FW, AS nie działają - mogą przeszkadzać ComboFixowi.

Skopiuj zawartość ramki do notatnika:

Kod: Zaznacz wszystko

Folder::
c:\windows\update.tray-3-0-lnk
c:\windows\update.tray-3-0



Plik -> zapisz jako -> CFScript.txt
Po czym plik ten zapisujesz na pulpicie i przeciągasz na ikonę ComboFixa jak na obrazku poniżej:



Gdy program ukończy, wygeneruje loga. Proszę go wkleić.


potem


Pobierz TDSSKiller od Kasperskiego:
stąd

Wypakuj, uruchom, wybierz opcję Start scan.
Poczekaj aż narzędzie ukończy pracę, wybierz opcję Report i wklej loga.

Jeśli znajdzie infekcję, wybierz opcję 'Cure', poczekaj aż ukończy i wklej loga.

[Cziken]

Logo z Combocix
http://www.wklej.org/id/568669/

TDSSKiller log

http://www.wklej.org/id/568670/

[NieWiem]

Skrypt się nie wykonał, ponieważ zapisałeś jako

Użyto następujących komend :: c:\documents and settings\Cziken\Pulpit\CFScript.txt.txt

Popraw i urchom jeszcze raz.

Drugi raport jest w porządku.

Na koniec:
Pobierz i zainstaluj MBAM:
mirror do pobrania

Podczas instalacji zaznaczone mają być opcje:

• Update Malwarebytes' Anti-Malware
• Launch Malwarebytes' Anti-Malware

Wykonaj pełne skanowanie i pokaż raport.

Autor postu otrzymał pochwałę

[Cziken]

Combofix.txt

http://www.wklej.org/id/568676/

Dodano Dzisiaj, 15:27:
mbam log

http://www.wklej.org/id/568710/

[wojtas]

wklej do notatnika

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"c:\\WINDOWS\\update.tray-2-0-lnk\\svchost.exe"=-

w notatniku u góry>>>plik zapisz jako>>>Zmien rozszerzenie z TXT na Wszystkie pliki *.* >>> Zapisz pod nazwą FIX.REG
i daj dla pewności 2 logi z OTL jeszcze

[Cziken]

Oto one

http://www.wklej.org/id/568785/

[NieWiem]

Uruchom ponownie OTL
w oknie na dole wklej

Kod: Zaznacz wszystko

:OTL
FF - prefs.js..browser.startup.homepage: "http://www.qooqlle.com/"
O2 - BHO: (no name) - {2A0F3D1B-0909-4FF4-B272-609CCE6054E7} - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - {472734EA-242A-422B-ADF8-83D1E48CC825} - No CLSID value found.
[2011-07-28 12:39:17 | 004,155,871 | R--- | M] (Swearware) -- C:\Documents and Settings\Cziken\Pulpit\ComboFix.exe
[2011-07-28 12:39:32 | 000,256,000 | ---- | C] () -- C:\WINDOWS\PEV.exe
[2011-07-28 12:39:32 | 000,208,896 | ---- | C] () -- C:\WINDOWS\MBR.exe
[2011-07-28 12:39:32 | 000,098,816 | ---- | C] () -- C:\WINDOWS\sed.exe
[2011-07-28 12:39:32 | 000,080,412 | ---- | C] () -- C:\WINDOWS\grep.exe
[2011-07-28 12:39:32 | 000,068,096 | ---- | C] () -- C:\WINDOWS\zip.exe
:Files
C:\Documents and Settings\Cziken\Pulpit\FIX.REG
:commands
[emptytemp]
[emptyflash]
[clearallrestorepoints]

wciśnij wykonaj skrypt, zatwierdź restart i pokaż raport po restarcie.

Nowego loga już nie muszę oglądać, bo chyba jest ok

czy objawy ustąpiły?

[Cziken]

OTL.txt
http://www.wklej.org/id/569273/

Objawy ustąpiły Dzięki wielkie!!

[NieWiem]

Nie ma za co.
W OTL uruchom opcję CleanUp (Sprzątanie).