Zablokowany menadżer zadań i rejestr

**Posty:** 8 · przez **robzone** 30 Sty 2012, 12:39

Witam od jakiegośczasu zauważyłem że nie działą menadżer zadań alt+ctrl+del oraz edytor rejestru"regedit"
Pojawia się komunikat że zostały zablokowane przez administratora(a mam jedno konto na moim pc)
Zrobiłem skan online mks virem. wykrył 2 wirusy i usunął je.
Zauważyłem też że nie działa firefox oraz winrar i daemon którego usunąłem dla potrzeb forum
Oto log z Gmera:

Kod: Zaznacz wszystko: GMER 1.0.15.15641 - http://www.gmer.net Rootkit scan 2012-01-30 11:35:24 Windows 5.1.2600 Dodatek Service Pack 3 Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-3 WDC_WD1600JB-00GVC0 rev.08.02D08 Running: uy5f42z9.exe; Driver: C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\uxldrpoc.sys ---- Kernel code sections - GMER 1.0.15 ---- .text C:\WINDOWS\system32\DRIVERS\nv4_mini.sys section is writeable [0xF63BC360, 0x3E57A5, 0xE8000020] ? C:\WINDOWS\system32\drivers\tgljd.sys Nie można odnaleźć określonego pliku. ! ---- Registry - GMER 1.0.15 ---- Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@u0 0x00 0x00 0x00 0x00 ... Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0 1 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12 0x33 0xB8 0x19 0x46 ... Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0 0 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh 0x0D 0x4B 0xAC 0x7D ... Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@khjeh 0x3F 0x66 0x68 0x26 ... Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40@khjeh 0x67 0xB1 0xE8 0xAE ... Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC (not active ControlSet) Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@u0 0x00 0x00 0x00 0x00 ... Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0 1 Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12 0x33 0xB8 0x19 0x46 ... Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4 (not active ControlSet) Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0 0 Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh 0x0D 0x4B 0xAC 0x7D ... Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001 (not active ControlSet) Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@khjeh 0x3F 0x66 0x68 0x26 ... Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40 (not active ControlSet) Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40@khjeh 0x67 0xB1 0xE8 0xAE ... ---- EOF - GMER 1.0.15 ----

**Posty:** 12734 · przez **Mikou@j** 30 Sty 2012, 12:43

A gdzie dwa logi z OTL ? forum.programosy.pl/obowiazkowe-zasady-wstawiania-logow-wazne-vt117887.html

**Posty:** 8 · przez **robzone** 30 Sty 2012, 12:50

OTL
http://wklej.org/id/678570/
http://wklej.org/id/678571/
DDS
http://wklej.org/id/678572/
http://wklej.org/id/678573/

**Posty:** 18165 · przez **wojtas** 30 Sty 2012, 17:04

mamy do czynienia z ciężkim wirusem Win32:Sality, nie zawsze jest szansa na sukces...

zajmiemy się najpierw nim, reszta na koniec
Infekcja mogła przyjść z pendriva, radzę go sformatować przed przystąpieniem do tego co niżej; )

Uruchom OTL i w sekcji własne opcje skanowania / skrypt wklej:

:OTL
PRC - [2012-01-29 16:17:52 | 000,012,970 | ---- | M] () -- C:\Documents and Settings\Sylwek i Ola\Ustawienia lokalne\Temp\winhaenrq.exe
DRV - File not found [Kernel | On_Demand | Running] -- -- (abp470n5)
O4 - HKU\.DEFAULT..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 File not found
O4 - HKU\S-1-5-18..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 File not found
O4 - HKU\S-1-5-19..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 File not found
O4 - HKU\S-1-5-20..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 File not found
O4 - HKLM..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k File not found
O4 - HKLM..\Run: [MS32DLL] C:\WINDOWS\.MS32DLL.dll.vbs ()
O7 - HKU\S-1-5-21-329068152-1326574676-1801674531-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableTaskMgr = 1
O7 - HKU\S-1-5-21-329068152-1326574676-1801674531-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegistryTools = 1
O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://D:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000 File not found
O32 - AutoRun File - [2012-01-29 16:35:25 | 000,000,106 | RHS- | M] () - C:\autorun.inf -- [ NTFS ]
O32 - AutoRun File - [2012-01-29 16:35:25 | 000,000,106 | RHS- | M] () - D:\autorun.inf -- [ NTFS ]
O33 - MountPoints2\{2d1d1b0d-e4d0-11de-8683-00119591cb2b}\Shell - "" = AutoRun
O33 - MountPoints2\{2d1d1b0d-e4d0-11de-8683-00119591cb2b}\Shell\AutoRun\command - "" = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe .MS32DLL.dll.vbs
O33 - MountPoints2\{51613c72-91a2-11de-8584-001485384a87}\Shell - "" = AutoRun
O33 - MountPoints2\{51613c72-91a2-11de-8584-001485384a87}\Shell\AutoRun\command - "" = F:\Play.EXE
O33 - MountPoints2\{64fb8adf-a50a-11de-85c2-00119591cb2b}\Shell - "" = AutoRun
O33 - MountPoints2\{64fb8adf-a50a-11de-85c2-00119591cb2b}\Shell\AutoRun\command - "" = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe MS32DLL.dll.vbs
O33 - MountPoints2\{69720e98-a057-11de-85b4-00119591cb2b}\Shell - "" = AutoRun
O33 - MountPoints2\{69720e98-a057-11de-85b4-00119591cb2b}\Shell\AutoRun\command - "" = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe .MS32DLL.dll.vbs
O33 - MountPoints2\{69720e99-a057-11de-85b4-00119591cb2b}\Shell - "" = AutoRun
O33 - MountPoints2\{69720e99-a057-11de-85b4-00119591cb2b}\Shell\AutoRun\command - "" = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe .MS32DLL.dll.vbs
O33 - MountPoints2\{8e076d18-614c-11e0-89e5-00119591cb2b}\Shell - "" = AutoRun
O33 - MountPoints2\{8e076d18-614c-11e0-89e5-00119591cb2b}\Shell\AutoRun\command - "" = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe .MS32DLL.dll.vbs
O33 - MountPoints2\{b1612c6b-7d40-11df-8807-00119591cb2b}\Shell - "" = AutoRun
O33 - MountPoints2\{b1612c6b-7d40-11df-8807-00119591cb2b}\Shell\AutoRun\command - "" = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe .MS32DLL.dll.vbs
O33 - MountPoints2\{e53d9caf-082d-11df-86dd-00119591cb2b}\Shell - "" = AutoRun
O33 - MountPoints2\{e53d9caf-082d-11df-86dd-00119591cb2b}\Shell\AutoRun\command - "" = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe MS32DLL.dll.vbs
[2011-02-19 22:47:50 | 000,121,344 | ---- | C] ( ) -- C:\WINDOWS\System32\lagarith.dll
[2012-01-29 16:08:07 | 000,007,766 | RHS- | M] () -- C:\WINDOWS\.MS32DLL.dll.vbs
[2012-01-03 08:28:06 | 002,570,286 | ---- | M] () -- C:\WINDOWS\System32\abgx360.exe

:Files
autorun.inf /alldrives
.MS32DLL.dll.vbs /alldrives
c:\windows\system32\drivers\tgljd.sys

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

:Services
abp470n5

:Commands
[emptytemp]
[emptyflash]

Kliknij wykonaj skrypt. I potwierdź reset komputera .

skanuj kompa tym dopóki NIC nie będzie znajdowane !

gdy nic nie będzie znajdował, napraw tryb awaryjny wybierając plik odpowiedni dla Twojego systemu.

na koniec pokazujesz nowy log z OTL, raport z SalityKiller, oraz, uruchom USBFIX z opcji Listing i pokaż raport na forum.

**Posty:** 8 · przez **robzone** 31 Sty 2012, 11:36

Dziś popołudniu postaram sie zająć tematem bo czasu mało(córeczka w szpitalu

)
Pisze z netbooka bo na tym zainfekowanym nie mogę od wczoraj otworzyć forum programosy

(inne strony działają)

**Posty:** 18165 · przez **wojtas** 31 Sty 2012, 18:57

Od 30.01.2012 logi wstawiamy w załącznikach, proszę pamiętać o tym

**Posty:** 8 · przez **robzone** 31 Sty 2012, 19:24

Wszystko zrobione tak jak prosiłeś, salitykiller nic nie wykrywa, tryb awaryjny działa, usbfix uruchomiony, menadżer zadań działa, rejestr też. Wklejam nowe logi w załączniki.
Natomiast przestał działać Chrome i nie mogę go przeinstalować - komunikat "nie można uruchomić instalatora" jakaś wskazówka?

**Posty:** 18165 · przez **wojtas** 31 Sty 2012, 19:48

czy Sality coś znajdował ?

Uruchom OTL i w sekcji własne opcje skanowania / skrypt wklej:

:OTL
[2011-03-24 09:24:57 | 000,000,000 | ---D | M] (Conduit Engine) -- C:\Documents and Settings\Sylwek i Ola\Dane aplikacji\Mozilla\Firefox\Profiles\fmxrtug7.default\extensions\engine@conduit.com
[2010-12-30 21:00:36 | 000,000,937 | ---- | M] () -- C:\Documents and Settings\Sylwek i Ola\Dane aplikacji\Mozilla\Firefox\Profiles\fmxrtug7.default\searchplugins\conduit.xml
FF - prefs.js..browser.search.defaultthis.engineName: "Bigpoint Games PL Customized Web Search"
FF - prefs.js..browser.search.defaulturl: "http://search.conduit.com/ResultsExt.aspx?ctid=CT2843462&SearchSource=3&q={searchTerms}"
[2012-01-09 11:25:35 | 000,000,000 | ---D | M] (Bigpoint Games PL Community Toolbar) -- C:\Documents and Settings\Sylwek i Ola\Dane aplikacji\Mozilla\Firefox\Profiles\fmxrtug7.default\extensions\{5c81f57f-3cf7-4785-b4ef-11ace31aec4f}
O4 - HKLM..\Run: [MS32DLL] C:\WINDOWS\.MS32DLL.dll.vbs ()
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableTaskMgr =
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegistryTools =
O4 - HKLM..\RunOnce: [] File not found
O32 - AutoRun File - [2012-01-31 18:11:06 | 000,000,106 | RHS- | M] () - C:\autorun.inf -- [ NTFS ]
O32 - AutoRun File - [2012-01-31 18:11:06 | 000,000,106 | RHS- | M] () - D:\autorun.inf -- [ NTFS ]
O33 - MountPoints2\{3717d459-8a5d-11de-8c00-806d6172696f}\Shell - "" = AutoRun
O33 - MountPoints2\{3717d459-8a5d-11de-8c00-806d6172696f}\Shell\AutoRun\command - "" = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe .MS32DLL.dll.vbs
[2012-01-31 18:12:00 | 000,007,766 | RHS- | M] () -- C:\WINDOWS\.MS32DLL.dll.vbs

:Files
C:\autorun.inf
C:\.MS32DLL.dll.vbs
D:\.MS32DLL.dll.vbs
D:\autorun.inf

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"SuperHidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"Hidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"ShowSuperHidden"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
@=""
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"G:\djth.exe" = G:\djth.exe:*:Enabled:ipsec
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winhlpwuu.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\windwofle.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\nntd.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\abthcl.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\wingbtej.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winotuq.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winyatc.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winirlji.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winpwkh.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\wingylhd.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winhejmy.exe"=-
"C:\WINDOWS\system32\userinit.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\svkqfb.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\lamh.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\yvla.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\lssv.exe"=-
"C:\WINDOWS\ALCMTR.EXE=-
"C:\WINDOWS\system32\netsh.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winebuimo.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\aigmr.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\wcyh.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winrmfip.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\fdtj.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winyjgtpr.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\sdgmbm.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\dshsm.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winsxqb.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\lwoxww.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\kofol.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winfnmx.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\dwnkky.exe"=-
"C:\Documents and Settings\Sylwek i Ola\Ustawienia lokalne\Dane aplikacji\Google\Chrome\Application\chrome.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winoksngw.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winxlkmt.exe"=-
"D:\Program Files\SpeedFan\speedfan.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\myeo.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\wintwvdlf.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winnlhyxb.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winhaenrq.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\yehrr.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\kflrbv.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winkionvf.exe"=-
"C:\Program Files\Common Files\Apple\Apple Application Support\APSDaemon.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winxqtqu.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\windfwkc.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\xrppwh.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winwilix.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\windiivmq.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\yehw.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\nrsjcx.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winjhtc.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winsxnfxc.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winebnhyc.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winmtnr.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\wincnnk.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winvuokx.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\wingtsxy.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\ernsql.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winywadyh.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winnoposa.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\jygda.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winnogrm.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\bqgl.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\cyeiu.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winjsfxfq.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\xgxo.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\lblr.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\wcdx.exe"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\winsfvyx.exe"=-
"D:\Sylwek pierdoły\Naprawa\OTL.exe"=-
"D:\Program Files\Microsoft Office\OFFICE11\EXCEL.EXE"=-
"C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\cnmsm3a.exe"=-

:Commands
[emptytemp]
[emptyflash]

Kliknij wykonaj skrypt. I potwierdź reset komputera .
http://www.programosy.pl/program,dr-web-cureit.html wykonaj pełny skan

Następnie uruchamiasz OTL z opcją skanuj. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia (zawartość notatnika, która otworzy się po restarcie). + nowy Gmer , daj znać czy DR Web coś znalazł

**Posty:** 8 · przez **robzone** 31 Sty 2012, 19:51

Tak sality mnóstwo plików znalazł i chyba je wyleczył lub usunął. dużo aplikacji teraz nie działa po tym skanie. było tego około 1000szt zainfekowanych. same exe.zanim zrobię to co powyżej powiem jeszcze że nie działa opcja "pokaż ukryte pliki i foldery" oraz po uruchomieniu komputera wyświetla się komunikat (dodany screen w załączniku)

**Posty:** 18165 · przez **wojtas** 31 Sty 2012, 19:54

spoko. ale teraz już nic nie wykrywa ? aplikacje nie działające będzie trzeba przeinstalować... ten błąd zaraz po skrypcie powinien być skasowany, tak samo pliki powinne się pokazać. czekam na wyniki i na logi

**Posty:** 8 · przez **robzone** 31 Sty 2012, 21:29

Dr Web niestety zawiesza się losowo na początku skanowania na .dll-ach z system32. Próbowałem z 5 razy i zawsze zwieszka. Szybkie skanowanie jak i pełne.
Niebawem wrzuce logi z OTL i Gmera. Teraz raport z czyszczenia otl

**Posty:** 18165 · przez **wojtas** 31 Sty 2012, 22:07

wojtas napisał(a): ale teraz już nic nie wykrywa Sality Killer ??

Infeckja wydaje się prawie usunięta, nie wróciły blokady rejestru, wiec Sality zdjęty..

Pobierz i uruchom narzędzie
The Avenger
Wklej do okienka programu

Files to delete:
C:\.MS32DLL.dll.vbs
d:\.MS32DLL.dll.vbs

Klikasz Execute,

wklej do notatnika

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"G:\djth.exe"=-
"C:\WINDOWS\Explorer.EXE"=-
"C:\WINDOWS\ALCMTR.EXE"=-
"C:\DOCUME~1\SYLWEK~1\USTAWI~1\Temp\lkwne.exe"=-

w notatniku u góry>>>plik zapisz jako>>>Zmien rozszerzenie z TXT na Wszystkie pliki *.* >>> Zapisz pod nazwą FIX.REG

Klikasz dwa razy na powstały plik fix i dodajesz go do rejestru....

wklejasz na forum raport: C:\avenger.txt + nowe logi z OTL

**Posty:** 8 · przez **robzone** 31 Sty 2012, 23:12

OK, wszystko zrobione :ok:

Oto logi:

**Posty:** 18165 · przez **wojtas** 31 Sty 2012, 23:21

*Uruchom OTL z opcji sprzątanie.
* wykonaj optymalizację Windowsa ( instrukcja dla Windowsa XP, lecz w innych systemach jest podobnie )
* zrób pełny skan Malwarebytes Anti-Malware (zaktualizuj, usuń co znajdzie )
* Skasuj stan przywracania systemu

Zaktualizuj zabezpieczenia:
>>> Adobe Reader (bez Free McAfee® Security Scan Plus)
>>> Internet Explorer 8
>>> Java™ 6
>>> Mozilla Firefox

napisz jak sytuacja z komputerem

**Posty:** 8 · przez **robzone** 01 Lut 2012, 16:05

Ponownie postępowałem według twoich instrukcji i jak na razie wszystko wygląda dobrze

Malwarebytes wykrył jednego syfa i pomyślnie go usunął.
Wielkie dzięki za twoją pomoc :!:

Wszystkie problemy o których pisałem zostały rozwiązane

Dodano Dzisiaj, 18:51:
i dupa Jasia !! Sality powrócił menadżer i rejestr zablokowane :evil:

chyba format mnie czeka i aż mi się niedobrze robi bo tyle danych do zgrania sciana

Kto jest na forum