Abnow, rootkit.zeroaccess, rootkit.0access

[mnagiec]

witam
aktualnie mam problem z przekierowaniem na abnow i trojanami, które antywirusy raportują, ale nie potrafią usunąć

a dokładnie:
- malwarebytes podczas ostatniego skanowania wykrył:

C:\WINDOWS\system32\mcsysmon.dll (Rootkit.0Access)
C:\Documents and Settings\Administrator\Ustawienia lokalne\Temp\{E9C1E1AC-C9B2-4c85-94DE-9C1518918D02}.tlb (Rootkit.Zeroaccess)
C:\Documents and Settings\LocalService\Ustawienia lokalne\Temp\{E9C1E1AC-C9B2-4c85-94DE-9C1518918D02}.tlb (Rootkit.Zeroaccess)
C:\Documents and Settings\NetworkService\Ustawienia lokalne\Temp\{E9C1E1AC-C9B2-4c85-94DE-9C1518918D02}.tlb (Rootkit.Zeroaccess)
C:\WINDOWS\Temp\{E9C1E1AC-C9B2-4c85-94DE-9C1518918D02}.tlb (Rootkit.Zeroaccess)


- z kolei symantec endpoint protection zidentyfikował:

Trojan.Gen,Desktop.ini,C:\WINDOWS\assembly\GAC_MSIL\,Zainfekowany,2012-02-25 16:10
Bloodhound.MalPE,Desktop.ini,C:\Avenger\,Zainfekowany,2012-02-25 16:10
Trojan.Gen,Desktop.ini,C:\WINDOWS\assembly\GAC_MSIL\,Zainfekowany,2012-02-25 16:25
Trojan.Gen,Desktop.ini,C:\WINDOWS\assembly\GAC_MSIL\,Zainfekowany,2012-02-25 13:04
Trojan.ADH.2,ComboFix.exe,C:\Dokumenty\_priv\install\,Zainfekowany,2012-02-25 13:12
Trojan.ADH.2,ComboFix.exe,C:\Dokumenty\_priv\install\,Zainfekowany,2012-02-25 13:14
Trojan.ADH.2,ComboFix.exe,C:\Dokumenty\_priv\install\,Zainfekowany,2012-02-25 13:15
Trojan.ADH.2,ComboFix.exe,C:\Dokumenty\_priv\install\,Zainfekowany,2012-02-25 13:15
Trojan.Gen,Desktop.ini,C:\WINDOWS\assembly\GAC_MSIL\,Zainfekowany,2012-02-25 13:21
Trojan.Gen,Desktop.ini,C:\WINDOWS\assembly\GAC_MSIL\,Zainfekowany,2012-02-24 08:19
Trojan.Gen,Desktop.ini,C:\WINDOWS\assembly\GAC_MSIL\,Zainfekowany,2012-02-24 08:26
Trojan.Gen,Desktop.ini,C:\WINDOWS\assembly\GAC_MSIL\,Zainfekowany,2012-02-24 09:31
Trojan.Gen,Desktop.ini,C:\WINDOWS\assembly\GAC_MSIL\,Zainfekowany,2012-02-25 16:34
Trojan.Gen,Desktop.ini,C:\WINDOWS\assembly\GAC_MSIL\,Zainfekowany,2012-02-25 13:26
Trojan.Gen.2,ljqqkszsvmla.exe,C:\Documents and Settings\Administrator\Ustawienia lokalne\Temp\,Zainfekowany,2012-02-25 14:10

symantec potraktował combofix jako wirusa i automatycznie usuwał przy próbie ściągnięcia na dysk
btw. w symantecu mam niedostępną opcję wyłączenia ochrony ...

co chwila jednak antywirusy notyfikują kolejne wirusy ...

wymagane logi w załączniku

pozdrawiam i proszę o pomoc
Mariusz

[wojtas]

symantec potraktował combofix jako wirusa i automatycznie usuwał przy próbie ściągnięcia na dysk

Combofix nie jest tutaj obowiązkowym logiem na starcie i go nie dajemy,


a gdzie log z Gmer ?
dołącz go w następnym poście wykonaj też skan: Kaspersky TDSSKiller, (zaznacz wszystkie opcje do skanowania ),jeśli coś znajdzie dajesz Skip.

i jak będe miał komplet logów zaczniemy usuwanie

[mnagiec]

załączam brakujący log z gmera (przepraszam za przeoczenie wcześniej) oraz dodatkowo z kasperskiego

pozdrawiam
Mariusz

[wojtas]

Daj loga z Combofixa (wyłącz antywira na czas pracy) i na koniec daj nowy log z OTL

[mnagiec]

po jakim czasie od uruchomienia combofix powinien wygenerować log? czy jego działanie (w trakcie) jakoś widać/czymś się objawia? (efekt mam taki, że po kilku sekundach od uruchomienia wyskakuje na moment niebieskie okno konsoli cmd, po czym znika i nic się nie dzieje ...)

[wojtas]

spróbuj w takim razie w trybie awaryjnym odpalić...

Autor postu otrzymał pochwałę

[mnagiec]

w trybie awaryjnym poszło :-)

a propos logu z combofixa - konsola odzyskiwania nie zainstalowała się, bo działałem w trybie awaryjnym bez sieci ...

następnie po restarcie symantec raportował tracking cookies w pliku niedostępny, ale go usunął
kolejny scan i już nic nie wykrył

marwarebytes też nic nie wykrył

przekierowania też już nie ma

btw. combofixa odinstalowałem przed scanowaniem antywirusami


czy jeszcze coś powinienem sprawdzić?


pozdrawiam i dziękuję bardzo za pomoc

Mariusz

[wojtas]

w jaki sposób odinstalowany został Combofix ?

Uruchom OTL i w sekcji własne opcje skanowania / skrypt wklej:

:OTL
RV - File not found [Auto | Stopped] -- -- (zppinger)
SRV - File not found [Auto | Stopped] -- -- (z525mdm)
SRV - File not found [Auto | Stopped] -- -- (yukonwlh)
SRV - File not found [Auto | Stopped] -- -- (XDva004)
SRV - File not found [Auto | Stopped] -- -- (WMIService)
SRV - File not found [Auto | Stopped] -- -- (wg4n)
SRV - File not found [Auto | Stopped] -- -- (WBHWDOCT)
SRV - File not found [Auto | Stopped] -- -- (w550mgmt)
SRV - File not found [Auto | Stopped] -- -- (vzfw)
SRV - File not found [Auto | Stopped] -- -- (viamraid)
SRV - File not found [Auto | Stopped] -- -- (vetfddnt)
SRV - File not found [Auto | Stopped] -- -- (utscsi)
SRV - File not found [Auto | Stopped] -- -- (unrealircd)
SRV - File not found [Auto | Stopped] -- -- (TPwSav)
SRV - File not found [Auto | Stopped] -- -- (tm_cfw)
SRV - File not found [Auto | Stopped] -- -- (tapvpn)
SRV - File not found [Auto | Stopped] -- -- (symmpi)
SRV - File not found [Auto | Stopped] -- -- (symdns)
SRV - File not found [Auto | Stopped] -- -- (stylexpservice)
SRV - File not found [Auto | Stopped] -- -- (ssm_mdm)
SRV - File not found [Auto | Stopped] -- -- (SQTECH9080)
SRV - File not found [Auto | Stopped] -- -- (sp_rssrv)
SRV - File not found [On_Demand | Stopped] -- -- (Smcinst)
SRV - File not found [Auto | Stopped] -- -- (SiS7018)
SRV - File not found [Auto | Stopped] -- -- (SGHIDI)
SRV - File not found [Auto | Stopped] -- -- (scan)
SRV - File not found [Auto | Stopped] -- -- (sbservice)
SRV - File not found [Auto | Stopped] -- -- (s716mdm)
SRV - File not found [Auto | Stopped] -- -- (s3ssavage)
SRV - File not found [Auto | Stopped] -- -- (s117obex)
SRV - File not found [Auto | Stopped] -- -- (rpaservice)
SRV - File not found [Auto | Stopped] -- -- (RIOUNIV)
SRV - File not found [Auto | Stopped] -- -- (regdefend)
SRV - File not found [Auto | Stopped] -- -- (pvservice)
SRV - File not found [Auto | Stopped] -- -- (pivot)
SRV - File not found [Auto | Stopped] -- -- (pimsgss)
SRV - File not found [Auto | Stopped] -- -- (penrendezvous)
SRV - File not found [Auto | Stopped] -- -- (pdlndsdl)
SRV - File not found [Auto | Stopped] -- -- (pdfcreatormessages)
SRV - File not found [Auto | Stopped] -- -- (PcdrNt)
SRV - File not found [Auto | Stopped] -- -- (pavsrv)
SRV - File not found [Auto | Stopped] -- -- (pacsptisvr)
SRV - File not found [Auto | Stopped] -- -- (OVT511Plus)
SRV - File not found [Auto | Stopped] -- -- (ovepstatusengine)
SRV - File not found [Auto | Stopped] -- -- (oracle_load_balancer_60_server-forms6ip9)
SRV - File not found [Auto | Stopped] -- -- (omsad)
SRV - File not found [Auto | Stopped] -- -- (O2SCBUS)
SRV - File not found [Auto | Stopped] -- -- (NWUSBModem)
SRV - File not found [Auto | Stopped] -- -- (ntiopnp)
SRV - File not found [Auto | Stopped] -- -- (nimcdlbk)
SRV - File not found [Auto | Stopped] -- -- (nidomainservice)
SRV - File not found [Auto | Stopped] -- -- (mpfp)
SRV - File not found [Auto | Stopped] -- -- (MobilePreInstallerService)
SRV - File not found [Auto | Stopped] -- -- (mdc8021x)
SRV - File not found [Auto | Stopped] -- -- (mcdetect.exe)
SRV - File not found [Auto | Stopped] -- -- (MA-620)
SRV - File not found [Auto | Stopped] -- -- (lxrsge10s)
SRV - File not found [Auto | Stopped] -- -- (LwUsbHid)
SRV - File not found [Auto | Stopped] -- -- (LVRS)
SRV - File not found [Auto | Stopped] -- -- (lvpr2mon)
SRV - File not found [Auto | Stopped] -- -- (ltxred)
SRV - File not found [Auto | Stopped] -- -- (lpds)
SRV - File not found [Auto | Stopped] -- -- (ksthunk)
SRV - File not found [Auto | Stopped] -- -- (kbstuff)
SRV - File not found [Auto | Stopped] -- -- (jobserver_report)
SRV - File not found [Auto | Stopped] -- -- (iomdisk)
SRV - File not found [Auto | Stopped] -- -- (Invoker)
SRV - File not found [Auto | Stopped] -- -- (int15)
SRV - File not found [Disabled | Stopped] -- -- (HidServ)
SRV - File not found [Auto | Stopped] -- -- (hf30service)
SRV - File not found [Auto | Stopped] -- -- (GTWModem)
SRV - File not found [Auto | Stopped] -- -- (googledesktopmanager)
SRV - File not found [Auto | Stopped] -- -- (forcewarewebinterface)
SRV - File not found [Auto | Stopped] -- -- (EpmShd)
SRV - File not found [Auto | Stopped] -- -- (EntDrv51)
SRV - File not found [Auto | Stopped] -- -- (elosystemservice)
SRV - File not found [Auto | Stopped] -- -- (elbydelay)
SRV - File not found [Auto | Stopped] -- -- (EIO_XP)
SRV - File not found [Auto | Stopped] -- -- (ec2007service)
SRV - File not found [Auto | Stopped] -- -- (DynDNS_Updater_Service)
SRV - File not found [Auto | Stopped] -- -- (dnwhodisp)
SRV - File not found [Auto | Stopped] -- -- (dm1service)
SRV - File not found [Auto | Stopped] -- -- (dladresn)
SRV - File not found [Auto | Stopped] -- -- (deltafw)
SRV - File not found [Auto | Stopped] -- -- (dcpflics)
SRV - File not found [Auto | Stopped] -- -- (DCFS2K)
SRV - File not found [Auto | Stopped] -- -- (DCamUSBMke)
SRV - File not found [Auto | Stopped] -- -- (CTEXFIFX.DLL)
SRV - File not found [Auto | Stopped] -- -- (CoachAud)
SRV - File not found [Auto | Stopped] -- -- (cis1284)
SRV - File not found [Auto | Stopped] -- -- (centennialiptransferagent)
SRV - File not found [Auto | Stopped] -- -- (buslogic)
SRV - File not found [Auto | Stopped] -- -- (btwrchid)
SRV - File not found [Auto | Stopped] -- -- (backupexecnamingservice)
SRV - File not found [Auto | Stopped] -- -- (axinstsv)
SRV - File not found [Auto | Stopped] -- -- (atmeltpm)
SRV - File not found [Auto | Stopped] -- -- (ATKFUSService)
SRV - File not found [Auto | Stopped] -- -- (atinevxx)
SRV - File not found [Auto | Stopped] -- -- (ati2mtag)
SRV - File not found [Auto | Stopped] -- -- (ANC)
SRV - File not found [Auto | Stopped] -- -- (amusbprt)
DRV - File not found [Kernel | On_Demand | Running] -- -- (catchme)
FF - prefs.js..extensions.enabledItems: engine@conduit.com:3.2.5.2
[2012-01-11 20:24:47 | 000,000,000 | ---D | M] (BitTorrentBar Community Toolbar) -- C:\Documents and Settings\Administrator\Dane aplikacji\Mozilla\Firefox\Profiles\5ez5kvva.default\extensions\{88c7f2aa-f93f-432c-8f0e-b7d85967a527}
[2011-05-11 22:52:44 | 000,000,000 | ---D | M] (Conduit Engine) -- C:\Documents and Settings\Administrator\Dane aplikacji\Mozilla\Firefox\Profiles\5ez5kvva.default\extensions\engine@conduit.com
O29 - HKLM SecurityProviders - (EdmedjoZjezm.dll) - C:\WINDOWS\System32\EdmedjoZjezm.dll ()
[2012-02-22 11:34:52 | 000,077,560 | ---- | M] () -- C:\WINDOWS\System32\Sygnity.scr
[2012-02-03 13:51:13 | 000,000,000 | ---D | M] -- C:\Documents and Settings\mnagiec\Dane aplikacji\AskToolbar

:Commands
[emptytemp]
[emptyflash]

Kliknij wykonaj skrypt. I potwierdź reset komputera .

Następnie uruchamiasz OTL z opcją skanuj. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia (zawartość notatnika, która otworzy się po restarcie).

[mnagiec]

załączam raport z czyszczenia i logi ze scanowania

Dodano Dzisiaj, 19:16:
combofix został odinstalowany poleceniem "C:\Documents and Settings\Administrator\Pulpit\ComboFix.exe" /uninstall

[wojtas]

skasuj jeszcze ten plik jest ukryty:

[2012-02-26 16:04:23 | 000,000,000 | -HS- | C] () -- C:\WINDOWS\muzuki.exc

*Uruchom OTL z opcji sprzątanie.
* wykonaj optymalizację Windowsa ( instrukcja dla Windowsa XP, lecz w innych systemach jest podobnie )
* zrób pełny skan Malwarebytes Anti-Malware (zaktualizuj, usuń co znajdzie )
* Skasuj stan przywracania systemu



na koniec odpal ten program ( zaznacz wszystkie opcje do skanowania ) i gdyby coś znalazł daj info


zmień hasła na stronach do których się logujesz

[mnagiec]

przeszedłem całą procedurę :-)
po drodze symantec raportował jeszcze tracking cookies, a malwarebytes pliki, które symantec odłożył do kwarantanny :-)

kaspersky na końcu nic nie znalazł, więc chyba pełny sukces

dziękuję jeszcze raz za pomoc

Mariusz