Wirus - rootkit

[Mateusz887]

Witam, wczoraj przypadkowo przeskanowałem komputer Combofix'em i w trakcie skanowania wyskoczył napis w stylu "Twój komputer posiada infekcje typu rootkit" i po naciśnięciu przycisku "ok" system uruchamiał się ponownie, a następnie gdy się uruchomił combofix zaczął tak jakby od nowa skanować (nie mam pojęcia czemu się uruchamiał ponownie, nigdy tak nie miałem). I niby wszystko zostało usunięte lecz gdy od nowa przeskanowałem to znów było tak samo. Dołączam log z combofix'a, gmer'a i otl'a.

Combofix log: http://wklej.org/id/487190/
Gmer log: http://wklej.org/id/487847/
OTL log: OTL.txt: http://www.wklej.org/id/487851/ Extras.txt: http://www.wklej.org/id/487852/

[wojtas]

działa ten plik:

DRV - [2011-03-06 14:31:01 | 000,428,088 | ---- | M] () [Kernel | Boot | Running] -- C:\WINDOWS\System32\Drivers\sptd.sys -- (sptd)

więc nie dziw się że wykrywa Ci rookita, przez ten plik i program emulujący często są fałszowane wyniki Combo i Gmera

[Mateusz887]

Lecz niby postąpiłem zgodnie z instrukcjami i usunałem ten plik programem SPTDinst. Czyli to jest fałszywy alarm? Wystarczy tylko ten plik usunąć, tak?

[wojtas]

jak usunęłeś przed odpaleniem Combo to dobrze. lecz w logu z OTL widzę że plik jest aktywny więc nie wiem co zrobiłeś pierwsze. najpierw usuwa się program emulujący + sptd.sys (wg. linku) a potem tworzy się wymagane logi

po 2. Combofixa nie używamy jako skanera ( zdarza się że Combo rozwala system)

[Mateusz887]

Usunąłem ten plik po odpaleniu combofix'a (bo wtedy jeszcze nie wiedziałem, że trzeba go usunąć), a przed skanowaniem gmer'em i OTL'em. A być może on się wogóle nie usunął, bo na to chyba wychodzi, gdy odpaliłem SPTDinst i wziąłem update to wyskoczył komunikat "You need to reboot for changes to take effect" więc uruchomiłem ponownie komputer i nie wiem dlaczego się nie usunął. Programy emulujące zostały napewno usunięte (tylko czy program UltraISO też trzeba usunąć? Jest to program do tworzenia wirtualnej płyty w napędzie)

[wojtas]

wziąłem update

miałeś dać Uninstall.. Jeśli nie usnułeś przed Combo to raczej był to fałszywy alarm

[Mateusz887]

Ah to przepraszam, bo pomyliło mi się, zamiast uninstall dawałem update . Tak, przed skanowaniem combofix'em plik sptd.sys nie został usunięty.

Nowe logi po usunięciu sptd.sys

log Gmer: http://www.wklej.org/id/487889/
log OTL: OTL.txt: http://www.wklej.org/id/487891/ Extras.txt: http://www.wklej.org/id/487893/

[wojtas]

nic nie ma:
Wykonaj czynności końcowe :
*Uruchom OTL z opcji sprzątanie.
* wykonaj optymalizację Windowsa ( instrukcja dla Windowsa XP, lecz w innych systemach jest podobnie )
* zrób pełny skan Malwarebytes Anti-Malware (zaktualizuj, usuń co znajdzie )
* Skasuj stan przywracania systemu


Zaktualizuj zabezpieczenia:
>>> Adobe Reader (bez Free McAfee® Security Scan Plus)
>>> [url=http://www.microsoft.com/poland/windows/internet-explorer/default.aspx][color=#0000BF][b]Internet Explorer