3 trojany win32

[guest5294367]

Witam
Podczas rutynowego sprawdzania kompa (skaner online) wykryło mi wirusy/trojany:
- win32/spy.zbot.aan
- orsay!rts
- win32/wigon.ow
- win32/agent
być może jest tego wiecej

kombinowalem już z programami typu:
- eset on line
- kasperski virus removal tool
- DRWEB-cureit - zawiesił sie po ok 30%
- malwarebytes anti-malware
- SalityKiller
- KillBox (nie udalo sie usunac plikow)
programy pokazuja ze coś usunęły ale tak nie jest bo przy następnym skanowaniu wychodzi to samo
wszytkie skany przeprowadzalem w systemie awaryjnym

antywirusy:
- eset
- kasperski
nie udało się zainstalować na kompie bo jakieś krytyczne błędy się pojawiają i instalacja jest przerywana

zidentyfikowałem 2 pliki:
- A0012818.exe - katalog doc&sett/user/
- ce91d41d289f2aa3g.sys - katalog win/system32/drivers/
pierwszy udalo mi się jakimś cudem usunać choć nie było to łatwe 2 dalej jest w systemie


z niejednym wirusem miałem do czynienia ale teraz poległem i proszę o pomoc


pliki:
OTL
Extras
combofix - po automatycznym skanowaniu


UPDATE:
pliki chyba wszystkie usunięte - kasperski zainstalowany pobiera aktualizację
mimo wszystko proszę o sprawdzenie logów

[wojtas]

antywirusy:

do kasacji jeden z nich . w systemie ma być tylko jeden av

Combofixa nie używamy na własną rękę

Mamy tu infekcję skasowaną po części infekcję ZeroAccess:

Ile razy był używany Combofix ?

Użyj AdwCleaner i kliknij w nim Delete (uruchom z prawokliku "jako Administrator)
Pokaż raport z niego
wykonaj skan: Kaspersky TDSSKiller, (zaznacz wszystkie opcje do skanowania ),jeśli coś znajdzie dajesz Skip. po tym dajesz log z Gmera , nowy log z OTL + raport z TDSSKiller'a + raport z ADWCleaner

[guest5294367]

co do antywira - tak wiem że 1 ma być w systemie ale jak zaznaczyłem wcześniej żadnego nie dało się zainstalować bo z automatu przerywalo instalację

co do combofix-a - był użyty 1 raz dzisiaj rano i z niego jest ten log - dzięki temu mogłem poźniej zainstalować kasperskiego

OTL - był to log z wczoraj wieczór


jak wspomniałem wcześniej (zapewne combofix wyleczył/naprawił sporo) zainstalowałem kasperskiego
i po całościowym sprawdzeniu kompa antywir wychwycił jeszcze:
- trojan-downloader.win32.zlob.grv - w plikach o kótrych wiedziałem i byłem świadomy że tam jest
- adware.win32.doza.a - plik instalacyjny komunikatora

- rootkit.win32.agent.cwyf - plik systemowy A0014276.sys (usunięty), ce91d41d28f2aa3b.sys.vir (usunięty), ce91d41d28f2aa3b.sys (usunięty),
- trojan.win32.agent2.fcay - plik A0014275.exe (usunięty)
przynajmniej mam nadzieję że usunął


tdsskiller:
wykrył 24 zagrożenia - UnsignedFile.Multi.Generic - dałem skip jak mówiles

GMER, ADWCleaner i nowe z OTL poniżej

[wojtas]

czy przed uruchomieniem Gmera odinstalowane zostały programy emulujące typu Daemon Tools ?

Uruchom OTL i w sekcji własne opcje skanowania / skrypt wklej:

:OTL
SRV - File not found [Auto | Stopped] -- -- (SerwerMK)
SRV - File not found [On_Demand | Stopped] -- -- (Macromedia Licensing Service)
O3 - HKLM\..\Toolbar: (no name) - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - {62999427-33FC-4baf-9C9C-BCE6BD127F08} - No CLSID value found.
O3 - HKU\S-1-5-21-583907252-2052111302-1801674531-1004\..\Toolbar\ShellBrowser: (no name) - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - No CLSID value found.
O3 - HKU\S-1-5-21-583907252-2052111302-1801674531-1004\..\Toolbar\WebBrowser: (no name) - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - No CLSID value found.
O3 - HKU\S-1-5-21-583907252-2052111302-1801674531-1004\..\Toolbar\WebBrowser: (no name) - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - No CLSID value found.
O4 - Startup: C:\Documents and Settings\Administrator\Menu Start\Programy\Autostart\_uninst_.lnk = File not found
O8 - Extra context menu item: Download Link Using Mega Manager... - Reg Error: Value error. File not found
O9 - Extra Button: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - Reg Error: Value error. File not found
O9 - Extra 'Tools' menuitem : Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - Reg Error: Value error. File not found
O9 - Extra Button: PartyGammon.com - {59A861EE-32B3-42cd-8CCA-FC130EDF3A44} - Reg Error: Value error. File not found
O9 - Extra 'Tools' menuitem : PartyGammon.com - {59A861EE-32B3-42cd-8CCA-FC130EDF3A44} - Reg Error: Value error. File not found
O9 - Extra Button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - Reg Error: Value error. File not found
O9 - Extra 'Tools' menuitem : PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - Reg Error: Value error. File not found
O9 - Extra Button: Absolute Poker - {EFFF8D47-D060-4108-B761-E8EC86622E56} - Reg Error: Value error. File not found
O9 - Extra 'Tools' menuitem : Absolute Poker - {EFFF8D47-D060-4108-B761-E8EC86622E56} - Reg Error: Value error. File not found
O16 - DPF: {CAFEEFAC-0014-0001-0000-ABCDEFFEDCBA} http://java.sun.com/products/plugin/autodl/jinstall-141-windows-i586.cab (Reg Error: Key error.)
O16 - DPF: Microsoft XML Parser for Java Reg Error: Key error. (Reg Error: Key error.)
@Alternate Data Stream - 143 bytes -> C:\Documents and Settings\All Users\Dane aplikacji\TEMP:D1B5B4F1
@Alternate Data Stream - 140 bytes -> C:\Documents and Settings\All Users\Dane aplikacji\TEMP:98353363
@Alternate Data Stream - 108 bytes -> C:\Documents and Settings\All Users\Dane aplikacji\TEMP:CB0AACC9

:Commands
[emptytemp]
[emptyflash]

Kliknij wykonaj skrypt. I potwierdź reset komputera .

Następnie uruchamiasz OTL z opcją skanuj. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia (zawartość notatnika, która otworzy się po restarcie). Uruchom także Farbar Service Scanner , zaznacz wszystkie opcje i klik w Scan. Przedstaw log

[guest5294367]

mam zainstalowany demontools ale nie mam go uruchomionego oraz nie mam żadnych emulowań napedów (to co widać w logach to sa 2 napędy w obudowie)


skrypt wykonany - raporty poniżej

[wojtas]

*Uruchom OTL z opcji sprzątanie.
* wykonaj optymalizację Windowsa ( instrukcja dla Windowsa XP, lecz w innych systemach jest podobnie )
* zrób pełny skan Malwarebytes Anti-Malware (zaktualizuj, usuń co znajdzie )
* Skasuj stan przywracania systemu

napisz jak sytuacja z komputerem

Autor postu otrzymał pochwałę

[guest5294367]

OTL - sprzątanie przeszło szybko - nie jestem pewny czy cos usunął bo chciał reset a po resecie nawet loga nie pokazał

optymalizacja windowsa :
- niezawiele mogłem pozmieniac ale wyłączyłem kilka rzeczy (nie widzęróżnicy w szybkości uruchamiania)
- punkty przywracania systemu - usunięte
- aktualizacja zrobiona
- firewall założony (lepszy taki niż żaden)
- została defragmentacja ale to na noc zapuszczę

skan :
- za pomocą kasperskiego (dokladny) - nic
- za pomocą eset online (dokladny) - nic (kasperski wyłączony oczywiście)
- Malwarebytes Anti-Malware z najnowsza aktualizacja - znalazł: "Malware.Packer.Gen" w "C:\Program Files\Common Files\Microsoft Shared\VFP\Vfp7renu.dll" - podobno usunął
innych zagrozeń - brak

w tym miejscu zapytam się jeszcze o antywira:
- czy darmowy windowsowski antywir cos jest wart ?
- czy lepiej zakupic eset-a (ew. cos innego tylko co ?)


oczywiście na koniec WIELKIE DZIĘKI za pomoc w usunięciu trojanów/ rootkitów/ etc.
padam na twarz i wykonuję 100 allahów


pozdrawiam

[wojtas]

- czy darmowy windowsowski antywir cos jest wart ?
- czy lepiej zakupic eset-a (ew. cos innego tylko co ?)

Może jest i coś wart ale antywirus z prawdziwego zdarzenia według mnie lepszy

Eset i Kaspersky są dobre z płatnych, z tym że ja używam Eseta i jest dla mnie rewelacją
z darmowych Avast 6, Comodo Internet Security, Avira pozdro

[guest5294367]

jeszcze jedna rzecz mnie martwi którą zauważyłem:

przed usuwaniem wirusów miałem użycie pamięci na poziomie 300 -350 mb w bezczynności - teraz mam 670 mb, a z kasperskim 880 mb !

coś da się z tym zrobić ?

[wojtas]

ale co tak zużywa tą pamięć daj screena z menadżera zadań

pobierzASPI 4.71.2
Prawdopodobnie po rozpakowaniu będziesz miał plik - install.bat XP32. Odpal go i zrób reset kompa i daj screena z menadżera .

[guest5294367]

ASPI miałem zainstalowane - ale dla pewności uruchomiłem jeszcze raz i po resecie:
- 450 mb za załadowaniu systemu
- 274 mb po wyłączeniu kasperskiego
ale co jest śmieszne - jak rozwiniemy listę procesów nie widać tego zużycia

znalazłem jeszcze winowjcę - przegladarka Opera (264 000 K) przy 12 otwartych kartach ale nią się zajmę później, a z kasperskim się pożegnamy :\

[wojtas]

hmm Readera i Offica wyłącz z autostartu;)