Mulenie netu, avast wariuje, win32agent

[STRINGER]

Cześć!
Mam problem. Od pewnego czasu zauważyłem wyraźnie pogorszenie jakości połączenia z Netem. Pare razy tuż po uruchomieniu wyskakiwał komunikat, że próbuję otworzyć plik ntuser.dat (?) a dziś avast zaczął krzyczeć, że wykrył wirusa w plikach systemowych
są w kwarantannie

wydaje mi się, że bez tych plików komp raczej nie ruszy, albo to jakiś trojan, nie wiem co się dzieje, już teraz w związku z zablokowanym defenderem cały czas mam w tle komunikat o błędzie aplikacji i nie mogę go wyłączyć/zaakceptować
Przywrócić te pliki?
Usunąłem Daemon tools, potem odpaliłem ten program z 1. punktu regulaminu ale na chwilę obecną wykonanie loga jest niemożliwe, komputer zawiesza się (w OTL tuż przed raportem, a w GMER na keyboardclass0)

[NieWiem]

Na oko chłopa to wygląda mi na pomieszanie dwóch rodzajów infekcji.

Skoro nie jesteś w stanie wykonać raportów z OTL i Gmera, spróbuj wykonać logi jak poniżej. Jeśli się nie uda, będziemy myśleć dalej

= = = = = podstawa = = = = =
Pobierz AVZ od Z-Olega
link

Wypakuj na pulpicie i uruchom. Zrób aktualizację wciskając przycisk
Jeśli zwróci błąd, wybierz inne źródło.

Potem idź do menu File - wybierz Standard Scripts.
Zaznacz opcję Advanced System Analysis i wybierz Execute selected Scripts. Zatwierdź i poczekaj na ukończenie pracy.

Idź do Folderu avz4, znajdź folder LOG. Znajdziesz tam plik virusinfo_syscheck.zip - wrzuć go na http://www.speedyshare.com i podaj mi linka do paczki.

= = = = = drugorzędne = = = = =
Alternatywy, ale wolałbym AVZ:

• Pobierz program DDS:
  • wersja *.pif
  • wersja *.scr
  • wersja *.com
• Kliknij dwukrotnie na ikonę, aby uruchomić program (użytkownicy systemów Vista oraz Se7en => prawoklik oraz wybrać opcję Uruchom jako Administrator).
• Wyskoczy DOSowe okienko informujące, że w tle odbywa się nieingerencyjne skanowanie. Gdy zostanie zakończone, zostanie pokazane okno z komunikatem.
• Wygenerowane przez program logi DDS.txt oraz Attach.txt proszę załączyć w poście w tagach [code] lub wkleić na stronie http://www.wklej.org.

• Pobieramy narzędzie RSIT
• Kliknij dwukrotnie na ikonę, aby uruchomić program (użytkownicy systemów Vista oraz Se7en => prawoklik oraz wybrać opcję Uruchom jako Administrator).
• Nie ma czego konfigurować, sam wyprodukuje logi.
• Proszę wkleić obydwa otrzymane pliki:
  • w poście, pamiętając o tagach [code],
  • lub na stronie http://www.wklej.org, a wtedy w poście podać tylko linka.

• Pobierz RootRepeal.
• Kliknij dwukrotnie na ikonę, aby uruchomić program (użytkownicy systemów Vista oraz Se7en => prawoklik oraz wybrać opcję Uruchom jako Administrator).
• Na dole okna wybierz zakładkę Report
• Wciśnij przycisk Scan. W wyskakującym oknie zaznacz następujące opcje:
  • Drivers
  • Processes
  • SSDT
  • Hidden Services
• Wciskamy OK i w następnym oknie zaznaczamy all drives.
• Upewniamy się, żę wszystkie inne okna czy komunikatory są wyłączone - ten skan może dawać wiele fałszywych odczytów, więc nie powinno się mu przeszkadzać.
• Ponowne wciśnięcie OK uruchomi program.
• Po zakończonym skanowaniu dostępny stanie się przycisk Save Report. Wciskamy i zapisujemy wyniki skanowania.
• Ten raport może być dość długi, dlatego zalecam, aby wkleić go na stronie http://www.wklej.org, a w swoim poście podać tylko link do strony z wynikami.

Jeśli żadna z tych opcji nie da rady, wróć i napisz o tym, To ważne.

Autor postu otrzymał pochwałę

[STRINGER]

paczka z AVZ http://www.speedyshare.com/files/24122874/virusinfo_syscheck.zip

ponadto dziś na pulpicie pojawiły mi się transparentne (ukryte) 2 pliki desktop.ini


edit. GMER znowu sie zawiesił, ale OTL dał radę, wiec wrzucam (chwilowo wklej nie działa)
extras http://www.speedyshare.com/files/24123719/Extras.Txt
otl http://www.speedyshare.com/files/24123738/OTL.Txt

[NieWiem]

Uruchom ponownie AVZ

File -> Custom Scripts
W oknie wklej zawartość ramki

begin
DeleteService('38049');
StopService('38049');
SetServiceStart('38049', 4);
TerminateProcessByName('c:\program files\my applications\windows live control.exe');
DeleteFile('c:\program files\my applications\windows live control.exe');
DeleteFile('C:\Windows\System32\38049.sys');
RebootWindows(true);
end.

Kliknij Run, potwierdź restart.

Po restarcie

Uruchom AVZ
File -> Standard Scripts
Wybierz Advanced System Analysis
i jak poprzednio - spakuj virusinfo_syscheck.zip - wrzuć go na http://www.speedyshare.com i podaj mi linka do paczki

[STRINGER]

http://www.speedyshare.com/files/24124900/virusinfo_syscheck.zip

a co z tymi desktop.ini, które pojawiły się dziś na pulpicie? a te pliki z kwarantanny?

[NieWiem]

Raport z AVZ prezentuje się czysto

Teraz tak:
- plikami z kwarantanny się nie martw, bo skoro siedzą w kwarantannie to krzywdy nie zrobią. Są to części składowe modnego ostatnio rootkita, który nawet do mnie się na mój komputer raz próbował przyplątać. Miał niestety pecha
- pliki ukryte - zaznacz w panelu sterowania żeby nie pokazywało i po sprawie. Są to poprawne rzeczy.
- Na koniec przeskanuj komputer Malwarebytes' czy Dr Webem. Jak pokażesz raport, to dam Ci instrukcje końcowe

[STRINGER]

malwarbytes pokazuje czysto

Kod: Zaznacz wszystko

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Wersja bazy: 4552

Windows 6.0.6001 Service Pack 1
Internet Explorer 7.0.6001.18000

2010-09-05 23:43:34
mbam-log-2010-09-05 (23-43-34).txt

Typ skanowania: Pełne skanowanie (C:\|D:\|E:\|F:\|)
Przeskanowano obiektów: 251884
Upłynęło: 38 minut(y), 12 sekund(y)

Zainfekowanych procesów w pamięci: 0
Zainfekowanych modułów w pamięci: 0
Zainfekowanych kluczy rejestru: 0
Zainfekowanych wartości rejestru: 0
Zainfekowane informacje rejestru systemowego: 0
Zainfekowanych folderów: 0
Zainfekowanych plików: 0

Zainfekowanych procesów w pamięci:
(Nie znaleziono zagrożeń)

Zainfekowanych modułów w pamięci:
(Nie znaleziono zagrożeń)

Zainfekowanych kluczy rejestru:
(Nie znaleziono zagrożeń)

Zainfekowanych wartości rejestru:
(Nie znaleziono zagrożeń)

Zainfekowane informacje rejestru systemowego:
(Nie znaleziono zagrożeń)

Zainfekowanych folderów:
(Nie znaleziono zagrożeń)

Zainfekowanych plików:
(Nie znaleziono zagrożeń)


a propo ukrytych - zawsze miałem zaznaczoną opcję pokazuj ukryte pliki o foldery ale nigdy nic nie odkrywało się na pulpicie, a teraz jest ten desktop.ini
i to aż 2 takie same pliki!
a te pliki z kwarantanny mnie nie obchodzą? mimo, że to vista.sys i defender?

[NieWiem]

Są to części składowe modnego ostatnio rootkita

Na systemach Vista/7 sterownik ten nazywa się vista.sys lub cpuvis.sys i nie est to żaden plik systemowy, podobnie jak na systemach starszych sterownik i usługa nazywają się xp lub cpuxp. Naprawdę to o to chodzi, że użytkownicy niedoświadczeni widząc cokolwiek co może mieć coś wspólnego z systemem, przestraszeni od razu twierdzą że musi to być coś poprawnego. Tymczasem to śmieć
Razem z nim idą w parze dwa trojany agenty, nazywające się Windows Live Control oraz Windows Defender Apps Control. Infekcja znana i ogarnięta.

1. Start - uruchom -> regedit
znajdź klucz

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders]

i sprawdź jaka wartość jest przy wpisie
"Startup"

2. Usuń z dysku AVZ

[STRINGER]

jaka wartość jest przy wpisie
"Startup"

C:\Program Files\My applications

[NieWiem]

Uruchom OTL

W oknie na dole wklej:

Kod: Zaznacz wszystko

:PROCESSES
:SERVICES
:OTL
:FILES
:REG
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders]
"Startup"="%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup"
:COMMANDS
[emptytemp]
[emptyflash]
[clearallrestorepoints]


Wciśnij Run Fix (Wykonaj skrypt) i zatwierdź restart

Do wglądu raport z czyszczenia i nowy log z OTL

[STRINGER]

raport http://wklej.org/id/385671/
extras http://wklej.org/id/385673/
otl http://wklej.org/id/385674/

[NieWiem]

Wiesz co, jeszcze zrobimy poprawkę.

Jeszcze zmontuj taki skrypt, procrdura jak ostatnio:

Kod: Zaznacz wszystko

:PROCESSES
:SERVICES
:OTL
O3 - HKU\S-1-5-21-2731572921-2905035531-157825229-1000\..\Toolbar\WebBrowser: (no name) - {D4027C7F-154A-4066-A1AD-4243D8127440} - No CLSID value found.
:FILES
C:\Program Files\My applications
C:\Windows\Tasks\User_Feed_Synchronization-{7C11C7AF-072C-4860-B10E-686B964A062D}.job
C:\Users\Radzio\AppData\Local\Temp*.*
:REG
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders]
"Startup"="%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup"
:COMMANDS
[emptytemp]
[emptyflash]
[clearallrestorepoints]

[STRINGER]

gotowe
raport http://wklej.org/id/386042/
otl http://wklej.org/id/386048/
extras http://wklej.org/id/386049/

[NieWiem]

OK. Tylko pojawiło się coś dziwnego... Z datą utworzenia w czerwcu 2040 roku.

C:\Users\Radzio\AppData\Local\TimerStop64.sys

Wiesz co to?

[STRINGER]

to taka hmm witaminka nigdy nie robiła problemów

[NieWiem]

No to wszystko w temacie, krakersie jeden

Uruchom OTL i wybierz Sprzątanie. Tyle