Win32:rootkit-gen [rtk] ostrzeżenie

**Posty:** 7 · przez **Amkez** 27 Lut 2010, 15:07

Witam.

Wczoraj grając na komputerze avast wyświetlił mi ostrszeżenie o znalezieniu wirusa Win32:Rootkit-gen [Rtk] i nie może sobie z nim poradzić.
Prosze o sprawdzenie logow z OTL i gmer i doradzenie mi w jaki sposób pozbyc sie go z komputera.
OTL
http://wklej.org/id/286855/
gmer
http://wklej.org/id/286857/

**Posty:** 2183 · przez **NieWiem** 27 Lut 2010, 17:47

Po pierwsze:
Albo Avast, albo Kaspersky. Razem być nie mogą. Proszę wyinstalować obydwa (pomoce naukowe w linku poniżej) i potem na czysty system zainstalować jednego.
http://www.searchengines.pl/Deinstalatory-narzedzi-ochronnych-t45565.html

Po drugie infekcja może mieć charakter rootkitowy.
Czytaż poniższe i MUSISZ całkowicie wyinstalować wirtualne napędy, bo one biorą udział w tej infekcji.
http://www.searchengines.pl/index.php?act=announce&f=99&id=20

Po trzecie, jak już wykonasz powyższe, nowe logi OTL + Gmer.

**Posty:** 7 · przez **Amkez** 27 Lut 2010, 19:07

Ok

Odinstalowalem Kasperskiego i Daemon Tools. Oto nowe logi:
OTL
http://wklej.org/id/287095/
gmer
http://wklej.org/id/287096/

**Posty:** 18165 · przez **wojtas** 27 Lut 2010, 20:06

Uruchom OTL i w oknie Custom Scans/Fixes wklej :

:OTL
FF - prefs.js..browser.search.defaultengine: "Ask.com"
FF - prefs.js..browser.search.defaultenginename: "Ask.com"
FF - prefs.js..browser.search.order.1: "Ask.com"
FF - prefs.js..browser.search.selectedEngine: "Ask.com"
O3 - HKU\S-1-5-21-1180070388-140396180-254654032-1002\..\Toolbar\WebBrowser: (no name) - {32099AAC-C132-4136-9E9A-4E364A424E17} - No CLSID value found.
O3 - HKU\S-1-5-21-1180070388-140396180-254654032-1002\..\Toolbar\WebBrowser: (no name) - {D4027C7F-154A-4066-A1AD-4243D8127440} - No CLSID value found.
O4 - HKLM..\Run: [MSDsk32] C:\Users\OEM~1.OEM\AppData\Local\Temp\msdsk32.exe ()
O4 - HKLM..\Run: [LCheck] D:\Program Files\Beniamin\LCheck.exe File not found
O4 - HKLM..\Run: [ComSpec Service (x86)] C:\Użytkownicy\Łukasz\AppData\Local\Temp\ComSpc32.dll File not found
O20 - HKLM Winlogon: TaskMan - (C:\RECYCLER\S-1-5-21-8164972423-7751188444-001996494-3481\wnzip32.exe) - C:\RECYCLER\S-1-5-21-8164972423-7751188444-001996494-3481\wnzip32.exe ()
O20 - HKU\S-1-5-21-1180070388-140396180-254654032-1002 Winlogon: Shell - (C:\RECYCLER\S-1-5-21-9948473799-4471205019-982719909-7936\wnzip32.exe) - C:\RECYCLER\S-1-5-21-9948473799-4471205019-982719909-7936\wnzip32.exe ()
O20 - HKU\S-1-5-21-1180070388-140396180-254654032-1002 Winlogon: Shell - (C:\RECYCLER\S-1-5-21-8164972423-7751188444-001996494-3481\wnzip32.exe) - C:\RECYCLER\S-1-5-21-8164972423-7751188444-001996494-3481\wnzip32.exe ()
O33 - MountPoints2\{09095647-319b-11de-b09c-001180c3a76a}\Shell\AutoRun\command - "" = G:\AutoRun.exe -- File not found
O33 - MountPoints2\{0909566c-319b-11de-b09c-001fc6dde5d7}\Shell - "" = AutoRun
O33 - MountPoints2\{0909566c-319b-11de-b09c-001fc6dde5d7}\Shell\AutoRun\command - "" = G:\AutoRun.exe -- File not found
O33 - MountPoints2\{69e0d9d9-1e12-11df-a62c-000df30531e5}\Shell - "" = AutoRun
O33 - MountPoints2\{69e0d9d9-1e12-11df-a62c-000df30531e5}\Shell\AutoRun\command - "" = G:\AutoRun.exe -- File not found
O33 - MountPoints2\{69e0d9da-1e12-11df-a62c-000df30531e5}\Shell - "" = AutoRun
O33 - MountPoints2\{69e0d9da-1e12-11df-a62c-000df30531e5}\Shell\AutoRun\command - "" = G:\AutoRun.exe -- File not found
O33 - MountPoints2\{7093bb9e-dde0-11de-bc9e-001180c3a76a}\Shell - "" = AutoRun
O33 - MountPoints2\{7093bb9e-dde0-11de-bc9e-001180c3a76a}\Shell\AutoRun\command - "" = G:\AutoRun.exe -- File not found
O33 - MountPoints2\{7a202f47-130d-11df-833c-001fc6dde5d7}\Shell - "" = AutoRun
O33 - MountPoints2\{7a202f47-130d-11df-833c-001fc6dde5d7}\Shell\AutoRun\command - "" = G:\AutoRun.exe -- File not found
O33 - MountPoints2\{7a202f66-130d-11df-833c-001fc6dde5d7}\Shell - "" = AutoRun
O33 - MountPoints2\{7a202f66-130d-11df-833c-001fc6dde5d7}\Shell\AutoRun\command - "" = G:\AutoRun.exe -- File not found
O33 - MountPoints2\{b8958184-ceb7-11de-ac36-001fc6dde5d7}\Shell - "" = AutoRun
O33 - MountPoints2\{b8958184-ceb7-11de-ac36-001fc6dde5d7}\Shell\AutoRun\command - "" = G:\AutoRun.exe -- File not found
O33 - MountPoints2\{b89581a3-ceb7-11de-ac36-001fc6dde5d7}\Shell - "" = AutoRun
O33 - MountPoints2\{b89581a3-ceb7-11de-ac36-001fc6dde5d7}\Shell\AutoRun\command - "" = H:\AutoRun.exe -- File not found
O33 - MountPoints2\{e3a0a44d-e2ae-11de-a505-806e6f6e6963}\Shell - "" = AutoRun
O33 - MountPoints2\{e3a0a44d-e2ae-11de-a505-806e6f6e6963}\Shell\AutoRun\command - "" = G:\AutoRun.exe -- File not found
O33 - MountPoints2\{f934b06b-e253-11de-abd0-001fc6dde5d7}\Shell - "" = AutoRun
O33 - MountPoints2\{f934b06b-e253-11de-abd0-001fc6dde5d7}\Shell\AutoRun\command - "" = G:\AutoRun.exe -- File not found
O33 - MountPoints2\{f934b09f-e253-11de-abd0-001fc6dde5d7}\Shell - "" = AutoRun
O33 - MountPoints2\{f934b09f-e253-11de-abd0-001fc6dde5d7}\Shell\AutoRun\command - "" = G:\AutoRun.exe -- File not found
O33 - MountPoints2\G\Shell - "" = AutoRun
O33 - MountPoints2\G\Shell\AutoRun\command - "" = G:\AutoRun.exe -- File not found

:Files
C:\RECYCLER\S-1-5-21-8164972423-7751188444-001996494-3481\wnzip32.exe
C:\Users\OEM.OEM-PC\AppData\Local\Temp\msdsk32.exe
C:\Users\OEM.OEM-PC\AppData\Roaming\Mozilla\FireFox\Profiles\wftofdeo.default\searchplugins\askcom.xml
C:\Users\OEM.OEM-PC\AppData\Roaming\Mozilla\FireFox\Profiles\wftofdeo.default\searchplugins\daemon-search.xml
C:\RECYCLER
C:\Users\OEM~1.OEM\AppData\Local\Temp
C:\Windows\System32\drivers\demrsk.sys
C:\Windows\tasks
C:\Users\OEM.OEM-PC\AppData\Roaming\pdytbs.dat
C:\Users\OEM.OEM-PC\AppData\Roaming\avdrn.dat
C:\Users\OEM.OEM-PC\AppData\Roaming\wiaservg.log

:Commands
[emptytemp]

Kliknij w Run Fix. I potwierdz reset kompa .

te plik/i :

C:\Windows\System32\WinVd32.sys

przeskanuj tu
http://virusscan.jotti.org/
http://www.virustotal.com/

i daj raporty ze skanow

Następnie uruchamiasz OTL z opcją Run Scan. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia komputera

**Posty:** 7 · przez **Amkez** 27 Lut 2010, 21:20

Ze skanowania tamtego pliku nic nie wykryło i avast jakos sie uspokoił ale raz wyświetlił mi komunikat o jakims win32Dauro ale skanowanie nic nie wykryło, no i gmer sie zawiesza podczas skanowania

Plik WinVd32.sys otrzymany 2010.02.22 11:13:53 (UTC)
Obecny status: zakończono
Wynik: 0/41 (0.00%)

Nazwa pliku: WinVd32.sys
Stan: Skanowanie zakończone. 0 z 19 skanerów zgłaszają wirusy.
Skanowanie podjęte w: nie 10 maj 2009 06:19:13 (CET)

otl
http://wklej.org/id/287176/
Extras
http://wklej.org/id/287177/
Cz to znaczy ze z moim komputerem wszystko w porządku :?:

Właczyłem skanowanie jeszcze raz i avast dalej wykrywa wirusy

**Posty:** 2183 · przez **NieWiem** 27 Lut 2010, 23:01

Jestem prawie pewny że u Ciebie jest albo tdss, albo jakieś coś podobnego.

Przeczytaj uważnie instrukcję programu ComboFix, po czym wyłącz swój program antywirusowy, firewall i inne programy, które mogą zakłócać nawet pobieranie ComboFixa twierdząc, że jest wirusem. Nie jest! Spokojnie go ściągnij i zapisz na pulpicie.
Pobierz z któregoś poniższego linku:
- LINK #1
- LINK #2
Pozamykaj wszystkie otwarte okna, komunikatory, programy. ComboFixowi nie powinno sie przeszkadzać.
Uruchom program z dwukliku (VISTA: prawoklik i 'uruchom jako administrator').
Pozwól mu spokojnie działać, nie klikaj ani nie stukaj w klawiaturę - to może spwodować zawieszenie się komputera.
Zalecane jest też instalowanie konsoli odzyskiwania, jeśli ComboFix o nią poprosi. Dzięki niej można odrolować zmiany w przypadku pomyłki narzędzia.
Jeśli będzie potrzeba - zgódź się na restart.
Kiedy program skończy, wytworzy loga (będzie on także w pliku C:\ComboFix.txt), którego wklej w odpowiedzi, pamiętając o tagach [code] lub na http://www.wklej.org.

**Posty:** 7 · przez **Amkez** 27 Lut 2010, 23:39

Log z combafixa
http://www.wklej.org/id/287303/
Eh...avast dalej wykrywa wirusa

**Posty:** 18165 · przez **wojtas** 28 Lut 2010, 11:29

Otworz notatnik i wklej w nim to:

File::
c:\users\OEM.OEM-PC\AppData\Roaming\pdytbs.dat

Registry::
[-HKEY_LOCAL_MACHINE\system\ControlSet001\Services\demrsk]

Driver::
demrsk

>>Plik>>Zapisz jako... >>> CFScript
Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe
-->

Rozpocznie się usuwanie i powstanie log daj go.

**Posty:** 7 · przez **Amkez** 28 Lut 2010, 14:25

Nowy log
http://www.wklej.org/id/287575/

Skanowanie avastem wykryło go na C:\Windows\System32\drivers\demrsk.sys. Strasznie uparty ten wirus

Drugie skanowanie avastem nic nie wykryło, więc komputer chyba jest czysty

Jest jakas możliwośc sprawdzenia ostatecznie?

**Posty:** 18165 · przez **wojtas** 28 Lut 2010, 15:14

Otworz notatnik i wklej w nim to:

File::
c:\windows\system32\drivers\demrsk.sys
c:\windows\system32\1788.tmp

Registry::
[-HKEY_LOCAL_MACHINE\system\ControlSet001\Services\MEMSWEEP2]

i ta sama procedura + zrób skan Malwarebytes Anti-Malware (zaktualizuj, usuń co znajdzie ) i daj raport

**Posty:** 7 · przez **Amkez** 28 Lut 2010, 18:38

Nowy log z combofix
http://www.wklej.org/id/287739/
raport z Malwarebytes Anti-Malware
http://www.wklej.org/id/287808/

**Posty:** 18165 · przez **wojtas** 28 Lut 2010, 18:49

wklej do notatnika

Windows Registry Editor Version 5.00

[-HKEY_LOCAL_MACHINE\system\ControlSet001\Services\MEMSWEEP2]

w notatniku u góry>>>plik zapisz jako>>>Zmien rozszerzenie z TXT na Wszystkie pliki *.* >>> Zapisz pod nazwą FIX.REG

Klikasz dwa razy na powstały plik fix i dodajesz go do rejestru.... i powinno być ok

**Posty:** 7 · przez **Amkez** 28 Lut 2010, 19:56

Zrobione

Ani avast ani Malwarebytes' Anti-Malware nic nie wykrywaja wiec dzieki za rozwiaznaie problemu i za poświęcony czas

Kto jest na forum