Proces herss.exe

**Posty:** 12 · przez **cdyone** 16 Lis 2009, 21:18

Witam!

Mój problem jest następujący:
Otrzymałem dziś od kuzynki pendrive'a, zgrałem dane, wszystko ładnie hulało, nie było żadnych problemów. Do czasu. Komputer zaczął dziwnie lagować, postanowiłem uruchomić go ponownie. Po ponownym uruchomieniu ukazał się pulpit, pojawiły się ikony, automatycznie odpaliło się gg i... koniec. Pulpit 'przestał reagować', po najechaniu kursora na pasek zadań pojawia się klepsydra. Jedyne co mogę zrobić to odpalić ALT+CTRL+DEL i stamtąd wpisywać polecenia. W procesach pojawiło się niejakie herss.exe. Wyczytałem w necie, że ów ten trojan/robak/cokolwiek pochodzi z pendrive'a. Próbowałem ściągnąć plik usuwający problem, jednak przy próbie zapisu pliku Firefox wiesza się. Próbowałem w trybie awaryjnym wyłączyć przywracanie systemu, jednak nic z tego. Chciałem ręcznie usunąć plik herss.exe z folderu Temp (o jego lokalizacji na dysku dowiedziałem się używając 'msconfig'), jednak ów plik jest ukryty, a ja nie mogę włączyć pokazywania ukrytych plików i folderów. Patologia, już nie wiem co robić. HiJackThis'a nie mam na kompie, a ściągać plików nie mogę, więc z logów nici. Proszę, pomóżcie.

Pozdrawiam!

**Posty:** 2183 · przez **NieWiem** 16 Lis 2009, 21:26

Bez logów nic nie zrobimy. Musimy widzieć, co mamy usunąć.

Spróbuj się zalogować w trybie awaryjnym, ale nie dawaj loga z HiJacka, tylko z OTL.

Pobierz aplikację OTL i zapisz ją na pulpicie.
Kliknij dwukrotnie na ikonę, aby uruchomić program (użytkownicy systemów Vista oraz Se7en => prawoklik oraz wybrać opcję Uruchom jako Administrator).
Gdy pojawi sie okno, skonfiguruj go następująco:
- Zaznacz opcje LOP Check i Purity Check
- Zaznacz opcje Scan All Users.
- Upewnij się, że w okienku Extra Registry jest zaznaczone Use Safelist.
Upewnij się, że wszystkie pozostałe okna są zamknięte i pozwól mu pracować bez zakłóceń - nie stukaj w klawiaturę, nie ruszaj myszką.
Kliknij Run Scan i poczekaj cierpliwie aż program wykona swoje.
Kiedy skanowanie sie skończy, pojawią sie 2 okna notatnika, zatytułowane OTL.txt i Extras.txt. Będą one zapisane w tym samym miejscu, co aplikacja OTL.
Skopiuj (Edycja => Zaznacz wszystko, Edycja => Kopiuj) zawartość tych plików i wklej na http://www.wklej.org lub w poście w tagach [code].

**Posty:** 12 · przez **cdyone** 16 Lis 2009, 21:38

OTL.Txt
http://www.wklej.org/id/207443/

Extras.Txt
http://www.wklej.org/id/207447/

Edit:
Dodam, że udało mi się jakimś cudem ściągnąć OTL'a w trybie awaryjnym

.

**Posty:** 2183 · przez **NieWiem** 16 Lis 2009, 21:56

Przeczytaj uważnie instrukcję programu ComboFix, po czym wyłącz swój program antywirusowy, firewall i inne programy, które mogą zakłócać nawet pobieranie ComboFixa twierdząc, że jest wirusem. Nie jest! Spokojnie go ściągnij i zapisz na pulpicie. Nie uruchamiaj!
Pobierz:
- LINK #1
- LINK #2
Otwórz systemowy notatnik (i tylko on, ponieważ ComboFix jest niekompatybilny z innymi) i wklej do niego poniższy skrypt:
Kod: Zaznacz wszystko
KillAll:: File:: C:\autorun.inf D:\autorun.inf C:\opdux.exe D:\opdux.exe C:\WINDOWS\system32\EXPLORER.EXE C:\Documents and Settings\Administrator\Ustawienia lokalne\Temp\herss.exe Folder:: C:\Program Files\DAEMON Tools Toolbar C:\Program Files\Ask.com Registry:: [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] "Userinit"=- "Userinit"="C:\WINDOWS\system32\userinit.exe," "Shell"=- "Shell"="C:\windows\Explorer.exe" Reboot::
Plik zapisz jako CFScript.txt
Obowiązują te same zasady, jak przy normalnym używaniu ComboFixa, czyli:
- nie klikać myszką
- nie walić w klawiaturę
- pozamykać wszystko co możliwe (to, co teraz czytasz też!)
- wyłączyć antywirusa, firewalla i wszystko podobne
Plik CFScript.txt przeciągnij i upuść na ikonę ComboFixa, jak na obrazku poniżej:
To go uruchomi i rozpocznie się normalne działanie ComboFixa.
Jeśli komputer poprosi o zgodę na resart - zgodzić się!
Program wytworzy loga, którego wklejamy na forum w tagach [code] lub na stronie http://www.wklej.org

Plus ten plik

C:\Documents and Settings\All Users\Menu Start\Programy\Autostart\TDiagnostic.exe

sprawdź na stronie http://www.virusscan.jotti.org i pokaż wyniki.

**Posty:** 12 · przez **cdyone** 16 Lis 2009, 22:17

ComboFix log
http://www.wklej.org/id/207480/

TDiagnostic.exe skan
http://virusscan.jotti.org/pl/scanresult/def02ba06e64b88813e66169a3c2de39464c62cf

**Posty:** 2183 · przez **NieWiem** 16 Lis 2009, 22:19

Skrypt niewykonany. Proszę powtórzyć operację.

BTW - oprócz suchego wklejania logów może byś powiedział ze dwa słowa o tym, jak działa komputer? :wink:

**Posty:** 12 · przez **cdyone** 16 Lis 2009, 22:40

Ponowiłem operację.
Cały czas pracuję w trybie awaryjnym, po wykonaniu skryptu sprawdziłem czy coś się zmieniło, jednak nadal dzieje się to samo. Dalej w trybie awaryjnym działam

.

Log:
http://www.wklej.org/id/207523/

Edit:
Mogę ściągać pliki w trybie awaryjnym. Być może jest jakiś fix do pobrania w necie, by usunąć problem?

**Posty:** 2183 · przez **NieWiem** 16 Lis 2009, 22:42

Hmmm... A pokaż mi nowego loga z OTL.

**Posty:** 12 · przez **cdyone** 16 Lis 2009, 22:47

OTL.Txt
http://www.wklej.org/id/207532/

Extras.Txt
http://www.wklej.org/id/207533/

Hmmm, jakiś dziwny przypadek czy mi się wydaje?

Edit:
A co z tym TDiagnostic.exe?

**Posty:** 2183 · przez **NieWiem** 16 Lis 2009, 23:03

TDiagnostic można odpuścić, choć do końca to nie wiem co to jest.

Zastanawia mnie, czemu się nie możesz zalogować w trybie normalnym. Wygląda, że jest w porządku...

Start => uruchom => regedit.exe
klucz HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- w oknie po prawej stronie znajdź shell
- kliknij podwójnie i sprawdź w okienku co jest w dane wartości.
ten sam klucz HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- znajdź Userinit
- jaka tam jest wartość?

**Posty:** 12 · przez **cdyone** 16 Lis 2009, 23:07

shell: Explorer.exe
Userinit: C:\WINDOWS\system32\userinit.exe

Edit:
Próbowałem ponownie zobaczyć czy coś się zmieniło, jednak bez zmian, nadal to samo. Odpalają się ikony, uruchamiają się programy i koniec. Nie wiem co jest grane

.

**Posty:** 2183 · przez **NieWiem** 16 Lis 2009, 23:19

Czy po userinit.exe jest przecinek? Ma to wyglądać dokładnie tak:

Kod: Zaznacz wszystko: [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] "Userinit"="C:\WINDOWS\system32\userinit.exe,"

Pobierz program Malwarebytes' Anti-Malware i zainstaluj.
Wersja freeware nie ma opcji automatycznych aktualizacji, dlatego pod koniec instalacji upewnij się, że zaznaczone są opcje:
- Update Malwarebytes' Anti-Malware
- Launch Malwarebytes' Anti-Malware
Wciśnij Finish.
Przeprowadź pełne skanowanie komputera.
Raport z tego skanowania proszę wkleić na forum w tagach [code], lub na stronie http://www.wklej.org a w odpowiedzi podać tylko linka do tej strony.

**Posty:** 12 · przez **cdyone** 16 Lis 2009, 23:44

Tak, jest przecinek.
Zrobiłem skan, usunąłem to co wykryło, jednak to nic nie dało. A myślisz może, że powiększenie pamięci wirtualnej by coś dało? Tylko nie wiem czy jest ta opcja dostępna w trybie awaryjnym. Poniżej skan:

http://www.wklej.org/id/207609/

Już nie mam zielonego pojęcia od czego mi się tak robi...

**Posty:** 18165 · przez **wojtas** 16 Lis 2009, 23:51

Uruchom OTL i w oknie Custom Scans/Fixes wklej :

:OTL
PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation)
O4 - Startup: C:\Documents and Settings\All Users\Menu Start\Programy\Autostart\TDiagnostic.exe ()

:Files
C:\1a1dndah.exe
D:\1a1dndah.exe

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{db1b3e60-05ac-11de-a5d3-00001cd72a97}]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"SuperHidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"Hidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"ShowSuperHidden"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
@=""

:Commands
[emptytemp]
[start explorer]
[Reboot]

Kliknij w Run Fix. I potwierdz reset kompa .

Następnie uruchamiasz OTL z opcją Run Scan. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia kompa

Autor postu otrzymał pochwałę

**Posty:** 2183 · przez **NieWiem** 16 Lis 2009, 23:52

Wojtas, wybacz, ale to będzie mało...

C:\Documents and Settings\cdy\Ustawienia lokalne\temp\eja1.tmp (Worm.Parite) -> No action taken.

Wszystko jasne. Prawdopodobnie Win32.Parite.B => Infekcja ta nie ma żadnych objawów, poza ogólnym kiepskim działaniem systemu, przenosi się też przez pendrive, a ostatnio ma jakiś dziwny wysyp... Jeśli to ona, to czarno to widzę.

Dobre wyniki w leczeniu ma też skaner Dr Web CureIt, jednakże czyszczenie tym programem spod działającego windowsa jest mało skutecznie, ponieważ uruchomione są pliki systemowe, które także są poinfekowane. O wiele lepszym (i nawet skutecznym!) rozwiązaniem jest wykonanie na innym, niezarażonym komputerze (czytaj: nie tym Twoim!) bootowalnej płyty Dr Web LiveCD i wykonanie z niej przynajmniej kilkukrotnie skanowania całego komputera. Pobieramy obraz ISO, który należy następnie wypalić na czystą płytę CD.

Od razu lojalnie uprzedzam: jeśli się nie uda, prawdopodobnie czeka Cię format wszystkiego bez wyjątku.

Autor postu otrzymał pochwałę

**Posty:** 12 · przez **cdyone** 16 Lis 2009, 23:59

Sprawdzę to jutro po powrocie ze szkoły. Napiszę nowego posta. Póki co dzięki za włożony trud i czas

. Do jutra!

Dodano Dzisiaj, 15:31:
Ok, zrobiłem to co radził wojtas, pomogło

.
Wrzucam skan z czyszczenia kompa i OTL.txt.

Skan:
http://www.wklej.org/id/208179/

OTL.Txt
http://www.wklej.org/id/208184/

Extras.Txt
http://www.wklej.org/id/208185/

Wielkie dzięki chłopaki! :ok:

**Posty:** 2183 · przez **NieWiem** 17 Lis 2009, 19:51

Ja Ci dobrze radzę: odpal Dr Weba, bo ja widzę w logu działający moduł

MOD - [2009-11-17 15:25:55 | 00,176,128 | ---- | M] () -- C:\Documents and Settings\cdy\Ustawienia lokalne\temp\pwa2.tmp

który na 99% infekuje Ci właśnie pliki wykonywalne...

**Posty:** 12 · przez **cdyone** 17 Lis 2009, 20:09

Masz rację... znów to samo. Ehh, kombinuję dalej

.

**Posty:** 2183 · przez **NieWiem** 17 Lis 2009, 20:15

Mówię Ci:

Bootowalna płyta Dr Web LiveCD
Wypalasz na jakimś innym kompie na czystym CD
z tej płyty odpalasz komputer i skanujesz, dopóki skan nie wykaże że czysto

Alternatywą jest format wszystkich partycji.

**Posty:** 12 · przez **cdyone** 17 Lis 2009, 20:23

Mam jeszcze małe pytanko...
Jeżeli już bym się decydował na format (choć i tak będę walczył do końca!

), to czy zostały zarażone pliki typu muzyka, filmy, obrazy?

Kto jest na forum