Prosze o sprawdzenie loga

**Posty:** 370 · przez **bracik1977** 07 Maj 2014, 21:42

Czekam jeszcze na raport z DDS . Czy anulowac.

**Posty:** 2183 · przez **NieWiem** 07 Maj 2014, 21:46

Wklej, ale i tak potem wykonaj raport z FRST ze środowiska zewnętrznego, bo coś mi się wydaje, że to tak łatwo nie pójdzie.

**Posty:** 370 · przez **bracik1977** 07 Maj 2014, 21:50

To sa logi z DDS.

**Posty:** 2183 · przez **NieWiem** 07 Maj 2014, 21:55

Dobra. Z tego co widzę, to infekcja ta i tak zmienia swoje parametry po każdym restarcie, więc musimy się jej pozbyć z zewnątrz. Czekam na raport z FRST ze środowiska zewnętrznego.

**Posty:** 370 · przez **bracik1977** 07 Maj 2014, 21:58

Teraz sie domyslam dlaczego mam takie problemy . Dwa albo trzy dni temu otwarlem wiadomosc ktora dostalem na poczte. Zawartosc przeczytalem i rachunek byl w PDF. I chyba to jest przyczyna tego problemu.
Z tym co mi podales zajmne sie jutro. Na dzisiaj starczy.

**Posty:** 2183 · przez **NieWiem** 07 Maj 2014, 22:03

Dokładnie tak - problemy się zaczęły dwa dni temu, 5 maja.
To nie był PDF, tylko exploit wprowadzający trojana do systemu.

Mam w sumie jeszcze jeden pomysł... O ile masz jeszcze chwilę czasu. Jak nie, to możemy zostawić sprawę do jutra

**Posty:** 370 · przez **bracik1977** 07 Maj 2014, 22:19

To pisz oco chodzi.

**Posty:** 2183 · przez **NieWiem** 07 Maj 2014, 22:23

DDS w przeciwieństwie do pozostałych powstał kompletny. Mogę spróbować usunąć to co widzę, tak myślę.

Próbujemy?

**Posty:** 370 · przez **bracik1977** 07 Maj 2014, 22:27

Probujemy. Bo ta metoda co mi podales wczesniej nie wiem czy podolam zadaniowi. Nie robilem takich zeczy jeszcze.I sie boje ze cos spiernicze, a z moim szczesciem to pewne.

**Posty:** 2183 · przez **NieWiem** 07 Maj 2014, 22:48

Przeczytaj uważnie instrukcję uruchomienia programu ComboFix.
Pobierz go, ale nie uruchamiaj. Zapisz na pulpicie.

Otwórz notatnik i wklej do niego zawartość ramki:

Kod: Zaznacz wszystko: KillAll:: DDS:: uRun: [samomomx] C:\Users\ADA\AppData\Roaming\Wipclhqbvc\xrjbikmomx.exe uRunOnce: [f83r] C:\ProgramData\nreu\kcfg.exe uRunOnce: [1afh] C:\ProgramData\hcbrhuw\doomi.exe uRunOnce: [qa52] C:\ProgramData\ofk\hreidmx.exe uRunOnce: [gskd] C:\ProgramData\fruxhv\cvlisuh.exe uRunOnce: [idby] C:\ProgramData\afqcuvs\flalpo.exe dRunOnce: [qa52] C:\ProgramData\ofk\hreidmx.exe dRunOnce: [1afh] C:\ProgramData\hcbrhuw\doomi.exe dRunOnce: [f83r] C:\ProgramData\nreu\kcfg.exe File:: C:\Users\ADA\AppData\Local\Temp\nsm567A.tmp\PEV.DAT C:\Users\ADA\AppData\Local\Temp\PEVZ.EXE Folder:: C:\Users\ADA\AppData\Local\Temp\nsm567A.tmp C:\ProgramData\icrf C:\Users\ADA\AppData\Roaming\Wipclhqbvc C:\ProgramData\nreu C:\ProgramData\hcbrhuw C:\ProgramData\ofk C:\ProgramData\fruxhv C:\ProgramData\afqcuvs C:\ProgramData\esrmqrp C:\ProgramData\tatc C:\ProgramData\xptnsdg C:\ProgramData\afqcuvs C:\ProgramData\pkcx C:\ProgramData\almagsi C:\Program Files (x86)\SupraSavings C:\Program Files\suprasavings C:\ProgramData\IePluginService C:\Program Files (x86)\SupTab C:\ProgramData\WPM C:\ProgramData\bmwpr C:\ProgramData\cotbpks C:\ProgramData\rqlf C:\ProgramData\iug C:\ProgramData\xtl C:\ProgramData\bxjkxy C:\ProgramData\nreu C:\ProgramData\dcrloep C:\ProgramData\tpfei C:\ProgramData\tbm C:\ProgramData\lcaun DirLook:: C:\Users\ADA\AppData\Roaming\systweak Registry:: [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] "Shell"="explorer.exe" Reboot::

Plik zapisz jako CFScript.txt
Przeciągnij i upuść ten plik na ikonę ComboFixa - to uruchomi proces.
Przeklej wynikowy raport.

Infekcją ta zmienia parametry po restarcie, więc jeśli przed zaaplikowaniem skryptu zrobiłeś reset, skrypt na nic. Wtedy daj znać.

**Posty:** 370 · przez **bracik1977** 08 Maj 2014, 18:44

Robilem tak jak napisales jw w poscie. Ale jest kolejny problem jak przeciagam scrypt na ikone Combofixa zaczyna sie uruchamiac. Proces leci ale za pare sekund mam taki komunikat ze PEV.3XE i iexplore.exe nie funkcjonuja. I nie moge wykonc scana.
A mam takie pytanie czy by bie bylo latwiej przywrocic fabryczne ustawienia komputera. Czy by to rozwiazalo moj problem?

**Posty:** 2183 · przez **NieWiem** 08 Maj 2014, 20:10

Przywrócenie fabrycznych ustawień = prawie jak format. Jeśli chcesz to możesz, ale ja ciągle uważam, że możemy sprawę rozwiązać bez tego.

Wybieraj.

**Posty:** 370 · przez **bracik1977** 08 Maj 2014, 20:48

Tylko sie tak zapytalem. A co twierdzisz o tym problemie z Combofixem. To znaczy zostala mi opcja co wczoraj mi podales.

**Posty:** 2183 · przez **NieWiem** 09 Maj 2014, 07:44

Wygląda mi na to, że niektóre składniki CF są po prostu atakowane przez trojana. Na szczęście ComboFix nie jest jedynym narzędziem, jakie mam w arsenale na takie okazje, więc myślę, że spokojnie możemy sobie też poradzić bez niego.
Problemem jest chyba zmienność infekcji, to znaczy wszystko musi być wykonane podczas jednego kroku. Czytaj - napisz mi kiedy będziesz, o której godzinie i spróbujemy dogadać jakiś taki termin, żeby godzinę posiedzieć przed komputerem i zasadniczą część infekcji usunąć.

**Posty:** 370 · przez **bracik1977** 09 Maj 2014, 19:04

Witam.
Co do tego terminu pasuje mi w sobote, a godzina to podaj to dostosuje sie od 9.00 jestem dostepny.

**Posty:** 2183 · przez **NieWiem** 10 Maj 2014, 12:55

Wygeneruj i wklej nowy raport z DDS, a potem jak się zjawisz to będziemy do oporu kombinować

**Posty:** 370 · przez **bracik1977** 10 Maj 2014, 17:30

Nie moge wykonac raportu z DDS bo znowu podczas uruchomienia programu mam takie komunikaty jak PEV.DAT nie funkcjonuje.

**Posty:** 2183 · przez **NieWiem** 10 Maj 2014, 17:39

Nosz...

Dobrze, będziemy gryźć to badziewie ile trzeba.

Pobierz OTS i zapisz na pulpicie.
Uruchom z prawokliku jako administrator.
Zaznacz u góry opcję Scan All Users.
Nic nie zmieniaj w konfiguracji, tylko w oknie po prawej na dole kliknij Extras.

Wciśnij Run Scan i poczekaj. Powatanie raport. Tego raportu nie załączaj, ale wklej go w poście.

**Posty:** 370 · przez **bracik1977** 10 Maj 2014, 18:07

Wyslalem raport ze scanowania do Ciebie ale nie mam pewnosci czy doszlo. Bo mi tu wszystko tak zamula i szfankuje.

**Posty:** 2183 · przez **NieWiem** 10 Maj 2014, 18:30

ale gdzie go wysłałeś? miałeś mi go w poście wkleić!!

Kto jest na forum