Podejrzenie zainfekowania wirusem sality...

**Posty:** 15 · przez **rekin85** 12 Lis 2010, 09:40

Witam was.Postanowiłem tu napisać a nie zakładać nowego tematu gdyż też mam podejrzenia co do Win32:sality
Zacznę od początku jak to wyglądało.
Kobieta chodziła sobie po necie.Znalazła jakąś stronę z fryzurami.Trzeba tam było wrzucić jakieś swoje zdjęcie i się tam obrabiało to zdjęcie itp.( wiecie o co chodzi)
W momencie wrzucenia zdjęcia Avast zakomunikował o wirusie win32:sality.
W mgnieniu oka zablokował 160 plików.Ale nie zarażał plików lecz foldery.
Postanowiłem uruchomić Avasta podczas rozruchu.Wszystkie pliki dałem do kwarantanny.
Później je usunąłem.Narazie mam spokój.Żadnych komunikatów ze strony Avasta nie mam.Ale chciałbym abyście spojrzeli w logi i ewentualnie pomogli wyczyścić system (może jakieś pozostałości zostały)
Dodam że wirus zaraził tylko pliki na dysku K z którego było ładowane zdjęcie oraz pliki do przywracania systemu.
Przywracanie obecnie mam wyłączone.A nie chce tracić żadnych danych na dysku zewnętrznym (dysk J: K: L:)
Wrzucam logi z OTL-a USBFix-a oraz Combofix-a.Na dodatek miałem problem z ikonami dysku (widniały jako nierozpoznawalne pliki.Combofix to naprawił i jest teraz ok)

Log z OTL-a http://wklej.org/id/417426/
Log z Extras http://wklej.org/id/417428/
Log z Gmera http://wklej.org/id/417432/
Log z Combofix-a http://www.wklej.org/id/417339/
Log z UsbFix-a http://www.wklej.org/id/417340/

Dodam że skanowałem kompa też SalityKiller ale on nic nie znalazł.Zbadał jedynie dyski C: D: E: a czemu nie zbadał dysku usb??
Tak samo skanowałem Malwarebytes i też nic nie znalazł.

**Posty:** 8001 · przez **Okocza** 12 Lis 2010, 16:43

rekin85, otwórz notatnik i wklej:

Kod: Zaznacz wszystko: Files:: c:\windows\Setup_ck.exe c:\windows\Setup_ck.dll c:\windows\ktkm9.dll c:\windows\ktkm7.dll c:\windows\ktkm6.dll c:\windows\ktkm5.dll c:\windows\ktkm37.dll c:\windows\ktkm35.dll c:\windows\ktkm31.dll c:\windows\ktkm27.dll c:\windows\ktkm25.dll c:\windows\ktkm24.dll c:\windows\ktkm21.dll c:\windows\ktkm19.dll c:\windows\ktkm17.dll c:\windows\ktkm13.dll c:\windows\ktkm11.dll C:\windows\ktkm10.dll c:\windows\ktkm1.dll c:\windows\Ckrfresh.exe c:\windows\system32\corojdk11.dll c:\windows\ktkm33.dll c:\windows\ktkm32.dll c:\windows\ktkm30.dll c:\windows\ktkm29.dll c:\windows\ktkm28.dll c:\windows\ktkm26.dll c:\windows\ktkm23.dll c:\windows\ktkm22.dll c:\windows\ktkm20.dll c:\windows\ktkm18.dll c:\windows\ktkm16.dll c:\windows\ktkm15.dll c:\windows\ktkm14.dll c:\windows\ktkm12.dll c:\windows\Ckconfig.exe

zapisz jako CFScript.txt i przeciągnij ikonkę CFScrpit.txt na ikonkę combofix.exe daj log jaki się wygeneruje

**Posty:** 15 · przez **rekin85** 12 Lis 2010, 20:30

Nowy log http://www.wklej.org/id/417731/

**Posty:** 18165 · przez **wojtas** 13 Lis 2010, 20:21

przeskanuj :
http://www.programosy.pl/program,dr-web-cureit.html
pokaż raport

odpal USBFix z opcji Deletion.

**Posty:** 15 · przez **rekin85** 19 Lis 2010, 01:07

Przepraszam że długo nie odpisywałem lecz moj komp tak to skanował że musiałem na raty skanować bo by tydzień się skanowało i pewnie by się nie zakończyło.Dr.Web nie wyświetlił mi żadnego loga (nie wiem czemu).Jedynie co mogę to napisać wam co i gdzie znalazł (te pliki co umieścił w kwarantannie bo reszte usunął).A więc tak:
na dysku C znalazł : combofix-a , A0001313.dll , CRP32DLL.DLL , ale czym zarażone to nie wiem.
dysk D,E czysty
Dysk USB :
dysk J: jakieś pliki w punktach przywracania (wszystkie zostały usunuete)
dysk K: folder.htt\vbscript.1 K:\nawigacja\folder.htt Trojan.AppActXComp
folder.htt K:\nawigacja Kontener zawiera zainfekowane obiekty Przeniesiony.
folder.htt\vbscript.1 K:\programy\folder.htt Trojan.AppActXComp
folder.htt K:\programy Kontener zawiera zainfekowane obiekty Przeniesiony.
folder.htt\vbscript.1 K:\programy\Grafika\folder.htt Trojan.AppActXComp
folder.htt K:\programy\Grafika Kontener zawiera zainfekowane obiekty Przeniesiony.
dysk L czysty

Log z Usb Fix-a z opcji deletion : http://www.wklej.org/id/421741/
W folderze Dr.Web jest jeszcze jakiś plik CureIt który zajmuje 132 MB jest to plik tekstowy jest to jakiś duży log z całkowitego skanowania lecz jest zbyt duży by go wgrać na jakiś serwer.Dodatkowo są jeszcze jakieś 4 pliki w kwarantannie :
descript.ion , host , host_0

Wiem że dziwnie to wygląda ale starałem się wam opisać to co ja widze i wiem.

**Posty:** 18165 · przez **wojtas** 19 Lis 2010, 17:37

zrób pełny skan Malwarebytes Anti-Malware (zaktualizuj, usuń co znajdzie ) i pokaż raport na forum

**Posty:** 15 · przez **rekin85** 21 Lis 2010, 00:52

Nowy log http://www.wklej.org/id/423107/

**Posty:** 18165 · przez **wojtas** 21 Lis 2010, 02:25

napisz jak sytuacja?

**Posty:** 15 · przez **rekin85** 21 Lis 2010, 14:11

Wszystko wygląda ok.Chociaż jak uruchamiałem Malwarebytes to zaś ikonki zmieniły się na nierozpoznawalne.Ma to jakieś powiązanie z tym programem ale jakie to nie wiem.Jak skończył skan to uruchomiłem jeszcze raz combofix-a i naprawił te ikonki.Ale nasuwa się pytanie czemu się zmieniają jak tylko uruchomię Malwarebytes??

Kto jest na forum