Skocz do zawartości
Ten temat
WAŻNE - Zakładanie tematu: obowiązkowe logi

Blokada komputera - UKASH

matip125

Przez matip125
w Dział pomocy doraźnej

Rekomendowane odpowiedzi

matip125

matip125

Opublikowano
Opublikowano

Witam!

 

Wczoraj dopadla mnie blokada komputera znanego wszystkim wirusa...

Cale szczescie korzystanie z PC jest nie mozliwe z jednego konta na komputerze, a drugie ZWYKLEGO UZYTKOWNIKA (nie administratora) normalnie chodzi co mnie zdziwilo.

Probowalem nawiazac polaczenie z TRYBEM AWARYJNYM - ale bez skutku laczy sie i w pewnej chwili sie zawiesza.

Przesylam logi z OTL'a i bardzo prosze o pomoc z waszej strony!

 

 

Pozdrawiam!

OTL.TxtPobieranie informacji ...

Extras.TxtPobieranie informacji ...

Odnośnik do komentarza
Pomoc jest darmowa, ale proszę rozważ przekazanie dotacji na utrzymanie serwisu: klik.
picasso

picasso

Opublikowano
Opublikowano
  Cytat
Cale szczescie korzystanie z PC jest nie mozliwe z jednego konta na komputerze, a drugie ZWYKLEGO UZYTKOWNIKA (nie administratora) normalnie chodzi co mnie zdziwilo.

 

Usuwanie będzie wymagało uprawnień administracyjnych, niestety z poziomu konta ograniczonego zapomnij o skryptach etc, bo wszystko wymaga uprawnień administracyjnych. Poza tym, zalogowanie na dane konto ma poważny wpływ na zawartość logów. Marta a MaTI = tu jest poważna różnica w rejestrze i folderach kont.

 

  Cytat
Probowalem nawiazac polaczenie z TRYBEM AWARYJNYM - ale bez skutku laczy sie i w pewnej chwili sie zawiesza.

 

Opisz o co Ci chodzi. Zamiast Trybu awaryjnego odetnij po prostu sieć, podobno wtedy infekcja nie jest zdolna podsunąć tej planszy blokującej.

 

 

UKASH to Twój najmniejszy problem. W systemie działa trojan ZeroAccess, który czyni także poważny szkody (kasuje z rejestru usługi). Wymagane dodatkowe skany, z poziomu konta MaTI.

 

1. Uruchom SystemLook x64 i w oknie wklej:

 

:reg
HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
 
:filefind
services.exe

 

Klik w Look i przedstaw log.

 

2. Wygeneruj także log z Farbar Service Scanner. Zaznacz wszystkie opcje.

 

 

 

.

Odnośnik do komentarza
matip125

matip125

Opublikowano
  • Autor
Opublikowano

Czyli mam odlaczyc siec i zrobic skana z konta ograniczonego?

 

Wejscia w tryb awaryjny wyglada nastepujaco:

F8 - tryb awaryjny (wszystkie po kolei probowalem)

Zaczyna sie wyszukiwanie plikow systemu windows po 5sec wyszukiwania staje w miejscu i pisze CZEKAJ...

Wczoraj wieczorem wlaczylem i mysle moze ruszy, ale przez cala noc nawet nie drgnelo.

Co to moze byc?

Jak na to zaradzic?

 

A i gdyby byl jakis pomysl, aby to uruchomic, to prosze o wskazowki (lub link do takich wskazowek) jak wlaczyc te wszystkie programy w trybie awaryjnym.

 

Ps. Dziekuje za pierwsza odpowiedz.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano
  Cytat
Czyli mam odlaczyc siec i zrobic skana z konta ograniczonego?

 

Nie, przecież logi dałeś mi właśnie z konta ograniczonego Marta:

 

Computer Name: MATI-KOMPUTER | User Name: Marta | NOT logged in as Administrator.

 

Masz odciąć sieć (kable wypięte), zalogować się na konto administratorskie MaTI i zrobić skany o które proszę.

 

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Na pewno robisz to dostatecznie szybko? Wpisem infekcji UKASH jest ten, ale oznaczony jako "not found", co nie wiadomo jak interpretować w obliczu faktu, że infekcja jest czynna (może to już nieaktualne i jest inny wpis):

 

O4:64bit: - HKLM..\Run: [tcpmonui] E:\Users\MaTI\AppData\Local\Microsoft\Windows\3659\tcpmonui.exe File not found

 

Wstępnie szukaj do zabijania w menedżerze zadań procesu tcpmonui.exe.

 

Jak mówię, ta infekcja nie jest tu najgorszą, w systemie jest bardziej inwazyjny trojan i muszę pobrać o nim dane poprzez narzędzia podane wcześniej.

 

 

 

.

Odnośnik do komentarza
  • 2 tygodnie później...
picasso

picasso

Opublikowano
Opublikowano

Między logami z OTL jest różnica, tzn. w drugim brak widocznych folderów ZeroAccess na dysku, a że upłynął spory czas trudno powiedzieć czy one się zregenerowały (będę to sprawdzać). Niemniej log z SystemLook poświadcza obecne modyfikacje ZeroAccess w rejestrze.

 

1. Otwórz Notatnik i wklej w nim:

 

reg delete HKCU\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /f
reg add HKLM\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /ve /t REG_EXPAND_SZ /d %%systemroot%%\system32\wbem\wbemess.dll /f
netsh winsock reset
netsh advfirewall reset

 

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.BAT

 

Adnotacja dla innych czytających: batch unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Z prawokliku na plik FIX.BAT wybierz opcję "Uruchom jako Administrator". Zresetuj ręcznie system.

 

2. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL


IE - HKLM\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2A69}: "URL" = "http://search.bearshare.com/web?src=ieb&q={searchTerms}"


IE - HKU\S-1-5-21-2647105612-3883565987-1890095508-1001\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2A69}: "URL" = "http://search.bearshare.com/web?src=ieb&q={searchTerms}"


IE - HKU\S-1-5-21-2647105612-3883565987-1890095508-1001\..\SearchScopes\{AD22EBAF-0D18-4fc7-90CC-5EA0ABBE9EB8}: "URL" = "http://www.daemon-search.com/search/web?q={searchTerms}"


FF - prefs.js..browser.search.defaultenginename: "Web Search..."


FF - prefs.js..browser.search.order.1: "BearShare Web Search"


O3:64bit: - HKLM\..\Toolbar: (DAEMON Tools Toolbar) - {32099AAC-C132-4136-9E9A-4E364A424E17} - E:\Program Files (x86)\DAEMON Tools Toolbar\DTToolbar64.dll File not found


O3:64bit: - HKU\S-1-5-21-2647105612-3883565987-1890095508-1001\..\Toolbar\WebBrowser: (DAEMON Tools Toolbar) - {32099AAC-C132-4136-9E9A-4E364A424E17} - E:\Program Files (x86)\DAEMON Tools Toolbar\DTToolbar64.dll File not found


O4:64bit: - HKLM..\Run: [tcpmonui] E:\Users\MaTI\AppData\Local\Microsoft\Windows\3659\tcpmonui.exe File not found


O4:64bit: - HKLM..\Run: [wancp] E:\Users\MaTI\AppData\Local\Temp\wancp.dll (DT Soft Ltd)


O4 - HKU\S-1-5-21-2647105612-3883565987-1890095508-1001..\Run: [15u225bkgq] E:\Users\MaTI\15u225bkgq.exe ()


O4 - HKU\S-1-5-21-2647105612-3883565987-1890095508-1001..\Run: [mssend] E:\Users\MaTI\AppData\Roaming\xcho1ekjar1zqyrd22hdanrvvgzuotwy2\svcnost.exe (StompSoft, Inc.)


O4 - HKU\S-1-5-21-2647105612-3883565987-1890095508-1001..\Run: [qqrepkt3zf] E:\Users\MaTI\qqrepkt3zf.exe ()


 


:Files


E:\Users\MaTI\AppData\Local\Microsoft\Windows\3659


E:\Users\MaTI\AppData\Roaming\hellomoto


E:\Users\MaTI\AppData\Roaming\xcho1ekjar1zqyrd22hdanrvvgzuotwy2


E:\found.*


 


:Reg


[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]


"Start Page"="about:blank"


[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]


"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"


[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes]


"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"


 


:Commands


[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany i otworzy się log z wynikami usuwania.

 

3. Przez Panel sterowania odinstaluj adware MediaBar oraz pozycję mIRC (w Twoim logu elementy zbieżne z tym: KLIK).

 

4. Zrób nowy log OTL z opcji Skanuj (już bez Extras) oraz SystemLook na warunki:

 

:reg


HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s


HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s


HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s


 


:folderfind


{ee4f1e86-dc1f-8db3-1061-5202f1900415}

 

 

 

 

.

Odnośnik do komentarza
  • 2 tygodnie później...
  • 1 miesiąc temu...
matip125

matip125

Opublikowano
  • Autor
Opublikowano

SystemLook 30.07.11 by jpshortstuff

Log created at 02:52 on 06/10/2012 by MaTI

Administrator - Elevation successful

 

========== filefind ==========

 

Searching for "services.exe"

E:\Windows\System32\services.exe --a---- 328704 bytes [23:19 13/07/2009] [01:39 14/07/2009] 24ACB7E5BE595468E3B9AA488B9B4FCB

E:\Windows\winsxs\amd64_microsoft-windows-s..s-servicecontroller_31bf3856ad364e35_6.1.7600.16385_none_2b54b20ee6fa07b1\services.exe --a---- 328704 bytes [23:19 13/07/2009] [01:39 14/07/2009] 24ACB7E5BE595468E3B9AA488B9B4FCB

 

-= EOF =-

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Plik nie jest naruszony. W związku z tym te obiekty ZeroAccess wyglądają na odpadki. Przejdź do usuwania infekcji:

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
O4 - HKU\S-1-5-21-2647105612-3883565987-1890095508-1001..\Run: [Atdeq] E:\Users\MaTI\AppData\Roaming\Ohmyci\lyin.exe (EAGLE TECH)
O7 - HKU\S-1-5-21-2647105612-3883565987-1890095508-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HideSCAHealth = 1
 
:Files
E:\Windows\assembly\GAC_32\Desktop.ini
E:\Windows\assembly\GAC_64\Desktop.ini
E:\Windows\Installer\{ee4f1e86-dc1f-8db3-1061-5202f1900415}
E:\Users\MaTI\AppData\Local\{ee4f1e86-dc1f-8db3-1061-5202f1900415}
E:\Users\MaTI\AppData\Roaming\Saab
E:\Users\MaTI\AppData\Roaming\Loaqhe
E:\Users\MaTI\AppData\Roaming\Esdigy
E:\Users\MaTI\AppData\Roaming\Zaota
E:\Users\MaTI\AppData\Roaming\Upul
E:\Users\MaTI\AppData\Roaming\Onor
E:\Users\MaTI\AppData\Roaming\Ohmyci
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany.

 

2. Do wykonania zaległa sprawa z poprzednich instrukcji:

 

  picasso napisał(a):
3. Przez Panel sterowania odinstaluj adware MediaBar oraz pozycję mIRC (w Twoim logu elementy zbieżne z tym: KLIK).

 

Jeśli Panel sterowania nadal będzie zwracał błąd, to sprawdź czy jesteś w stanie uruchomić plik E:\Windows\System32\appwiz.cpl, który dałby dostęp do deinstalacji.

 

3. Zrób nowy log OTL z opcji Skanuj. Dołącz log z wynikami usuwania powstały w punkcie 1.

 

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano
  Cytat
Panel sterowania nadal nie dziala jedynie udalo mi sie usunac pozycję mIRC.

 

Nie rozumiem, skoro byłeś zdolny usunąć mIRC to dlaczego nie MediaBar?

 

 

  Cytat
W zaden sposob nie moge odnalesc pliku appwiz.cpl

 

Czy na pewno masz włączone pokazywanie rozszerzeń? Klawisz z flagą Windows + R i w polu Uruchom wklej E:\Windows\System32\appwiz.cpl. Czy to zwraca błąd?

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano
  Cytat
Odnalazlem ten plik appwiz.cpl, ale nie darady jego uruchomic, a gdy chce go usunac wyskakuje komunikat

 

Mój Boże, ale dlaczego Ty chcesz go usuwać? Na szczęście plik blokują uprawnienia. Ten plik jest apletem Dodaj / Usuń programy i nie kazałam go usuwać (!) tylko uruchomić. Jego uruchomienie miało być obejściem dostępowym przy nieuruchamiającym się Panelu sterowania. Co to znaczy "nie daje rady go uruchomić"? Jaki błąd?

 

 

  Cytat
Nie wiem w ktorym miejscu znajduje sie MEDIABAR.

 

Na liście zainstalowanych programów. W jaki sposób usunąłeś mIRC, skoro MediaBar nie możesz znaleźć?

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Teraz już wychodzę z domu i nie mogę prowadzić tematu. Jak wrócę, to przemyślę sprawę z tymi błędami.

 

 

  Cytat
Co do Mirc'a poprostu wiedzialem w ktorym miejscu byl zainstalowany.

 

Z tego co rozumiem to skasowałeś po prostu ... folder? Czyli: nie odinstalowany i tyle. Zupełnie nie o to mi chodziło, bo ta metoda to nieprawidłowe usuwanie, brutalne połowiczne operacje zostawiające kupę wpisów w rejestrze. Zresztą w logu z OTL widać, że coś źle "poszło", bo wpisy startowe po tym nadal są. Nie podejmuj już żadnych innych działań na własną rękę. Zajmę się doczyszczeniem tego co namieszałeś jak wrócę.

 

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano (edytowane)

Wstępnie spróbuj przerejestrowania bibliotek systemowych:

 

1. Z prawokliku na C:\Windows\system32\cmd.exe wybierz opcję Uruchom jako Administrator. W linii komend wklej:

 

for %i in (C:\Windows\system32\*.dll) do regsvr32.exe /s %i

 

Wykonanie tej komendy potrwa ... Poczekaj aż komenda ukończy, czyli nastąpi przejście do nowej linii i ustawienie znaku zachęty na C:\Windows\System32>.

 

2. Zresetuj system. Podaj czy jest jakaś zmiana.

 

 

.

Edytowane przez picasso
9.11.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso
Odnośnik do komentarza
Gość
Ten temat został zamknięty. Brak możliwości dodania odpowiedzi.
Tematy

  • Ostatnio przeglądający   0 użytkowników

    • Brak zarejestrowanych użytkowników przeglądających tę stronę.
×
×
  • Dodaj nową pozycję...