Infekcja TR/ATRAPS.Gen2 i TR/ATRAPS.Gen, Win XP

[0ula0]

Dzień dobry,

 

Dzisiaj Avira zakomunikowała infekcję TR/ATRAPS.Gen2 i TR/ATRAPS.Gen, po przeskanowaniu Malwarebytes okazało się, że prawdopodobnie komp zainfekowany jest rootkitem ZeroAcces. Wcześniej występował również problem z Live Security Platinum (myślałam, że Malwarebytes poradził sobie z tą infekcją )

Dodatkowo nie działa Centrum Zabezpieczeń Windows.

 

Results of screen317's Security Check version 0.99.43

Windows XP Service Pack 3 x86

Internet Explorer 8

``````````````Antivirus/Firewall Check:``````````````

Windows Security Center service is not running! This report may not be accurate!

Avira Free Antivirus

Avira successfully updated!

`````````Anti-malware/Other Utilities Check:`````````

MVPS Hosts File

Malwarebytes Anti-Malware wersja 1.62.0.1300

CCleaner

Java™ 6 Update 31

Java™ 7 Update 4

Java version out of Date!

Adobe Flash Player 11.3.300.270

Adobe Reader X (10.1.3)

Mozilla Firefox (14.0.1)

Mozilla Thunderbird 13.0.1 Thunderbird out of Date!

````````Process Check: objlist.exe by Laurent````````

Avira Antivir avgnt.exe

Avira Antivir avguard.exe

`````````````````System Health check`````````````````

Total Fragmentation on Drive C::

````````````````````End of Log``````````````````````

 

gmer.txt

OTL.Txt

Extras.Txt

[Landuss]

Uruchom SystemLook, w oknie wklej:

 

:reg
HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
 
:filefind
services.exe

 

Klik w Look. Przedstaw wynikowy raport.

[0ula0]

Dzięki za odzew.

Oto raport wynikowy z SystemLook

 

SystemLook 30.07.11 by jpshortstuff

Log created at 16:38 on 06/08/2012 by Właściciel

Administrator - Elevation successful

 

========== reg ==========

 

[HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}]

(No values found)

 

[HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InprocServer32]

"ThreadingModel"="Both"

@="C:\Documents and Settings\Właściciel\Ustawienia lokalne\Dane aplikacji\{12be6a67-22b8-327c-7ce9-fa2c7338b308}\n."

 

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}]

@="Microsoft WBEM New Event Subsystem"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32]

@="\\.\globalroot\systemroot\Installer\{12be6a67-22b8-327c-7ce9-fa2c7338b308}\n."

"ThreadingModel"="Both"

 

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}]

@="MruPidlList"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32]

@="%SystemRoot%\system32\shdocvw.dll"

"ThreadingModel"="Apartment"

 

 

========== filefind ==========

 

Searching for "services.exe"

C:\WINDOWS\$hf_mig$\KB956572\SP3QFE\services.exe --a---- 111104 bytes [08:41 17/04/2009] [11:19 09/02/2009] 8816E60BF654353E8E0D35ED98875445

C:\WINDOWS\$NtUninstallKB956572$\services.exe -----c- 109056 bytes [18:59 17/04/2009] [20:51 14/04/2008] 3E3AE424E27C4CEFE4CAB368C7B570EA

C:\WINDOWS\system32\services.exe --a---- 111104 bytes [20:51 14/04/2008] [11:25 09/02/2009] 02A467E27AF55F7064C5B251E587315F

C:\WINDOWS\system32\dllcache\services.exe --a--c- 111104 bytes [20:51 14/04/2008] [11:25 09/02/2009] 02A467E27AF55F7064C5B251E587315F

 

-= EOF =-

[Landuss]

1. Start > uruchom > cmd i wklep te polecenia:

 

reg delete HKCU\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /f

 

reg add HKLM\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /ve /t REG_SZ /d C:\WINDOWS\system32\wbem\wbemess.dll /f

 

2. Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst:

 

:OTL
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\usbser_lowerflt.sys -- (upperdev)
DRV - File not found [Kernel | Disabled | Stopped] -- System32\Drivers\sptd.sys -- (sptd)
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\drivers\nmwcdnsuc.sys -- (nmwcdnsuc)
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\drivers\nmwcdnsu.sys -- (nmwcdnsu)
DRV - File not found [File_System | Disabled | Stopped] -- system32\DRIVERS\Lbd.sys -- (Lbd)
DRV - File not found [Kernel | On_Demand | Unknown] -- C:\DOCUME~1\WACICI~1\USTAWI~1\Temp\kwrciaob.sys -- (kwrciaob)
O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
 
:Files
C:\WINDOWS\Installer\{12be6a67-22b8-327c-7ce9-fa2c7338b308}
C:\Documents and Settings\Właściciel\Ustawienia lokalne\Dane aplikacji\048b99d0
C:\Documents and Settings\All Users\Dane aplikacji\036DFF85EF7763386169E70D81CB3F95
C:\Documents and Settings\Właściciel\Ustawienia lokalne\Dane aplikacji\{12be6a67-22b8-327c-7ce9-fa2c7338b308}
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Kliknij w Wykonaj skrypt. Zatwierdź restart komputera.

 

3. Zresetuj plik HOSTS do postaci domyślnej za pomocą automatycznego narzędzia Fix-it: KLIK

 

4. Uruchamiasz OTL ponownie, tym razem wywołujesz opcję Skanuj. Pokazujesz nowy log z OTL (bez extras) oraz nowy z SystemLook.

[0ula0]

Wszystko zrobione wedle instrukcji.

Nie wiem, czy to ma znaczenie, ale po wykonaniu skryptu OTL i zatwiedzeniu okna z prośbą o restart - komp nie chciał się zrestartować (cały czas widniał napis trwa zamykanie sytemu). Musiałam wykonanać restart z przycisku na obudowie.

 

Poniżej logi z OTL oraz z SystemLook:

 

SystemLook 30.07.11 by jpshortstuff

Log created at 20:24 on 06/08/2012 by Właściciel

Administrator - Elevation successful

 

========== reg ==========

 

[HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}]

(Unable to open key - key not found)

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}]

@="Microsoft WBEM New Event Subsystem"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32]

@="C:\WINDOWS\system32\wbem\wbemess.dll"

"ThreadingModel"="Both"

 

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}]

@="MruPidlList"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32]

@="%SystemRoot%\system32\shdocvw.dll"

"ThreadingModel"="Apartment"

 

 

========== filefind ==========

 

Searching for "services.exe"

C:\WINDOWS\$hf_mig$\KB956572\SP3QFE\services.exe --a---- 111104 bytes [08:41 17/04/2009] [11:19 09/02/2009] 8816E60BF654353E8E0D35ED98875445

C:\WINDOWS\$NtUninstallKB956572$\services.exe -----c- 109056 bytes [18:59 17/04/2009] [20:51 14/04/2008] 3E3AE424E27C4CEFE4CAB368C7B570EA

C:\WINDOWS\system32\services.exe --a---- 111104 bytes [20:51 14/04/2008] [11:25 09/02/2009] 02A467E27AF55F7064C5B251E587315F

C:\WINDOWS\system32\dllcache\services.exe --a--c- 111104 bytes [20:51 14/04/2008] [11:25 09/02/2009] 02A467E27AF55F7064C5B251E587315F

 

-= EOF =-

OTL.Txt

[Landuss]

Wszystko poprawnie wykonane. Przejdź do finalizacji tematu:

 

1. Użyj opcji Sprzątanie z OTL.

 

2. Opróżnij przywracanie systemu: KLIK

 

3. Zaktualizuj wymienione programy do najnowszych wersji:

 

"{26A24AE4-039D-4CA4-87B4-2F83216033FF}" = Java 7 Update 4

"Mozilla Thunderbird 13.0.1 (x86 pl)" = Mozilla Thunderbird 13.0.1 (x86 pl)

 

Szczegóły aktualizacyjne: KLIK

 

4. Dla bezpieczeństwa zmień hasła logowania do serwisów w sieci.

[0ula0]

Wszystko wykonałam zgodnie z zaleceniami, oprócz tego zrekonstruowałam Centrum Zabezpieczeń oraz zaporę Windows (bo niestety nie działało) zgodnie zaleceniami z tego forum.

Wygląda na to, że wszystko teraz jest ok.

 

Pięknie dziękuję za pomoc oraz poświęcony czas.