GAC_32 desktop.ini - koń trojański

[exceptional]

Witam,

dziś ESET Smart Security wypluł mi komunikat o znalezieniu infekcji. Próbowałem na różne sposoby temu zaradzić, jednak okazuje się, że mnie to przerosło. Próbowałem ComboFixa i kilku innych (m.in. coś od Kasperskiego), ale bez skutku. Mój system to siódemka x64 Ultimate. Z góry dzięki za pomoc

Extras.Txt

OTL.Txt

[Landuss]

Uruchom SystemLook x64 i do okna wklej:

 

:reg
HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
 
:filefind
services.exe

 

Klik w Look i przedstaw wynikowy raport.

[exceptional]

SystemLook 30.07.11 by jpshortstuff

Log created at 23:33 on 06/08/2012 by Wojtek

Administrator - Elevation successful

 

========== reg ==========

 

[HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}]

(Unable to open key - key not found)

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}]

@="Microsoft WBEM New Event Subsystem"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32]

@="C:\Windows\System32\wbem\wbemess.dll"

"ThreadingModel"="Both"

 

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}]

@="MruPidlList"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32]

@="%SystemRoot%\system32\shell32.dll"

"ThreadingModel"="Apartment"

 

 

========== filefind ==========

 

Searching for "services.exe"

C:\Windows\System32\services.exe --a---- 328704 bytes [23:19 13/07/2009] [01:39 14/07/2009] 24ACB7E5BE595468E3B9AA488B9B4FCB

C:\Windows\winsxs\amd64_microsoft-windows-s..s-servicecontroller_31bf3856ad364e35_6.1.7600.16385_none_2b54b20ee6fa07b1\services.exe --a---- 328704 bytes [23:19 13/07/2009] [01:39 14/07/2009] 24ACB7E5BE595468E3B9AA488B9B4FCB

 

-= EOF =-

[Landuss]

1. Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst:

 

:OTL
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = "http://www.bigseekpro.com/hypercam/{D1DA32EE-1187-4463-95A4-AB73EABCE0EA}"
IE - HKU\S-1-5-21-1815292658-3827259964-335566506-1000\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = "http://www.bigseekpro.com/hypercam/{D1DA32EE-1187-4463-95A4-AB73EABCE0EA}"
IE - HKU\S-1-5-21-1815292658-3827259964-335566506-1000\..\SearchScopes\{AD22EBAF-0D18-4fc7-90CC-5EA0ABBE9EB8}: "URL" = "http://www.daemon-search.com/search/web?q={searchTerms}"
IE - HKU\S-1-5-21-1815292658-3827259964-335566506-1000\..\SearchScopes\{AD22EBAF-0D18-4fc7-90CC-5EA0ABBE9EB9}: "URL" = "http://www.daemon-search.com/search/web?q={searchTerms}"
O2 - BHO: (no name) - {F5CC7F02-6F4E-4462-B5B1-394A57FD3E0D} - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - {95188727-288F-4581-A48D-EAB3BD027314} - No CLSID value found.
O4:64bit: - HKLM..\Run: [dhuac] C:\Users\Filip\AppData\Local\Temp\dhuac.dll (DT Soft Ltd.)
 
:Files
C:\Users\Filip\AppData\Local\{34323fd0-ee7e-3e99-02c2-25e192f8b027}
 
:Reg
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[HKEY_USERS\S-1-5-21-1815292658-3827259964-335566506-1000\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Kliknij w Wykonaj skrypt. Zatwierdź restart komputera.

 

2. Przez Panel sterowania odinstaluj: Ask Toolbar / Astroburn Toolbar / DAEMON Tools Toolbar / HyperCam Toolbar / Deinstalator Strony V9 / vShare.tv plugin 1.3 / YouTube Downloader Toolbar

 

3. Uruchom AdwCleaner z opcji Delete

 

4. Uruchamiasz OTL ponownie, tym razem wywołujesz opcję Skanuj. Pokazujesz nowy log z OTL (bez extras)

[exceptional]

Po restarcie ESET wykrył mi jakieś inne zagrożenia, ale nie zdążyłem zobaczyć gdzie, co i jak.

OTL2.Txt

[Landuss]

Nie do końca zostało to usunięte. Jeszcze jeden skrypt.

 

Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst:

 

:OTL
O4:64bit: - HKLM..\Run: [dhuac] C:\Users\Filip\AppData\Local\Temp\dhuac.dll (DT Soft Ltd.)
O4 - HKLM..\Run: [RegistryMonitor1] C:\Windows\system32\qtplugin.exe File not found
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Kliknij w Wykonaj skrypt. Zatwierdź restart komputera.

 

Uruchamiasz OTL ponownie, tym razem wywołujesz opcję Skanuj. Pokazujesz nowy log z OTL

[exceptional]

Oto raport

OTL3.Txt

[Landuss]

Teraz uznaję że jest OK. Przejdź do finalizacji tematu:

 

1. Użyj opcji Sprzątanie z OTL.

 

2. Opróżnij przywracanie systemu: KLIK

 

3. Zaktualizuj wymienione programy do najnowszych wersji:

 

"{26A24AE4-039D-4CA4-87B4-2F83216033FF}" = Java 6 Update 29

"{AC76BA86-7AD7-1045-7B44-A95000000001}" = Adobe Reader 9.5.1 - Polish

"Mozilla Firefox 12.0 (x86 pl)" = Mozilla Firefox 12.0 (x86 pl)

 

Szczegóły aktualizacyjne: KLIK

 

4. Dla bezpieczeństwa zmień hasła logowania do serwisów w sieci.

[exceptional]

Wygląda na to, że wszystko jest już dobrze. Dzięki

 

Niestety ESET znów wyskoczył z komunikatem, że znalazł trojana...

[Landuss]

Gdzie on to widzi? W jakiej lokalizacji i na jakim pliku?

Edytowane 12 Września 2012 przez picasso
12.09.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso