Infekcja XP - brak możliwości wejścia na strony Microsoft itd.

[cygan]

Witam,

 

napotkałem dziś ciekawy problem. Nie mogę wejśc na strony Microsoft.com czy Avast.com.

prosiłbym o pomoc w tej kwestii.

 

Poniżej pliki do sprawdzenia:

 

OTL - http://wklej.org/id/825219/

 

Extras - http://wklej.org/id/825220/

 

Pozdrawiam i z góry dziękuję za pomoc.

[picasso]

Proszę o dostarczenie obowiązkowego raportu z GMER. Znaki w OTL w sekcji usług (plus charakterystyczne objawy) wskazują na rootkita.

[cygan]

Witam,

 

brakujący raport:

 

GMER - http://wklej.org/id/826207/

 

Pozdrawiam

[picasso]

Owszem, GMER widzi usługi jako ukryte.

 

1. Przejdź w Tryb awaryjny Windows. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
SRV - [2008-04-15 14:00:00 | 000,166,048 | RHS- | M] () [Auto | Stopped] -- C:\WINDOWS\system32\aiqhlw.dll -- (wujol)
SRV - [2008-04-15 14:00:00 | 000,166,048 | RHS- | M] () [Auto | Stopped] -- C:\WINDOWS\system32\aiqhlw.dll -- (rosoni)
DRV - [2011-10-10 10:54:07 | 000,004,096 | ---- | M] () [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\02.tmp -- (pfexlmcy)
DRV - [2009-11-10 23:54:01 | 000,004,096 | ---- | M] () [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\01.tmp -- (qlhsrd)
NetSvcs: wujol - File not found
NetSvcs: rosoni - File not found
 
:Reg
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
"4759:TCP"=-
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany, otworzy się log z wynikami usuwania.

 

2. Zrób nowy log OTL z opcji Skanuj (już bez Extras) + GMER. Dołącz log z usuwania OTL z punktu 1.

 

 

 

.

[cygan]

Skrypt zrobiony.

 

Poniżej pliki po operacji:

 

OTL - http://wklej.org/id/826316/

 

GMER - http://wklej.org/id/826331/

 

Pozdrawiam i dziękuję za pomoc, strony już działają

[picasso]

Nie podałeś loga z usuwania OTL. Dołącz go, bo chcę potwierdzić, czy linie przetwarzające wartość NetSvcs mają status dokonany.

Edytowane 8 Października 2012 przez picasso
8.10.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso