Pendrive i dysk zewnętrzny cały w skrótach

bialy437 · 14 Marca 2013

Witam,

Bardzo proszę o pomoc, na dysku zewnętrznym i pendrivach zamiast normalnych folderów są skróty.

Wiem, że to sprawka wirusa, bo czytałem o tym i posłużyłem się ComboFix zgodnie z instrukcją.

Na każdej partycji jest folder : RECYCLER.

Wirus pewnie dobrze Państwu znany także pewnie nie będzie problemu.

Z góry dziękuję za pomoc

Pozdrawiam

ComboFix.txt

picasso · 14 Marca 2013

Temat założony w złym dziale, przenoszę do diagnostyki infekcji.

Na temat używania ComboFix: KLIK. Użycie niepotrzebne i brak pożądanych skutków. Zasady działu jakie tu raporty są obowiązkowe: KLIK. Tak więc dostarcz te obowiązkowe raporty plus dodatkowo USBFix z opcji Listing.

Na każdej partycji jest folder : RECYCLER.

I zawsze będzie, nawet po usunięciu folder zostanie odtworzony na wszystkich dyskach, bo to Kosz dysków (prawdziwy, to co na Pulpicie to tylko wirtualny skrót). Tu nie rzecz w obecności folderu jako takiego tylko jego zawartości.

.

bialy437 · 14 Marca 2013

Tylko ten plik mi się pojawił więc jakie jeszcze? Gdzie mogę je znaleźć?

picasso · 14 Marca 2013

Podałeś mi tylko log z ComboFix, którego nie powinieneś w ogóle był uruchamiać. Ja z kolei podałam zasady działu, które mówią jakie raporty się tu dostarcza. Czytałeś to w ogóle? Nie sądzę, bo mówisz o konkretnym pliku. Ty masz przeczytać w zasadach jakie logi tu się dostarcza, wejść do opisu narzędzia OTL i zrobić logi, poza tym jak mówiłam zrobić log dodatkowy z USBFix.

.

bialy437 · 15 Marca 2013

przepraszam. Już poprawiam sie

picasso · 15 Marca 2013

Posty połączone, nadwyżka logów usunięta. A gdzie USBFix z opcji Listing?

bialy437 · 15 Marca 2013

oto on

UsbFix.txt

picasso · 15 Marca 2013

Zarówno uruchomienie ComboFix jak i GMER wykonałeś w złych warunkach, przy czynnym Alcoholu i aż trzech sterownikach emulacji (te najstarsze blokują także systemowy sterownik atapi.sys, dlatego ComboFix zgłasza, że nie może uzyskać doń dostępu). Nie wykonałeś tego ogłoszenia: KLIK.

DRV - [2012-08-22 18:46:58 | 000,477,240 | ---- | M] (Duplex Secure Ltd.) [Kernel | Boot | Running] -- C:\WINDOWS\system32\drivers\sptd.sys -- (sptd)DRV - [2008-04-13 23:10:32 | 000,096,512 | ---- | M] () [Kernel | Boot | Running] -- C:\WINDOWS\system32\drivers\atapi.sys -- (atapi)
DRV - [2004-04-30 08:37:02 | 000,160,640 | ---- | M] ( ) [Kernel | Boot | Running] -- C:\WINDOWS\system32\drivers\a347bus.sys -- (a347bus)
DRV - [2004-04-30 08:33:00 | 000,005,248 | ---- | M] ( ) [Kernel | Boot | Running] -- C:\WINDOWS\system32\drivers\a347scsi.sys -- (a347scsi)

Windows jest zainfekowany (ukryty wpis startowy Qmrcrs.exe), dlatego wszystkie urządzenia są infekowane przez skróty:

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer

Rootkit scan 2013-03-14 18:17

skanowanie ukrytych plików ...

.

c:\documents and settings\Bia\Dane aplikacji\Qmrcrs.exe 147264 bytes executable

1. Uruchom BlitzBlank i w karcie Script wklej:

DeleteFile: 
"C:\Documents and Settings\Bia\Dane aplikacji\Qmrcrs.exe"

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

Klik w Execute Now. Zatwierdź restart komputera. Przed ekranem z logo Windows pojawi się ekran z działaniami BlitzBlank. BlitzBlank utworzy na dysku C log.

2. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

:OTL

O4 - HKLM..\Run: [GEST] = File not found

O4 - HKU\S-1-5-21-1659004503-2077806209-1801674531-1004..\Run: [Qmrcrs] C:\Documents and Settings\Bia\Dane aplikacji\Qmrcrs.exe File not found

O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDrives = 0

O7 - HKU\S-1-5-18\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O7 - HKU\S-1-5-19\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O7 - HKU\S-1-5-20\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O7 - HKU\S-1-5-21-1659004503-2077806209-1801674531-1004\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O7 - HKU\S-1-5-21-1659004503-2077806209-1801674531-1004\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDrives = 0

SRV - File not found [On_Demand | Stopped] -- C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe -- (NMIndexingService)

DRV - File not found [Kernel | On_Demand | Stopped] -- C:\DOCUME~1\Bia\USTAWI~1\Temp\catchme.sys -- (catchme)

:Reg

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]

"Start Page"="about:blank"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]

"Start Page"="about:blank"

:Files

K:\*.lnk

L:\*.lnk

M:\*.lnk

N:\*.lnk

O:\*.lnk

rd /s /q C:\RECYCLER /C

rd /s /q D:\RECYCLER /C

rd /s /q E:\RECYCLER /C

rd /s /q F:\RECYCLER /C

rd /s /q G:\RECYCLER /C

rd /s /q K:\$RECYCLE.BIN /C

rd /s /q K:\RECYCLER /C

rd /s /q L:\$RECYCLE.BIN /C

rd /s /q L:\RECYCLER /C

rd /s /q M:\RECYCLER /C

rd /s /q N:\$RECYCLE.BIN /C

rd /s /q N:\RECYCLER /C

rd /s /q O:\$RECYCLE.BIN /C

rd /s /q O:\Recycled /C

rd /s /q O:\RECYCLER /C

attrib /d /s -s -h K:\* /C

attrib /d /s -s -h L:\* /C

attrib /d /s -s -h M:\* /C

attrib /d /s -s -h N:\* /C

attrib /d /s -s -h O:\* /C

:Commands

[emptytemp]

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

Klik w Wykonaj skrypt. Zatwierdź restart systemu.

3. Zrób nowy log OTL z opcji Skanuj (już bez Extras) i USBFix z opcji Listing. Załącz zawartość raportu BlitzBlank, krótki = wklej do posta. Dołącz log z usuwania OTL utworzony w punkcie 2.

.

bialy437 · 15 Marca 2013

BlitzBlank 1.0.0.32

File/Registry Modification Engine native application

MoveFileOnReboot: sourceFile = "\??\c:\documents and settings\bia\dane aplikacji\qmrcrs.exe", destinationFile = "(null)", replaceWithDummy = 0

skrótów nie mam już na dysku. dziękuję ślicznie

UsbFix.txt

OTL.Txt

picasso · 15 Marca 2013

Nie podałeś raportu z usuwania OTL, ale w sumie to już omińmy, gdyż po aktualnych logach widać zmiany. Wprawdzie urządzenia zostały oczyszczone z infekcji LNK, ale teraz nastąpiły nowe okropne zmiany: pojawiła się kolejna infekcja autorun.inf egzekwująca okropnego wirusa Sality, który infekuje wszystkie pliki wykonywalne na wszystkich dyskach! Wirus został zainstalowany w systemie, aktywnie działa i zaraża pliki. To jest mega infekcja i może skończyć się formatem.

1. Pobierz SalityKiller. Wykonaj nim skan do skutku (powtarzany tyle razy, aż zwróci zero zainfekowanych).

2. Pobierz Sality_RegKeys. Z paczki ruchom plik SafeBootWinXP.reg, potwierdż import do rejestru.

3. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

:Reg
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
""="@SYS:DoesNotExist"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]
"EnableLUA"=-
 
:Files
autorun.inf /alldrives
C:\opyjra.exe
D:\yhfux.exe
E:\npuvph.pif
F:\bmwyn.pif
G:\vlemp.exe
K:\cutn.pif
L:\kxhw.exe
N:\lovul.pif
O:\lcmyc.exe
netsh firewall reset /C
 
:Commands
[emptytemp]

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

Klik w Wykonaj skrypt.

4. Zrób nowy log OTL z opcji Skanuj + USBFix z opcji Listing. Podsumuj co robił SalityKiller.

.

bialy437 · 16 Marca 2013

Wyniki z SalityKiller:

infected files : 856

infected process : 6

infected theards : 70

cured files : 856

will be cured on reboot: 0

executed registry scripts: 1

i tu dane z olt po restarcie systemu:

All processes killed

========== REGISTRY ==========

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf\\""|"@SYS:DoesNotExist" /E : value set successfully!

Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\\EnableLUA not found.

========== FILES ==========

File move failed. C:\autorun.inf scheduled to be moved on reboot.

File move failed. D:\autorun.inf scheduled to be moved on reboot.

File move failed. E:\autorun.inf scheduled to be moved on reboot.

File move failed. F:\autorun.inf scheduled to be moved on reboot.

File move failed. G:\autorun.inf scheduled to be moved on reboot.

File move failed. K:\autorun.inf scheduled to be moved on reboot.

File move failed. L:\autorun.inf scheduled to be moved on reboot.

File move failed. M:\AUTORUN.INF scheduled to be moved on reboot.

File move failed. N:\autorun.inf scheduled to be moved on reboot.

File move failed. O:\autorun.inf scheduled to be moved on reboot.

C:\opyjra.exe moved successfully.

D:\yhfux.exe moved successfully.

E:\npuvph.pif moved successfully.

F:\bmwyn.pif moved successfully.

G:\vlemp.exe moved successfully.

File\Folder K:\cutn.pif not found.

File\Folder L:\kxhw.exe not found.

File\Folder N:\lovul.pif not found.

File\Folder O:\lcmyc.exe not found.

< netsh firewall reset /C >

Ok.

E:\Downloads\cmd.bat deleted successfully.

E:\Downloads\cmd.txt deleted successfully.

========== COMMANDS ==========

[EMPTYTEMP]

User: All Users

User: Bia

->Temp folder emptied: 1328297 bytes

->Temporary Internet Files folder emptied: 372817 bytes

->Java cache emptied: 0 bytes

->FireFox cache emptied: 15565243 bytes

->Google Chrome cache emptied: 32478497 bytes

->Flash cache emptied: 497 bytes

User: CURRENT_USER

User: Default User

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 33170 bytes

->Flash cache emptied: 0 bytes

User: LocalService

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 33170 bytes

User: NetworkService

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 33170 bytes

%systemdrive% .tmp files removed: 0 bytes

%systemroot% .tmp files removed: 0 bytes

%systemroot%\System32 .tmp files removed: 22048768 bytes

%systemroot%\System32\dllcache .tmp files removed: 0 bytes

%systemroot%\System32\drivers .tmp files removed: 0 bytes

Windows Temp folder emptied: 1662807 bytes

RecycleBin emptied: 548877 bytes

Total Files Cleaned = 71,00 mb

OTL by OldTimer - Version 3.2.69.0 log created on 03162013_152031

Files\Folders moved on Reboot...

C:\autorun.inf moved successfully.

D:\autorun.inf moved successfully.

E:\autorun.inf moved successfully.

F:\autorun.inf moved successfully.

G:\autorun.inf moved successfully.

K:\autorun.inf moved successfully.

L:\autorun.inf moved successfully.

File\Folder M:\AUTORUN.INF not found!

N:\autorun.inf moved successfully.

O:\autorun.inf moved successfully.

C:\WINDOWS\temp\Perflib_Perfdata_7d8.dat moved successfully.

PendingFileRenameOperations files...

Registry entries deleted on Reboot...

OTL.Txt

UsbFix.txt

diox · 16 Marca 2013

Powtarzałeś skanowanie SalityKiller'em aż będzie 0 wykrytych? Sality roznosi się cały czas i nie może zostać ani jeden zarażony plik.

.

bialy437 · 16 Marca 2013

raz tylko robiłem ;/

diox · 16 Marca 2013

Masz powtarzać skan SalityKiller aż do skutku, kiedy nie wykryje żadnych zarażonych plików.

Kiedy on nic nie wykryje, użyj jeszcze rmsality .

Potem zobacz, czy uruchamia się Tryb awaryjny.

.

bialy437 · 17 Marca 2013

prawie 1,5 dnia skanowało i teraz pokazało 3 zainfekowane ale nie można było usunąć, więc zaznaczyłem w programie i usunęło. po skanowaniu nic nie było. Tryb awaryjny się otwiera bez problemu

Nodem skanowałem to jeszcze wykryło 98 plików. program wyleczył to (podobno)

OTL.Txt

UsbFix.txt

Zaloguj się

Pendrive i dysk zewnętrzny cały w skrótach

Rekomendowane odpowiedzi

bialy437

Odnośnik do komentarza

picasso

Odnośnik do komentarza

bialy437

Odnośnik do komentarza

picasso

Odnośnik do komentarza

bialy437

Odnośnik do komentarza

picasso

Odnośnik do komentarza

bialy437

Odnośnik do komentarza

picasso

Odnośnik do komentarza

bialy437

Odnośnik do komentarza

picasso

Odnośnik do komentarza

bialy437

Odnośnik do komentarza

diox

Odnośnik do komentarza

bialy437

Odnośnik do komentarza

diox

Odnośnik do komentarza

bialy437

Odnośnik do komentarza

Ostatnio przeglądający 0 użytkowników

Przeglądaj

Cała aktywność