Bron Spizaetus oraz Tok Cirrhatus, padniety explorer, zablokowany regedit

[markov]

Niestety, nie moge sobie poradzic z tym ustrojstwem, explorer zablokowany, regedit rowniez. W zalaczniku skan OTL.

Pozdrawiam serdecznie. 

Extras.Txt

OTL.Txt

[Anonim8]

Wejdź w tryb awaryjny. Wcześniej zapisz sobie skrypt w notatniku.

 

Uruchom OTL i w oknie Własne opcje skanowania /skrypt wklej:

 

:OTL
O4 - HKLM..\Run: [bron-Spizaetus] C:\Windows\ShellNew\sempalong.exe ()
O4 - HKU\S-1-5-21-428915618-56224564-708241891-1000..\Run: [Tok-Cirrhatus] C:\Users\Rzerzuch\AppData\Local\smss.exe ()
O4 - Startup: C:\Users\Rzerzuch\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif ()
O20 - HKLM Winlogon: Shell - ("C:\Windows\eksplorasi.exe") - C:\Windows\eksplorasi.exe ()

:Files
C:\Users\Rzerzuch\AppData\Local\Bron.tok-12-15
C:\Users\Rzerzuch\AppData\Local\Bron.tok-12-12
C:\Users\Rzerzuch\AppData\Local\Bron.tok-12-10
C:\Users\Rzerzuch\AppData\Local\Loc.Mail.Bron.Tok
C:\Users\Rzerzuch\AppData\Local\Ok-SendMail-Bron-tok
C:\Users\Rzerzuch\AppData\Local\Bron.tok-12-8
C:\Users\Rzerzuch\AppData\Local\Bron.tok.A12.em.bin
C:\Users\Rzerzuch\AppData\Local\winlogon.exe
C:\Users\Rzerzuch\AppData\Local\services.exe
C:\Users\Rzerzuch\AppData\Local\lsass.exe
C:\Users\Rzerzuch\AppData\Local\inetinfo.exe

 

:Commands
[emptytemp]

 

Kliknij w Wykonaj skrypt.

 

Po usuwaniu zrób nowy skan OTL i przedstaw raport.

[markov]

Poniżej nowy skan, i wynikowa skryptu. 

Extras.Txt

OTL.Txt

po.txt

[Anonim8]

Usuwanie nie poszło do końca

 

Uruchom OTL i w oknie własne opcje skanowania skrypt wklej:

 

:Files
C:\Users\Rzerzuch\AppData\Local\Bron.tok-12-16
C:\Windows\erdnt
C:\32788R22FWJFW
C:\Users\Rzerzuch\AppData\Local\Bron.tok-12-15
C:\Users\Rzerzuch\AppData\Local\Bron.tok-12-12
C:\Users\Rzerzuch\AppData\Local\Bron.tok-12-10
C:\Users\Rzerzuch\AppData\Local\Loc.Mail.Bron.Tok
C:\Users\Rzerzuch\AppData\Local\Ok-SendMail-Bron-tok
C:\Users\Rzerzuch\AppData\Local\Bron.tok-12-8
C:\Users\Rzerzuch\AppData\Local\*.exe

:Commands
[reboot]

 

Kliknij w Wykonaj skrypt

 

 

Po usuwaniu zrób nowy skan OTL i przedstaw raport. Extras nie potrzebny.

[markov]

Nowy OTL. 

OTL.Txt

[Anonim8]

Mała poprawka . Wklej do OTL skrypt

 

:Files
C:\Users\Rzerzuch\AppData\Local\Bron.tok.A12.em.bin

 

Kliknij w Wykonaj skrypt.

 

2. Zresetuj plik Hosts http://support.microsoft.com/kb/972034

 

3. Uruchom OTL i kliknij Sprzatanie, to usunie kwarantanne.

 

4. Wyczysć foldery Przywracania systemu https://www.fixitpc.pl/topic/5-dezynfekcja-kroki-finalizujace-temat/page__p__42415?do=findComment&comment=42415

[picasso]

Tu należy wykonać jeszcze na koniec pełny skan antywirusowy. Brontok tworzy więcej obiektów niż może to zaprezentować skan OTL, tzn. w ogromnej liczbie katalogów dorabia pliki wykonywalne mające nazwę katalogu. Omyłkowe uruchomienie takiego pliku reinfekuje system. Przykładowy skaner pod uwagę: Kaspersky Virus Removal Tool. Należy w nim w konfiguracji zaznaczyć pełny skan dysku, w przeciwnym wypadku odbędzie się tylko ekspresowy (ominięcie określonych lokalizacji).
 
PS. markov, coś tu inaczej robiłeś niż w temacie widać. Nie zgadzają się wyniki. W pierwszym logu były polityki blokujące opcje (NoFolderOptions + DisableRegistryTools), w skrypcie tego nie zadano, a w wynikowym logu OTL ich brak. To nie mogło samodzielnie zniknąć. Poza tym, pierwszy wynik skryptu ma wszystko "not found" i nie zgadza się z wersją podaną w poście (brak przetworzeniua sekcji :Files). Mi tu wygląda na to, że robiłeś coś równolegle.
 
 
.

[markov]

Pozwolę sobie powrócić do tego tematu, niestety, picasso miała rację. Infekcja wróciła, a ja dopiero dziś odpaliłem netbooka po raz kolejny i przywitało mnie to samo, co ostatnim razem. 

 

Nowe skany OTL oraz Extras. 

 

OTL: http://wklejto.pl/160174
Extras: http://wklejto.pl/160175

[picasso]

Skoro wróciła, coś zostało uprzednio niedoczyszczone. Ten skan antywirusowy na końcu był podany nie bez przyczyny.

 

1. Wejdź w Tryb awaryjny Windows. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
O4 - HKLM..\Run: [bron-Spizaetus] C:\Windows\ShellNew\sempalong.exe ()
O4 - HKU\S-1-5-21-428915618-56224564-708241891-1000..\Run: [Tok-Cirrhatus] C:\Users\Rzerzuch\AppData\Local\smss.exe ()
O4 - Startup: C:\Users\Rzerzuch\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif ()
O7 - HKU\S-1-5-21-428915618-56224564-708241891-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoFolderOptions = 1
O7 - HKU\S-1-5-21-428915618-56224564-708241891-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegistryTools = 1
O20 - HKLM Winlogon: Shell - ("C:\Windows\eksplorasi.exe") - C:\Windows\eksplorasi.exe ()
 
:Files
C:\Users\Rzerzuch\AppData\Local\*Bron*
C:\Users\Rzerzuch\AppData\Local\*.exe
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. Zatwierdź restart systemu.

 

2. Zresetuj plik HOSTS do postaci domyślnej za pomocą narzędzia Fix-it: KB972034.

 

3. Zrób nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log z usuwania OTL z punktu 1. Poza tym, na dysku E jest ukryty plik E:\autorun.inf. Otwórz go w Notatniku i przeklej tu jego zawartość.

 

 

 

.

Edytowane 12 Czerwca 2013 przez picasso
12.06.2013 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso