Wirus Internet Security

[muny]

Witam,

Kolega poprosił mnie o pomoc w usunięciu problemu z wirusem.

Otóż na komputerze ma zainstalowany Windows Xp Prof z sp2.

Tutaj zaznaczam, że sp3 właśnie instaluję.

Pojawił się u niego wirus w postaci Internet Security.

Przywróciłem komputer do wcześniejszego punktu i narazie problem zniknął.

Użyłem malwarebytes i usunąłem kilka wpisów.

Przyznaję, że chciałem użyć Combofix'a, bo akurat kiedyś to samo "zatrucie" program usunął.

Jednak teraz Combofix zwyczajnie się zawiesza.

Poniżej zamieszczam logi z otl i gmer'a.

 

OTL:

http://wklej.org/id/1039631/

 

EXTRAS:

http://wklej.org/id/1039632/

 

GMER:

http://wklej.org/id/1039637/

 

Proszę o pomoc w sprawie.

 

[picasso]

Log z GMER zrobiony w złych kondycjach, przy czynnym sterowniku SPTD. Nie wykonałeś ogłoszenia o emulatorach. Ba, to jesteż podstawa przed uruchomieniem ComboFix.

 

DRV - [2012-07-23 22:13:36 | 000,477,240 | ---- | M] (Duplex Secure Ltd.) [Kernel | Boot | Running] -- C:\WINDOWS\system32\drivers\sptd.sys -- (sptd)

 

Użycie ComboFix w sytuacji, gdy system uzyskał sprawność, bezcelowe i niepotrzebne. Porzuć tę myśl. Skoro użyłeś MBAM, to przedstaw raport co usuwał. W OTL nie widać czynnej infekcji, ale doczyść adware i szczątki przeglądarek / po skanerach:

 

1. Przez Panel sterowania odinstaluj adware Babylon Toolbar, DealPly, NewTabs Uninstall.

 

2. Odinstaluj poprawnie ComboFix. Start > Uruchom > wklej komendę:

 

"C:\Documents and Settings\Rocky\Pulpit\ComboFix.exe" /uninstall

 

3. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
IE - HKLM\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = http://search.sweetim.com/search.asp?src=6&crg=3.1010000&st=18&q={searchTerms}&barid={F1C4E824-9A14-11E1-BBA3-001FD08F3B23}
IE - HKU\S-1-5-21-1123561945-963894560-839522115-1003\..\SearchScopes\{0D7562AE-8EF6-416d-A838-AB665251703A}: "URL" = http://start.funmoods.com/?a=vsl&s={searchTerms}&f=4
IE - HKU\S-1-5-21-1123561945-963894560-839522115-1003\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT3072253
IE - HKU\S-1-5-21-1123561945-963894560-839522115-1003\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = http://search.sweetim.com/search.asp?src=6&crg=3.1010000&st=18&q={searchTerms}&barid={F1C4E824-9A14-11E1-BBA3-001FD08F3B23}
O2 - BHO: (no name) - {A6174F27-1FFF-E1D6-A93F-BA48AD5DD448} - No CLSID value found.
O2 - BHO: (no name) - {F5CC7F02-6F4E-4462-B5B1-394A57FD3E0D} - No CLSID value found.
O8 - Extra context menu item: Add to &Teleport - C:\PROGRA~1\TELEPO~1\teleport.htm File not found
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB (Reg Error: Key error.)
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab (Reg Error: Value error.)
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab (Reg Error: Key error.)
SRV - [2011-06-26 08:45:56 | 000,256,000 | R--- | M] () [Auto | Stopped] -- C:\ComboFix\pev.3XE -- (PEVSystemStart)
 
:Files
@C:\WINDOWS:2B95E1D21FAB6EBF
C:\WINDOWS\tasks\YourFile DownloaderUpdate.job
C:\Program Files\SweetIM
C:\Program Files\v9Soft
C:\Documents and Settings\All Users\Dane aplikacji\Alwil Software
C:\Documents and Settings\All Users\Dane aplikacji\AVAST Software
C:\Documents and Settings\All Users\Dane aplikacji\BullGuard
C:\Documents and Settings\All Users\Dane aplikacji\Panda Security
C:\Documents and Settings\LocalService\Dane aplikacji\BullGuard
C:\Documents and Settings\Rocky\Dane aplikacji\BullGuard
C:\Documents and Settings\Rocky\Dane aplikacji\ESET
C:\Documents and Settings\Rocky\Dane aplikacji\Funmoods
C:\Documents and Settings\Rocky\Dane aplikacji\PriceGong
C:\Documents and Settings\Rocky\Dane aplikacji\Toolbar4
C:\Documents and Settings\Rocky\Dane aplikacji\YourFileDownloader
C:\Documents and Settings\Rocky\Dane aplikacji\Mozilla
C:\Documents and Settings\Rocky\Ustawienia lokalne\Dane aplikacji\Google
C:\Program Files\Google
C:\Program Files\Mozilla Firefox
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2]
[-HKEY_CURRENT_USER\Software\Google]
[-HKEY_CURRENT_USER\Software\Mozilla]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Google]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Mozilla]
[-HKEY_LOCAL_MACHINE\SOFTWARE\mozilla.org]
[-HKEY_LOCAL_MACHINE\SOFTWARE\MozillaPlugins]
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. Zatwierdź restart systemu.

 

4. Uruchom AdwCleaner i zastosuj Usuń. Na dysku C powstanie log z usuwania.

 

5. Zrób nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log z usuwania OTL z punktu 3 oraz utworzony przez AdwCleaner.

 

 

 

.

[muny]

Sorki, że tak późno, ale w między czasie okazało się, że zasilacz jest uszkodzony.

 

Ad. 1

Odinstalowałem wszystkie wskazane programy.

 

Ad. 2

Combofix odinstalowany.

 

Ad. 3

Skrypt wykonałem, ale zapomniałem o logu po skrypcie i nie mam go zapisanego

 

Ad. 4

AdwCleaner log

http://wklej.org/id/1040945/

 

Ad. 5

OTL:

http://wklej.org/id/1040946/

[picasso]

Log z wynikami usuwania OTL jest automatycznie zapisywany w katalogu C:\_OTL. Ale już go sobie podarujmy, w nowym skanie OTL widać pożądane zmiany. Zadania wykonane pomyślnie. Przejdź do wykończeń:

1. Małe poprawki. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

:Reg
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes]

Klik w Wykonaj skrypt. Tym razem nie będzie restartu.

2. Porządki po narzędziach: w AdwCleaner uruchom Odinstaluj, w OTL uruchom Sprzątanie.

3. Wyczyść foldery Przywracania systemu: KLIK.

4. Mówiłeś:

 

Tutaj zaznaczam, że sp3 właśnie instaluję.

 

Nadal widzę niepożądany stan aktualizacji systemu:

Windows XP Professional Edition Dodatek Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 6.0.2900.2180)

Dodatkowo te wszystkie aplikacje do wymiany najnowszymi wersjami:

========== HKEY_LOCAL_MACHINE Uninstall List ==========

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{1701765B-6D93-43C6-A835-DD423517581F}" = OpenOffice.org 3.2
"{26A24AE4-039D-4CA4-87B4-2F83216020FF}" = Java™ 6 Update 20
"{26A24AE4-039D-4CA4-87B4-2F83217007FF}" = Java 7 Update 7
"{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}" = Microsoft Silverlight
"Adobe Flash Player ActiveX" = Adobe Flash Player 11 ActiveX (wtyczka dla IE)
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin (wtyczka dla Firefox/Opera)
"Foxit Reader" = Foxit Reader

.