Zawirusowany komputer win32 blaster i inne

[kalama23]

Zwracam się o pomoc w sprawie zainfekowanego komputera, jest to komputer firmowy więc zanim coś zrobię najpierw zapytam kogoś mądrzejszego.

Logi z OTL:

 

OTL: http://www.wklej.org/id/1091909/

Extras: http://www.wklej.org/id/1091910/

 

coż robić szanowni Państwo? proszę o pomoc.

 

Gmerem działam (mam wrażenie że to potrwa dłużej) jak tylko będę miał log to go umieszczę.

 

temat również na: http://forum.pclab.pl/topic/893045-Zawirusowany-komputer-win32-blaster-i-inne/

 

z racji pierwszej odpowiedzi powyżej zaczynam leczenie.

[picasso]

kalama23, zakładanie tematów równocześnie na dwóch forach (w celu rzekomego "przyśpieszenia") to nigdy nie jest dobry pomysł, są zadawane równolegly często sprzeczne instrukcje, trzeba nanosić poprawki na to co robi inny prowadzący. W tym momencie ja już muszę się odnosić do logów z posta numer 8 na tamtym forum. Pomagający wymieszał i zadał błędne instrukcje dopasowane do systemów Vista i nowszych a nie XP:

 

- Post numer 5: Sprawdzany Kosz C:\$Recycle.Bin systemów Vista i nowszych (na XP jest to C:\RECYCLER) oraz klucz ShellServiceObjects (w nim rejestracja Centrum Akcji występuje na systemach Vista i nowszych).

- Post numer 7: Skrypt z błędnymi poleceniami. TAKEOWN i icacls to są komendy dla Vista i nowszych. Nic dziwnego, że nic nie przetworzone w tym zakresie i nie wykonała się kolejna komenda kasowania Kosza (Odmowa dosepu).

- I jeszcze nieskończone rzeczy m.in. rozwalony Winsock.

 

Jeśli chcesz nadal prowadzić tu temat, proszę o nowy zestaw logów zrobiony już po wszystkich manipulacjach tamtego prowadzącego: OTL z opcji Skanuj, FRST i Farbar Service Scanner.

 

 

 

PS. Blaster to archaiczna infekcja nie widziana od lat. Objaśnij skąd tu w ogóle taki trop myślenia.

 

 

 

.

[kalama23]

blaster-a wykrył mi internet security - program który udaje antywirusa i pokazuje masę infekcji ale już go usunąłem.

 

przepraszam za te podwójne wołanie o pomoc to się już nie powtórzy

 

skany które poleciłaś:

 

OTL: http://www.wklej.org/id/1098645/

FRST: http://www.wklej.org/id/1098646/

Addition:  http://www.wklej.org/id/1098647/

FSS:  http://www.wklej.org/id/1098648/

 

skany zdążyły już się "zestarzeć" chyba

kiedy się pojawisz z pomocną ręką to wtedy zrobię jeszcze raz a tymczasem komputer bardzo powolutku robi swoje.

[picasso]

1. Pobierz najnowszą wersję FRST. Otwórz Notatnik i wklej w nim:

 

S2 aspnet_states; C:\WINDOWS\system32\hobpya.exe [x]
S2 aspnet_statesjrq; C:\WINDOWS\system32\toolset.exe [x]
U2 CertPropSvc;
IMEO\app.exe: [Debugger] C:\WINDOWS\ime\cv.exe
IMEO\net2.exe: [Debugger] C:\WINDOWS\ime\cv.exe
C:\WINDOWS\C3BDD698
C:\WINDOWS\6123A7AD
C:\WINDOWS\system32\ISQL
C:\WINDOWS\system32\p.exe
C:\WINDOWS\system32\ws.exe
C:\WINDOWS\system32\SysS.xml
C:\WINDOWS\system32\suss.exe
C:\WINDOWS\system32\cmd.txt
C:\WINDOWS\system32\__rar_00.031
C:\WINDOWS\system32\Drivers\etc\hosts.ics
C:\Documents and Settings\Użytkownik\cmd.txt
C:\Program Files\aoxppr
CMD: del /q C:\Windows\Tasks\At*.job
CMD: cacls C:\RECYCLER\S-1-5-18 /E /G Wszyscy:F
CMD: cacls C:\RECYCLER\S-1-5-18\$3aae3906af448664055ce2d59d1ac5b9 /E /G Wszyscy:F
CMD: cacls C:\RECYCLER\S-1-5-21-2000478354-1580436667-854245398-1003\$3aae3906af448664055ce2d59d1ac5b9 /E /G Wszyscy:F
CMD: rd /s /q C:\RECYCLER
CMD: netsh winsock reset

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt.

 

2. Otwórz Notatnik i wklej w nim:

 

Windows Registry Editor Version 5.00

 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BITS]

"Type"=dword:00000020

"Start"=dword:00000003

"ErrorControl"=dword:00000001

"ImagePath"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\

74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\

00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\

6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00

"DisplayName"="Usługa inteligentnego transferu w tle"

"DependOnService"=hex(7):52,00,70,00,63,00,53,00,73,00,00,00,00,00

"DependOnGroup"=hex(7):00,00

"ObjectName"="LocalSystem"

"Description"="Używa przepustowości bezczynnej sieci do transferu danych. Jeżeli BITS zostanie wyłączone, funkcje takie jak Windows Update przestaną działać."

"FailureActions"=hex:00,00,00,00,00,00,00,00,00,00,00,00,03,00,00,00,68,e3,0c,\

00,01,00,00,00,60,ea,00,00,01,00,00,00,60,ea,00,00,01,00,00,00,60,ea,00,00
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BITS\Parameters]

"ServiceDll"=hex(2):25,00,73,00,79,00,73,00,74,00,65,00,6d,00,72,00,6f,00,6f,\

00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\

71,00,6d,00,67,00,72,00,2e,00,64,00,6c,00,6c,00,00,00
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BITS\Security]

"Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,\

00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,\

00,00,02,00,60,00,04,00,00,00,00,00,14,00,fd,01,02,00,01,01,00,00,00,00,00,\

05,12,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,\

20,02,00,00,00,00,14,00,8d,01,02,00,01,01,00,00,00,00,00,05,0b,00,00,00,00,\

00,18,00,fd,01,02,00,01,02,00,00,00,00,00,05,20,00,00,00,23,02,00,00,01,01,\

00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BITS\Enum]

"0"="Root\\LEGACY_BITS\\0000"

"Count"=dword:00000001

"NextInstance"=dword:00000001
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc]

"Type"=dword:00000020

"Start"=dword:00000002

"ErrorControl"=dword:00000001

"ImagePath"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\

74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\

00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\

6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00

"DisplayName"="Centrum zabezpieczeń"

"DependOnService"=hex(7):52,00,70,00,63,00,53,00,73,00,00,00,77,00,69,00,6e,00,\

6d,00,67,00,6d,00,74,00,00,00,00,00

"ObjectName"="LocalSystem"

"Description"="Monitoruje ustawienia zabezpieczeń i konfiguracje systemu."
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Parameters]

"ServiceDll"=hex(2):25,00,53,00,59,00,53,00,54,00,45,00,4d,00,52,00,4f,00,4f,\

00,54,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\

77,00,73,00,63,00,73,00,76,00,63,00,2e,00,64,00,6c,00,6c,00,00,00
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Security]

"Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,\

00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,\

00,00,02,00,60,00,04,00,00,00,00,00,14,00,fd,01,02,00,01,01,00,00,00,00,00,\

05,12,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,\

20,02,00,00,00,00,14,00,8d,01,02,00,01,01,00,00,00,00,00,05,0b,00,00,00,00,\

00,18,00,fd,01,02,00,01,02,00,00,00,00,00,05,20,00,00,00,23,02,00,00,01,01,\

00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Enum]

"0"="Root\\LEGACY_WSCSVC\\0000"

"Count"=dword:00000001

"NextInstance"=dword:00000001
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv]

"Type"=dword:00000020

"Start"=dword:00000002

"ErrorControl"=dword:00000001

"ImagePath"=hex(2):25,00,73,00,79,00,73,00,74,00,65,00,6d,00,72,00,6f,00,6f,00,\

74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\

00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\

6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00

"DisplayName"="Aktualizacje automatyczne"

"ObjectName"="LocalSystem"

"Description"="Umożliwia pobieranie i instalowanie ważnych aktualizacji systemu Windows. Jeśli ta usługa zostanie wyłączona, komputer nie będzie umożliwiał korzystania z funkcji Automatyczne aktualizacje lub strony Windows Update."
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv\Parameters]

"ServiceDll"=hex(2):43,00,3a,00,5c,00,57,00,49,00,4e,00,44,00,4f,00,57,00,53,\

00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,77,00,75,00,\

61,00,75,00,73,00,65,00,72,00,76,00,2e,00,64,00,6c,00,6c,00,00,00
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv\Security]

"Security"=hex:01,00,14,80,78,00,00,00,84,00,00,00,14,00,00,00,30,00,00,00,02,\

00,1c,00,01,00,00,00,02,80,14,00,ff,00,0f,00,01,01,00,00,00,00,00,01,00,00,\

00,00,02,00,48,00,03,00,00,00,00,00,14,00,9d,00,02,00,01,01,00,00,00,00,00,\

05,0b,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,\

20,02,00,00,00,00,14,00,ff,01,0f,00,01,01,00,00,00,00,00,05,12,00,00,00,01,\

01,00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv\Enum]

"0"="Root\\LEGACY_WUAUSERV\\0000"

"Count"=dword:00000001

"NextInstance"=dword:00000001
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess]

"Type"=dword:00000020

"Start"=dword:00000002

"ErrorControl"=dword:00000001

"ImagePath"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\

74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\

00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\

6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00

"DisplayName"="Zapora systemu Windows/Udostępnianie połączenia internetowego"

"DependOnService"=hex(7):4e,00,65,00,74,00,6d,00,61,00,6e,00,00,00,57,00,69,00,\

6e,00,4d,00,67,00,6d,00,74,00,00,00,00,00

"DependOnGroup"=hex(7):00,00

"ObjectName"="LocalSystem"

"Description"="Zapewnia usługi translacji adresów sieciowych, adresowania, rozpoznawania nazw i/lub blokowania dostępu intruzów wszystkim komputerom w sieci domowej lub biurowej."
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Epoch]

"Epoch"=dword:0000042e
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters]

"ServiceDll"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,\

00,74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\

69,00,70,00,6e,00,61,00,74,00,68,00,6c,00,70,00,2e,00,64,00,6c,00,6c,00,00,\

00
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy]
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications]
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts]
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]

"EnableFirewall"=dword:00000001
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications]
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts]
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Security]

"Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,\

00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,\

00,00,02,00,60,00,04,00,00,00,00,00,14,00,fd,01,02,00,01,01,00,00,00,00,00,\

05,12,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,\

20,02,00,00,00,00,14,00,8d,01,02,00,01,01,00,00,00,00,00,05,0b,00,00,00,00,\

00,18,00,fd,01,02,00,01,02,00,00,00,00,00,05,20,00,00,00,23,02,00,00,01,01,\

00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Setup]

"ServiceUpgrade"=dword:00000001
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Setup\InterfacesUnfirewalledAtUpdate]

"All"=dword:00000001
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Enum]

"0"="Root\\LEGACY_SHAREDACCESS\\0000"

"Count"=dword:00000001

"NextInstance"=dword:00000001

 

Adnotacja dla innych czytających: import dopasowany do Windows XP.

 

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.REG

 

Uruchom plik przez dwuklik i zresetuj system.

 

3. Otwórz Google Chrome, w pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie włącz. Zamknij Google Chrome.

 

4. Zrób nowe logi: skan FRST (bez Addition) + OTL (bez Extras) + Farbar Service Scanner. Dołącz fixlog.txt. I jeszcze mam pytanie: czy obrazki PNG (np. na tym forum) wyświetlają się w Internet Explorer?

 

 

 

.

[kalama23]

Obrazki PNG są widoczne w Internet Explorer.

 

Logi:

 

fixlog.txt:   http://www.wklej.org/id/1119031/

FRST:  http://www.wklej.org/id/1119034/

OTL:    http://www.wklej.org/id/1119036/

FSS:    http://www.wklej.org/id/1119037/

[picasso]

Akcja wykonana pomyślnie. Jeszcze drobne poprawki. Otwórz Notatnik i wklej w nim:

 

Winsock: Catalog5 01 mswsock.dll File Not found (Microsoft Corporation) ATTENTION: The LibraryPath should be "%SystemRoot%\System32\mswsock.dll"
Winsock: Catalog5 03 mswsock.dll File Not found (Microsoft Corporation) ATTENTION: The LibraryPath should be "%SystemRoot%\System32\mswsock.dll"
Reg: reg delete "HKCU\Software\Microsoft\Internet Explorer\Toolbar\ShellBrowser" /v {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} /f
Reg: reg delete "HKCU\Software\Microsoft\Internet Explorer\Toolbar\ShellBrowser" /v {D4027C7F-154A-4066-A1AD-4243D8127440} /f
Reg: reg add "HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes" /v DefaultScope /t REG_SZ /d {0633EE93-D776-472f-A0FF-E1416B8B2E3A} /f
Reg: reg delete "HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}" /f
Reg: reg delete "HKCU\Software\Microsoft\Internet Explorer\SearchScopes\Google" /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt. Przedstaw go.

 

 

 

.

[kalama23]

fixlog.txt: http://wklej.org/id/1144553/

[picasso]

1. Mini poprawka. Zjadło mi zamknięcia " w dwóch komendach. twórz Notatnik i wklej w nim:

 

Reg: reg delete "HKCU\Software\Microsoft\Internet Explorer\Toolbar\ShellBrowser" /v {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} /f
Reg: reg delete "HKCU\Software\Microsoft\Internet Explorer\Toolbar\ShellBrowser" /v {D4027C7F-154A-4066-A1AD-4243D8127440} /f

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix.

 

2. Porządki po narzędziach: przez SHIFT+DEL skasuj folder C:\FRST, w OTL uruchom Sprzątanie.

 

3. Wyczyść foldery Przywracania systemu: KLIK.

 

4. Dużo czasu upłynęło od ostatnich raportów z listą zainstalowanych programów. Porównaj co wymaga aktualizacji: KLIK.

 

5. Prewencyjnie zmień hasła logowania w serwisach.

 

 

.