Problem z trojanem/rootkitem ZeroAccess, ogólnie komputerem

Shadyz · 11 Listopada 2013

Witam, w laptopie mojej mamy jest oto taki wirus. Próbowałem sam sobie z nim poradzić ale McAfee zainstalowany od nowości w lapotpie nie mógł się z nim uporwać. Po tym jak pobrałem i próbowałem naprawić komputer programem SpyHunter to w sumioe przestał działać. Nic się nie odpala, włącza się bardzo długo a potem nawet przeglądarka, zachowuje się jakby miał mega obciążenie procesora. Proszę o pomoc, dołączam logi, mam nadzieje że wszystkie.

FRST.txt

Addition.txt

OTL.Txt

Extras.Txt

gmer.txt

jessica · 11 Listopada 2013

Źle trafiłeś, bo @Picasso nie ma teraz możliwości zbyt dużo czasu poświęcać na pomaganie ->

https://www.fixitpc.pl/topic/20392-kolosalny-ba%C5%82agan/

1) Użyj >>RogueKiller (aby pobrać kliknij na obrazek po Lien de téléchargement :)
Kliknij w nim SCAN, a po wyszukaniu szkodliwych rzeczy kliknij DELETE. Pokaż oba raporty z niego.

2) Otwórz Notatnik i wklej w nim:

HKCU\...\Run: [Google Update*] - [x] <===== ATTENTION (ZeroAccess rootkit hidden path)
U2 *etadpug; "C:\Program Files (x86)\Google\Desktop\Install\{c7df3e25-98aa-4834-0545-02e0c7de9b48}\ \...\???\{c7df3e25-98aa-4834-0545-02e0c7de9b48}\GoogleUpdate.exe" < <==== ATTENTION (ZeroAccess)
C:\Windows\assembly\GAC_32\Desktop.ini
C:\Windows\assembly\GAC_64\Desktop.ini
C:\Users\Renia\AppData\Local\Google\Desktop\Install
C:\Program Files (x86)\Google\Desktop\Install
C:\Users\Renia\punnm
C:\Users\Renia\nvust
C:\Users\Renia\ubhrq
C:\Users\Renia\AppData\Roaming\fpdyo
C:\Users\Renia\ezjgq
C:\Users\Renia\AppData\Roaming\hFtOF
C:\Users\Renia\bqdfe
C:\Users\Renia\AppData\Roaming\SFsOE
C:\Users\Renia\huihr
Task: {450125CD-CE9D-48AB-8571-700ED1650911} - System32\Tasks\Google Update => C:\Users\Renia\AppData\Local\Google\Desktop\Install\{c7df3e25-98aa-4834-0545-02e0c7de9b48}\❤≸⋙\Ⱒ☠⍨\‮ﯹ๛\{c7df3e25-98aa-4834-0545-02e0c7de9b48}\GoogleUpdate.exe
BHO: McAfee Phishing Filter - {27B4851A-3207-45A2-B947-BE8AFE6163AB} - c:\PROGRA~1\mcafee\msk\MSKAPB~1.DLL No File
Winsock: Catalog5 01 mswsock.dll File Not found () ATTENTION: The LibraryPath should be "%SystemRoot%\system32\NLAapi.dll"
Winsock: Catalog5 05 mswsock.dll File Not found () ATTENTION: The LibraryPath should be "%SystemRoot%\System32\mswsock.dll"
Winsock: Catalog9 01 mswsock.dll File Not found ()
Winsock: Catalog9 02 mswsock.dll File Not found ()
Winsock: Catalog9 03 mswsock.dll File Not found ()
Winsock: Catalog9 04 mswsock.dll File Not found ()
Winsock: Catalog9 05 mswsock.dll File Not found ()
Winsock: Catalog9 06 mswsock.dll File Not found ()
Winsock: Catalog9 07 mswsock.dll File Not found ()
Winsock: Catalog9 08 mswsock.dll File Not found ()
Winsock: Catalog9 09 mswsock.dll File Not found ()
Winsock: Catalog9 10 mswsock.dll File Not found ()
Winsock: Catalog9 11 mswsock.dll File Not found ()
Winsock: Catalog5-x64 01 mswsock.dll File Not found () ATTENTION: The LibraryPath should be "%SystemRoot%\system32\NLAapi.dll"
Winsock: Catalog5-x64 05 mswsock.dll File Not found () ATTENTION: The LibraryPath should be "%SystemRoot%\System32\mswsock.dll"
Winsock: Catalog9-x64 01 mswsock.dll File Not found ()
Winsock: Catalog9-x64 02 mswsock.dll File Not found ()
Winsock: Catalog9-x64 03 mswsock.dll File Not found ()
Winsock: Catalog9-x64 04 mswsock.dll File Not found ()
Winsock: Catalog9-x64 05 mswsock.dll File Not found ()
Winsock: Catalog9-x64 06 mswsock.dll File Not found ()
Winsock: Catalog9-x64 07 mswsock.dll File Not found ()
Winsock: Catalog9-x64 08 mswsock.dll File Not found ()
Winsock: Catalog9-x64 09 mswsock.dll File Not found ()
Winsock: Catalog9-x64 10 mswsock.dll File Not found ()
Winsock: Catalog9-x64 11 mswsock.dll File Not found ()
CHR Plugin: (Default Plug-in) - default_plugin No File
U2 *etadpug; "C:\Program Files (x86)\Google\Desktop\Install\{c7df3e25-98aa-4834-0545-02e0c7de9b48}\ \...\???\{c7df3e25-98aa-4834-0545-02e0c7de9b48}\GoogleUpdate.exe" < <==== ATTENTION (ZeroAccess)
U3 BcmSqlStartupSvc;
U2 CLKMSVC10_3A60B698;
U2 CLKMSVC10_C3B3B687;
S2 DgiVecp; \??\C:\windows\system32\Drivers\DgiVecp.sys [x]
U2 DriverService;
U2 iATAgentService;
U2 idealife Update Service;
U3 IGRS;
U2 IviRegMgr;
S3 MFE_RR; \??\C:\Users\Renia\AppData\Local\Temp\mfe_rr.sys [x]
U2 nvUpdatusService;
U2 Oasis2Service;
U2 PCCarerService;
U2 ReadyComm.DirectRouter;
U2 RichVideo;
U2 RtLedService;
U2 SeaPort;
U2 SoftwareService;
U3 SQLWriter;
U2 Stereo Service;
Task: {56149578-6B5D-48F0-A383-0E7D8945CD12} - \Program aktualizacji online firmy Adobe. No Task File

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt.
Daj go.

3) Zrób log z Farbar Service Scanner >http://download.bleepingcomputer.com/farbar/FSS.exe (do skanowania zaznacz wszystko).

4) Zrób nowe logi z FRST.

jessi

Shadyz · 11 Listopada 2013

Ojej, to życzę jej szybkiego powrotu do zdrowia!

Wklejam raport z RougeKillera z przed kliknięcia Delete i po.

Mam problem z FRST, po stworzeniu pliku fixlist.txt, wchodzę w FRST64.exe, klikam fix i wyskakuje mi błąd: Line 10136 (ścieżka) Error: Subscript used with non-array variable.

Dołączam skan z fss.

Dodaje Fixlog który mimo błędu pojawia się

FSS.txt

RKreport0_S_11112013_111137.txt

RKreport0_S_11112013_110019.txt

Fixlog.txt

jessica · 11 Listopada 2013

Zrób nowe logi z FRST, potem będę myślała, co dalej z tym bagnem robić ..

jessi

Shadyz · 11 Listopada 2013

Ok oto logi.

FRST.txt

Addition.txt

jessica · 11 Listopada 2013

1) Otwórz Notatnik i wklej w nim:

C:\Users\Renia\AppData\Roaming\F3D5DA
C:\Users\Renia\AppData\Local\Temp\ntdll_dump.dll
Task: {56149578-6B5D-48F0-A383-0E7D8945CD12} - \Program aktualizacji online firmy Adobe. No Task File
CMD: netsh winsock reset
U3 BcmSqlStartupSvc;
U2 CLKMSVC10_3A60B698;
U2 CLKMSVC10_C3B3B687;
S2 DgiVecp; \??\C:\windows\system32\Drivers\DgiVecp.sys [x]
U2 DriverService;
U2 iATAgentService;
U2 idealife Update Service;
U3 IGRS;
U2 IviRegMgr;
S3 MFE_RR; \??\C:\Users\Renia\AppData\Local\Temp\mfe_rr.sys [x]
U2 nvUpdatusService;
U2 Oasis2Service;
U2 PCCarerService;
U2 ReadyComm.DirectRouter;
U2 RichVideo;
U2 RtLedService;
U2 SeaPort;
U2 SoftwareService;
U3 SQLWriter;
U2 Stereo Service;

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt.
Daj ten log

2) Pobierz >>ESET ServicesRepair
Kliknij prawym na pliku ServicesRepair i wybierz Uruchom jako administrator.

3) Pobierz poniższy plik. Zmień mu nazwę z TXT na REG, z prawokliku na plik Scal i potwierdź import do rejestru.
https://www.fixitpc.pl/index.php?app=core&module=attach&section=attach&attach_id=48432

4) Pobierz narzędzie SetACL, (SetACL.3.06
z folderu Commandline version wypakuj wersję dopasowaną do systemu (x86 = 32-bit, x64 = 64-bit) i umieść w katalogu C:\Windows.

5) W Notatniku wklej poniższą treść i zapisz plik pod nazwą fix.txt. Plik umieść bezpośrednio na C:\.

"machine\SYSTEM\CurrentControlSet\Services\PolicyAgent",4,"O:BA"
"machine\SYSTEM\CurrentControlSet\Services\PolicyAgent\Parameters",4,"O:BA"
"machine\SYSTEM\CurrentControlSet\Services\PolicyAgent\Parameters\Cache",4,"O:BAD:PAI(A;OICI;CCDCLCSWRPRC;;;S-1-5-80-3044542841-3639452079-4096941652-1606687743-1256249853)"
"machine\SYSTEM\CurrentControlSet\Services\PolicyAgent\TriggerInfo",4,"O:BA"
"machine\SYSTEM\CurrentControlSet\Services\PolicyAgent\TriggerInfo\0",4,"O:BA"

START > w polu szukania wpisz cmd > z prawokliku Uruchom jako Administrator > wklej komendę:
SetACL -on "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" -ot reg -actn restore -bckp C:\fix.txt
>ENTER

6) Pobierz ten plik i umieść go bezposrednio na C:\
https://www.fixitpc.pl/index.php?app=core&module=attach&section=attach&attach_id=48434
START > w polu szukania wpisz cmd > z prawokliku Uruchom jako Administrator > wklej komendę:
SetACL -on "HKLM\SYSTEM\CurrentControlSet\Services\RemoteAccess" -ot reg -actn restore -bckp C:\fix.txt

>ENTER

7) Zrób nowy log z FSS

8)Zrób nowe logi z FRST.

jessi

Shadyz · 11 Listopada 2013

Wszystko po kolei zorbione

Wklejam logi

FSS.txt

FRST.txt

Addition.txt

jessica · 11 Listopada 2013

Boot Mode: Safe Mode (with Networking)

Czy w dalszym ciągu Tryb Normalny nie działa?

Sądząc po logach, to jest nieźle.

SDRSVC Service is not running.

VSS Service is not running

wscsvc Service is not running

wuauserv Service is not running

BITS Service is not running

EventSystem Service is not running

WinDefend Service is not running

Te usługi Systemowe nie są włączone.

Może po przejściu na Tryb normalny włączą się? Sama nie wiem.

Spróbuj Tryb Normalny.

Zrób w nim nowy log z FSS.

jessi

Shadyz · 11 Listopada 2013

sytuacja wygląda tak (piszę teraz ze swojego stacjonarnego) że po włączeniu od razy włącza się ten SpyHunter i zaczyna skanowanie. Gdy klikam stop scan program się zawiesza, po jakimś czasie wyłącza. Nie działa w ogóle Ctrl+Alt+Delete, mogę podróżować po folderach ale np opcja "Odinstaluj program" w Panelu sterowania nie działa (bo chciałem wywalić ten SpyHunter), tak samo jak przeglądarka Mozilla, po prostu się nie włącza. FSS nie włącza się, tj ładuje się w nieskończoność. Spróbuję teraz usunąć ten Spy w trybie awaryjnym. Nie da się. Mowi coś o braku dostępu do instalatora windows przy próbie odinstalowania tego programu

jessica · 11 Listopada 2013

Jednym słowem: jest źle.

Spróbujemy ten SpyHunter usunąć "na siłę".

Otwórz Notatnik i wklej w nim:

C:\windows\System32\Tasks\SpyHunter4Startup
S3 esgiguard; C:\Program Files (x86)\Enigma Software Group\SpyHunter\esgiguard.sys [13088 2011-03-02] ()
C:\Program Files (x86)\Enigma Software Group\SpyHunter\esgiguard.sys
C:\Program Files (x86)\Enigma Software Group\SpyHunter
C:\Users\Renia\Desktop\SpyHunter.lnk
C:\Users\Renia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\SpyHunter
Task: {E6BD2E59-AF0D-40F4-ABB7-5772BF8C0695} - System32\Tasks\SpyHunter4Startup => C:\Program Files (x86)\Enigma Software Group\SpyHunter\SpyHunter4.exe [2013-11-10] (Enigma Software Group USA, LLC.)
C:\Program Files (x86)\Enigma Software Group\SpyHunter\SpyHunter4.exe

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt.

Czy usunął się?

>>START>>URUCHOM>>wybierz (lub wpisz): services.msc> w okienku po prawej znajdź Centrum Zabezpieczeń>>prawoklik >>Właściwości > w okienku Typ Uruchomienia wybierz: Automatycznie (opóźnione uruchomienie) >OK
Kliknij na "Uruchom ponownie".

Panel sterowania > System i zabezpieczenia > System > Ochrona systemu > zaznacz dysk z Windows > Konfiguruj > zaznacz "Przywróć ustawienia systemu oraz poprzednie wersje plików" >OK.

>>START>>URUCHOM>>wybierz (lub wpisz): services.msc> w okienku po prawej znajdź Windows Update>>prawoklik >>Właściwości > w okienku Typ Uruchomienia wybierz: Automatycznie (opóźnione uruchomienie) >OK
Kliknij na "Uruchom ponownie".

>>START>>URUCHOM>>wybierz (lub wpisz): services.msc> w okienku po prawej znajdź usługa inteligentnego transferu w tle>>prawoklik >>Właściwości > w okienku Typ Uruchomienia wybierz: Automatycznie (opóźnione uruchomienie) >OK
Kliknij na "Uruchom ponownie".

>>START>>URUCHOM>>wybierz (lub wpisz): services.msc> w okienku po prawej znajdź System Zdarzeń COM+>>prawoklik >>Właściwości > w okienku Typ Uruchomienia wybierz: Automatycznie >OK
Kliknij na "Uruchom ponownie".

jessi

Shadyz · 11 Listopada 2013

Ok wszystko zorbione, program się nie włącza, piszę z trybu normlanego z laptopa czyli przeglądarka też działa dołączam logi obecne

jessica · 11 Listopada 2013

Otwórz Notatnik i wklej w nim:

S2 SpyHunter 4 Service; C:\PROGRA~2\ENIGMA~1\SPYHUN~1\SH4SER~1.EXE [x]

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt.

Czy wykonałeś wszystkie moje zalecenia z poprzedniego postu odnośnie włączenia usług Systemowych?

Pytam, bo Windows Update oraz Centrum Zabezpieczeń dalej nie są włączone.

jessi

Shadyz · 11 Listopada 2013

Tak, wszystkie tamte operacje zrobiłem, akurat przy tych dwóch już wcześniej była zaznaczona ta opcja Automatycznie(opóźnione uruchomienie)

Fixlog.txt

jessica · 11 Listopada 2013

Tak, wszystkie tamte operacje zrobiłem, akurat przy tych dwóch już wcześniej była zaznaczona ta opcja Automatycznie(opóźnione uruchomienie)

Szkoda, że nie dadzą się uruchomić.

Ja tu już nic nie wymyślę, więc musisz czekać, aż @Picasso wyzdrowieje (pewnie pod koniec miesiąca).

RogueKiller - usuń ręcznie

ESET Service Repair - usuń ręcznie.

FSS, FRST, OTL - na razie niech zostaną - może @Picasso będzie je jeszcze zalecać?

Myślę, że w takim stanie komputera możesz już spokojnie czekać.

jessi

Shadyz · 11 Listopada 2013

ok, serdecznie dziękuję za pomoc czy mógłbym się jakoś odwdzięczyć?

Zaloguj się

Problem z trojanem/rootkitem ZeroAccess, ogólnie komputerem

Rekomendowane odpowiedzi

Shadyz

Odnośnik do komentarza

jessica

Odnośnik do komentarza

Shadyz

Odnośnik do komentarza

jessica

Odnośnik do komentarza

Shadyz

Odnośnik do komentarza

jessica

Odnośnik do komentarza

Shadyz

Odnośnik do komentarza

jessica

Odnośnik do komentarza

Shadyz

Odnośnik do komentarza

jessica

Odnośnik do komentarza

Shadyz

Odnośnik do komentarza

jessica

Odnośnik do komentarza

Shadyz

Odnośnik do komentarza

jessica

Odnośnik do komentarza

Shadyz

Odnośnik do komentarza

Jeśli chcesz dodać odpowiedź, zaloguj się lub zarejestruj nowe konto

Zarejestruj nowe konto

Zaloguj się

Ostatnio przeglądający 0 użytkowników

Przeglądaj

Cała aktywność