Rootkit Necurs - Problemy z instalacją antywirusów

[wsmx]

Witam
Podejrzenie auto rotkit-a, w ramach sprawdzenia postanowilem zainstalować jakiegoś antywirusa i tu pojawił sie problem : avast niechce sie zainstalować a AVG instaluje sie pokazuje komunikat  "Nie znaleziono sterownika trybu jądra dla składnika auto rootkit" lecz gdy chce wlączyć skanowanie AVG nie skanuje (pasek postepu stoi w miejscu pliki nie "przeskakują"), oba te antywirusy sprawdziłem na innym komputerze o podobnej konfiguracji i nie było problemu.  Może panikuje proszę o pomoc.
Win XP sp3 32bit
 
Bede wdziczny za jakąkolwiek pomoc linki z podobnymi problemami itp.
 
 
Przeskanowalem system jeszcze Kaspersky TDSSKiller-em wykrył Rootkita NECURS zastosowalem  dla niego delete  postaram sie jak najszybciej wstawić nowe logi gmer-a

FRST.txt

Addition.txt

[picasso]

Proszę podaj także log utworzony przez TDSSKiller podczas usuwania. Log jest nagrany na dysku D:\.

[wsmx]

Dolaczam logi z gmera i TDSSKiller (u mnie logi sa na D: to komputer siostry i win jakoś dziwnie zainstalowany)

nowy log gmer.txt

TDSSKiller.3.0.0.19_29.12.2013_20.31.27_log.txt

[picasso]

Wg raportów z rootkit detekcji Necurs został usunięty (logi w pierwszym poście nieaktualne pod tym kątem), więc maszyny antywirusowe powinny zostać odblokowane. Mamy tu jednak do wykonania jeszcze usuwanie drobnych śmieci adware i wpisów odpadkowych.

 

1. Otwórz Notatnik i wklej w nim:

 

Task: D:\WINDOWS\Tasks\Go for FilesUpdate.job => D:\Program Files\GoforFiles\GFFUpdater.exe
HKCU\...\Run: [NextLive] - D:\WINDOWS\system32\rundll32.exe "D:\Documents and Settings\kixx\Dane aplikacji\newnext.me\nengine.dll",EntryPoint -m l
AppInit_DLLs: d:\docume~1\alluse~1\daneap~1\browse~1\23796~1.11\{16cdf~1\browse~1.dll [ ] ()
FF Plugin: @pandonetworks.com/PandoWebPlugin - D:\Program Files\Pando Networks\Media Booster\npPandoWebPlugin.dll No File
S3 EagleXNt; \??\D:\Documents and Settings\kixx\Ustawienia lokalne\Temp\EagleXNt.sys [x]
S2 StarOpen; No ImagePath
D:\Documents and Settings\kixx\.android
D:\Documents and Settings\kixx\daemonprocess.txt
D:\Documents and Settings\kixx\Dane aplikacji\newnext.me
D:\Documents and Settings\kixx\Dane aplikacji\GoforFiles
D:\Documents and Settings\kixx\Dane aplikacji\TuneUp Software
D:\Documents and Settings\kixx\Ustawienia lokalne\Dane aplikacji\genienext
D:\Documents and Settings\kixx\Ustawienia lokalne\Dane aplikacji\cache
D:\Documents and Settings\kixx\Ustawienia lokalne\Dane aplikacji\MFAData
D:\Documents and Settings\All Users\Dane aplikacji\MFAData
D:\WINDOWS\system32\Drivers\lgvlqrwg.sys
D:\WINDOWS\system32\Drivers\pvpfayij.sys
D:\WINDOWS\system32\Drivers\llrowzja.sys
D:\WINDOWS\system32\Drivers\wfsfisfw.sys
D:\WINDOWS\system32\Drivers\daxnejdt.sys
D:\WINDOWS\system32\Drivers\vfzotlnm.sys
D:\WINDOWS\system32\Drivers\zywktdnu.sys
D:\WINDOWS\system32\Drivers\grivzrsq.sys
D:\WINDOWS\system32\Drivers\fzljmwnb.sys
D:\WINDOWS\system32\Drivers\uybwwleh.sys
D:\WINDOWS\system32\Drivers\asfhaxtz.sys
D:\WINDOWS\system32\Drivers\pikqdmli.sys
D:\WINDOWS\system32\Drivers\hpjusbgz.sys

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt.

 

2. Wyczyść Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox. Reset nie naruszy zakładek i haseł, ale używane rozszerzenia będziesz musiał przeinstalować.

 

3. Uruchom AdwCleaner. Zastosuj Szukaj, a po tym Usuń. Powstanie folder D:\AdwCleaner z raportem z usuwania.

 

4. Uruchom TFC - Temp Cleaner.

 

5. Zrób nowy skan FRST (bez Addition). Dołącz plik fixlog.txt i log z AdwCleaner.

 

 

 

.

[wsmx]

Antywiry zaczeły już normalnie pracować

AdwCleanerR0.txt

AdwCleanerS0.txt

Fixlog.txt

FRST.txt

[picasso]

Dlaczego usunąłeś wcześniejsze logi? Takich rzeczy się nie robi. Nic nie można sprawdzić co było wcześniej (by porównać dane / zweryfikować czy wszystko poszło OK), a temat w ogóle traci sens, bo skąd niby dane brane. Logi w większości przywrócone. Brakuje nadal pliku Addition (który jest potrzebny do ukończenia tematu), ale on i tak zostanie zaraz zrobiony.

 

Wyniki ostatnich akcji: wprawdzie wykonane, ale nie wygląda, że wszystko. Nie ma tu oznak resetu Firefox. Poza tym, wspominasz, że "Antywiry zaczeły już normalnie pracować", ale nie widać ani jednego w logu. Proszę więc o nowy świeży log FRST z teraz, pole Addition zaznaczone, by powstał drugi log. Po sprawdzeniu logów pójdą jeszcze drobne poprawki.

 

 

 

.

[wsmx]

Przepraszam, postaram sie jak najszybciej wstawić wszystko za bardzo zasugerowalem sie informacja w posćie "logi w pierwszym poście nieaktualne pod tym kątem" chcialem polepszyć żeby nie wplowadzać w bląd a pogorszylem jak to mówią "nadgorliwość gorsz od faszyzmu"

 

Firefoxa musze chyba przeinstalować od nowa bo nie widze tej funkcji w "informacji o p...:-)

Addition.txt

Fixlog.txt

FRST.txt

[picasso]

Jeszcze drobne poprawki pójdą, ale to dołączam w ogólnym skrypcie w punkcie numer 3 poniżej.

 

Firefoxa musze chyba przeinstalować od nowa bo nie widze tej funkcji w "informacji o p..."".

Ta opcja jest od Firefox 13, u Ciebie widoczne dwie wersje:

 

==================== Installed Programs ======================
 

Mozilla Firefox 12.0 (x86 pl) (Version: 12.0 - Mozilla)

Mozilla Firefox 15.0 (x86 pl) (Version: 15.0 - Mozilla)

 

StartMenuInternet kieruje na dodatek na ścieżkę na dysku C a nie D:

 

FF StartMenuInternet: FIREFOX.EXE - C:\BBB\instalki\FF4\firefox.exe

 

Nawiasem mówiąc, dotyczy to także Avast. Stosowna wersja Firefox obecna, ale skoro opcji brak, to wygląda iż uruchamia się stary Firefox i jest tu misz masz wersji. W związku z tym owszem proponuję konkretną reinstalację Firefoxa, zwłaszcza, że tu widziane wersje są stare. Czyli:

 

1. Za pomocą MozBackup wykonaj kopię zapasową Firefox ograniczoną tylko do zakładek i haseł (nic więcej, by nie zabrudzić świeżego FF).

 

2. Odinstaluj oba wejścia via Dodaj/Usuń programy jak Bóg przykazał. Dodatkowo od razu usuń wszystkie stare programy wtyczkujące Firefox: Adobe Flash Player 10 Plugin, Adobe Reader 9.4.0, Java 7 Update 11, Microsoft Silverlight.

 

3. Ręcznie doczyść odpadki, tzn. otwórz Notatnik i wklej w nim:

 

SearchScopes: HKLM - DefaultScope value is missing.
S3 EagleXNt; \??\D:\WINDOWS\system32\drivers\EagleXNt.sys [x]
D:\Documents and Settings\kixx\netcache.dat
D:\Documents and Settings\kixx\Dane aplikacji\newnext.me
D:\Documents and Settings\kixx\Dane aplikacji\Mozilla
D:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension
C:\BBB\instalki\FF4
Reg: reg delete HKCU\Software\Mozilla /f
Reg: reg delete HKLM\SOFTWARE\Mozilla /f
Reg: reg delete HKLM\SOFTWARE\mozilla.org /f
Reg: reg delete HKLM\SOFTWARE\MozillaPlugins /f
Reg: reg delete HKLM\SOFTWARE\Clients\StartMenuInternet\FIREFOX.EXE /f

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Przedstaw wynikowy plik fixlog.txt.

 

4. Zainstaluj najnowszą wersję Firefox (jest to wersja 26) oraz podstawowy zestaw wtyczek (o ile w ogóle potrzebne): KLIK.

 

 

 

.