Po ataku -> niewidoczna partycja (Vista)

[Dion]

Witam,

 

Opisze na wstepie swoja glupote (moze jako przestroga na przyszlosc).

Z miejsca przepraszam za brak polskich znakow, ale pracuje na kompie, ktore nie ma polsich czcionek a ich instalacja laczy sie z utrudnieniami w pracy oprogramowania firmowego (ah te wielkie korporacje).

(Edit: nie wiem czy trafilem do wlasciwego dzialu, ale trudno mi ocenic co jest wlasciwa przyczyna, w kazdym razie zaczelo sie od wirusa, wiec zakladam, ze to jego skutek).

 

Niedawno kupilem lapka Asus k50ab-sx024c (nie byl nowy, ale jeszcze do sierpnia na gwarancji oraz prawie nieuzywany). Zostalo troche oprogramowania po wczesniejszym wlascicielu, ktore odinstalowalem.

Po instalacji nie sciagnalem zadnego antywirusa zostalem tylko na tym co oferowala Vista (32 bity) czyli windows defender.

 

Oprocz juz obecnego profilu stworzylem dwa nowe profile - uzytkowy (bez uprawnienien admina) i administracyjny, po czym skasowalem profil po poprzednim wlascicielu.

 

Pracowalem caly czas na profilu uzytkowym i na nim sciagnalem dane ze swojego starego kompa, ktorego nie uzywalem od ponad roku i ktory nie byl podlaczany do netu od co najmniej 5 lat.

 

Nastepnego dnia po przeniesieniu danych zaczely sie problemy z oprogramoawniem, praktycznie wszystkie pliki wykonywalne zainstalowane przeze mnie (deamon, vlc, chrome, google updater, google instaler) zglaszaly blad win32 i jakis kod bledu (niestety nie pamietam jaki). Podejrzewalem, ze to jakis virus ze starego kompa.

Zainstalowalem avasta (dopiero po jakichs 2 tygodnia uzytkownia laptopa...), ktory odnalazl okolo 80 zainfekowanych plikow czyms o nazwie win32 (bodajze "win32-parasite", ale nie jestem pewien).

Teoretycznie avast mial naprawic wiekszosc plikow, co mu sie nie udalo i programy nadal nie dzialaly. Po ich powtornej instalcji - wszystko dzialalo jak nalezy. Choc byly pewne problemy z google instalerem oraz google update, musialem wczesniej recznie usunac ich pliki wykonawcze (exe). W zwiazku z tym jestem pewien, ze nie wszystko zostalo naprawione (w sensie nie wszystkie pliki wykonawcze) i musialy zostac zaatakowane jakies pliki systemowe, ktorych z racji niskiej wiedzy nie podmienilem, bo nie wiedzialem ktore, ale wszystko dzialalo z mojej perspektywy. Choc byla zauwazalna utrata w wydajnosci/szybkosci.

 

Dwa dni pozniej (wczoraj) po opisanej powyzej sytuacji zostawilem komp na noc wlaczony co by google desktop go sobie zindeksowal. Rano gdy dotknalem kompa (doslownie) - sam sie zresetowal.

Pierwszy reboot nic nie dal. OS sie nie odpalil. Po recznym wylaczeniu i ponownym wlaczeniu OS sie odpalil do momentu wybierania uzytkownika, przy czym poinformoawl ze jest problem z Smart Logon Manager (taki soft Asusowy do logowania po rozpoznaniu twarzy).

Przy probie logowania na konto uzytkowe pojawia sie komunikat:

logowanie uslugi Usluga profilow uzytkownikow nie powiodl sie. Nie mozna zaladowac profilu uzytkownika"

Za pierwszym komunikatem komupter zrestartowal sie.

 

Po restarcie znowu doszedl do okna logowania uzytkownikow, i normalnie udalo sie zalogowac jako admin.

Niestety po zalogowaniu okazalo sie, ze partycja d jest nie dostepna:

Lokalizacja jest niedostepna
d:/ jest niedostepny.Plik lub katalog jest uszkodzony i nieczytelny.

 

Zrobilem pelnego skana avastem. Nic sie nie stalo.

Po restarcie zaczal dzialac Smart Logon Manager.

Znajomi poradzili aby przeskanowac kacperskim. Odinstalowalem avasta, pelen scan kacpreskim wykryl jakichs 6 plikow z malware i nic sie nie zmienilo.

HiJack nic nie dal (abstrahujac, ze kompletnie nie wiem jak go poprawnie uzywac).

Znajomi poradzili Combofixa, ktorym potraktowalem kompa (co troche przyczynilo sie do podniesienia mojego tetna bo gdy on skanowal ja dorwalem sie do Dezynfekcja: narzędzie ComboFix co napedzilo mi stracha.

No, ale co sie stalo to sie nie odstanie. Po przeczytaniu artykulu stwierdzilem, ze zamiast dzialac na oslep poslucham pomocy z waszej strony, szczegolnie ze z mojej perspektywy (zwyklego usera) nastepny krok to reinstalka OSa i modlenie sie aby dysk byl widziany... Oczywiscie po wczesniejszej probie interwencji na infolini Asusa badz Windy w koncu jest na gwarancji, ale to dla mnie ostatecznosc, bo wiem ze z obsluga gwarancyjna bywa roznie... Do rzeczy.

 

Zalaczam loga z comba i silna prosbe o pomoc w przywroceniu systemu do stanu z przed wywalenia, a przynajmniej zeby widzial partycje...

 

Pozdrawiam,

Dion.

 

PS.

 

Zauwazylem, ze pojawil sie problem (w menedzerze urzadzen) z jednym z "kontrolerow magazynu" AXW30FUJ IDE Controller. Wczesniej nie bylo z nim problemu (wczesniej to moment, w ktorym avast poradzil sobie z win32-parasite). Proba aktualizacji sterownika nic nie daly.

 

PS 2.

Znalazlem taki temat w necie i zastnawialem sie czy do tego sie nie zastosowac...

 

PS 3.

Dodane logi OTL + GMER

ComboFix.txt

OTL.Txt

Extras.Txt

gmer.txt

[picasso]

W podanych raportach nie widzę bezpośrednich znaków infekcji. GMER robiony w złych warunkach - działa emulacja napędów wirtualnych Daemon Tools.

 

DRV - [2011-01-09 22:26:13 | 000,218,176 | ---- | M] (DT Soft Ltd) [Kernel | System | Running] -- C:\Windows\System32\drivers\dtsoftbus01.sys -- (dtsoftbus01)
DRV - [2011-01-03 21:03:57 | 000,691,696 | ---- | M] () [Kernel | Boot | Running] -- C:\Windows\System32\Drivers\sptd.sys -- (sptd)

 

Zainstalowalem avasta (dopiero po jakichs 2 tygodnia uzytkownia laptopa...), ktory odnalazl okolo 80 zainfekowanych plikow czyms o nazwie win32 (bodajze "win32-parasite", ale nie jestem pewien).

 

Czy to przypadkiem nie było Win32:Parite? Parite a Parasite = wielka różnica, ten pierwszy jest wirusem w wykonywalnych i znacznie bardziej pasuje do opisu (uszkodzone programy). Na wszelki wypadek przeskanuj jeszcze system przez Dr. Web CureIt!.

 

HiJack nic nie dal (abstrahujac, ze kompletnie nie wiem jak go poprawnie uzywac).

 

To narzędzie analityczne (w rodzaju OTL) i nie robi nic automatycznie tylko musi być poinstruowane. Poza tym, niezdatne w obecnych czasach.

 

Znalazlem taki temat w necie i zastnawialem sie czy do tego sie nie zastosowac...

 

Trzymaj się z daleka od tej strony, to strona nastawiona reklamodawczo na swój "produkt".

 

Za pierwszym komunikatem komupter zrestartowal sie.

 

Zaprezentuj zdebugowane pliki zrzutów pamięci. Punkt nr 5 (podpunkt 2) w instrukcji: KLIK.

 

Lokalizacja jest niedostepna

d:/ jest niedostepny.Plik lub katalog jest uszkodzony i nieczytelny.

 

Start > w polu szukania wpisz diskmgmt.msc > z prawokliku Uruchom jako Administrator > pokaż zrzut ekranu z układu partycji.

 

Zauwazylem, ze pojawil sie problem (w menedzerze urzadzen) z jednym z "kontrolerow magazynu" AXW30FUJ IDE Controller. Wczesniej nie bylo z nim problemu (wczesniej to moment, w ktorym avast poradzil sobie z win32-parasite). Proba aktualizacji sterownika nic nie daly.

 

Przedstaw dokładne dane tego urządzenia. W Menedżerze urządzeń pobierz Właściwości tego obiektu, wejdź do karty Szczegóły i z rozwijalnej listy przeklej tu: Identyfikator sprzętu, Usługa, Producent. Możesz także dołączyć log ze spisem urządzeń: pobierz aplikację DevDiag, z prawokliku Uruchom jako Administrator, wklep z klawiatury opcję 3, narzędzie wygeneruje raport, który przekleisz do posta.

 

 

 

 

.

[Dion]

Ad 1. Emulacja wyłączona (sry, że dopiero teraz).

Przed chwilą uruchomiłem GMERa. Gdy on skanował przegladalem strony www (tylko FaceBook) i podczas przegladania IE sie wywalil i pociagnal resztę systemu. Pojawil sie komunikat:

"Proces logowania nie może otworzyć okna zabezpieczeń"

Po dwoch takich komunikatach i dosc duzej zamule systemu (nic się nie chciało otworzyć) wylaczylem lapa z palca.

Po ponownym uruchomieniu Kacperski zaczął informować o "Databases are corupted".

Zapuszczony GMER i póki co czekam na koniec...

 

Ad2. Tak masz racje, to było Win32:Parite. Dr. Web CureIt! sciagam z Dobrych Programów bo z docelowej strony nie mogę ściągnąć. Uruchomię jak tylko skończy się robić gmer.

 

Ad3. Dzieki dobrze wiedzieć.

 

Ad4. Tak też myślałem, ale wolałem się upewnić

 

Ad 5, 6 i 7 zrobię jak tylko skończę GMERa. Czyli cos kolo 20 wrzucę wszystkie dane.

[picasso]

Przed chwilą uruchomiłem GMERa. Gdy on skanował przegladalem strony www (tylko FaceBook) i podczas przegladania IE sie wywalil i pociagnal resztę systemu.

 

Podczas działania GMER system powinien być zostawiony w zupełnej bezczynności ze strony użytkownika.

 

Dr. Web CureIt! sciagam z Dobrych Programów bo z docelowej strony nie mogę ściągnąć. Uruchomię jak tylko skończy się robić gmer.

 

Jak wygląda problem ze ściąganiem z docelowej strony? W kwestii pobierania z dobrychprogramów: serwis wcale nie hostuje tego lecz kieruje do linku FTP strony Dr. Web, i tak ściągasz ze strony Dr. Web a nie z DB (ale fakt, to są dwa różne adresy serwerów Dr. Web). Poza tym ze strony dobreprogramy jest ściągana gorsza wersja programu, tzn. ze stałą nazwą "launch.exe". Na oryginalnej stronie, którą podałam, jest całkiem co innego = generowany losowo EXE (to ma utrudniać infekcji skillowanie programu).

 

 

 

.

[Dion]

Korzystam na tym profilu tylko z IE (wersja 7.0.6002.18005). Podczas próby ściagania z docelowej strony, gdy pojawia sie komunikat (nad pasku zakladek) o tym, ze strona chce przeslac plik, dalem zapisz, ale nic sie nie stalo. Po trzech probach, gdy nadal się nic nie działo, ściągnałem z dobrych programów.

[picasso]

Sprawdziłam to, rzeczywiście na Internet Explorer jest problem i po zatwierdzeniu "Pobierz plik" przeładowuje stronę i nic się nie pobiera. Problemu nie ma na Firefox. Przekonfiguruj tymczasowo Internet Explorer, by nie blokował autościągania: Opcje internetowe > Zabezpieczenia > strefa Internet > Poziom niestandardowy > Pobieranie plików > opcję "Automatyczne monitowanie dla pobrań plików" przestaw z Wyłączone na Włączone. Pobierz Dr. Web CureIt, a następnie przywróć ustawienia oryginalne.

[Dion]

Zrobiony skan w GMER: http://wklej.org/id/598426/txt/

Dr Weba ściągnęło elegancko. Zrobiony pelen skan Dr. Web CureIt! (6:30 h):

 

 

f_001bed\gziped.gz;C:\Users\Olo\AppData\Local\Google\Chrome\User Data\Default\Cache\f_001bed;Prawdopodobnie SCRIPT.Virus;;

f_001bed;C:\Users\Olo\AppData\Local\Google\Chrome\User Data\Default\Cache;Archiwum zawierające zainfekowane obiekty;Przeniesiony.;

 

 

Zrzut z diskmgmt:

 

 

Co do danych kontrolera magazynu AXW30FUJ IDE Controller:

 

Identyfikator sprzętu:

ACPI\PNPA000

*PNPA000

Usługa: afoufkcm

Producent: (standard mass storage controllers)

Kod problemu 00000027

Dodany log z DevDiag:

 

DevDiag.txt

 

Niestety pojawił się problem w WINDBG. Podczas proby załadowania jakiegokolwiek .DMP pojawiał się komunikat:

Memory.dmp

Nie masz uprawnień do otwarcia tego pliku.

Skontaktuj się z jego właścicielem albo z administratorem, aby uzyskać odpowiednie uprawnienia.

 

W związku z tym załączam paczkę z pełnym jak i małymi zrzutami.

 

Info:

1. Z pakietu winsdk_web instalowałem tylko WINDBG. PRzy czym pojawil się komunikat, że nie mam frameworka 4 (możliwe, że go miałem, ale mam w zwyczaju usuwać go (framework) i wszystkie jego aktualizacje, ponieważ z tego co wiem z punktu widzenia zwykłego użytkownika jest zbędny) .

2. W między czasie odinstalowałem HTC synchro - oprogramowanie do HTCka - w obecnej chwili uznalem je za zbedne

[picasso]

1. Wyniki z Dr. Web:

 

f_001bed\gziped.gz;C:\Users\Olo\AppData\Local\Google\Chrome\User Data\Default\Cache\f_001bed;Prawdopodobnie SCRIPT.Virus;;
f_001bed;C:\Users\Olo\AppData\Local\Google\Chrome\User Data\Default\Cache;Archiwum zawierające zainfekowane obiekty;Przeniesiony.;

Opróżnij cache Google Chrome.

 

2. Poszkodowany kontroler:

 

Co do danych kontrolera magazynu" AXW30FUJ IDE Controller:

 

Identyfikator sprzętu:
ACPI\PNPA000
*PNPA000
Usługa: afoufkcm
Producent: (standard mass storage controllers)
Kod problemu 00000027

Tak przypuszczałam po konstrukcji nazwy tego kontrolera. To jest losowe urządzenie produkowane przez sterownik SPTD, przy każdym restarcie ma przypisaną inną nazwę pliku, którego na dysku nie można znaleźć. Czyli jest to "urządzenie" tworzone przez programy od napędów wirtualnych (tu masz DAEMON Tools). Tylko, że urządzenie to nie powinno być wcale widzialne w takim stanie w menedżerze urządzeń, przynajmniej ja pamiętam tak to z moich systemów. Po prostu odinstaluj ten kontroler całkowicie + restart i zobaczymy co się stanie.

 

3. Zrzuty pamięci:

 

Niestety pojawił się problem w WINDBG. Podczas proby załadowania jakiegokolwiek .DMP pojawiał się komunikat

 

Nie masz uprawnień do otwarcia tego pliku.
Skontaktuj się z jego właścicielem albo z administratorem, aby uzyskać odpowiednie uprawnienia.

 

Pliki należało skopiować na Pulpit i dopiero wtedy otworzyć je w debugerze, a nie bezpośrednio z katalogu Windows. Otworzyłam paczkę, którą dostarczyłeś. Liczy się w niej tylko najnowszy minidump z 2011. Przyczyna restartu = sterownik DAEMON Tools:

 

Mini011211-01.dmp    2011-01-12 18:30:41    DRIVER_IRQL_NOT_LESS_OR_EQUAL    0x000000d1    0x90436490    0x00000002    0x00000008    0x90436490    dtsoftbus01.sys    dtsoftbus01.sys+2d490

Wnioski: należy na stałe pozbyć się tego DAEMONA, przynajmniej w tej wersji.

 

4. Niedostępna partycja: system plików jest przerobiony na RAW. To implikuje uszkodzenie systemu plików partycji. Wstępnie spróbuj programu TestDisk i sprawdź czy on potrafi odwrócić stan tej partycji. Nie pomyl się przy wybieraniu partycji.

 

 

 

.

[Dion]

Ad 1. Chome jest zainstalowany na uszkodzonym profilu i nie odpala się na koncie admina - folder cache opróżniony ręcznie.

Ad 2 and 3 - Done.

4. w trakcie.

 

Edit po restarcie:

Nadal jest widziany kontroler magazynu, który zgłasza błąd (System Windows nie może załadować sterownika urządzenia dla tego sprzętu. Sterownik może być uszkodzony lub nieobecny. (Kod 39)). Obecna nazwa magazynu AFTCH47Z IDE Controller.

[picasso]

Edit po restarcie:

Nadal jest widziany kontroler magazynu, który zgłasza błąd (System Windows nie może załadować sterownika urządzenia dla tego sprzętu. Sterownik może być uszkodzony lub nieobecny. (Kod 39)). Obecna nazwa magazynu AFTCH47Z IDE Controller.

 

To wskazuje, że coś pozostało czynnego od napędów wirtualnych. Czy na pewno: całkowicie odinstalowałeś DAEMON Tools oraz sterownik SPTD (KLIK)? Ważna i kolejność deinstalacji: najpierw program, a po tym SPTD. Jeśli kolejność odwrotna, deinstalacja DAEMONa zwróci błąd.

[Dion]

Po sciagnieciu i probie instalacji pojawia sie komunikat: "sptdinst-v176-x86.exe nie jest prawidłową aplikajcą systemu win32".

No i oczywiście się nie odpala...

[picasso]

Co dopiero o tym mówiłam: KLIK. Zauważyłam też, że ten błąd jest częsty przy stosowaniu Internet Explorer. Może ponów ściąganie inną przeglądarką, a by nie brudzić systemu instalacjami, można wybrać wersję portable (np. Opera USB).

[Dion]

Ok, na Operze zadziałało i udała się deinstalacja.

Można prosić o jakiś tutorial odnośnie TestDisk'a? Z góry dzięki.

[Anonim8]

Można prosić o jakiś tutorial odnośnie TestDisk'a? Z góry dzięki.

 

Proszę KLIK

[Dion]

No to sie urzadzilem....

 

Po odpaleniu Testdiska zrobilem wszystko zgodnie z instrukcja do momentu:

 

"Na pytanie czy zapisać wciskamy "Y" i restartujemy komputer. Teraz powinniśmy mieć dostęp do utraconej partycji wraz z jej zawartością."

 

dalem uruchom ponownie i komp sie wylaczyl choc nie do konca. Diody sie palilly, ale ekran czarny. Komp wygladaj jak by cos po cichu robil. Po odczekaniu 30 minut, zdecydowalem sie wylaczyc go z palca.

Lap wlaczyl sie w najnizszej rozdzielczosci i wyskoczylo okno asusowe - Recovery. Zapytal sie czy chce odzyskac windowsa z obiema partycjami. Dalem tak i jak mniemam rozpoczela sie instalca.

Poprosil o okreslenie nowej nazwy uzytkownika itd.

Windows sie odpalil z calkowicie swiezymi ustawieniami, dyski (obie partycje) wygladaja na sformatowene...

 

I teraz moje pytanie, czy jest szansa odzyskac dane z partycji d (niesystemowej)?

 

Rozumiem, ze to pytanie moze juz byc poza tematem tego dzialu, i jesli tak do to poprosze o przeniesienie go do innego dzialu.

 

Wnioski:

Rozumiem, ze powinien zostawic kompa pracujacego i nie wylaczac go z palca. Czy tak?

[Anonim8]

I teraz moje pytanie, czy jest szansa odzyskac dane z partycji d (niesystemowej)?

 

Szansa jest. Znowu należy skorzystać z TestDiska. Ale przedtem powiedz, czy przywrócony przez Recovery układ partycji jest dokładnie taki sam jakiego używałeś?

[picasso]

komp sie wylaczyl choc nie do konca. Diody sie palilly, ale ekran czarny. Komp wygladaj jak by cos po cichu robil. Po odczekaniu 30 minut, zdecydowalem sie wylaczyc go z palca.

 

(..)

 

Rozumiem, ze powinien zostawic kompa pracujacego i nie wylaczac go z palca. Czy tak?

 

Z opisu na to wygląda. Jeśli są prowadzone jakiekolwiek operacje na systemie plików, brutalne przerwanie tego procesu wyłącznikiem może prowadzić do uszkodzeń.

 

 

I teraz moje pytanie, czy jest szansa odzyskac dane z partycji d (niesystemowej)?

 

Ponownie: TestDisk. O ile tablica plików nie jest zbyt zamazana, a obawiam się, że tak może być.

 

 

EDIT: pisałam nie widząc powyższej odpowiedzi.

 

.

Edytowane 15 Stycznia 2011 przez picasso

[Dion]

Uklad jest taki sam. Goraca prosba o uwazne przeprowadzenie przez temat, bo wlasnie decyduja sie losy 5 lat mojego zycia.

 

Rozumiem, ze powinien zrobic wszystko dokladnie tak jak TU, do momentu:

 

"Na pytanie czy zapisać wciskamy "Y" i restartujemy komputer. Teraz powinniśmy mieć dostęp do utraconej partycji wraz z jej zawartością."

 

?

[Anonim8]

Rozumiem, ze powinien zrobic wszystko dokladnie tak jak TU, do moemntu

 

Cięzko jest wziąć na bary dorobek 5 lat czyjegoś życia. Rozumiem, że chcesz odzyskać pliki? Jeśli tak to:

Odzyskiwanie plików:

jeśli chcemy odzyskać usunięte pliki wybieramy [ Advanced ]

następnie wybieramy partycje, zaznaczamy [ Undelete ]

aplikacja wyświetli usunięta pliki - naciskamy c aby skopiować plik. Następnie wybieramy miejsce zapisu

[Dion]

Wyrzuca mi "No deleted file found". A jest juz po "glebokiej analizie".

[Anonim8]

Czy TestDisk uruchamiasz z innej partycji niż ta z której chcesz odzyskać dane? To bardzo ważne

[Dion]

Tak. Uruchamiam z c, a chce odzyskac d.

[Anonim8]

Wysłałem info na PW

[Dion]

Hej,

 

Dane udalo sie odzyskac programem easy recovery. Jednak w zwiazku z tym, ze dysk niebyl rozpoznawany, oraz po jak mniemam quick formacie, udalo sie to zrobic glebokim odzyskiwaniem, czyli nie udalo sie odzyskac struktury, co skutkuje miedzy innymi folderem z kilkomadziesiacioma tysiacami zdjec typu foto1.jpg, foto2.jpg itd... cale szczescie exify istnieja

 

Temat do zamkniecia i dzieki wielkeie za chec pomocy.