Skocz do zawartości
WAŻNE - Użytkownicy uprawnieni do pomocy
WAŻNE - Zakładanie tematu: obowiązkowe logi
Nadchodzące zmiany w logowaniu

autorun.inf

Gummi

Przez Gummi
w Dział pomocy doraźnej

Rekomendowane odpowiedzi

Gummi

Gummi

Opublikowano
Opublikowano

Mam problem na 3 komputerach do każdego był podłaczany pendrive z autorun.inf.

Pierwszy calkowicie padł nic się nie dało z nim zrobić wiec reinstalowałem system zainstalowałem kasperskiego trail przeskanowałem nic nie wykryło od tamtej pory strasznie sie muli i obraz tak jak przełacza sie okno w przeglądarce oto logi:

Extras.Txt

OTL.Txt

Na drugim kompie zainstalowane jest qooqle no i w tej chwili nie mogę ściągać wiekszych plików bo transfer robi się kosmiczny i się blokuje a pozatym zgrywając rano jeden plik na przenośny dysk na dysku nie widać od tego momentu żadnych plików mimo że jest zajęte miejsce:

Załączam logi:

OTL.Txt

Extras.Txt

Po podłączeniu pendrive do laptopa zaczął wyskakiwać błąd jakiegoś procesu (niestety nie zdążyłem zapisać) po czym słychać było jak szybciej pracuje dysk , pokazała się ikonka że baterii nie ma w laptopie po czym się zawiesił tak ze 3 razy.W tej chwili pracuje stabilnie ale to dopiero tak się złożyło ze od czasu kiedy internet jest podłączony.Na pendrive widać tylko pliki z filmami i zajete dużo wiecej miejsca niż powinno być.Po podłączeniu pendrive do tunera satelitarnego aby odtworzyć filmy widać że znajduje się na nim folder autorun.inf .

Załączam logi

Extras.Txt

OTL.Txt

 

 

Pozdrawiam i dzieki za pomoc

Odnośnik do komentarza
Pomoc jest darmowa, ale proszę rozważ przekazanie dotacji na utrzymanie serwisu: klik.
picasso

picasso

Opublikowano
Opublikowano

Logi z OTL produkowane na ustawieniach z innego forum, które wykorzystują przedawnione instrukcje obliczeń MD5 (przy aktualnie chodzących w obiegu rootkitach nie ma to sensu, OTL nie wykaże modyfikacji wcale). Na przyszłość: tu na forum nie wklejaj nic w dolnym oknie do skanowania. Dla systemów 32-bitowych nie zostały podane obowiązkowe logi z GMER.

 

 

Mam problem na 3 komputerach do każdego był podłaczany pendrive z autorun.inf.

 

Należy się zająć zawartością owego pendrive:

 

(...) pozatym zgrywając rano jeden plik na przenośny dysk na dysku nie widać od tego momentu żadnych plików mimo że jest zajęte miejsce

 

(...)

 

Na pendrive widać tylko pliki z filmami i zajete dużo wiecej miejsca niż powinno być.Po podłączeniu pendrive do tunera satelitarnego aby odtworzyć filmy widać że znajduje się na nim folder autorun.inf .

 

Na dysku przenośnym zapewne pliki zostały ukryte przez atrybuty HS (systemowy ukryty), a przy braku odznaczonej opcji Widoku "Ukryj chronione pliki systemu operacyjnego" lub gdy jej zastosowaniu zapobiega infekcja, nie można zobaczyć tych plików. Wybierz system na którym będzie prowadzona operacja, zabezpiecz go przez Panda USB Vaccine z opcji Computer Vaccination (to skuteczniejsza metoda niż dorabianie falsyfikatów autorun.inf) + restart systemu. Następnie podepnij przenośny i wygeneruj log z USBFix z opcji Listing.

 

 

Pierwszy komputer:

 

Brak śladów infekcji, ale są sponsorzy.

 

1. Przejdź do Dodaj / Usuń i odinstaluj Conduit Engine + MyAshampoo Toolbar. Po tym wygeneruj nowe logi z OTL, dla potwierdzenia, że deinstalacja była kompletna.

 

2. Fatalny stan zabezpieczeń:

 

Windows XP Home Edition Dodatek Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 6.0.2900.2180)
zainstalowałem kasperskiego trail przeskanowałem nic nie wykryło od tamtej pory strasznie sie muli i obraz tak jak przełacza sie okno w przeglądarce

 

Z przełączaniem okna nie rozumiem. Natomiast za spowolnienie może odpowiadać sam Kaspersky jako taki.

 

 

Drugi komputer:

 

W systemie widzę tylko infekcję Qooqlle (pochodna "kodeków z torrent") oraz mapowanie w MountPoints2 pozostałe po podpięciu zarażonego USB. Prócz tego kiepski status zabezpieczeń:

 

Windows XP Professional Edition Dodatek Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 6.0.2900.2180)

 

1. Na początek usuwanie Qooqlle, MountPoints2 i wpisów "not found". Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = "http://www.qooqlle.com/"
FF - prefs.js..browser.startup.homepage: "http://www.qooqlle.com/"
O2 - BHO: (IEPluginBHO Class) - {F5CC7F02-6F4E-4462-B5B1-394A57FD3E0D} -  File not found
O4 - HKLM..\Run: [GProton] C:\Documents and Settings\All Users\GProton.exe ()
O4 - HKCU..\Run: [ALLUpdate]  File not found
[2011-02-25 00:48:09 | 000,001,860 | ---- | M] () -- C:\Documents and Settings\mag\Dane aplikacji\Mozilla\Firefox\Profiles\zrvoqep8.default\searchplugins\search.xml
 
:Reg
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2]
 
:Commands
[emptyflash]
[emptytemp]

Rozpocznij usuwanie przez opcję Wykonaj skrypt. Komputer będzie restartował. Po restarcie zostanie podany log z działania.

 

2. W spisie programów jest też przeglądarka Opera. Skrypt do OTL nie może przetwarzać jej ustawień. Przeglądarka musi zostać skonfigurowana ręcznie: KLIK.

 

3. Następnie likwidacja sponsora. Przejdź do Dodaj / Usuń programy i odinstaluj Ask Toolbar. Wygląda na to, że ten śmieć wszedł z nieuważną instalacją Foxit Reader. Foxit nie jest czysty i w instalatorze ów pasek narzędziowy symulujący funkcjonalność czytnika PDF należy odznaczyć ....

 

4. Wygeneruj nowe logi z OTL opcją Skanuj. Dołącz także log powstały z usuwania w punkcie 1.

 

 

Trzeci komputer:

 

Tu jest znacznie gorzej, są liczne trojany. Próbowałeś używać ComboFix i ani słowa o tym. OTL źle zrobiony i jeszcze nie zaznaczyłeś opcji, by pokazywało wpisy 64bit, jest tylko wykaz części 32-bitowej.

 

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files


C:\Users\Monika\wuaucldt.exe


C:\Users\Monika\Desktop\update.exe


C:\Users\Monika\Desktop\Version


C:\Users\Public\Documents\19792079


C:\Users\Monika\AppData\Local\inetserv.exe


C:\Users\Monika\AppData\Roaming\WMPRWISE.EXE


C:\Users\Monika\AppData\Roaming\jbMhE16d0h.txt


C:\Users\Monika\AppData\Roaming\2uyzyybawqyivmvjmp1qlenu1qvmtu22


C:\Users\Monika\AppData\Roaming\flzswe1gzabuf1papzvfmw1pyt3ufpz2


C:\Users\Monika\AppData\Roaming\ghnzeasbbiwjolm3ruhioyugbyrrhon2


C:\Users\Monika\AppData\Roaming\iw3ndi3msoklp3oqsixtypssrxllmbp2


C:\Users\Monika\AppData\Roaming\qme1zi2q2iywvmulgjkozxrxucjwgdx


C:\Users\Monika\AppData\Roaming\st2qprtgqxsmbg3gxfp3fj2dkhi2dsz2


C:\Users\Monika\AppData\Roaming\swvfrtnieys3jq2j3de3v1ssio23g2r2


C:\Users\Monika\AppData\Roaming\vo1flivnpn1z3uofbk3i3pipsrze2232


C:\Users\Monika\AppData\Roaming\x1kyduebmsvyynohdhdo3fzerdavyark2


C:\Users\Monika\AppData\Roaming\x2zmyaalsd1drgnkmuinckrm2pexrcku2


C:\Users\Monika\AppData\Roaming\xa1bqgdaefhtuknznv3bfdxxzc3nooab2


C:\Users\Monika\AppData\Roaming\xanhdchjkxfyceyvdls12urjhc1kmtbb2


C:\Users\Monika\AppData\Roaming\xctamz2lbdozdbjuodvszgykip313gjk2


C:\Users\Monika\AppData\Roaming\xeklfxqlny3332uv2xubebojb1bezqus2


C:\Users\Monika\AppData\Roaming\xfrykixo1gyscwuzcgay22tggndbxxq32


C:\Users\Monika\AppData\Roaming\xgky13ehnhiy1afbspkw2b21nepvuimi2


C:\Users\Monika\AppData\Roaming\xh2gmemffr1ifdotkablpxebwkb2qvos2


C:\Users\Monika\AppData\Roaming\xlz2qrudbrdz13oxuiczefdhs1tdqxbc2


C:\Users\Monika\AppData\Roaming\xnkyhzbu1ypdxotemc3k1fqcwcwexyxi2


C:\Users\Monika\AppData\Roaming\xpoqajxu2kqrblmfmoqrcv3tnr1da2gm2


C:\Users\Monika\AppData\Roaming\xtnfdgjzru13fjamt2xtmsewpluriz1i2


C:\Users\Monika\AppData\Roaming\xxifdbbu1l3zgt2nbzhdkykk3cpmlqfd2


C:\Users\Monika\AppData\Local\Temp*.html


 


:Reg


[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon]


"Shell"="Explorer.exe"


[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]


"inetserv"=-


"Microsoft Firewall 2.9"=-


"mssend"=-


"wuaucldt"=-


[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings]


"ProxyEnable"=dword:00000000


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]


"C:\Users\Monika\AppData\Local\Temp\0.38273324941271125.exe"=-


"C:\Users\Monika\AppData\Local\Temp\0.46398966181296675.exe"=-


"C:\Users\Monika\AppData\Roaming\x1kyduebmsvyynohdhdo3fzerdavyark2\svcnost.exe"=-


"C:\Users\Monikaupdate001.exe"=-


"C:\Users\Monika\AppData\Roaming\x2zmyaalsd1drgnkmuinckrm2pexrcku2\svcnost.exe"=-


"C:\Users\Monika\AppData\Roaming\xxifdbbu1l3zgt2nbzhdkykk3cpmlqfd2\svcnost.exe"=-


 


:Commands


[emptyflash]


[emptytemp]

Rozpocznij usuwanie przez opcję Wykonaj skrypt. Komputer będzie restartował. Po restarcie zostanie podany log z działania.

 

2. Po restarcie wygeneruj nowe logi z OTL opcją Skanuj, zaś opcja wpisów 64-bit ma być zaznaczona. Podaj log otrzymany z usuwania w punkcie 1.

 

 

 

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Pierwszy komputer:

 

Deinstalacja nie była perfekcyjna. Sponsoring nie wymontował się wcale z Firefox.

 

1. Zamknij Firefox. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
IE - HKU\S-1-5-21-854245398-1659004503-839522115-1004\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = "http://search.conduit.com?SearchSource=10&ctid=CT2475029"
FF - prefs.js..browser.search.defaultthis.engineName: "MyAshampoo Customized Web Search"
FF - prefs.js..browser.search.defaulturl: "http://search.conduit.com/ResultsExt.aspx?ctid=CT2475029&SearchSource=3&q={searchTerms}"
FF - prefs.js..browser.startup.homepage: "http://search.conduit.com/?ctid=CT2475029&SearchSource=13"
FF - prefs.js..extensions.enabledItems: {a1e75a0e-4397-4ba8-bb50-e19fb66890f4}:3.2.5.2
[2011-02-25 17:28:13 | 000,000,000 | ---D | M] (MyAshampoo Community Toolbar) -- C:\Documents and Settings\wero\Dane aplikacji\Mozilla\Firefox\Profiles\9wdcewvt.default\extensions\{a1e75a0e-4397-4ba8-bb50-e19fb66890f4}
[2011-02-25 17:28:13 | 000,000,000 | ---D | M] (Conduit Engine) -- C:\Documents and Settings\wero\Dane aplikacji\Mozilla\Firefox\Profiles\9wdcewvt.default\extensions\engine@conduit.com
[2010-12-15 16:12:32 | 000,000,923 | ---- | M] () -- C:\Documents and Settings\wero\Dane aplikacji\Mozilla\Firefox\Profiles\9wdcewvt.default\searchplugins\conduit.xml
[2011-02-26 11:19:25 | 000,000,000 | ---D | C] -- C:\Documents and Settings\wero\Ustawienia lokalne\Dane aplikacji\MyAshampoo
[2011-02-25 17:28:19 | 000,000,000 | ---D | C] -- C:\Program Files\Conduit

Klik w Wykonaj skrypt. Nie będzie restartu.

 

2. Wystarczy, że zaprezentujesz tylko log z usuwania.

 

 

Drugi komputer:

 

Zadanie usuwania infekcji wykonane pomyślnie.

 

1. Drobnostka do korekty. W OTL w sekcji Własne opcje skanowania / skrypt wklej:

 



:OTL


O3 - HKU\S-1-5-21-1220945662-1844237615-682003330-1003\..\Toolbar\WebBrowser: (no name) - {D4027C7F-154A-4066-A1AD-4243D8127440} - No CLSID value found.

Kliknij w Wykonaj skrypt. Akcja będzie błyskawiczna. Po tym wywołaj opcję Sprzątanie.

 

2. Wyczyść foldery Przywracania systemu: INSTRUKCJE.

 

3. Zabezpiecz system!

 

Windows XP Professional Edition Dodatek Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 6.0.2900.2180)

Do obowiązkowej instalacji SP3 + IE8. Internet Explorer musi być aktualizowany, niezależnie od tego że wcale go nie uruchamiasz i korzystasz tylko z Firefox. IE i tak jest w użytku. Na jego silniku opierają się różne funkcje systemu oraz korzystają z niego w trybie cichym aplikacje trzecie. Łatać trzeba. Szczegóły aktualizacyjne systemu i Java rozpisane tutaj: INSTRUKCJE.

 

 

Wczoraj potraktowałem USB Flash disinfector.

 

Wiem o tym już od poprzedniego loga.

 

O32 - AutoRun File - [2011-02-25 13:31:27 | 000,000,000 | RHSD | M] - C:\autorun.inf -- [ NTFS ]
O32 - AutoRun File - [2011-02-25 13:31:28 | 000,000,000 | RHSD | M] - D:\autorun.inf -- [ FAT32 ]
O32 - AutoRun File - [2011-02-25 13:31:28 | 000,000,000 | RHSD | M] - E:\autorun.inf -- [ FAT32 ]
O32 - AutoRun File - [2011-02-25 13:31:27 | 000,000,000 | RHSD | M] - G:\autorun.inf -- [ NTFS ]
O32 - AutoRun File - [2011-02-25 13:31:27 | 000,000,000 | RHSD | M] - H:\autorun.inf -- [ NTFS ]
O32 - AutoRun File - [2011-02-25 13:31:27 | 000,000,000 | RHSD | M] - I:\autorun.inf -- [ NTFS ]
O32 - AutoRun File - [2011-02-25 13:31:27 | 000,000,000 | RHSD | M] - J:\autorun.inf -- [ NTFS ]

Ta metoda jest jednak słabsza niż w Pandzie. Foldery robione techniką Flash Disinfector są łatwe do znokautowania. Wprawdzie nie działa bezpośrednia kasacja (to się przez sztuczkę da skasować), ale już bez żadnych przeszkód można zmienić nazwę folderu. Wystarczy, że zaszczepi się infekcja, która umie zmieniać nazwę obiektu i już nie ma ochrony. Zresztą, Panda już załatwiła ten folder na urządzeniu, zmieniła mu nazwę i stał się całkowicie bezużyteczny:

 

[25/02/2011 - 13:31:28 | RASHD ] 	K:\AUTORUN_.INF

W zamian wstawiła prawdziwie zablokowany plik własny:

 

[26/02/2011 - 10:44:12 | H | 16] 	K:\AUTORUN.INF

 

Mam tu problem z odczytem w USBFix = nic nie wskazuje na to, by coś tu było ukryte .... Prócz wyżej wymienionego folderu autorun.inf (twór Flash Disinfector), na urządzeniu są jedynie trzy obiekty spełniające warunki ukrywania, a żaden per se nie jest szkodliwy:

 

[29/06/2008 - 09:36:22 | SH | 57] 	K:\desktop.ini
[04/06/2010 - 20:38:14 | RH | 474] 	K:\winamp_cache_0001.xml
[08/06/2008 - 09:39:44 | RSHD ] 	K:\RECYCLER

RECYCLER = Kosz (choć nie wiadomo co w nim jest), desktop.ini i plik WinAmp. Może coś w Koszu jest ogromnego, co zajmuje pojemność. Włącz pokazywanie ukrytych w Mój komputer > Narzędzia > Opcje folderów > Widok: zaznacz Pokaż ukryte pliki i foldery + odptaszkuj Ukryj chronione pliki systemu operacyjnego. Wejdź na urządzenie do RECYCLER i patrz co tam jest w środku.

 

 

Trzeci komputer:

 

I tu również skrypt pomyślnie w całości przetworzony. Nie notuję też już żadnych znaków infekcji.

 

1. Pozbądź się kopii szkodników oraz szczątków narzędziowych:

 

  • Odinstaluj w prawidłowy sposób ComboFix. Z klawiatury wywołaj kombinację klawisz z flagą Windows + R i wklej polecenie: C:\Users\Monika\Desktop\ComboFix.exe /uninstall
  • Usuń kwarantannę OTL wykorzystując w nim opcję Sprzątanie

2. Na temat statusu zabezpieczeń:

 

64bit- Home Premium Edition  (Version = 6.1.7600) - Type = NTWorkstation
Internet Explorer (Version = 8.0.7600.16385)

Jest już dostępny pierwszy Service Pack dla Windows 7. Podaję link do pełnego instalatora: Windows 7 SP1.

 

 

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Nie pisz postów pod postem. Czekam na wyraźne odpowiedzi na temat przeprowadzonych akcji.

 

1. By zamknąć sprawę pierwszego komputera: w OTL wywołaj Sprzątanie, wyczyść foldery Przywracania systemu i wio do aktualizacji systemu.

 

2. Mówiłeś:

 

Na pendrive widać tylko pliki z filmami i zajete dużo wiecej miejsca niż powinno być.Po podłączeniu pendrive do tunera satelitarnego aby odtworzyć filmy widać że znajduje się na nim folder autorun.inf .

 

Ukryty folder autorun.inf jest od Flash Disinfector (zakreślałam wyżej) i tak podam instrukcje jego usuwania (akcja Pandy unieważniła jego działanie), ale chodzi teraz o sprawdzenie niezgodności z pojemnością. Nic na ten temat nie mówisz.

 

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

To teraz się pozbądź folderu Flash Disinfector z tego dysku, on już po robocie Pandy nie ma żadnego znaczenia:

 

[25/02/2011 - 13:31:28 | RASHD ] 	K:\AUTORUN_.INF

Start > Uruchom > CMD

 

Wpisz komendę przejścia na dysk i ENTER:

 

K:

 

Wpisz komendę usuwania folderu (patrz uważnie gdzie w poleceniu są spacje):

 

RD /S /Q \\?\K:\AUTORUN_.INF

 

 

Podsumuj jaki jest stan wszystkich trzech systemów i czy coś z nimi jeszcze trzeba robić.

 

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano
nie mogę wyłączyć "Przywracania systemu na wszystkich dyskach" wyskakuje że wystapił błąd i żeby uruchomić ponownie komputer

 

Czy jest tam podane coś więcej, np. kod błędu? Popatrzyłam ponownie do OTL Extras pierwszego komputera na ustawienia Przywracania systemu:

 

========== System Restore Settings ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore]
"DisableSR" = 0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sr]
"Start" = 4
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SrService]
"Start" = 2

Widzę, że główny Sterownik filtru Przywracania systemu (SR) jest wyłączony.

 

Start > Uruchom > regedit i wejdź do klucza:

 

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sr

 

Dwuklik w wartość Start i zamień liczbę 4 na 0. Zresetuj system i ponów próbę z wyłączaniem Przywracania.

 

 

.

Odnośnik do komentarza
Gummi

Gummi

Opublikowano
  • Autor
Opublikowano (edytowane)

Spróbuj przeinstalować Przywracanie systemu. W Start > Uruchom > wklej komendę:

 

rundll32.exe advpack.dll,LaunchINFSection %Windir%\inf\sr.inf

 

Jeśli padnie prośba o pliki instalacyjne systemu, należy albo wskazać folder ServicePackFiles w systemie (o ile jest) albo włożyć CD XP do napędu.

Już wszystko działa ok Dzieki pozdrawiam

Edytowane przez picasso
Temat rozwiązany. Zamykam. //picasso
Odnośnik do komentarza
Gość
Ten temat został zamknięty. Brak możliwości dodania odpowiedzi.
Tematy

  • Ostatnio przeglądający   0 użytkowników

    • Brak zarejestrowanych użytkowników przeglądających tę stronę.
×
×
  • Dodaj nową pozycję...