Problem z usunięciem zainfekowanych plików

[wiktorpl]

Witam,

program avast wykrył mi infekcje "Win32:MalOb-EI [Cryp]" has been found in "C:\WINDOWS\system32\wmdrmsdkl.dll" file. Chciałem usunąć ten plik, ale niestety nawet w trybie awaryjnym nie mogę się go pozbyć. Program mbam nic nie wykrywa.

Podejrzane jest dla mnie również zadanie Gwalj.job. Nie mogę tego zadania znaleźć na swoim komputerze nawet jak wybiorę pokaż ukryte zadania (wiem że zadanie się ciągle uruchamia - wyświetliłem dziennik). Zrobiłem skan OTL. Oba podejrzane pliki zostały utworzone w tym samym czasie (Files Created).

 

Te dwa pliki uważam za zainfekowane. Proszę o konsultacje i czy jeśli jest to rzeczywiście infekcja to jak się tego pozbyć.

 

[2011-02-18 16:40:51 | 000,000,332 | -HS- | C] () -- C:\WINDOWS\tasks\Gwalj.job

[2011-02-18 16:40:50 | 000,172,032 | RHS- | C] () -- C:\WINDOWS\System32\wmdrmsdkl.dll

[Landuss]

Skoro zrobiłeś skan OTL to prosze załączyć tutaj logi do oceny. Nie zapomnij dać loga z GMER

[wiktorpl]

Mogę dać logi tylko z OTL. Przy każdym skanie programem GMER komputer się wiesza. To dość stary i słaby komp. Avast odinstalowalem bo to byla stara wersja. Poza tym szukam jakiegos antywirusa ktory bylby odpowiedni dla takiego sprzetu + jakis firewall. Avast bardzo spowalnial komputer. (moze to wina starej wersji - teraz byla 4.8, kiedys wszytsko dzialalo ok). Na razie jestem skazany na ten zabytek, więc próbuje go jakoś przywrócić w miarę do życia... .

 

OTL:

http://wklej.org/id/488895/

 

Extras:

http://wklej.org/id/488897/

 

 

Poza rozwiązaniem sprawy infekcji prosiłbym o rady jakiegoś "uprządkowania" tego komputera. Zbędne śmieci itp.

[picasso]

Istotnie, te dwa idą na ubój. Załączę też usuwanie wpisów nieszkodliwych lecz poszkodowanych i oczywiście będzie czyszczenie lokalizacji tymczasowych.

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
[2011-02-18 16:40:51 | 000,000,332 | -HS- | C] () -- C:\WINDOWS\tasks\Gwalj.job
[2011-02-18 16:40:50 | 000,172,032 | RHS- | C] () -- C:\WINDOWS\System32\wmdrmsdkl.dll
SRV - File not found [Disabled | Stopped] --  -- (MksVirMonSvc)
SRV - File not found [Disabled | Stopped] --  -- (CTDevice_Srv)
O3 - HKU\S-1-5-21-2359318216-147483797-895301802-1006\..\Toolbar\ShellBrowser: (&Google) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  File not found
O3 - HKU\S-1-5-21-2359318216-147483797-895301802-1006\..\Toolbar\WebBrowser: (&Google) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  File not found
O3 - HKU\S-1-5-21-2359318216-147483797-895301802-1006\..\Toolbar\WebBrowser: (EPSON Web-To-Page) - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} -  File not found
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553555000} "http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab" (Reg Error: Key error.)
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} "http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab" (Reg Error: Key error.)
 
:Reg
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
""=-
 
:Commands
[emptyflash]
[emptytemp]

Rozpocznij usuwanie przyciskiem Wykonaj skrypt. System zostanie zrestartowany i otrzymasz log.

 

2. Stwórz nowe logi z OTL opcją Skanuj. Dołącz log uzyskany z usuwania w punkcie 1.

 

 

To dość stary i słaby komp. Avast odinstalowalem bo to byla stara wersja. Poza tym szukam jakiegos antywirusa ktory bylby odpowiedni dla takiego sprzetu + jakis firewall. Avast bardzo spowalnial komputer. (moze to wina starej wersji - teraz byla 4.8, kiedys wszytsko dzialalo ok).

 

Co dopiero proponowałam w innym temacie taki zestaw, który jest obliczony na lekkość pracy:

 

AV: Microsoft Security Essentials (antywirus "klasyczny") + Panda Cloud Antivirus (antywirus w chmurze, może być łączony z innym antywirusem).

FW: PrivateFirewall

 

 

Poza rozwiązaniem sprawy infekcji prosiłbym o rady jakiegoś "uprządkowania" tego komputera. Zbędne śmieci itp.

 

Prócz drobnej kosmetyki zadanej już w skrypcie, właściwie nie ma tu na widoku grubszych porządków, ale:

 

1. Komentarze do zainstalowanego software:

 

Windows XP Home Edition Dodatek Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 6.0.2900.5512)
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"Gadu-Gadu" = Gadu-Gadu 7.7
"GPL Ghostscript 8.54" = GPL Ghostscript 8.54
"GPL Ghostscript Fonts" = GPL Ghostscript Fonts
"GSview 4.8" = GSview 4.8
"KLiteCodecPack_is1" = K-Lite Codec Pack 3.7.5 Full
"LiveUpdate" = LiveUpdate 2.6 (Symantec Corporation)
"Mozilla Firefox (3.6.14)" = Mozilla Firefox (3.6.14)
"PowerGG" = PowerGG
"RealAlt_is1" = Real Alternative 1.7.5
 
[2011-03-07 14:56:30 | 000,000,386 | ---- | M] () -- C:\WINDOWS\tasks\Symantec NetDetect.job

• Do deinstalacji odpadek po Symantec oraz z Harmonogramu wyciąć zadanie pozostałe po Symantec.
  
• Aktualizacja przeglądarek Firefox i Internet Explorer: KLIK.
  
• Aktualizacja Ghostscript: KLIK
  
• Zdezelowane kodeki sugeruję zamienić nowszymi lub zamiennie wybrać odtwarzacz o cechach niezależnych (linia MPLayer i jego nakładek lub VLC Media Player).
  
• Niepełnosprawne GG7 ze sztukowanym PowerGG: po co się tak męczyć z tym inwalidą. Temat: Darmowe komunikatory. Propozycja: WTW / Miranda. Od razu załatwione sprawy: brak reklam, niskie zapotrzebowania, praca w trybie przenośnym, obsługa cech nowego Gadu (długie numery, szyfrowanie, multilogowanie oraz podstawowa komunikacja typu konferencje / wysył plików i obrazków).
  

2. Skoro to taki słaby komputer, to rozważ optymalizacje usług: KLIK.

 

3. Posprzątaj dysk na tyle na ile możesz i wykonaj porządną dualistyczną defragmentację (normalna + Boot Time) za pomocą darmowego Puran Defrag Free Edition.

 

 

 

 

 

.

[wiktorpl]

Dziękuję za rady odnośnie orpogramowania i optymalizacji. Zastosuję się do nich w wolnej chwili.

Wklejam logi z OTL.

 

po wykonaniu skryptu:

http://wklej.org/id/489115/

 

OTL:

http://wklej.org/id/489116/

 

Extras:

http://wklej.org/id/489117/

[picasso]

Zadanie pomyślnie przeprowadzone.

 

1. Ostały się te dwa szczątki po pasku narzędziowym Symantec:

 

O3 - HKU\S-1-5-21-2359318216-147483797-895301802-1006\..\Toolbar\ShellBrowser: (no name) - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - No CLSID value found.
O3 - HKU\S-1-5-21-2359318216-147483797-895301802-1006\..\Toolbar\WebBrowser: (no name) - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - No CLSID value found.

Start > Uruchom > regedit i w poniższych kluczach:

 

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\ShellBrowser

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser

 

Skasuj wartości {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6}.

 

2. W OTL wywołaj Sprzątanie.

 

3. Wyczyść foldery Przywracania systemu: INSTRUKCJE.

 

 

 

 

.

[wiktorpl]

Wpisy z rejestru usunięte, sprzątanie wykonane, przywracanie zostało wyłączone a następnie włączone.

Przy okazji zmniejszyłem sobie ilość miejsca przeznaczoną na tą funkcję z domyślnej 12% na 3%. Na ile najodpowiedniej ustawić tą funkcję?

[picasso]

Przy okazji zmniejszyłem sobie ilość miejsca przeznaczoną na tą funkcję z domyślnej 12% na 3%. Na ile najodpowiedniej ustawić tą funkcję?

 

Redukcja do 3 procent wydaje się tu być odpowiednia (obliczam z ~74 GB widzialnego w nagłówku). Dla systemu XP 1-2GB przeznaczone na magazyn to wystarczający próg.

[wiktorpl]

Dziękuję za pomoc i rady.

Pozdrawiam