Trojan Cutwail.Be m7f4pu607h.exe

Kris15 · 13 Maja 2011

Witam.

Od wczoraj mam problem z 1 złośliwym trojanem. Wczoraj antywirus (Microsoft Security Essentials) wykrył wirusa: TrojanDownloader:Win32/Cutwail.BE. Usunął go bez żadnego problemu, lecz po ponownym włączeniu kompa znowu ten sam wirus się pojawia. I tak w koło. Zmienia on tylko "elementy" jak pisze w historii w antywirusie Element: process:pid:2040. Każdy następny usunięty ma inny numer np. 1828 ,1684

Po usunięciu pojawia się również komunikat od antywirusa, że znalazł plik, który nie jest jeszcze sklasyfikowany i chce go wysłać do bazy i przeanalizować. Jest to dziwny plik :

m7f4pu607h.exe

Wbuauu Xoexh Gpqwxy

Wbuauu Software

(nie żartuje, tak jest ten plik opisany)

Znajduje się on w : C://Documents and Settings/ (Profil)/ m7f4pu607h.exe

Skanowałem pełnym skanem kompa Microsoft Security Essential, aktualnie skanuje Dr. Web Cure It (szybki skan nic nie wykrył)

Proszę Was o pomoc.

EDIT: Przepraszam i dołączam logi. Na razie tylko z OTL.

OTL.Txt

Extras.Txt

macio150 · 13 Maja 2011

Witam,

Tez dziś znalazłem ten plik i proces o takiej samej nazwie (m7f4pu607h.exe). Mój antywirus też nie wykrywa tego pliku, choć wykrył proces jako trojan Cutwail.BE. Proces jest uruchamiany z rejestru. Wyszukałem i usunąłem go z rejestru - najpierw musiałem zabić proces, bo inaczej wpisy natychmiast wracały. Plik m7f4pu607h.exe na wszelki wypadek zachowałem pod inna nazwą. Wcześnie zrobiłem też backup rejestru. Wygląda na to, że po restarcie trojan już nie wraca. Robię jeszcze raz skanowanie żeby się upewnić.

picasso · 13 Maja 2011

macio150

Tu nie wolno się dopisywać do cudzych tematów. Są zasady działu przyklejone. Twój post zostanie oddzielony w osobny temat i proszę dodać obowiązkowe logi (OTL + GMER).

Kris15

Log z GMER jest tu obowiązkowy. Czekam, aż go dostarczysz. Trojan Cutwail stosuje techniki rootkit i infekuje sterowniki systemowego.

.

Kris15 · 14 Maja 2011

Koniec problemu. Zmieniłem nazwę tego pliku m7f4pu..... i zmieniłem jego lokalizację. Po ponownym uruchomieniu kompa już nie wykrywa wirusa. Później przeczyściłem rejestr CCleanerem i Odkurzaczem (znalazł ten wpis jako nieprawidłowy - odwołujący się do nieistniejącego pliku i usunął go). Jak na razie trojan nie wraca.

Dziękuje za pomoc.

PS: Jak by wirus wrócił ja też tu pewnie wrócę .

Pozdrawiam.

picasso · 14 Maja 2011

Kris15 proszę o log z GMER. To co Ty zrobiłeś to jest banał, plik był dobrze widoczny w logu i można go było skasować na X sposobów.

O4 - HKU\S-1-5-21-2000478354-682003330-725345543-1004..\Run: [m7f4pu607h] C:\Documents and Settings\Krzys\m7f4pu607h.exe (Wbuauu Software)

Instrukcji tej nie dostałeś jako pierwszej nie dlatego, że nie było wiadome jak to skasować (), tylko dlatego że nie ma tu pewności, że to wszystko. Dla porównania temat z forum: KLIK. Nie wypuszczę Cię dopóki nie wykonasz detekcji pod kątem rootkit.

Dodatkowo, rzeczy do naprawiania to jest tu więcej niż Ci się wydaje. Np. spróbuj skasować te pliki z Pulpitu:

File not found -- C:\Documents and Settings\Krzys\Pulpit\j 005.jpg

File not found -- C:\Documents and Settings\Krzys\Pulpit\j 004.jpg

File not found -- C:\Documents and Settings\Krzys\Pulpit\j 003.jpg

File not found -- C:\Documents and Settings\Krzys\Pulpit\j 002.jpg

File not found -- C:\Documents and Settings\Krzys\Pulpit\j 001.jpg

File not found -- C:\Documents and Settings\Krzys\Pulpit\III KWARTAŁ ryz. operacyjne 2010.zip

File not found -- C:\Documents and Settings\Krzys\Pulpit\fizyka 005.jpg

File not found -- C:\Documents and Settings\Krzys\Pulpit\fizyka 004.jpg

File not found -- C:\Documents and Settings\Krzys\Pulpit\fizyka 003.jpg

File not found -- C:\Documents and Settings\Krzys\Pulpit\fizyka 002.jpg

File not found -- C:\Documents and Settings\Krzys\Pulpit\fizyka 001.jpg

.

Kris15 · 14 Maja 2011

Oto i logi z GMERA:

GMER.txt

A o co chodzi z tymi plikami z pulpitu ?

picasso · 14 Maja 2011

OK, log jest porządku. Rozumiem także, że ani MSSE ani używany tu ewidentnie Dr. Web CureIt nic już nie wykrywają. Zamknięcie sprawy:

1. Po ukończeniu dezynfekcji wyczyść foldery Przywracania systemu: INSTRUKCJE.

2. Jest tu w Firefox folder rozszerzenia (ten dodatek sponsoringowy wchodzi z instalacją niektórych tematów FF):

[2009-07-26 00:13:51 | 000,000,000 | ---D | M] (Ask Chrome Search Engine) -- C:\Documents and Settings\Krzys\Dane aplikacji\Mozilla\Firefox\Profiles\78m7cbc7.default\extensions\askopensearch-VTS@ask.com

Wygląda to na szczątek. Jeśli takie rozszerzenie jest niewidoczne w menedżerze Firefox (by je odinstalować), po prostu usuń folder tego śmiecia z dysku ręcznie.

3. Aktualizacje:

Internet Explorer (Version = 6.0.2900.5512) 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83216017FF}" = Java 6 Update 24
"{3248F0A8-6813-11D6-A77B-00B0D0160030}" = Java 6 Update 3
"{AC76BA86-7AD7-1038-7B44-CEA000000001}" = Adobe Reader 6.0.2 CE
"Gadu-Gadu" = Gadu-Gadu 7.7
"Mozilla Firefox (3.6)" = Mozilla Firefox (3.6)

- Zaktualizuj obie przeglądarki, okropnie stary Reader-sitko do deinstalacji i wymiany najnowszym, podobnie z Java: INSTRUKCJE. Tak, IE obowiązkowo, niezależnie od tego że używasz Firefox. Silnik IE jest używany w trybie cichym przez różne komponenty systemowe oraz aplikacje trzecie i powinien być zawsze zaktualizowany.

- Wreszcie na deser GG7. Program nie spełnia nawet wymogów obsługi własnej sieci i jest mało bezpieczny użytkowo (brak szyfrowania). Można zaopatrzyć się w alternatywny program z obsługą GG8/10 i bez reklam. W temacie Darmowe komunikatory popatrz na opisy: WTW, Miranda, Kadu... Od siebie proponuję WTW.

A o co chodzi z tymi plikami z pulpitu ?

Ich próba kasacji zwróci błąd, że taki plik nie istnieje. By je skasować, musi być użyta sztuczka (lub program który umie obejść weryfikację nazw). W związku z tym, jeśli chcesz się ich pozbyć, metoda wstępna. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

:Files
del /q "\\?\C:\Documents and Settings\Krzys\Pulpit\j 005.jpg" /C
del /q "\\?\C:\Documents and Settings\Krzys\Pulpit\j 004.jpg" /C
del /q "\\?\C:\Documents and Settings\Krzys\Pulpit\j 003.jpg" /C
del /q "\\?\C:\Documents and Settings\Krzys\Pulpit\j 002.jpg" /C
del /q "\\?\C:\Documents and Settings\Krzys\Pulpit\j 001.jpg" /C
del /q "\\?\C:\Documents and Settings\Krzys\Pulpit\III KWARTAŁ ryz. operacyjne 2010.zip" /C
del /q "\\?\C:\Documents and Settings\Krzys\Pulpit\fizyka 005.jpg" /C
del /q "\\?\C:\Documents and Settings\Krzys\Pulpit\fizyka 004.jpg" /C
del /q "\\?\C:\Documents and Settings\Krzys\Pulpit\fizyka 003.jpg" /C
del /q "\\?\C:\Documents and Settings\Krzys\Pulpit\fizyka 002.jpg" /C
del /q "\\?\C:\Documents and Settings\Krzys\Pulpit\fizyka 001.jpg" /C

Klik w Wykonaj skrypt. Pokaż tylko log z tego usuwania.

.

Kris15 · 14 Maja 2011

Bardzo Ci dziękuje za pomoc!

Dziękuje również za info co do niektórych aplikacji. O IE nie miałem pojęcia, a co dziwne w Mozilli 4.0 mam crash-e grafiki, ale to już inna sprawa. A stary i poczciwy Adobe Reader - ostatnio jak nową wersje ściągałem, nie otwierała niektórych starych .pdf z internetu.

I jeszcze te pliki z pulpitu... O dziwo nie mam ich na pulpicie. Usuwałem je z 3 dni temu i nie było żadnego problemu.

Jeszcze raz dziękuje i jestem pod wielkim wrażeniem twojej wiedzy.

Pozdrawiam

picasso · 14 Maja 2011

a co dziwne w Mozilli 4.0 mam crash-e grafiki, ale to już inna sprawa.

Na czym to polega?

A stary i poczciwy Adobe Reader - ostatnio jak nową wersje ściągałem, nie otwierała niektórych starych .pdf z internetu.

Sprawdź czy te "stare PDF" otworzy Sumatra PDF. Jeśli tak, przestarzały Adobe Reader do kasacji, zamontujesz najnowszy a do tych szczególnych plików będziesz używał Sumatrę.

I jeszcze te pliki z pulpitu... O dziwo nie mam ich na pulpicie. Usuwałem je z 3 dni temu i nie było żadnego problemu.

To jest rzeczywiście dziwne w kontekście odczytu w OTL z "file not found".

.

Kris15 · 14 Maja 2011

Właśnie też jak robiłem logi z OTLa się zdziwiłem.

A crash-e Mozilli:

Przy oknach pobocznych (pozwolę sobie to tak nazwać)typu : Pobierane pliki / wyskakujące okienka typu ankiety / rozwijane listy (np. przy wyborze czegoś jak przy pogodzie - miejscowość)

Mam dziwne paski poziome, ukośne(czasem kolorowe a czasem czarno-białe), które uniemożliwiają przeczytanie tekstu zawartego w tym oknie. Przy dłuższym oglądaniu tego dziwnego crash-a występuje czarny ekran, po czym "No signal", następnie VPU recovery (karta graficzna: ATI Radeon HD 5700 (Saphire)).

A właśnie znalazłem coś niepokojącego. W edytorze rejestru (regedit) znalazłem jeszcze wpis m7f4pu607h w HKEY_current_user/software/Microsoft/Windows/Current Version

Można go bezpiecznie wywalić ?

picasso · 17 Maja 2011

A właśnie znalazłem coś niepokojącego. W edytorze rejestru (regedit) znalazłem jeszcze wpis m7f4pu607h w HKEY_current_user/software/Microsoft/Windows/Current Version
Można go bezpiecznie wywalić ?

...\CurrentVersion a nie ...\CurrentVersion\Run jak to było widzialne w logu (?):

O4 - HKU\S-1-5-21-2000478354-682003330-725345543-1004..\Run: [m7f4pu607h] C:\Documents and Settings\Krzys\m7f4pu607h.exe (Wbuauu Software)

I to by oznaczało, że ta akcja była zrobiona po łebkach:

Później przeczyściłem rejestr CCleanerem i Odkurzaczem (znalazł ten wpis jako nieprawidłowy - odwołujący się do nieistniejącego pliku i usunął go).

Może pokaż nowy log z OTL ...

A crash-e Mozilli:
Przy oknach pobocznych (pozwolę sobie to tak nazwać)typu : Pobierane pliki / wyskakujące okienka typu ankiety / rozwijane listy (np. przy wyborze czegoś jak przy pogodzie - miejscowość)

Mam dziwne paski poziome, ukośne(czasem kolorowe a czasem czarno-białe), które uniemożliwiają przeczytanie tekstu zawartego w tym oknie. Przy dłuższym oglądaniu tego dziwnego crash-a występuje czarny ekran, po czym "No signal", następnie VPU recovery (karta graficzna: ATI Radeon HD 5700 (Saphire)).

Czy próbowałeś reinstalacji sterowników ATI najnowszą wersją, po uprzednim wyczyszczeniu Driver Sweeper?

.

Kris15 · 17 Maja 2011

Sterowniki próbowałem przeinstalować i aktualnie mam najnowszą wersję. Ale tego Driver Sweeper nie używałem . Spróbuje

Nowe logi z OTLa:

OTL.Txt

Extras.Txt

picasso · 17 Maja 2011

1. Nie ma takiego wpisu w logu. Zaprezentuj więc zrzut ekranu z tego:

W edytorze rejestru (regedit) znalazłem jeszcze wpis m7f4pu607h w HKEY_current_user/software/Microsoft/Windows/Current Version

2. Następnie:

I jeszcze te pliki z pulpitu... O dziwo nie mam ich na pulpicie. Usuwałem je z 3 dni temu i nie było żadnego problemu.

A tu w logu nadal stoi: