Zagrożenie URL:Mal w svchost.exe

[beto]

Avast wykrywa mi wirusa pokazując na plik svchost.exe.

Podczas uruchomienia GMERa komputer od razu się resetuje.

 

edit:

Czasami avast pokazuje mi, że wirus jest też w opera.exe.

Extras.Txt

OTL.Txt

[picasso]

Avast wykrywa mi wirusa pokazując na plik svchost.exe. (...) Czasami avast pokazuje mi, że wirus jest też w opera.exe.

 

Proszę dokładnie przekleić sformułowanie z dziennika Avast, konkretna ścieżka dostępu + nazwa przyznana zagrożeniu.

[beto]

Tak to wygląda:

[picasso]

Wygeneruj raporty z Kaspersky TDSSKiller + aswMBR. Jeśli Kaspersky cokolwiek wykryje, nie podejmuj żadnej akcji (przyznaj Skip) i tylko przedstaw log.

[beto]

Logi:

aswMBR.txt

TDSSKiller.2.5.3.0_05.06.2011_15.53.52_log.txt

[picasso]

Zgodnie z moim przypuszczeniem w MBR dysku jest rootkit TDL4.

 

1. Uruchom Kaspersky TDSSKiller ponownie i tym razem dla wyniku przyznaj akcję Cure. Zresetuj komputer.

 

2. Po restarcie komputera wygeneruj nowy odczyt z Kaspersky TDSSKiller.

 

Jeśli infekcja główna zostanie pomyślnie usunięta, przejdziemy do reszty zadań, gdyż w OTL widać także skóty *.LNK, które muszą zostać usunięte.

 

 

 

.

[beto]

Log:

TDSSKiller.2.5.3.0_05.06.2011_16.01.34_log.txt

[picasso]

W porządku. Wygląda na to, że leczenie udało się. Avast nie powinien już wykrywać zagrożenia w procesie systemowym. Kolejne zadania do wykonania:

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\Documents and Settings\Łukasz\*.lnk
C:\Documents and Settings\Łukasz\Dane aplikacji\start
C:\Documents and Settings\Łukasz\Dane aplikacji\completescan
C:\Documents and Settings\Łukasz\Dane aplikacji\install
 
:OTL
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {D4027C7F-154A-4066-A1AD-4243D8127440} - No CLSID value found.
O4 - HKLM..\Run: [KernelFaultCheck]  File not found
O4 - HKCU..\Run: [DAEMON Tools Lite]  File not found
 
:Reg
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\Program Files\SopCast\adv\SopAdver.exe"=-
 
:Commands
[emptyflash]
[emptytemp]

Rozpocznij usuwanie przyciskiem Wykonaj skrypt. Po restarcie systemu automatycznie otworzy się log z wynikami.

 

2. System nie ma pliku HOSTS:

 

Hosts file not found

Włącz pokazywanie rozszerzeń w Mój komputer > Narzędzia > Opcje folderów > Widok > odznacz "Ukrywaj rozszerzenia dla znanych typów plików". Otwórz Notatnik i wklej w nim:

 

127.0.0.1       localhost

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz pod nazwą hosts bez żadnego rozszerzenia

 

Plik wstaw do folderu C:\Windows\System32\drivers\etc.

 

3. Wygeneruj nowy log z OTL opcją Skanuj. Dołącz także log powstały z usuwania w punkcie 1.

 

 

 

.

[beto]

Logi:

OTL.Txt

06052011_181430.txt

[picasso]

Zadanie usuwające pomyślnie wykonane, spora liczba plików tymczasowych również wyczyszczona.

 

1. Nie wykonałeś wcale zadania z plikiem HOSTS lub wykonałeś je niepoprawnie. Nadal stoi odczyt:

 

Hosts file not found

Powtarzaj czynności wcześniej przedstawione. Przypominam: musisz widzieć rozszerzenia, by się nie nabrać na ich rzekomy brak (tworząc kuriozum hosts.txt), a plik nie ma mieć żadnego rozszerzenia.

 

2. Skasuj przez SHIFT+DEL również ten podejrzany zerowy plik:

 

[2011-05-08 16:17:02 | 000,000,000 | ---- | M] () -- C:\Documents and Settings\Łukasz\x.mpeg

3. Wygeneruj nowy log z OTL do oceny, który ma poświadczać prawidłowe wykonanie zadania z plikiem HOSTS. Nie potrzebuję już Extras.

 

 

 

.

[beto]

Dzięki wielkie za pomoc.

OTL.Txt

[picasso]

Tak, teraz jest poprawnie:

 

O1 - Hosts: 127.0.0.1       localhost

 

Wykonaj końcowe kroki:

 

1. Zmień hasła logowań w serwisach.

 

2. W OTL użyj opcję Sprzątanie, co usunie kwarantannę programu i sam program. Wymagany restart.

 

3. Wyczyść foldery Przywracania systemu INSTRUKCJE.

 

4. Aktualizacja software:

 

========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83216016FF}" = Java™ 6 Update 20
"{58B785A2-D2CA-40AA-AE89-FCC49326CDC4}" = OpenOffice.org 3.2
"{AC76BA86-7AD7-1045-7B44-A93000000001}" = Adobe Reader 9.3.3 - Polish
"{D103C4BA-F905-437A-8049-DB24763BBE36}" = Skype™ 4.1
"Gadu-Gadu 10" = Gadu-Gadu 10
"Mozilla Firefox (3.5.19)" = Mozilla Firefox (3.5.19)

- Wykonaj aktualizacje zakreślonych programów: INSTRUKCJE.

- Ponadto, warto się zainteresować wymianą GG10 lżejszym bezreklamowym programem z obsługą Gadu. W temacie Darmowe komunikatory popatrz na opisy WTW (polecam), Miranda, ewentualnie Kadu.

 

 

.

Edytowane 19 Października 2011 przez picasso
5.07.2011 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso