Infekcja Personal Shield Pro

[pastorxy]

witam

Złapałem infekcje Personal shield pro z dokumentu pdf online przez acrobat reader. Syf ten blokował inne procesy, aplikacje i wogóle zaczł mieszac na pulpicie z tapetą, przestawiał pliki, po czym komputer zresetował sie wyswietlajac blu screen windowsa, ze nastepuje wyłaczenie aby uchronic pc przed powaznym uszkodzeniem. Po restarcie wszystko wyglądało normalnie jak dawniej, tylko ukryte pliki i rozszerzenia są pokazane. Udało mi sie zrobic skan Malwarebytes, który nie pokazał infekcji personal shieldem pro. I tu moje pytanie czy syf ten mógł od tak sam zniknąc czy jest ukryty? Prosiłbym o sprawdzenie logu z OTL i gmer:

gmer log.txt

Extras.Txt

OTL.Txt

[Landuss]

W logach nie widać czynnej infekcji. Musiało coś już to usunąć. Jedynie drobne sprawy do wykonania:

 

1. Skasuj z dysku ten folder po infekcji:

 

[2011-09-09 22:49:09 | 000,000,000 | ---D | C] -- C:\Documents and Settings\All Users\Dane aplikacji\eA13602FlJnG13602

...oraz użyj opcję Sprzątanie w OTL.

 

2. Wyczyść lokalizacje tymczasowe używając TFC - Temp Cleaner

 

3. Wykonaj ważne aktualizacje Internet Explorer, Firefox i Adobe Reader: KLIK.

 

4. Opróżnij folder Przywracania systemu: KLIK.

 

 

.

[pastorxy]

1. Nie znalazłem podanego folderu [szukałem w ukrytych; poprzez opcje wyszukaj i kopiowanie scieżki].

Mam jeszcze takie pytania:

- czy ten personal shield pro jest niebezpieczny czy tylko 'natarczywy'?

- czy podstawowe zabezpieczenia windy mogly dac sobie z nim rade?

- jaki obok malwarebytes skuteczny program polecasz?

[picasso]

Po pierwsze: log z OTL został wykonany OTL logfile created on: 2011-09-10 00:24:26 (GMER zresztą też jest z dziesiątego). Temat założony wczoraj (dnia 13 września), jest tu więc spora różnica w czasie (aż trzy dni) między wykonaniem loga a jego prezentacją, a tu wystarczy kilka minut by już log się różnił .... I to może wyjaśniać wprowadzanie nas w błąd i widoczność dla nas rzeczy potencjalnie już nieistniejących:

 

 

Nie znalazłem podanego folderu [szukałem w ukrytych; poprzez opcje wyszukaj i kopiowanie scieżki].

 

Po drugie: w logu był widoczny jakiś dziwny luźny sterownik nie wiadomo od czego:

 

[2011-09-09 23:55:05 | 000,054,016 | ---- | M] () -- C:\WINDOWS\System32\drivers\rnucnyn.sys

 

Poproszę o log z OTL zrobiony z teraz, który ma potwierdzić sytuację bieżącą.

 

 

Po restarcie wszystko wyglądało normalnie jak dawniej, tylko ukryte pliki i rozszerzenia są pokazane.

 

A czy przypadkiem nie uruchamiałeś wtedy OTL? Uruchomienie OTL rekonfiguruje opcje Widoku.

 

 

- czy ten personal shield pro jest niebezpieczny czy tylko 'natarczywy'?

 

To zależy od sytuacji, sam Personal Pro to typ powiedzmy natarczywy, ale ten rogue może być ładowany w całym miocie różnych infekcji (i nawet rootkitów), co wytwarza kryzysową sytuację.

 

 

- czy podstawowe zabezpieczenia windy mogly dac sobie z nim rade?

 

Jeśli pod pojęciem "podstawowe zabezpieczenia windy" rozumiesz właściwości samego systemu: Windows w żaden sposób sam z siebie nie potrafi temu zaradzić. A że cud nie wchodzi w grę, musiało coś innego zadziałać i nasuwają się na myśl Twoje wtórne zabezpieczenia (ESET / SpyShelter) jako bariera.

 

 

- jaki obok malwarebytes skuteczny program polecasz?

 

Oczywistą rzeczą jest, że w stadium przedstawionym w raportach nie wchodzą w grę żadne programy z czynnym rezydentem, ze względu na bezsensowność mnożenia osłon, które mogłyby prowadzić do konfliktów wzajemnych oraz obniżenia wydajności systemu. Natomiast jeśli rzecz o skanowaniu na żądanie, w ramach jednorazowego skanu (bo już tu dużo się dzieje w systemie), to tego jest worek, bo w istocie wiele narzędzi skróconych od wiodących producentów można uznać za "skuteczne". Pojęcie rozległe, zależy z jaką infekcją mamy do czynienia i jakie warunki systemowe zachodzą. I tak oto przykładowo uznajmy za "skuteczne": Emsisoft Anti-Malware (w wersji Free bez rezydenta), Hitman Pro, Kaspersky Virus Removal Tool, Dr. Web CureIt, skaner online ESET .... Ale nie każdy z nich zastosuję przy leczeniu określonej infekcji.

 

 

 

 

.

[pastorxy]

Po pierwsze: log z OTL został wykonany OTL logfile created on: 2011-09-10 00:24:26 (GMER zresztą też jest z dziesiątego). Temat założony wczoraj (dnia 13 września), jest tu więc spora różnica w czasie (aż trzy dni) między wykonaniem loga a jego prezentacją, a tu wystarczy kilka minut by już log się różnił .... I to może wyjaśniać wprowadzanie nas w błąd i widoczność dla nas rzeczy potencjalnie już nieistniejących

 

Te błedne daty są spowodowane tym ze niedawno wymieniałem bateryjke cmosu i nie poprawiłem daty&czasu;)

 

 

A czy przypadkiem nie uruchamiałeś wtedy OTL? Uruchomienie OTL rekonfiguruje opcje Widoku.

 

Nie bo to było bezposrednio po restarcie ze stanu' krytycznego', gdzie po ponownym rozruchu nie było infekcji, a jedynie widoczne pliki ukryte.

 

 

Poproszę o log z OTL zrobiony z teraz, który ma potwierdzić sytuację bieżącą.

 

Proszę bardzo:) [nie zrobiłem jeszcze aktualizacji przegladarek przez to całe przenoszenie ustawien, dodatków i zakładek]

OTL2.Txt

Extras2.Txt

[picasso]

W logu nie ma ani jednego obiektu, który był widoczny w pierwszym podejściu. Nie widzę innej możliwości niż to, że Twoje programy reagowały, bo samoznikanie infekcji jest nie do uwierzenia.

 

 

PS. Drobną kosmetykę zrób, usuwając te trzy poszkodowane wpisy (AVUpdate to szczątek po ArcaBit, MEMSWEEP2 to tymczasowy sterownik Sophos Anti-rootkit). Ten pierwszy zresztą nagrywa się w Dzienniku zdarzeń w postaci błędu:

 

Error - 2011-09-10 02:25:12 | Computer Name = ZIFRA-9DE3BE6D4 | Source = Service Control Manager | ID = 7000
Description = Nie można uruchomić usługi ArcaBit Update Service z powodu następującego
 błędu:   %%2

 

W OTL w sekcji Własne opcje skanowania / skrypt wklej co podane niżej i klik w Wykonaj skrypt.

 

:OTL
SRV - File not found [Auto | Stopped] --  -- (AVUpdate)
DRV - File not found [Kernel | On_Demand | Running] --  -- (MEMSWEEP2)
O16 - DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} "http://fpdownload.macromedia.com/get/flashplayer/current/polarbear/ultrashim.cab" (Reg Error: Key error.)

Po tym możesz użyć Sprzątanie (co resetuje też widoczność plików do domyślnego poziomu ukrytego) albo z dysku przez SHIFT+DEL skasować katalog C:\_OTL.

 

 

I temat będziemy zamykać.

 

 

 

.

[pastorxy]

Dziękuje serdecznie za pomoc. Jesteście pro;) Pozdrawiam