mikkado Opublikowano 8 Listopada 2011 Zgłoś Udostępnij Opublikowano 8 Listopada 2011 Witam! Będę wdzięczny za pomoc w pozbyciu się wirusów z komputera. Po wejściu na stronę "hxxp://www.teatr-pismo.kei.pl/index.php" antywirus (ESET NOD32) zaalarmował o infekcji. Następnie włączyła się zapora Windows z alertem/pytaniem, czy nadal blokować przeglądarkę Firefox. Zauważalne jest wyraźne spowolnienie internetu; ESET NOD32 co jakiś czas informuje o znalezieniu wirusów i przeprowadzeniu kwarantanny. Alert zapory Windows włącza się przy uruchomieniu każdego programu. Załączam dziennik zdarzeń ESET NOD 32 oraz wymagane logi. Będę bardzo wdzięczny za poświęcony czas OTL.TxtPobieranie informacji ... Extras.TxtPobieranie informacji ... raport_eset.txtPobieranie informacji ... Odnośnik do komentarza
picasso Opublikowano 8 Listopada 2011 Zgłoś Udostępnij Opublikowano 8 Listopada 2011 Niestety, mamy tu poważną infekcję rootkit ZeroAccess (ESET wykrywa go jako Sirefef), a jego znaki to: ========== Modules (No Company Name) ========== MOD - [2008-06-20 17:04:23 | 000,246,784 | ---- | M] () -- \\?\globalroot\systemroot\system32\mswsock.dll O10 - Protocol_Catalog9\Catalog_Entries\000000000001 - mswsock.dll File not foundO10 - Protocol_Catalog9\Catalog_Entries\000000000002 - mswsock.dll File not foundO10 - Protocol_Catalog9\Catalog_Entries\000000000003 - mswsock.dll File not foundO10 - Protocol_Catalog9\Catalog_Entries\000000000004 - mswsock.dll File not foundO10 - Protocol_Catalog9\Catalog_Entries\000000000005 - mswsock.dll File not foundO10 - Protocol_Catalog9\Catalog_Entries\000000000006 - mswsock.dll File not foundO10 - Protocol_Catalog9\Catalog_Entries\000000000007 - mswsock.dll File not foundO10 - Protocol_Catalog9\Catalog_Entries\000000000008 - mswsock.dll File not foundO10 - Protocol_Catalog9\Catalog_Entries\000000000009 - mswsock.dll File not foundO10 - Protocol_Catalog9\Catalog_Entries\000000000010 - mswsock.dll File not foundO10 - Protocol_Catalog9\Catalog_Entries\000000000011 - mswsock.dll File not foundO10 - Protocol_Catalog9\Catalog_Entries\000000000012 - mswsock.dll File not foundO10 - Protocol_Catalog9\Catalog_Entries\000000000013 - mswsock.dll File not foundO10 - Protocol_Catalog9\Catalog_Entries\000000000014 - mswsock.dll File not foundO10 - Protocol_Catalog9\Catalog_Entries\000000000015 - mswsock.dll File not found O20 - HKU\S-1-5-21-1202660629-1770027372-725345543-1003 Winlogon: Shell - (C:\Documents and Settings\Marysia\Ustawienia lokalne\Dane aplikacji\e9766fe7\X) - File not found File not found -- C:\WINDOWS\System32\[2011-11-08 10:09:17 | 000,000,000 | -HSD | C] -- C:\Documents and Settings\Marysia\Ustawienia lokalne\Dane aplikacji\e9766fe7 Etap wstępny, uruchom Kaspersky TDSSKiller, wszystkim wykrytym zagrożeniom przyznaj akcję Skip i tylko raport do oceny przedstaw. . Odnośnik do komentarza
mikkado Opublikowano 9 Listopada 2011 Autor Zgłoś Udostępnij Opublikowano 9 Listopada 2011 Oj, to niedobrze Poniżej log z Kaspersky TDSSKiller (znalazł jedną infekcję: Rootkit.Win32.ZAccess). kasperski_tdss_rep.txtPobieranie informacji ... Odnośnik do komentarza
picasso Opublikowano 9 Listopada 2011 Zgłoś Udostępnij Opublikowano 9 Listopada 2011 1. Kaspersky wykrył jako zainfekowany sterownik systemowy IPSEC. Dla tego wyniku wybierz opcję Cure i zresetuj system. 2. Następnie uruchom zgodnie ze wskazówkami ComboFix i przedstaw raport wynikowy. . Odnośnik do komentarza
mikkado Opublikowano 9 Listopada 2011 Autor Zgłoś Udostępnij Opublikowano 9 Listopada 2011 Ad. 1. Zrobione. Ad. 2. Poniżej raport z ComboFixa. log_combofix.txtPobieranie informacji ... Odnośnik do komentarza
picasso Opublikowano 9 Listopada 2011 Zgłoś Udostępnij Opublikowano 9 Listopada 2011 Wygląda na to, że spółka Kaspersky + ComboFix dała radę i rootkit został usunięty. Przechodzimy do kolejnych działań, czyli usunięcia pozostałego po rootkicie folderu oraz innych (nieszkodliwych) odpadków widzialnych uprzednio w OTL. 1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej: :Files c:\documents and settings\Marysia\Ustawienia lokalne\Dane aplikacji\e9766fe7 :Reg [-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] "C:\WINDOWS\explorer.exe"=- :OTL SRV - File not found [Auto | Stopped] -- -- (gupdate) O3 - HKU\S-1-5-21-1202660629-1770027372-725345543-1003\..\Toolbar\ShellBrowser: (no name) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No CLSID value found. O3 - HKU\S-1-5-21-1202660629-1770027372-725345543-1003\..\Toolbar\ShellBrowser: (no name) - {31CF9EBE-5755-4A1D-AC25-2834D952D9B4} - No CLSID value found. O3 - HKU\S-1-5-21-1202660629-1770027372-725345543-1003\..\Toolbar\WebBrowser: (no name) - {31CF9EBE-5755-4A1D-AC25-2834D952D9B4} - No CLSID value found. O4 - HKLM..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k File not found O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} "http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab" (Reg Error: Key error.) Klik w Wykonaj skrypt. 2. Przedstaw log z wynikami usuwania oraz nowy log z OTL zrobiony opcją Skanuj (bez Extras). . Odnośnik do komentarza
mikkado Opublikowano 9 Listopada 2011 Autor Zgłoś Udostępnij Opublikowano 9 Listopada 2011 Wklejam logi: OTLraportpo skrypcie11092011_213711.log.txtPobieranie informacji ... OTLskan.TxtPobieranie informacji ... Odnośnik do komentarza
picasso Opublikowano 9 Listopada 2011 Zgłoś Udostępnij Opublikowano 9 Listopada 2011 Akcja przeprowadzona pomyślnie. Do wykonania: 1. Prawidłowa deinstalacja ComboFix usuwająca jego kwarantannę + składniki oraz czyszcząca foldery Przywracania systemu. W Start > Uruchom > wklej komendę: "C:\Documents and Settings\Marysia\Pulpit\ComboFix.exe" /uninstall 2. Uruchom Sprzątanie w OTL, co usunie z dysku z kolei kwarantannę OTL i ten program. 3. Wykonaj dla pewności pełne skanowanie posiadanym ESET i zgłoś się tu z podsumowaniem czy coś jest wykrywane. . Odnośnik do komentarza
mikkado Opublikowano 10 Listopada 2011 Autor Zgłoś Udostępnij Opublikowano 10 Listopada 2011 1. i 2. zrobione. 3. załączam raport ze skanu - ESET wykrył "Win32/Sirefef.DK koń trojański". Z raportu usunąłem wpisy dot. programu Thunderbird (zawierały dane osobowe - nazwy folderów). Wpisy wyglądały jak poniżej: Cytat C:\Documents and Settings\Marysia\Dane aplikacji\Thunderbird\Profiles\b488gyla.default\Mail\pop."NAZWA_DOMENY"\"NAZWA_FOLDERU".sbd\2010013f53a9.sbd\"NAZWA_FOLDERU" » MBOX - nie zawiera zagrożeń (skanowanie wewnątrz nie zostało wykonane) Czy to znaczy, że wciąż coś siedzi w systemie? skan_eset02.txtPobieranie informacji ... Odnośnik do komentarza
picasso Opublikowano 10 Listopada 2011 Zgłoś Udostępnij Opublikowano 10 Listopada 2011 Cytat załączam raport ze skanu - ESET wykrył "Win32/Sirefef.DK koń trojański". Tu nie ma się czym martwić. To jest wykryte w cache Java. Dedykuję to zagadnienie w punkcie 1: 1. Zastosuj TFC - Temp Cleaner. M.in. uwzględnia cache Java. 2. Dla bezpieczeństwa zmień hasła logowania w serwisach. 3. Zaktualizuj następujące aplikacje: ========== HKEY_LOCAL_MACHINE Uninstall List ========== [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]"{1701765B-6D93-43C6-A835-DD423517581F}" = OpenOffice.org 3.2"{26A24AE4-039D-4CA4-87B4-2F83216018FF}" = Java 6 Update 24"{EA0D18F8-6CC9-44A6-A767-148EDE7E75A2}" = ESET NOD32 Antivirus"7-Zip" = 7-Zip 4.65"FileZilla Client" = FileZilla Client 3.5.1"Mozilla Firefox 7.0.1 (x86 pl)" = Mozilla Firefox 7.0.1 (x86 pl)"Mozilla Thunderbird (7.0.1)" = Mozilla Thunderbird (7.0.1) Szczegóły aktualizacyjne w tym wątku: INSTRUKCJE. Twój ESET zaś trochę stary (nie mylić z aktualizacją baz) i rozważ w miarę możliwości zaopatrzenie się w najnowszą wersję. Potwierdź wykonanie zadań, podsumuj stan systemu i wypowiedz się wyraźnie czy coś jeszcze wymaga naprawy. . Odnośnik do komentarza
mikkado Opublikowano 10 Listopada 2011 Autor Zgłoś Udostępnij Opublikowano 10 Listopada 2011 Ad.1. wykonane. Ad.2. dziś zmienię. Logując się do serwisów, na pocztę itp. używam klawiatury ekranowej - kiedyś czytałem, że to dodatkowe zabezpieczenie, ale czy rzeczywiście tak jest? Ad. 3 aktualizacje wykonane. Wydaje się, że wszystko działa już poprawnie - nie zauważam żadnych nietypowych zachowań. Bardzo dziękuję za pomoc i za poświęcony mi czas. Doceniam to, co robicie na tym forum i pozdrawiam serdecznie wszystkich administratorów! Przy okazji chciałbym jeszcze zapytać, czy jest jakiś sposób na to, żeby zabezpieczyć komputer przed infekcjami przez przeglądarkę www? Gdzieś czytałem o tzw. piaskownicy - czy przeglądarkę też można uruchomić w taki sposób? I czy jest to sensowne? Będę wdzięczny za ewentualne rady w tej kwestii. Być może powinienem też zabezpieczyć komputer przed infekcjami z pendrive'a? Jeszcze raz dziękuję za pomoc. Odnośnik do komentarza
picasso Opublikowano 11 Listopada 2011 Zgłoś Udostępnij Opublikowano 11 Listopada 2011 (edytowane) Cytat Logując się do serwisów, na pocztę itp. używam klawiatury ekranowej - kiedyś czytałem, że to dodatkowe zabezpieczenie, ale czy rzeczywiście tak jest? Zależy jakiej klawiatury ekranowej. Jeśli masz na myśli tę w wbudowaną w Windows, to nie jest to żadne zabezpieczenie i dla keyloggerów to dziecinna igraszka (KLIK). Klawiatura ekranowa musi dysponować innymi właściwościami, by dostarczać faktyczne zabezpieczenie, tu masz przykład takiej aplikacji (darmowej): Neo's SafeKeys. Mogę także polecić dwie porządne darmowe aplikacje antykeylogger: SpyShelter Personal Free i KeyScrambler Personal. Cytat Przy okazji chciałbym jeszcze zapytać, czy jest jakiś sposób na to, żeby zabezpieczyć komputer przed infekcjami przez przeglądarkę www? Gdzieś czytałem o tzw. piaskownicy - czy przeglądarkę też można uruchomić w taki sposób? I czy jest to sensowne? Będę wdzięczny za ewentualne rady w tej kwestii. Są aplikacje dedykowane temu np. SandBoxie. Program nie jest darmowy, ale da się go używać za darmo, tzn. po 30 dniach po prostu zaczynają się pokazywać nagscreeny przypominające o zakupach. Cytat Być może powinienem też zabezpieczyć komputer przed infekcjami z pendrive'a? Pod tym kątem możesz skorzystać z Panda USB Vaccine i opcji Computer Vaccination. To jednak ochroni tylko przed infekcjami przenoszonymi via autorun.inf, nie dotyczy infekcji działających via LNK. . Edytowane 10 Grudnia 2011 przez picasso 10.12.2011 - Temat ukończony, brak dodatkowych komentarzy, zamykam. //picasso Odnośnik do komentarza
Rekomendowane odpowiedzi