Trojan Win32/Sirefef.O - niestety też go mam

picasso · 24 Listopada 2011

Jedyny wykrzyknik jaki widzę jest w "Sterowniki niezgodne z PnP" i jest to Security Processor Loader Driver

Z prawokliku odinstaluj > restart systemu > Skanuj w poszukiwaniu zmian sprzętu > przebuduje się.

Wiem, że nadgorliwość gorsza od faszyzmu ale pokusiłem się o uruchomienie OTL w konfiguracji jak do sprawdzenia poprzedniego
sterownika raspptp.sys (oczywiście ze zmodyfikowanym skryptem - wstawiając spldr.sys).

Sterownik jest w dwóch lokalizacjach... ich MD5 jest taki sam; tak samo rozmiar jak i data utworzenia)

Nie wiem czy dobrze zrobiłem, ale zawsze to jakaś wskazówka...

No tak, ale co mi z tego, skoro nie znam danych MD5? Te dane MD5 nie służą do tego, by je porównać "między sobą", tylko do porównań z oryginalnym systemem Vista (w tym przypadku moja wirtualna maszyna i mój osobisty skan MD5).

.

marekj · 24 Listopada 2011

Te dane MD5 nie służą do tego, by je porównać "między sobą", tylko do porównań z oryginalnym systemem Vista (w tym przypadku moja wirtualna maszyna i mój osobisty skan MD5).

Aaaaa. To tego nie wiedziałem, dobrze że są mądrzejsi ode mnie

MD5=7AEBDEEF071FE28B0EEF2CDD69102BFF

Usunięty. Restart. Znowu tylko tryb awaryjny.

Skanuj w poszukiwaniu zmian sprzętu ??

A taki skan jak się robi? Sterowniki sieciowe i DVD poszedł z automatu... A teraz co zrobić?

(Chyba tacie kupię Apple'a)

Dobra. Widzę gdzie to jest. Skanuję.

Po przeskanowaniu sterownik Security Processor Loader Driver już nie jest wyświetlany...

picasso · 24 Listopada 2011

Po przeskanowaniu sterownik Security Processor Loader Driver już nie jest wyświetlany...

Na pewno? Po to właśnie zadałam "Skanuj w poszukiwaniu zmian sprzętu".

Skoro jest BSOD, musi być coś więcej w sterownikach namieszane przez rootkita.

1. Zrób skan całego katalogu drivers. W OTL ustaw Brak+Żadne, w polu Własne opcje skanowania / skrypt wklej co poniżej i klik w Skanuj. Podaj cały log.

C:\Windows\system32\drivers\*.* /md5

2. BSOD się "przemieścił" i ostatni wystartował później. Dostarcz ponownie katalog C:\Windows\Minidump, a raczej najnowsze pliki z niego powstałe już po przebudowie urządzeń sieciowych.

3. Przeskanuj system za pomocą Kaspersky Virus Removal Tool. W konfiguracji skanera zaznacz wszystkie obszary do skanowania. Przeklej wyniki typu "Detected threats", o ile takowe będą.

.

marekj · 24 Listopada 2011

Bankowo na liście nie ma Security Processor Loader Driver.

1. Skan zrobiony.

2. Minidump najnowsze spakowane.

3. Kaspersky ma jeszcze 4h skanowania (głównie fotografie). Wykrył Trojan.Win32.Patched.mf

w Lavasoft/Ad-Aware/Update/Ad-AwareAdmin.exe.to_be_patched

Zrobione Disinfected

link

No i zawsze coś, zawsze coś.

Przy 57% padła bateria w komputerze. Po ponownym uruchomieniu rozpocząłem skanować od nowa.

Do momentu 'padnięcia' wykrytych było 32 "threats".

Po ponownym skanowaniu jest tylko jeden: Packed.Win32.PasswordProtectedExe.gen.

Czy jest możliwość zerknięcia w historię poprzedniego skanowania?

OTLdrivers.Txt

picasso · 25 Listopada 2011

BSOD bez zmian, ten sam sterownik tam figuruje. Katalog drivers trzyma się kupy, tzn. jakoby wszystko się zgadza.

Spróbujmy z innej strony, czyli narzędzia autonaprawczego Vista dostępnego z poziomu środowiska WinRE. Jeśli nie masz pełnej DVD instalacyjnej Vista (Lenovo to sugeruje - oni dają gorsze rozwiązania z ichniejszym Recovery, a system nie trzyma się formatów MS), płytę z WinRE możesz pobrać stąd: KLIK. Zbootuj z tej płyty i wybierz opcję Startup Repair. Zobaczymy co narzędzie powie na temat kondycji.

3. Kaspersky (...) Wykrył Trojan.Win32.Patched.mf
w Lavasoft/Ad-Aware/Update/Ad-AwareAdmin.exe.to_be_patched

(...)

Przy 57% padła bateria w komputerze. Po ponownym uruchomieniu rozpocząłem skanować od nowa.

Do momentu 'padnięcia' wykrytych było 32 "threats".

Po ponownym skanowaniu jest tylko jeden: Packed.Win32.PasswordProtectedExe.gen.

Czy jest możliwość zerknięcia w historię poprzedniego skanowania?

Obawiam się, że dane giną w mroku. Kaspersky ulega samodeinstalacji przez zamknięcie okna. Skoro po ponownym uruchomieniu nic nie widzisz w jego raportach, to ja już nie uzyskam wykazu co było leczone / czy to ten miot od Sirefef i powiązania z nim.

Przy okazji, pozbyłabym się Ad-aware z tego systemu. Tylko, że znów nas wiąże Tryb awaryjny. W tym stanie nie działa Instalator Windows potrzebny do operacji deinstalacji aplikacji opartych na tym mechaniźmie. Można to oszukać, ale na razie porzucam to, bo może manowce.

.

marekj · 25 Listopada 2011

1. Windows is loading files.

2. Enter your language and other preferences and click "Next" to continue.

3. Pojawiło się okienko z guzikiem INSTALL NOW i na dole Repair your computer. (wybrałem Repair)

4. Wyskoczyło okno 'System Recovery Options" z którego mam wybrać system do naprawy... I tu sprawa jest dziwna.

Pokazany jest tylko z partycji D: SW_Preloader

Brak na liście partycji C na której znajduje się walnięty system.

Ale jazda :/

Już widzę, że SW_Preloader to właściwa partycja z walniętym systemem.

Robię od nowa 1-3.

Komunikat: Startup Repair could not detected a problem.

If you have recently attached a device to this computer, such as a camera or portable music player,

remove it and restart your computer. If you continue to see this message, contact your system administrator

or computer manufacturer for assistance.

?

picasso · 27 Listopada 2011

Komunikat: Startup Repair could not detected a problem.

A czy ten komunikat błędu podał więcej informacji? Tam powinno być w szczegółach przynajmniej co za błąd jest wykrywany.

Ponadto, spróbuj jeszcze wykonać skan SFC, ale w trybie "offline", czyli z poziomu podanej płyty reperacyjnej. Uruchom opcję Command Prompt, a w niej postąp jak tu: KLIK, chodzi o ogólną komendę sfc /scannow punktującą odpowiedni dysk z Windows.

.

marekj · 28 Listopada 2011

Ten komunikat nie podawał więcej informacji. Wszystko co się pokazało na ekranie przepisałem.

Zrobiłem SCANNOW.

Po przeskanowaniu wyskoczył komunikat, że było uszkodzenie, które zostało naprawione (szczegóły w CBS.log)

CBS

picasso · 28 Listopada 2011

Po przeskanowaniu wyskoczył komunikat, że było uszkodzenie, które zostało naprawione (szczegóły w CBS.log)

CBS.LOG nie ma tych informacji. Podczas SFC offline nie są nagrywane detale do raportu jak podczas SFC na żywym systemie, gdyż nie działa struktura logowania. W związku z tym nie wiem co się tym razem działo. Ale jak rozumiem ta operacja okazała się nieskuteczna i system nadal nie startuje w normalnym?

.

marekj · 28 Listopada 2011

To ja już nie zrozumiem komputerów. Wyświetlił, że nagrał co trzeba w cbs.log a nie nagrał.

Kłamczuszek ten komputer... Okazał ludzką naturę

Operacja faktycznie mało skuteczna. Komputer działa tylko w trybie awaryjnym.

picasso · 28 Listopada 2011

To ja już nie zrozumiem komputerów. Wyświetlił, że nagrał co trzeba w cbs.log a nie nagrał.

To po prostu standardowe ple ple narzędzia. Trzeba nałożyć poprawkę na to, że jest uruchamiane "offline". W środowisku zewnętrznym jest wiele różnic.

Hmmm. BSOD IRQL_NOT_LESS_OR_EQUAL z raspptp.sys wskazuje, że coś jest nie tak z tym sterownikiem. Pierwszym podejrzeniem było, że plik jest niepoprawny, ale OTL pokazuje jego sumy kontrolne jako zgodne. Przedstaw mi jak wyglądają dane relatywne do PptpMiniport w rejestrze. Uruchom OTL, wszystko ustaw na Brak+Żadne, w polu Własne opcje skanowania / skrypt wklej co poniżej i klik w Skanuj.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PptpMiniport /S
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{4D36E972-E325-11CE-BFC1-08002BE10318} /S
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\MS_PPTPMINIPORT /S
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NdisTapi /S

Rozważam tu także podmianę tego pliku, mimo że jakoby jest poprawny, połączone z wyłączaniem sterowników Ad-aware.

.

marekj · 29 Listopada 2011

Wynik w pliku.

OTL2911.Txt

picasso · 30 Listopada 2011

Nic z tego wynika. W Menedżerze urządzeń była akcja "Odinstalowałem wszystko co się dało z "Karty sieciowe"" = czy to znaczy, że czegoś się nie dało? Czy wszystkie wystąpienia "Miniport WAN" udało się przeładować? Jeszcze wypróbuj (po każdym punkcie sprawdzaj skutki, czyli restart i próba wejścia w tryb normalny):

1. Deaktywacja sterowników Ad-aware. Plus wypatrzyłam, że pokazany w ComboFix dziwak ygxnsuvd jakoś nie został nigdzie zaadresowany.... Otwórz Notatnik i wklej w nim:

Windows Registry Editor Version 5.00
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Lbd]
"Start"=dword:00000004
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SBRE]
"Start"=dword:00000004
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Lavasoft Ad-Aware Service]
"Start"=dword:00000004
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ygxnsuvd]
"Start"=dword:00000004

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.REG

Start > w polu szukania wpisz regedit > z prawokliku Uruchom jako Administrator > z menu Plik zaimportuj FIX.REG.

2. Reset ustawień sieci. Otwórz Notatnik i wklej w nim:

netsh winsock reset

netsh int ipv4 reset

netsh int ipv6 reset

reg delete HKLM\SYSTEM\CurrentControlSet\Control\Network /v Config /f

pause

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.BAT

Z prawokliku Uruchom plik jako Administrator.

Przy braku rezultatów, zrób pełną kopię rejestru za pomocą narzędzia RegBack, zapakuj do ZIP i na PW mi prześlij link do paczki. Analiza tego to już robota niewąska i nie za szybko mi to pójdzie.

.

marekj · 30 Listopada 2011

Nie wszystkie sterowniki związane z siecią udało się wtedy odinstalować. Tam gdzie w nazwie występuje właśnie "Miniport WAN" (występują też w nazwie WAN Miniport) nie da się tego wyrwać. :/

Security Processor Loader Driver - tego też nie widać w Sterowniki niezgodne z PnP (o tym już pisałem)

Po wykonaniu instrukcji z punktów 1 i 2 na listę sterowników wskoczył Security Processor Loader Driver (ale z wykrzyknikiem - podobno w trybie awaryjnym tak ma być).

Komputer nadal pracuje tylko w trybie awaryjnym.

PW wysłana.

picasso · 1 Grudnia 2011

Po wykonaniu instrukcji z punktów 1 i 2 na listę sterowników wskoczył Security Processor Loader Driver (ale z wykrzyknikiem - podobno w trybie awaryjnym tak ma być).

No tak, to było moje zaćmienie. Tryb awaryjny = mogą być jakieś wykrzykniki. Niemniej, sterownik wrócił na listę.

Nie tak dokładnie przejrzałam rejestr, bardzo zmęczona jestem, będę sprawdzać ponownie, ale już odnotowałam problemy, które stwarzają nadzieję rozwiązania. Otóż klucz sterownika AFD krytycznego dla działania sieci (jak pamiętasz afd.sys był poszkodowany infekcją) kompletnie wyzerowany, brak jakichkolwiek parametrów usługi. Całkowity brak klucza sterownika DfsC (dfsc.sys to był ten drugi poszkodowany plik). Również klucz cdrom jest zmasakrowany. Są i resztki po infekcji oraz StopZilla, ale te nie powinny tu mieć żadnego znaczenia, choć czyścić będziemy. Na teraz jedziemy:

1. Uruchom MiniRegTool i w oknie wklej:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_18666276
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_52712729
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_54914874
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_82830942
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SZKG5
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SZKGFS
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MBR
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ygxnsuvd
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\82830942.sys
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\PEVSystemStart
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\82830942.sys
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\PEVSystemStart
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_18666276
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_52712729
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_54914874
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_82830942
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_SZKG5
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_SZKGFS
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_MBR
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\ygxnsuvd
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\SafeBoot\Minimal\82830942.sys
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\SafeBoot\Minimal\PEVSystemStart
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\SafeBoot\Network\82830942.sys
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\SafeBoot\Network\PEVSystemStart

Zaznacz opcję Delete Keys/Values including Locked/Null embedded i klik w Go. Wynikowo powstanie log delete.txt, który zaprezentujesz.

2. Otwórz Notatnik i wklej w nim:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AFD]

"DisplayName"="Ancilliary Function Driver for Winsock"

"Group"="PNP_TDI"

"ImagePath"=hex(2):5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\

74,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,64,00,72,\

00,69,00,76,00,65,00,72,00,73,00,5c,00,61,00,66,00,64,00,2e,00,73,00,79,00,\

73,00,00,00

"Description"="Ancilliary Function Driver for Winsock"

"ErrorControl"=dword:00000001

"Start"=dword:00000001

"Type"=dword:00000001

"BootFlags"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AFD\Parameters]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AFD\Enum]

"0"="Root\\LEGACY_AFD\\0000"

"Count"=dword:00000001

"NextInstance"=dword:00000001

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DfsC]

"DisplayName"="@%systemroot%\\system32\\drivers\\dfsc.sys,-101"

"Group"="Network"

"ImagePath"=hex(2):53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,44,00,\

72,00,69,00,76,00,65,00,72,00,73,00,5c,00,64,00,66,00,73,00,63,00,2e,00,73,\

00,79,00,73,00,00,00

"Description"="@%systemroot%\\system32\\drivers\\dfsc.sys,-102"

"ErrorControl"=dword:00000001

"Start"=dword:00000001

"Type"=dword:00000002

"DependOnService"=hex(7):4d,00,75,00,70,00,00,00,00,00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DfsC\Enum]

"0"="Root\\LEGACY_DFSC\\0000"

"Count"=dword:00000001

"NextInstance"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\cdrom]

"AutoRun"=dword:00000001

"AutoRunAlwaysDisable"=hex(7):54,00,4f,00,52,00,69,00,53,00,41,00,4e,00,20,00,\

43,00,44,00,2d,00,52,00,4f,00,4d,00,20,00,43,00,44,00,52,00,5f,00,43,00,33,\

00,36,00,00,00,4e,00,45,00,43,00,20,00,20,00,20,00,20,00,20,00,4d,00,42,00,\

52,00,2d,00,37,00,20,00,20,00,20,00,00,00,4e,00,45,00,43,00,20,00,20,00,20,\

00,20,00,20,00,4d,00,42,00,52,00,2d,00,37,00,2e,00,34,00,20,00,00,00,50,00,\

49,00,4f,00,4e,00,45,00,45,00,52,00,20,00,43,00,48,00,41,00,4e,00,47,00,52,\

00,20,00,44,00,52,00,4d,00,2d,00,31,00,38,00,30,00,34,00,58,00,00,00,50,00,\

49,00,4f,00,4e,00,45,00,45,00,52,00,20,00,43,00,44,00,2d,00,52,00,4f,00,4d,\

00,20,00,44,00,52,00,4d,00,2d,00,36,00,33,00,32,00,34,00,58,00,00,00,50,00,\

49,00,4f,00,4e,00,45,00,45,00,52,00,20,00,43,00,44,00,2d,00,52,00,4f,00,4d,\

00,20,00,44,00,52,00,4d,00,2d,00,36,00,32,00,34,00,58,00,20,00,00,00,00,00

"DisplayName"="Sterownik stacji dysków CD-ROM"

"Group"="SCSI CDROM Class"

"ImagePath"=hex(2):73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,44,00,\

52,00,49,00,56,00,45,00,52,00,53,00,5c,00,63,00,64,00,72,00,6f,00,6d,00,2e,\

00,73,00,79,00,73,00,00,00

"ErrorControl"=dword:00000001

"Start"=dword:00000001

"Type"=dword:00000001

"Tag"=dword:00000003

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\AFD]

"DisplayName"="Ancilliary Function Driver for Winsock"

"Group"="PNP_TDI"

"ImagePath"=hex(2):5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\

74,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,64,00,72,\

00,69,00,76,00,65,00,72,00,73,00,5c,00,61,00,66,00,64,00,2e,00,73,00,79,00,\

73,00,00,00

"Description"="Ancilliary Function Driver for Winsock"

"ErrorControl"=dword:00000001

"Start"=dword:00000001

"Type"=dword:00000001

"BootFlags"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\AFD\Parameters]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\AFD\Enum]

"0"="Root\\LEGACY_AFD\\0000"

"Count"=dword:00000001

"NextInstance"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\DfsC]

"DisplayName"="@%systemroot%\\system32\\drivers\\dfsc.sys,-101"

"Group"="Network"

"ImagePath"=hex(2):53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,44,00,\

72,00,69,00,76,00,65,00,72,00,73,00,5c,00,64,00,66,00,73,00,63,00,2e,00,73,\

00,79,00,73,00,00,00

"Description"="@%systemroot%\\system32\\drivers\\dfsc.sys,-102"

"ErrorControl"=dword:00000001

"Start"=dword:00000001

"Type"=dword:00000002

"DependOnService"=hex(7):4d,00,75,00,70,00,00,00,00,00

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\DfsC\Enum]

"0"="Root\\LEGACY_DFSC\\0000"

"Count"=dword:00000001

"NextInstance"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\cdrom]