Moj komputer przejal kontrole :)

[homik]

Witam. Od kilku dni mam problem z laptopem, na ta chwile zostaly mi zabrane wszystkie uprawnienia administratora. Nic niemozna uruchomic. Avast wykryl jakiegos trojana win32... usunal go ale nic sie nie zmienilo. Z kazdym uruchomieniem komputera jest coraz gorzej. Zrobilam Kaspersky Recue Disk, wykryl i usunal Trojan.win32.generic ale po ponownym ururchomieniu komputera nic sie niezmienilo i zapisany log kasperskiego zniknal. W akcie desperacji w trybie awaryjnym uruchomilam ComboFix i zalaczam log. Niestety nie moge uzyc Gmer gdyz mam Windows 7 Home Premium 64 bit, nadmienie tylko ze od 3 dni widniala informacja w prawym dolnym rogu pulpitu "Windows 7 Build 7601 this copy of Windows in not genuine" i po operacji z kasperskim zniknela. Obawiam sie ze moze to byc (wszystko by wskazywalo) zeroacces.rootkit badz cos podobnego. Pomocyyyyy!

ComboFix.txt

[homik]

Nikt?? prosze o jakiekolwiek podpowiedzi, niemam pojecia co dalej robic. Tymbardziej ze mieszkam w Londynie i ciezko mi znalesc kogos 'dobrego' kto moze naprawic mi ten komputer.

Komunikat o nieoryginalnym Windows wrocil wieczorem (zalaczam screen) zapomnialam dodac ze oczywiscie Windows jest oryginalny, laptop kupiony w sklepie okolo 3 mies temu. W Logu zauwazylam ze wykryty Antyvirus to McAfee ;| owszem byl taki na poczatku ale zostal odinstalowany gdy wygasla test wersja i zainstalowalam avast ktory teraz jest caly czas wlaczony, mozna powiedziec ze komputer byl caly czas 'chroniony'. niewiem jakich informacji jeszcze udzielic by pomoc zobrazowac problem, prosze o jakies porady. Jedyne co mnie przychodzi do glowy to reinstalowanie systemu... !??

[picasso]

ComboFix to nie jest narzędzie domowego użytku, nigdy się go nie uruchamia bez uprzedniego sprawdzenia systemu nieinwazyjnymi sposobami: KLIK. Odczyt z ComboFix już zostaw, bo musi być wiadome co robił. Obowiązkowe tutaj logi to OTL. Skoro są problemy z uprawnieniami, spróbuj zrobić logi z OTL z poziomu Trybu awaryjnego, pobierz wersję COM a nie EXE.

 

 

Zrobilam Kaspersky Recue Disk, wykryl i usunal Trojan.win32.generic ale po ponownym ururchomieniu komputera nic sie niezmienilo i zapisany log kasperskiego zniknal.

 

Widocznie zapisałaś go w pamięci płyty a nie na dysku twardym.

 

 

W Logu zauwazylam ze wykryty Antyvirus to McAfee ;| owszem byl taki na poczatku ale zostal odinstalowany gdy wygasla test wersja

 

To są wyciągi z WMI. Te szczątki usuwa się za pomocą narzędzia wbemtest.exe: KLIK. Na razie się tym nie zajmuj.

 

 

 

.

[homik]

przepraszam ?

 

Udalo mi sie uzyskac te Logi z OTL.exe z poziomu trybu awaryjnego. ->

 

dziekuje za zaintersowanie.

OTL.Txt

Extras.Txt

[picasso]

przepraszam ?

 

Do czego odnosisz ten komentarz?

 

 

---

W związku z tym, że nie są podane wyciągi co widział uprzednio Avast i Kaspersky (konkrety w postaci ścieżek dostępu), nie można ocenić na ile to były rzeczowe detekcje, mające cokolwiek wspólnego z problemem podstawowym. Natomiast co do logów (wszystkich od ComboFix do OTL): nie ma tu śladów ingerencji infekcji w rozumieniu infekcji aktywnej. Widzę jedynie takie odpadki (i wątpię, by miały wpływ na problemy):

 

[2012/01/30 19:02:50 | 000,000,000 | -H-D | C] -- C:\Users\Angel\AppData\Local\uqRc5V0ZJbI
@Alternate Data Stream - 1065 bytes -> C:\Users\Angel\AppData\Local\tRm54YW3cct2:hsERKw1qUzS7bh2hronGQbk

 

Odpadki usuń od razu. Z poziomu Trybu awaryjnego uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\Users\Angel\AppData\Local\uqRc5V0ZJbI
C:\Users\Angel\AppData\Local\tRm54YW3cct2
 
:OTL
FF - prefs.js..keyword.URL: "http://search.conduit.com/ResultsExt.aspx?ctid=CT2786678&q="
 
:Commands
[emptytemp]

 

Klik w Wykonaj skrypt. System zostanie zrestartowany. Przedstaw log wynikowy z usuwania.

 

 

na ta chwile zostaly mi zabrane wszystkie uprawnienia administratora. Nic niemozna uruchomic.

 

Jednakże w Trybie awaryjnym widzę, że jesteś w stanie uruchomić narzędzia. To mi się nasuwa skojarzenie z avast! Internet Security. Spróbuj go z poziomu Trybu awaryjnego usunąć i sprawdź jaki to będzie mieć wpływ na te "zablokowane uprawnienia".

 

 

 

.

[homik]

komentarz tyczy sie tego ze uzylam combofix i w ogole przepraszalam bo wyczulam w twoim "tonie" niezadowolenie.

 

Wkleilam skrypt, wyczyscilam(w trybie awaryjnym), po restarcie komutera(juz w trybie normalnym) znikly z foldera pliki OTL.exe i obydwa logi.

"zablokowane uprawnienia" - rozumiem przez: nieda sie uruchomic zadnego programu, nieda sie zamknac ani uruchomis zadnego procesu ani servisu, niemozna odinstalowac zadnego programu gdyz pojawia sie error ze niemozna odnalesc pliku, zostal on usuniety lub niemam uprawnien do jego otworzenia, tosamo tyczy sie reszty plikow, o dziwo np. mozna utworzyc nowy plik textowy i go edytowac.

 

Avasta nieda sie usunac nawet z trybu awaryjnego, pojawia sie informacja ze prawdopodobnie program zostal juz odinstalowany i pyta czy usunac wpis listy programow. po potwierdzeniu nic sie niedzieje i oczywiscie program jest nadal zainstalowany.

[picasso]

komentarz tyczy sie tego ze uzylam combofix i w ogole przepraszalam bo wyczulam w twoim "tonie" niezadowolenie.

 

To nie ten rodzaj "niezadowolenia", to sygnalizacja statusu narzędzia, by w przyszłości uniknąć kłopotów.

 

 

Wkleilam skrypt, wyczyscilam(w trybie awaryjnym), po restarcie komutera(juz w trybie normalnym) znikly z foldera pliki OTL.exe i obydwa logi.

 

Nie zadawałam jeszcze Sprzątania w OTL, które przecież usuwa z dysku program i logi. Teraz już nie mogę sprawdzić tego konkretnego raportu z wynikami usuwania.

 

 

 

Avasta nieda sie usunac nawet z trybu awaryjnego, pojawia sie informacja ze prawdopodobnie program zostal juz odinstalowany i pyta czy usunac wpis listy programow. po potwierdzeniu nic sie niedzieje i oczywiscie program jest nadal zainstalowany.

 

Posłuż się awaryjnym narzędziem firmowym producenta Avast Uninstall Utility, uruchomionym oczywiście w Trybie awaryjnym Windows. Zresetuj system i zweryfikuj co się dzieje.

 

 

 

 

.

Edytowane 25 Marca 2012 przez picasso
25.03.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso