abnow.com kolejny komputer zawirusowany

[iopi]

Witam

 

Zaczołem od skanowania komputera programem combofix(przeczytałem instrukcje) ale zanim to zrobiłem na dysku pojawił się plik internet security. Plik który uruchamiał się przy starcie windows(vista), system odpaliłem w trybie awaryjnym i plik usunąłem. Pozostał problem przekierowywania przegladarek na abnow.

Pytanie jak długo może skanować Combofix, trwa u mnie to już ponad 2 godziny

[Landuss]

2 godziny to zbyt długo się wydaje więc przerwij to i wklej z niego log (o ile takowy powstał), a jak nie to spróbuj go uruchomić ponownie. Jeśli nadal będą problemy to sporządź też wymagane tu logi z OTL + Gmer

[iopi]

Już robie jak radzisz, dodam na marginesie iż podczas skanowania combofix(tryb awaryjny), uruchomiony był proces który zajmował troche ramu i obciażał procesor, swxcads.3xe

 

Logi z Gmer i OLT:

OTL.Txt

Extras.Txt

gmer.txt

gmer2.txt

[picasso]

Jest tu oczywiście rootkit ZeroAccess. Usuwanie nie będzie prowadzone z poziomu Windows. Pytanie wstępne, czy masz dostęp do środowiska WinRE, czyli albo płytę DVD instalacyjną Vista albo w menu F8 dodany przez Toshiba wpis "Napraw komputer"?

 

 

.

[iopi]

tak mam dostęp do obu opcji, innej metody nie ma?

[picasso]

tak mam dostęp do obu opcji, innej metody nie ma?

 

To jest bardzo trudna infekcja i nie licz na automat, który jednym klikiem i bez bólu usunie ją. ComboFix u Ciebie padł, a i tak niepewne czy dałby radę, ostatnie wersje ZeroAccess są zaborcze i umieją się szybko odtwarzać. Toteż zostaje metoda z poziomu środowiska zewnętrznego.

 

 

1. Pobierz czystą kopię pliku smb.sys zgodną z Vista SP2: KLIK. Plik skopiuj na C:\ (ścieżka będzie brana pod uwagę w skrypcie).

 

2. Przygotuj skrypt naprawczy. Otwórz Notatnik i wklej w nim:

 

CMD: copy /y C:\smb.sys C:\Windows\system32\drivers\smb.sys
2 mgactrl; C:\Windows\System32\a016mdfl.dll [5120 2008-01-21] (Iomega)
NETSVC: mgactrl
C:\Windows\System32\a016mdfl.dll
C:\Windows\System32\dds_log_trash.cmd
C:\Users\Tomek\AppData\Local\2b5c27c6
C:\Users\Tomek\AppData\Roaming\chrtmp
Unlock: C:\Windows\$NtUninstallKB62309$
CMD: C:\Windows\system32\fsutil.exe reparsepoint delete C:\Windows\$NtUninstallKB62309$
C:\Windows\$NtUninstallKB62309$

 

Plik zapisz pod nazwą fixlist.txt.

 

3. Pobierz narzędzie FRST. Umieść go na pendrive razem z plikiem fixlist.txt. Przy starcie komputera F8 i wybierz opcję "Napraw komputer", z poziomu linii komend uruchom FRST i klik w Fix. Na pendrive powstanie plik fixlog.txt. Restartujesz do Windows.

 

4. Wykonaj reset Winsock: Start > w polu szukania wpisz cmd > z prawokliku Uruchom jako Administrator. Wpisz komendę netsh winsock reset. Zresetuj system.

 

5. Wykonaj weryfikację plików systemowych komendą sfc /scannow, za pomocą kolejnej komendy zrób log filtrowany do znaczników [sR]: KLIK.

 

6. Logi do oceny: fixlog.txt z punktu 3, raport z wynikami SFC z punktu 5, oraz zrobione na samym końcu nowe logi z OTL i GMER oraz Farbar Service Scanner (zaznacz wszystko do skanowania).

 

 

 

.

[iopi]

Próbowałem uruchomić komputer tak jak opisujesz, płyta Visty w napędzie i F8 i nie mam tam opcji napraw komputer, coś robię nie tak ?

[picasso]

Pytałam:

 

Pytanie wstępne, czy masz dostęp do środowiska WinRE, czyli albo płytę DVD instalacyjną Vista albo w menu F8 dodany przez Toshiba wpis "Napraw komputer"?

 

Mówiłeś:

 

tak mam dostęp do obu opcji

 

A teraz się okazuje, że wcale nie:

 

Próbowałem uruchomić komputer tak jak opisujesz, płyta Visty w napędzie i F8 i nie mam tam opcji napraw komputer, coś robię nie tak ?

 

Po pierwsze: opcja "Napraw komputer" w menu F8 to jest odrębna sprawa i nie wymaga płyty, a wskazałam ją, bo twierdziłeś, że masz tę opcję. Po drugie: startując z płyty Vista nie używa się F8, by wejść do "Napraw komputer", patrz na opis: KLIK.

 

To się wyraźnie wypowiedz czy Ty w ogóle masz opcję "Napraw komputer".

 

 

 

.

Edytowane 17 Kwietnia 2012 przez picasso
17.04.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso