ZeroAccess + dodatki

[mylo]

Witam

 

Dowiedziałem się od filutka78 z labu że tutaj można otrzymać pomoc z tym problemem.

Skanowane Avastem, blokuje ciągle wychodzące procesy. Proszę o pomoc.

 

Logi

 

http://wklej.org/id/704056/ - OTL

http://wklej.org/id/704068/ - Extras

http://wklej.org/id/704346/ - FSS

 

Z góry dziękuje.

[picasso]

1. Pobierz ComboFix. Przejdź w Tryb awaryjny Windows i uruchom narzędzie. Gdy ukończy pracę:

 

2. Wykonaj nowe logi z OTL + Farbar Service Scanner. Dodaj raport uzyskany z ComboFix.

 

 

 

.

[mylo]

Padły jakieś pliki systemowe podczas ponownego uruchamiania. Musiałem uruchomić odzyskiwanie systemu - ale to zapewne nie pozbyło się rootkita. Naprawiło to system. Uruchomiłem potem combofixa zgodnie z poleceniem.

 

Oto log z Combofixa: http://wklej.org/id/704466/

OTL: http://wklej.org/id/704473/

Extras: http://wklej.org/id/704475/

FSS: http://wklej.org/id/704477/

 

Pozdrawiam

[picasso]

Sprostowanie: ZeroAccess na systemie 64-bit nie działa w technologii rootkit. Zaś te "pliki systemowe, które padły" to zapewne chodziło o consrv.dll infekcji ZeroAccess. ComboFix umie się z tym obchodzić, ale ewidentnie coś musiało przeszkodzić ComboFix przy wdrażaniu procedury i zapewne plik został usunięty, ale nie wykonana została modyfikacja rejestru w kluczu SubSystems. Skutki takiego dysonansu: BSOD i niemożność wejścia do Windows.

 

Wyniki usuwania ComboFix "marne", nie ma pewności co tu jest a czego już nie ma. Wykonaj skan dostosowany, w OTL ustaw wszystko na Brak + Żadne, za to w sekcji Własne opcje skanowania / skrypt wklej:

 

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
c:\Windows\system32\consrv.dll /64
C:\Windows\assembly\GAC_64\*.*
C:\Windows\assembly\GAC_32\*.*
dir /s /a C:\Windows\assembly\tmp /C
netsvcs

 

Klik w Skanuj. Przedstaw log.

 

 

.

[mylo]

Tylko co dziwniejsze, problem z tym plikiem zaistniał przed uruchomieniem combofixa w trybie awaryjnym - właśnie próbowałem go wtedy uruchomić. W tej chwili Avast o niczym nie alarmuje.

 

OTL - http://wklej.org/id/704621/

[picasso]

Miałeś zaznaczyć wszędzie Brak+Żadne, ostał się zbędny skan sterowników. Co do wyników właściwych: brak notowanych komponentów ZeroAccess, czyli usuwanie było kompleksowe. Aktualnie to tylko mamy do usunięcia odpadkowy katalog widoczny w poprzednim OTL. Do przeprowadzenia czynności:

 

1. Odinstaluj Babylon toolbar on IE. Zmień dostawcę wyszukiwania w Google Chrome:

 

========== Chrome  ==========
 
CHR - default_search_provider: Search the web (Babylon) (Enabled)
CHR - default_search_provider: search_url = "http://search.babylon.com/?q={searchTerms}&AF=109989&babsrc=SP_ss&mntrId=d02d647900000000000074e50b15cee7"

 

Wejdź do opcji do zarządzania wyszukiwarkami, przestaw domyślną na coś innego niż aktualny Babylon, zaś Babylon usuń.

 

2. Zastosuj AdwCleaner z opcji Delete. Po tym użyj Uninstall.

 

3. Uruchom OTL i w sekcji własne opcje skanowania / skrypt wklej:

 

:OTL
[2012/03/07 12:09:43 | 000,000,000 | -HSD | C] -- C:\Users\imylo\AppData\Local\0387111a
 
:Commands
[emptytemp]

 

Klik w Wykonaj skrypt. System zostanie zrestartowany.

 

4. Odinstaluj w prawidłowy sposób ComboFix. Klawisz z flagą Windows + R i w Uruchom wklej polecenie:

 

C:\Users\imylo\Desktop\ComboFix.exe /uninstall

 

Gdy zadanie się wykona, zastosuj Sprzątanie w OTL kasujące z dysku OTL wraz z kwarantanną.

 

5. Na wszelki wypadek przeprowadź skanowanie za pomocą Malwarebytes Anti-Malware. Przedstaw raport, o ile coś zostanie wykryte.

 

 

 

.

Edytowane 17 Kwietnia 2012 przez picasso
17.04.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso