artas1994 Opublikowano 20 Czerwca 2012 Zgłoś Udostępnij Opublikowano 20 Czerwca 2012 Witam specyfikacja processora to AMD Phenom II X4 960T Quad Core AM3 czyli widac ze jest po prostu 4 rdzeniowy a u mnie taka niespodzianka nie dosc ze jest ich 6 to prawie caly czas wszystkie chodza na 100%, pisalem o tym na forum.tweaks.pl i odeslali mnie do was wykryli mi tylko w logach wlasnie tego zeroaccesa wiec logi zalaczam tutaj i prosze o pomoc otl.txt.txt extras.txt.txt Odnośnik do komentarza
picasso Opublikowano 20 Czerwca 2012 Zgłoś Udostępnij Opublikowano 20 Czerwca 2012 Owszem, jest trojan ZeroAccess, ponadto ślady po Brontoku (zmodyfikowany plik HOSTS) oraz śmieci paskowe. W pierwszej kolejności podaj skan identyfikacyjny na punkty ładowania ZeroAccess. Uruchom SystemLook x64, w oknie wklej: :reg HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s :filefind services.exe Klik w Look. Podaj wynikowy raport. . Odnośnik do komentarza
artas1994 Opublikowano 20 Czerwca 2012 Autor Zgłoś Udostępnij Opublikowano 20 Czerwca 2012 SystemLook 30.07.11 by jpshortstuff Log created at 21:55 on 20/06/2012 by ArtiX Administrator - Elevation successful ========== reg ========== [HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}] (No values found) [HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InprocServer32] "ThreadingModel"="Both" @="C:\Users\ArtiX\AppData\Local\{7997da2a-49ba-b1b1-be7f-ce98ce932f0d}\n." [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}] @="Microsoft WBEM New Event Subsystem" [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32] @="\\.\globalroot\systemroot\Installer\{7997da2a-49ba-b1b1-be7f-ce98ce932f0d}\n." "ThreadingModel"="Both" [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}] @="MruPidlList" [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32] @="%SystemRoot%\system32\shell32.dll" "ThreadingModel"="Apartment" ========== filefind ========== Searching for "services.exe" C:\Windows\System32\services.exe --a---- 328704 bytes [23:19 13/07/2009] [01:39 14/07/2009] 24ACB7E5BE595468E3B9AA488B9B4FCB C:\Windows\winsxs\amd64_microsoft-windows-s..s-servicecontroller_31bf3856ad364e35_6.1.7600.16385_none_2b54b20ee6fa07b1\services.exe --a---- 328704 bytes [23:19 13/07/2009] [01:39 14/07/2009] 24ACB7E5BE595468E3B9AA488B9B4FCB -= EOF =- Odnośnik do komentarza
picasso Opublikowano 20 Czerwca 2012 Zgłoś Udostępnij Opublikowano 20 Czerwca 2012 Na czas wszystkich operacji wyłącz osłony rezydentne Avast + MBAM. 1. Otwórz Notatnik i wklej w nim: reg delete HKCU\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /f reg add HKLM\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /ve /t REG_EXPAND_SZ /d %%systemroot%%\system32\wbem\wbemess.dll /f reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v baphc /f reg delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Main" /v Default_Page_URL /f reg delete "HKCU\Software\Microsoft\Internet Explorer\Main" /v Default_Page_URL /f reg delete "HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}" /f reg delete "HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{BB74DE59-BC4C-4172-9AC4-73315F71CFFE}" /f reg delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{BB74DE59-BC4C-4172-9AC4-73315F71CFFE}" /f reg add "HKCU\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /t REG_SZ /d about:blank /f reg add "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Main" /v "Start Page" /t REG_SZ /d about:blank /f reg add "HKCU\Software\Microsoft\Internet Explorer\SearchScopes" /v DefaultScope /t REG_SZ /d {0633EE93-D776-472f-A0FF-E1416B8B2E3A} /f reg add "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes" /v DefaultScope /t REG_SZ /d {0633EE93-D776-472f-A0FF-E1416B8B2E3A} /f Adnotacja dla innych czytających: batch unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.BAT Plik umieść wprost na C:\. 2. Uruchom BlitzBlank i w karcie Script wklej: DeleteFolder: C:\Windows\Installer\{7997da2a-49ba-b1b1-be7f-ce98ce932f0d} C:\Users\ArtiX\AppData\Local\{7997da2a-49ba-b1b1-be7f-ce98ce932f0d} C:\Users\ArtiX\AppData\Local\Temp DeleteFile: C:\Users\ArtiX\AppData\Local\Bron.tok.A12.em.bin C:\Users\ArtiX\AppData\Local\jusched.exe C:\Users\ArtiX\AppData\Local\Setup.dat C:\Users\ArtiX\AppData\Local\data1.cab Execute: C:\fix.bat Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Klik w Execute Now. Zatwierdź restart komputera. Przed ekranem z logo Windows powinien pojawić się ekran z działaniami BlitzBlank. Finalnie BlitzBlank wygeneruje na dysku C log. 3. Zresetuj Winsock: Start > w polu szukania wpisz cmd > z prawokliku Uruchom jako Administrator > wpisz komendę netsh winsock reset > zatwierdź restart komputera. 4. Zresetuj plik HOSTS do postaci domyślnej za pomocą automatycznego narzędzia Fix-it z artykułu: KB972034. 5. Odinstaluj adware: Babylon toolbar on IE, BFlix, V9 HomeTool. Również Splashtop Connect IE + Splashtop Connect for Firefox (KLIK). 6. Wklej do posta log z wynikami BlitzBlank. Wygeneruj do oceny nowy log OTL z opcji Skanuj (już bez Extras), Farbar Service Scanner (wszystkie opcje zaznaczone) oraz SystemLook na warunki: :reg HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s . Odnośnik do komentarza
artas1994 Opublikowano 21 Czerwca 2012 Autor Zgłoś Udostępnij Opublikowano 21 Czerwca 2012 prosze a w blitzblanku przy execute wyskakuje mi blad SystemLook 30.07.11 by jpshortstuff Log created at 17:02 on 21/06/2012 by ArtiX Administrator - Elevation successful ========== reg ========== [HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}] (No values found) [HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InprocServer32] "ThreadingModel"="Both" @="C:\Users\ArtiX\AppData\Local\{7997da2a-49ba-b1b1-be7f-ce98ce932f0d}\n." [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}] @="Microsoft WBEM New Event Subsystem" [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32] @="\\.\globalroot\systemroot\Installer\{7997da2a-49ba-b1b1-be7f-ce98ce932f0d}\n." "ThreadingModel"="Both" -= EOF =- FSS.txt OTL.Txt Odnośnik do komentarza
picasso Opublikowano 22 Czerwca 2012 Zgłoś Udostępnij Opublikowano 22 Czerwca 2012 Jaki błąd? I log z BlitzBlank powinien być, ponieważ jednak część instrukcji się wykonała, tzn. nie widzę w logu z OTL folderów ZeroAccess ani plików wskazanych na usunięcie + duża część pliku BAT się wykonała. Pozostały jednak klucze infekcji w rejestrze. Poza tym, coś poszło nie tak przy resetowaniu pliku HOSTS, teraz w ogóle go nie ma: Hosts file not found 1. Zrób nowy FIX.BAT o zawartości: reg delete HKCU\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /f reg add HKLM\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /ve /t REG_EXPAND_SZ /d %%systemroot%%\system32\wbem\wbemess.dll /f reg delete "HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}" /f reg delete "HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{BB74DE59-BC4C-4172-9AC4-73315F71CFFE}" /f reg add "HKCU\Software\Microsoft\Internet Explorer\SearchScopes" /v DefaultScope /t REG_SZ /d {0633EE93-D776-472f-A0FF-E1416B8B2E3A} /f reg delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{BB74DE59-BC4C-4172-9AC4-73315F71CFFE}" /f reg add "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes" /v DefaultScope /t REG_SZ /d {0633EE93-D776-472f-A0FF-E1416B8B2E3A} /f Adnotacja dla innych czytających: batch unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Z prawokliku na plik FIX.BAT wybierz "Uruchom jako Administrator". 2. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej: :Files C:\Users\ArtiX\AppData\Local\*Bron* C:\Users\ArtiX\AppData\Roaming\Babylon C:\Users\ArtiX\AppData\Local\Babylon C:\ProgramData\Babylon C:\Program Files (x86)\v9Soft C:\Program Files (x86)\Splashtop C:\Users\ArtiX\AppData\Roaming\Splashtop :Commands [emptytemp] Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Klik w Wykonaj skrypt. System zostanie zrestartowany i otrzymasz log z wynikami. 3. Odbuduj ręcznie plik HOSTS. Włącz pokazywanie rozszerzeń: w Windows Explorer > Organizuj > Opcje folderów i wyszukiwania > Widok > odznacz Ukrywaj rozszerzenia znanych typów. Otwórz Notatnik i wklej w nim: # 127.0.0.1 localhost # ::1 localhost Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz pod nazwą hosts bez żadnego rozszerzenia Plik wstaw do folderu C:\Windows\system32\drivers\etc. 4. Wygeneruj nowy log z OTL z opcji Skanuj oraz log z SystemLook na warunki: :reg HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s Dołącz log z wynikami usuwania OTL z punktu 2. . Odnośnik do komentarza
artas1994 Opublikowano 25 Czerwca 2012 Autor Zgłoś Udostępnij Opublikowano 25 Czerwca 2012 sorka nie mialem wczesniej czasu SystemLook 30.07.11 by jpshortstuff Log created at 20:32 on 25/06/2012 by ArtiX Administrator - Elevation successful ========== reg ========== [HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}] (Unable to open key - key not found) [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}] @="Microsoft WBEM New Event Subsystem" [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32] @="%systemroot%\system32\wbem\wbemess.dll" "ThreadingModel"="Both" -= EOF =- OTL.Txt 06252012_201746.txt Odnośnik do komentarza
picasso Opublikowano 25 Czerwca 2012 Zgłoś Udostępnij Opublikowano 25 Czerwca 2012 (edytowane) 1. O ile FIX.BAT + skrypt z OTL pomyślnie wykonane, to nadal brakuje pliku HOSTS: Hosts file not found Powtarzam: opcja Ukrywaj rozszerzenia znanych typów plików musi być odznaczona, a tworzony plik nie może mieć żadnego rozszerzenia, czyli nazwa hosts a nie hosts.txt. 2. Czas na naprawę szkód wyrządzonych przez trojana, czyli odbudowana skasowanych przezeń usług: Rekonstrukcja usług Zapory systemu Windows: KLIK. Rekonstrukcja usługi Centrum zabezpieczeń: KLIK. Rekonstrukcja usługi Windows Defender: KLIK. Zresetuj system i zrób nowy log z Farbar Service Scanner. . Edytowane 27 Sierpnia 2012 przez picasso 27.08.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso Odnośnik do komentarza
Rekomendowane odpowiedzi