avast wykrł Win32:Trojan-gen na G:\ w pliku G:\anoataly.exe

[SiejaNQ]

Na laptopie po przyniesieniu pendrive od kolegi avast wykrywał na nim non stop Win32:Trojan-gen na G:\ w pliku G:\anoataly.exe. Proszę o pomoc
Poczytałem na forach i się dowiedziałem że trzeba dać log z OTL na forum, co dalej nie wiem jestem zielony, czarna magia to dla mnie

[strona nie jest już dostępna]

Jeżeli coś źle lub czegoś nie dałem np.jakiejś ważnej informacji, proszę o wytłumaczenie a zamieszczę ją.

Bardzo proszę o pomoc...

[mateo8898]

Wylecz pamięci przenośne Flash Disinfector lub sformatuj

Uruchom OTL w oknie Custom Scans/Fixes wklej:

:OTL
PRC - [2008-04-14 21:21:18 | 01,035,264 | ---- | M] (Microsoft Corporation) -- D:\WINDOWS\explorer.exe
O2 - BHO: (AskBar BHO) - {201f27d4-3704-41d6-89c1-aa35e39143ed} - D:\Program Files\AskBarDis\bar\bin\askBar.dll (Ask.com)
O3 - HKLM\..\Toolbar: (Ask Toolbar) - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - D:\Program Files\AskBarDis\bar\bin\askBar.dll (Ask.com)
O3 - HKCU\..\Toolbar\WebBrowser: (Ask Toolbar) - {3041D03E-FD4B-44E0-B742-2D9B88305F98} - D:\Program Files\AskBarDis\bar\bin\askBar.dll (Ask.com)
O4 - HKCU..\Run: [cdoosoft] D:\DOCUME~1\as\USTAWI~1\Temp\herss.exe File not found
O32 - AutoRun File - [2010-01-14 02:57:40 | 00,000,063 | RHS- | M] () - C:\autorun.inf -- [ NTFS ]
O32 - AutoRun File - [2010-01-14 02:57:45 | 00,000,063 | RHS- | M] () - D:\autorun.inf -- [ NTFS ]
O33 - MountPoints2\{20c69ca7-ff86-11de-90c0-806d6172696f}\Shell\AutoRun\command - "" = anoataly.exe
O33 - MountPoints2\{20c69ca7-ff86-11de-90c0-806d6172696f}\Shell\open\Command - "" = anoataly.exe
O33 - MountPoints2\{20c69ca8-ff86-11de-90c0-806d6172696f}\Shell\AutoRun\command - "" = anoataly.exe
O33 - MountPoints2\{20c69ca8-ff86-11de-90c0-806d6172696f}\Shell\open\Command - "" = anoataly.exe
O33 - MountPoints2\{88e47aee-004c-11df-ae4c-fa40871c0f7c}\Shell\AutoRun\command - "" = G:\anoataly.exe -- File not found
O33 - MountPoints2\{88e47aee-004c-11df-ae4c-fa40871c0f7c}\Shell\open\Command - "" = G:\anoataly.exe -- File not found

:Files
D:\Program Files\AskBarDis
G:\anoataly.exe
D:\anoataly.exe
C:\anoataly.exe

:Reg
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Alcmtr"=-
"RTHDCPL"=-
"SkyTel"=-
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"SuperHidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"Hidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"ShowSuperHidden"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
@=""

:Commands
[emptytemp]
[start explorer]

Klikasz Run Fix. Dajesz log z usuwania + nowy log z OTL

[SiejaNQ]

Z góry dzięki
sorry nie wiem który to który
[strona nie jest już dostępna]

[strona nie jest już dostępna]

[mateo8898]

Dobra, nic więcej nie widzę.

W OTL kliknij CleanUp

Przeczyść dysk oraz rejestr CCleaner

Wyłącz i włącz przywracanie systemu na wszystkich dyskach Instrukcja

Wykonaj pełne skanowanie Malwarebytes' Anti-Malware - jeśli coś znajdzie usuń i daj raport

[SiejaNQ]

[strona nie jest już dostępna]

Tylko że nadal są te objawy otwieram dysk a tu się otwiera ,,wyszukaj"

[mateo8898]

Użyj Flash Disinfector i napisz, czy pomogło.

[SiejaNQ]

Nie.
Opisze lepiej sytuacje. Mam PC Stacjonarny z podłączeniem do internetu i laptopa bez połączenia do internetu.
Na laptopie mam ten oto problem z dyskami, i pliki z OTL, itp. przenoszę na Pendrive z laptopa na PC Stacjonarny by dać na forum.
Takie o, chyba nie da się nic zrobić widzę że format wita będzie,,

[mateo8898]

Żaden format. Trzeba było tak od razu pisać. Podaj nowe logi z OTL z kompa i laptopa, bo infekcja przenosi się właśnie przez pendrive i pewnie się ponownie zainfekowałeś

[SiejaNQ]

PC Stacjonarny
Extrac..
[strona nie jest już dostępna]
OTL
[strona nie jest już dostępna]

Laptop
Extras
[strona nie jest już dostępna]
OTL
[strona nie jest już dostępna]

Teraz powiec w jakiej kolejności to wszystko robić by sie nie zarazic jak poprzednio mam tylko pendrive

[mateo8898]

No ciekawie bo w logach czysto. W takim razie infekcja musiała coś namieszać jeszcze w rejestrze. Problem piszesz występuje na laptopie, więc na nim wykonaj poniższe:
Najpierw spróbuj tak:
Wklej do notatnika:

Kod: Zaznacz wszystko

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive]
@="Dysk"
"EditFlags"=dword:000001d2
"BrowserFlags"=dword:00000008

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\DefaultIcon]
@=hex(2):25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,53,79,73,74,65,6d,33,32,5c,73,\
68,65,6c,6c,33,32,2e,64,6c,6c,2c,38,00

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shell]
@=""

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shell\find]
"SuppressionPolicy"=dword:00000080

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shell\find\command]
@=hex(2):25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,45,78,70,6c,6f,72,65,72,2e,65,\
78,65,00

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shell\find\ddeexec]
@="[FindFolder(\"%l\", %I)]"
"NoActivateHandler"=""

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shell\find\ddeexec\application]
@="Folders"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shell\find\ddeexec\topic]
@="AppProperties"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shellex]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shellex\ContextMenuHandlers]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shellex\ContextMenuHandlers\Offline Files]
@="{750fdf0e-2a26-11d1-a3ea-080036587f03}"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shellex\ContextMenuHandlers\Sharing]
@="{f81e9010-6ea4-11ce-a7ff-00aa003ca9f6}"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shellex\ContextMenuHandlers\{59099400-57FF-11CE-BD94-0020AF85B590}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shellex\ContextMenuHandlers\{fbeb8a05-beee-4442-804e-409d6c4515e9}]
@=""

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shellex\FolderExtensions]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shellex\FolderExtensions\{fbeb8a05-beee-4442-804e-409d6c4515e9}]
@=""
"DriveMask"=dword:00000020

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shellex\PropertySheetHandlers]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shellex\PropertySheetHandlers\Sharing]
@="{f81e9010-6ea4-11ce-a7ff-00aa003ca9f6}"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shellex\PropertySheetHandlers\{1F2E5C4​0-9550-11CE-99D2-00AA006E086C}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shellex\PropertySheetHandlers\{596AB06​2-B4D2-4215-9F74-E9109B0A8153}]
@=""

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shellex\PropertySheetHandlers\{7988B57​3-EC89-11cf-9C00-00AA00A14F56}]
@=""

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shellex\PropertySheetHandlers\{ECCDF54​3-45CC-11CE-B9BF-0080C87CDBA6}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shellex\PropertySheetHandlers\{fbeb8a0​5-beee-4442-804e-409d6c4515e9}]
@=""

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\Drive]
@="Dysk"
"EditFlags"=hexBig Grin2,01,00,00

[HKEY_CLASSES_ROOT\Drive\DefaultIcon]
@=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,25,\
00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,00,68,00,\
65,00,6c,00,6c,00,33,00,32,00,2e,00,64,00,6c,00,6c,00,2c,00,38,00,00,00

[HKEY_CLASSES_ROOT\Drive\shell]
@="none"

[HKEY_CLASSES_ROOT\Drive\shell\find]
"SuppressionPolicy"=dword:00000080

[HKEY_CLASSES_ROOT\Drive\shell\find\command]
@=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,25,\
00,5c,00,45,00,78,00,70,00,6c,00,6f,00,72,00,65,00,72,00,2e,00,65,00,78,00,\
65,00,00,00

[HKEY_CLASSES_ROOT\Drive\shell\find\ddeexec]
@="[FindFolder(\"%l\", %I)]"
"NoActivateHandler"=""

[HKEY_CLASSES_ROOT\Drive\shell\find\ddeexec\application]
@="Folders"

[HKEY_CLASSES_ROOT\Drive\shell\find\ddeexec\topic]
@="AppProperties"

Plik Zapisz jako Ustaw rozszerzenie z TXT na Wszystkie pliki zapisz pod nazwą FIX.REG uruchom utworzony plik i potwierdź restart

Jeśli nie pomoże to użyj Combofix i daj log z niego (podczas pobierania i skanu wyłącz wszelkie programy zabezpieczające)

[SiejaNQ]

Działa nie ma żadnych objawów na laptopie. A na PC Stacjonarnym co zapomniałem napisać wcześniej nie ma objawów. Były parę godzin temu ale znikneły nie wiem co zrobiłem, dyski otwierały się w nowych oknach. Teraz jest ok.

Mam dwa pytanka.. jeszcze
1. Czy trzeba coś zrobić jeszcze, skan, albo coś by się upewnić że czysto jest.
2. Jak chronić się przed takimi zagrożeniami, mam na PC i Laptopie avast (aktualizujący się) i na PC
firewalla
[strona nie jest już dostępna]
nie wiem jak go nazwać

Dziękuje Ci i od razu daje Ci pochwałę..
Wielkie dzięki.

[mateo8898]

PC możesz przeskanować dla pewności Malwarebytes' Anti-Malware

Co do programów zabezpieczających to mogą zostać, a jak się przed tym chronić no to przede wszystkim uważać jak się przynosi skądś pendrive, najlepiej "po wizycie" na innym kompie przeskanować go antywirem. Flash Disinfector w pewnym stopniu też chroni przed tego typu infekcją