Pendrive>Win32.Virut.56>Dramat

[Mateusz77771986]

Zrobić pełne skanowanie?

[Michael Parker]

Tak.

[Mateusz77771986]

Ściągnałem pod inna nazwą i zainstalowałem go na dysku, gdzie nie było Viruta. Skanuje i program wykrywa go w różnych plikach. Czy powinienem wkleić log z przed, czy po neutralizacji tych obiektów? Czy bez odłączania się od internetu mogę wyłączyć Avasta? Męczy mnie kilkanie co chwilę "Nie podejmuj żadnej akcji"

[AJAN]

wklej log po skanowaniu:!:
Co nam po logu z części skanu:?:
Tak możesz wyłączyć Avast

[Mateusz77771986]

Trochę to trwało, a oto log: http://wklej.eu/index.php?id=02fb51a924

Edited: Po kilku godzinach od skanowania Avast wyrzucił komunikat, że wykrył Viruta tutaj:
C:\Program Files\OpenOffice.org 2.4\program\swriter.exe

Edited 2: Przeskanowałem ten folder C:\Program Files\OpenOffice.org 2.4 Avastem i pokazał że tu jest Virut:

C:\Program Files\OpenOffice.org 2.4\program\sbase.exe
C:\Program Files\OpenOffice.org 2.4\program\scalc.exe
C:\Program Files\OpenOffice.org 2.4\program\sdraw.exe
C:\Program Files\OpenOffice.org 2.4\program\simpress.exe
C:\Program Files\OpenOffice.org 2.4\program\smath.exe
C:\Program Files\OpenOffice.org 2.4\program\soffice.exe
C:\Program Files\OpenOffice.org 2.4\program\swriter.exe

Przeskanowałem go potem Malwarebyte's, który nic tam nie znalazł. Potem podczas uruchamiania Dr.WEB wyskoczyło to z firewalla:

'Eksplorator Windows' from your computer wants to connect to CRL.VERISIGN.NET [199.7.51.190], port 80
c:\windows\explorer.exe
Remote:CRL.VERISIGN.NET [199.7.51.190], port 80 - TCP

Zaprzeczyłem i przeskanowałem folder. Nic nie wykrył.

Ściągnałem AVPTool pod inną nazwą bez rozszerzenia. Potem zmieniłem nazwę dodając ".exe" na koniec i uruchomiłem, zainstalowałem. Podczas instalacji wyskoczyło okno w tle "Postęp pracy z plikiem", wcześniej przy pierwszym skanowaniu tego nie było. A zaraz potem Avast wyrzucił, że wykrył Viruta tutaj: C:\WINDOWS\system32\tourstart.exe

Więc zrezygnowałem za skanowania.

Edited 3: Próbowałem wysłać niektóre z tych plików na http://www.virustotal.com do przeskanowania, lecz strona podaje, że plik ma "0 bytes", chociaż w rzeczywistości pliki mają jakiś rozmiar.

Edited 4: Spróbuję może KAV Rescue Disk

[Mateusz77771986]

Przeskanowałem przy użyciu KAV Rescue Disk i znalazł jeszcze to: http://wklej.eu/index.php?id=c49fbcb161

Tak w ogólnie są Panowie w stanie powiedzieć jak sprawa się kształtuje?

[Michael Parker]

Są to wirusy znajdujące się w plikach przywracania systemu.
Wyłącz i włącz przywracanie systemu http://support.microsoft.com/kb/310405/pll

Daj nowy log z Combofixa.

[Mateusz77771986]

Proszę bardzo, log z combofix: http://wklej.eu/index.php?id=d3554a4897

Jestem zmartwiony ponieważ komputer coś robi w tle, jest więcej procesów niż zawsze, i zajmują one pamięć. Przy wykonywaniu tych czynności co zawsze wykonywałem na komputerze, wykakuje mi komunikat, że komputer ma za mało pamięci wirtualnej, i że zwiększa rozmiar pliku stronicowania. Czytałem, że ten wirus wykrywa łacze, coś tam ustawia po swojemu i łączy się ze swoją wylęgarnią. Czy mógłby Pan sprawdzić pod tym kątem?

[Mateusz77771986]

Cierpliwie czekam na komentarz ostatniego loga z combofix i czy da się coś jeszcze zrobić.

[Michael Parker]

Pobierz ComboFix, ale nie uruchamiaj
Wklej do notatnika:

Kod: Zaznacz wszystko

File::
c:\windows\system32\DVCStateBkp-{00000002-00000000-00000002-00001102-00000004-00531102}.dat
c:\windows\system32\DVCState-{00000002-00000000-00000002-00001102-00000004-00531102}.dat
C:\cleanup.bat
C:\avexport.bat
C:\zip.exe


Z menu notatnika wybierz Plik Zapisz jako CFScript.txt.
Przeciągnij i upuść zapisany plik (CFScript.txt) na ikonę ComboFix.exe.
Rozpocznie się usuwanie, program wygeneruje log, dasz go na forum.
Na czas skanowania Combofixem wyłącz wszystkie antywirusy i firewalle.

Logi dajesz na wklej.org, a w poście podajesz tylko link.

Wygląda na to, że wirus infekuje niektóre pliki systemowe, więc nie wiadomo, czy system wyjdzie z tego cało.

Przeskanuj system programem SmitFraudFix (druga opcja) viewtopic.php?f=22&t=13967#p88593

[Mateusz77771986]

Dziękuję za odpowiedź, a oto logi:

z ComboFix: http://wklej.eu/index.php?id=d64bb54f02
z SmithfraudFix: http://wklej.eu/index.php?id=7d7db9ef6e

Czy będę mógł zastąpić te pliki: cmd.exe i tourstart.exe nowymi? Może zostały uszkodzone, dlatego Avast rozpoznaje je jako zainfekowane, inne programy nic w nich nie znajdują. Jeśli te pliki nie zawierają żadnej konfiguracji to może skopiuję je od kogoś znajomego i zastąpię?

[Mateusz77771986]

Chyba wszystko jest w porządku, proszę jednak o komentarz tych dwóch ostatnich logów z poprzedniego posta. Z góry bardzo dziękuję.