Problem z RootKitem C:\WINDOWS\system32\x

[elonok]

Witam,
od jakiegoś czasu mam problem ze złośliwymi aplikacjami, avast sobie nie radzi, dlatego Was proszę o pomoc:

Combofix:
http://www.wklej.eu/index.php?id=ad206f9ac3

HiJackThis:
http://www.wklej.eu/index.php?id=1e50a0df43

Problem wyniknął najprawdopodobniej w wyniku infekcji PenDrive'a. Będę wdzięczny za pomoc w oczyszczeniu go.

[Michael Parker]

Wylecz pendriva lub kartę pamięci
Flash Disinfector, Perlovga Removal Tool
lub format

Pobierz ComboFix, ale nie uruchamiaj
Wklej do notatnika:

Kod: Zaznacz wszystko

File::
c:\windows\system32\fxxttpcl.tmp

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"UpdatesDisableNotify"=dword:00000000 
"AntiVirusOverride"=dword:00000000
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]


Z menu notatnika wybierz Plik Zapisz jako CFScript.txt.
Przeciągnij i upuść zapisany plik (CFScript.txt) na ikonę ComboFix.exe.
Rozpocznie się usuwanie, program wygeneruje log, dasz go na forum.
Na czas skanowania Combofixem wyłącz wszystkie antywirusy i firewalle.

Logi dajesz na wklej.org lub wklej.eu a w poście podajesz tylko link.

[elonok]

Wynik operacji wykonanych wg powyższych wskazówek:
http://wklej.org/id/95606/

Czekam na dalsze komentarze.
Pozdr

[Michael Parker]

c:\windows\system32\nwfsogqc.dll

Przeskanuj ten plik tym lub tym skanerem

Usuń ręcznie folder C:\Qoobox oraz instalkę Combofixa z dysku.

Przeczyść system i rejestr CCleaner

Wykonaj optymalizację autostartu

Wyłącz i włącz przywracanie systemu http://support.microsoft.com/kb/310405/pll

Przeskanuj obszar całego systemu Kaspersky Online Scanner Następnie daj raport na forum.
lub użyj
Dr.WEB CureIt!

Przeskanuj system programem SDFix i daj raport z niego. Instrukcja viewtopic.php?f=22&t=13967

Pobierz Malwarebytes' Anti-Malware Uruchom pełne skanowanie. Jeżeli coś znajdzie, to usuń. Następnie daj log na forum.

Logi dajesz na wklej.org lub wklej.eu a w poście podajesz tylko link.

[elonok]

c:\windows\system32\nwfsogqc.dll

Przeskanuj ten plik tym lub tym skanerem

żaden ze skanerów nie uruchamiał się, dopiero Dr.Web znalazł i usunął plik.

Usuń ręcznie folder C:\Qoobox oraz instalkę Combofixa z dysku.

Usunięte!

Przeczyść system i rejestr CCleaner
Wykonaj optymalizację autostartu
Wyłącz i włącz przywracanie systemu http://support.microsoft.com/kb/310405/pll

zrobione!

Przeskanuj obszar całego systemu Kaspersky Online Scanner Następnie daj raport na forum.
lub użyj
Dr.WEB CureIt!

Dr.Web znalazł w/w plik i go usunął. Drugie skanowanie było czyste.

Przeskanuj system programem SDFix i daj raport z niego. Instrukcja viewtopic.php?f=22&t=13967

Raport: http://wklej.org/id/95660/

Pobierz Malwarebytes' Anti-Malware Uruchom pełne skanowanie. Jeżeli coś znajdzie, to usuń. Następnie daj log na forum.

Skanowanie czyste:
http://wklej.org/id/95663/

Ale to nie wszystko, podczas skanowania malware miałem włączonego avasta i ponownie wyrzucał o wirusie w jakimś obrazku z lokalizacji z lokalizacji Content.IE5
po czym o robaku
C:\Windows\system32\x

[Michael Parker]

W takim razie daj nowy log z Combofix.
Avast usunął te wirusy?

[elonok]

ComboFix bez CFScript.txt:
http://wklej.org/id/95971/

ComboFix z CFScript.txt:
http://wklej.org/id/95973/

Avast za każdym razem usuwa wirusy, jednakże po pewnym czasie powracają. Zawsze jest to zainfekowany obrazek (gif, jpeg, bmp) w lokalizacji Content.IE5 a później C:\WINDOWS\system32\x

Edit:
Nastąpiło spore nasilenie ataków w/w RootKitem, jakieś pomysły jak tego się pozbyć?
I może macie jeszcze dobre rady odnośnie antywirów/firewalli, bo widzę, że Avast to tylko umownie działa jak antywirus.
Z góry dzięki za pomoc.

[AJAN]

Użyj WWDC i pozmieniaj porty na na DISABLE (czyli wszystkie znaczki maja być na zielono - NetBios może zostać na żółto

usuń ręcznie folder C: \Qoobox oraz instalkę Combofix z dysku.

Wyłącz I włącz przywracanie systemu na wszystkich dyskach.INSTRUKCJA[/quote]


pobierz MalwareByte's
Klikasz "Skanuj" Wybierasz dyski i skanujesz jak jakieś będą to Usuń i pokaż raport

[Michael Parker]

Dodatkowo wykonaj:
Wklej do notatnika:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]

Z menu notatnika wybierz Plik Zapisz jako .
Zmień rozszerzenie z "Dokument tekstowy" na "Wszystkie pliki"
Zapisz plik pod nazwą Fix.reg.
Uruchom ten plik, wprowadź zmianę do rejestru, uruchom ponownie komputer

[elonok]

Dzięki wielkie. Wygląda na to, że już wszystko jest OK!
Doradzicie mi jeszcze jakiegoś antyvira i firewalla? Avast raczej kuleje.
Pozdr

[Michael Parker]

Z darmowych.
AV: http://www.instalki.pl/programy/downloa ... lassic.php lub http://www.instalki.pl/programy/downloa ... dition.php
Firewall: http://www.instalki.pl/programy/downloa ... l_Plus.php lub http://www.instalki.pl/programy/downloa ... curity.php (W ostatnim przypadku jest możliwość zainstalowania samego firewalla.)

[chyllas]

Prosze o sprawdzenie loga
http://wklej.org/id/125251/

[AJAN]

chyllas nie podpinaj się pod cudze tematy, zawsze zakładaj swój

przeskanuj komputer Kaspersky Virusscaner lub Dr.Web Cure It!
gdy będą wirusy pokaż raport (po zakończeniu skanowania Plik Zapisz listę raportu)

pobierz MalwareByte's
Klikasz "Skanuj" Wybierasz dyski i skanujesz jak jakieś będą to Usuń i pokaż raport

[chyllas]

Przepraszam.. ale nie chciałem zakładać takiego samego tematu..
http://wklej.org/id/125535/ raport z kasperskiego
http://wklej.org/id/125616/ log z Malwarebytes
Proszę o sprawdzenie.

[AJAN]

Byłeś proszono o usunięcie to co znajdzie Malware a Ty:

No action taken.

Przeskanuj jeszcze raz Malware i usuń

Dodatkowo przeskanuj Dr.Web!