Prośba o analizę logu Combofix

[Achael]

Witam!!
Od kilku miesięcy używam "Avira AntiVir Personal", wczoraj w trakcie rutynowego skanowania znalazła ok 30 infekcji.. Zaalarmowany tym uruchomiłem "Malwarebytes' Anti-Malware" który wykrył ok kolejnych 30.. Następnie pomimo wcześniejszych skanów Avira wykrywała mi kolejne infekcje (pasywnie) w programach uruchamiających się podczas startu..

Po przestudiowaniu kilku wątków dzięki uprzejmości wujka google'a zainstalowałem Combofix..

Prośba o dwa słowa komentarza..

http://wklej.org/id/275874/
dzięki i pozdrawiam!!

[ordynat]

Nie napisałeś jaki wirus jest wykrywany.
Jeśli występuje w takiej ilości, to może chodzić o wirusa zarażającego wszystkie pliki .exe.

W logu widać tylko efekty Trojana VUNDO.
Wklej do Notatnika:

Kod:

File::
f:\program files\Creative\SBAudigy\Surround Mixer\ctsysvol .exe
f:\winnt\system32\NVRTClk\nvrtclk .exe

>>Plik>>Zapisz jako... >>> CFScript
Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe 
        -------->
Ma się rozpocząć usuwanie. (i powstanie log).
Daj ten log, który powstanie w trakcie usuwania.

f:\program files\Creative\SBAudigy\Surround Mixer\CTSysVol.exe
f:\winnt\system32\NVRTCLK\NVRTClk.exe

Sprawdź je na --> JOTTI/ albo na VIRUSTOTAL.
Być może zostały zarażone przez VUNDO.
.

[Achael]

Witam!! Dzięki za szybką odpowiedź..

Log po usuwaniu:
http://wklej.org/id/275941/

Avira znalazła mi wówczas:

"TR/Crypt.XPACK.Gen [trojan]"
"W32/Polip.A [virus]"
"TR/Dropper.Gen [trojan]"
"DR/Delphi.Gen [dropper]"
"TR/Agent.X.1840 [trojan]"
"TR/Hijacker.Gen' [trojan]"
"TR/Trash.Gen' [trojan]"
"TR/Spy.28160.B' [trojan]"
"TR/PCK.Krap.X.182 [trojan]"

Łącznie 76 detekcji w ciągu 2 dni.. ;/

1 Log ze skanowania Malwerbytes Anti Malware:
http://wklej.org/id/275950/

Wspomniane wyżej pliki NVRTClk.exe, CTSysVol.exe zostały usunięte w akcie desperacji ..

[ordynat]

F:\Documents and Settings\Admin\Ustawienia lokalne\Temp\273.exe (Trojan.Dropper)

Log jest czysty.
Ale ze względu na tę  nazwę "Dropper" możesz jeszcze użyć miniskanera >Dr. Web CureIt!
Napisz, co wykrył.
.

[Achael]

Od czasu przeskanowania Combofixem, "guard" Aviry znalazł z 2 infekcje jeszcze.. Wczorajszy skan drCureIt nie znalazł nic.. Natomiast dzisiejszy do tej pory: Win32.HLLW.Lime.5, Trojan.Siggen.59807 w kilku egemplarzach.. Myślałem że uniknę formatowania .. Myślisz że jest szansa odeprzeć tę paskudną ofensywę?
pozdrawiam

[ordynat]

Przynajmniej miejmy taką nadzieję.
Infekcja nie jest zbyt rozwinięta, więc szanse są dość duże, ale zajmie to Ci dużo czasu.

Użyj albo jeszcze raz "Dr.WebCureIt", albo >KVRT
Potem użyj któregoś skanera online:
http://www.bitdefender.com/scanner/online/free.html  (Internet Explorer)
http://housecall.trendmicro.com/    (Internet Explorer lub Firefox)
http://onecare.live.com/site/en-US/default.htm
http://housecall.trendmicro.com/housecall7/   (Internet Explorer lub Firefox)
http://support.f-secure.com/enu/home/ols.shtml   (Firefox 3.0 oraz Internet Explorer 6-7.)
http://www.arcabit.pl/content/view/124/145/lang,polish/  (Internet Explorer. By uruchomić narzędzie w iE, należy w przeglądarce dodać adres arcaonline do Zaufanych Witryn)
http://www.mks.com.pl/skaner/  (Internet Explorer)
http://www.eset.com/onlinescan/  (Internet Explorer, Firefox / Opera / Safari)
http://www.emsisoft.com/en/software/ax/
Napisz o wynikach.
.

[Achael]

Wynik KRV:

Autoscan: completed 4 minutes ago   (events: 15, objects: 1343379, time: 07:32:57)   
2010-02-09 19:14:24   Untreated: Trojan.Win32.Patched.hp   F:\WINNT\$NtServicePackUninstall$\sfc_os.dll   Postponed   
2010-02-09 21:01:02   Untreated: Trojan.Win32.Genome.efte   Q:\Obrazy\Trackmania\rld-tunt.iso/Crack/tmunite.dll   Postponed   
2010-02-09 19:08:46   Untreated: Trojan.Win32.AutoRun.lw   F:\Documents and Settings\Admin\DoctorWeb\Quarantine\autorun.inf   Postponed   
2010-02-09 18:37:36   Task started         
2010-02-10 02:10:34   Task completed         
2010-02-10 02:07:40   Disinfected: Trojan.Win32.Patched.hp   F:\WINNT\$NtServicePackUninstall$\sfc_os.dll      
2010-02-10 02:07:40   Disinfected: Trojan.Win32.Patched.hp   F:\WINNT\$NtServicePackUninstall$\sfc_os.dll      
2010-02-10 02:06:11   Detected: Trojan.Win32.Patched.hp   F:\WINNT\$NtServicePackUninstall$\sfc_os.dll      
2010-02-09 19:14:24   Detected: Trojan.Win32.Patched.hp   F:\WINNT\$NtServicePackUninstall$\sfc_os.dll      
2010-02-10 02:07:41   Detected: Trojan.Win32.Genome.efte   Q:\Obrazy\Trackmania\rld-tunt.iso/Crack/tmunite.dll      
2010-02-09 21:01:02   Detected: Trojan.Win32.Genome.efte   Q:\Obrazy\Trackmania\rld-tunt.iso/Crack/tmunite.dll      
2010-02-09 21:09:09   Detected: Trojan.Win32.AutoRun.lw   F:\Documents and Settings\Admin\DoctorWeb\Quarantine\autorun.inf      
2010-02-09 19:08:46   Detected: Trojan.Win32.AutoRun.lw   F:\Documents and Settings\Admin\DoctorWeb\Quarantine\autorun.inf      
2010-02-10 02:10:33   Deleted: Trojan.Win32.Genome.efte   Q:\Obrazy\Trackmania\rld-tunt.iso      
2010-02-10 02:06:11   Deleted: Trojan.Win32.AutoRun.lw   F:\Documents and Settings\Admin\DoctorWeb\Quarantine\autorun.inf   

   

Lecę skanerem online..

[ordynat]

Tak się przyglądam tym wykryciom: wg mnie tu więcej jest fałszywych alarmów niż rzeczywistych wykryć.
$NtServicePackUninstall$\sfc_os.dll    ---> to są kopie Twojego poprzedniego ServicePack, bez znaczenia, bo i tak można je było spokojnie usunąć.
Quarantine\autorun.inf - to z Kwarantanny Dr.Web, więc już i tak było unieczynnione.
Crack/tmunite.dll - to chyba wykryte ze względu na słowo "crack"
Trackmania\rld-tunt.iso - to chyba sam wiesz?
I co pozostało z tych wykrytych? Nic.
Ale warto chyba było sprawdzić, czy nie masz jakiejś "konkretnej" infekcji.
Poczekamy jeszcze na wynik skanu online, ale myślę, że jest już dobrze.
.

[Achael]

Skaner z jednego z linków (http://housecall.trendmicro.com/housecall7/) wykrył przez noc 5 problemów: 2 pliki ukryte oznaczone jako "Rootkits", Trojan.Win32.AutoHK.l (Kaspersky), Exploit.JS.ADODB.Stream.e(Kaspersky), oraz ostatni którego wykrył jako trojan o niskim poziomie zagrożenia..

Skan Aviry nie znalazł niczego... Ponawiam skan którymś ze skanerów on-line i napisze o wyniku..

Dziękuje za pomoc

[Achael]

Po 9 godzinach skanowania:

F:\Documents and Settings\Admin\Dane aplikacji\Thunderbird\Profiles\2wc3rmds.default\Mail\Local Folders\Inbox   HTML/Phishing.gen trojan   deleted
F:\Documents and Settings\Admin\Dane aplikacji\Thunderbird\Profiles\2wc3rmds.default\Mail\Local Folders\Sent   probably a variant of Win32/Agent trojan   contained infected files
F:\Documents and Settings\Admin\DoctorWeb\Quarantine\BSInstallPL_PL5.2.5.5.exe   a variant of Win32/Toolbar.MyWebSearch application   deleted - quarantined

[karolkuich]

Po 9 godzinach skanowania:

  za wytrwałość... 

Dwa pierwsze możesz usunąć. Trzeci , to instalator Bearshare , którym już wcześniej zajął się DrWeb.

Wygląda na to, że możesz sobie spokojnie powiedzieć, "system mam czysty"... 

Odinstaluj ComboFix : Start>>Uruchom, wpisz :

Kod:

ComboFix /uninstall

, OK.

Wklej jeszcze log z OTL, usunie się jeszcze ewentualne odwołania do pustych plików...

[Achael]

Logi po sprawdzeniu OTL'em:

http://wklej.org/id/277580/
http://wklej.org/id/277582/

Dziękuje za pomoc !

[ordynat]

Uruchom OTL i w oknie Custom Scans/Fixes wklej to:

:OTL
O4 - HKCU..\Run: [H/PC Connection Agent] g:\programy\activesync\wcescomm .exe File not found
[2010-02-08 15:14:52 | 000,000,000 | -HSD | C] -- F:\RECYCLER

:Files
F:\WINNT\System32\tmp.files0

:Commands
[emptytemp]
[Reboot]

Kliknij w Run Fix. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
.

[Achael]

Hmm.. Wykonał co miał wykonać tylko zdaje się że się usunął sam albo coś go usuneło bo po restarcie pojawił się tylko błąd ze ścieżka nie prowadzi do pliku ;/

[ordynat]

Może kliknąłeś na przycisk "CleanUp"?
.