Wersja do druku
Cześć, tak jak w temacie, na spierdolonym laptoku mojej siostry nie działa google, przekierowuje na strone z komunikatem
"404 Not Found
nginx"
no nic, dupa, podobnoż to jakiś rootkit, który ukrył plik hosts i nie mogę się do niego dobrać ani nadpisać.
Z czego potrzebne są Wam logi? Jak na razie zamieszczam GMERa (TDSSKiller, Malwarebyte's Anti Malware nic nie wykryły).
Ogólnie najchętniej walnąłbym formata no ale siostra się nie zgadza.
GMER:
http://wklej.org/hash/d7464ff2222/
Zapodaj logi z OTL. Uruchom, w tabelce "rejestr skan dodatkowy" zaznacz "uzyj filtrowania" oraz pozaznaczaj "wszyscy uzytkownicy", "infekcje lop", "infekcje purity", i nacisnij skanuj. Innych opcji nie zmieniaj. Pojawia Ci sie dwa logi, wrzuc je np. na http://wklej.org/ i podaj linki.
Skana mozesz zrobic jeszcze przy pomocy Dr. Web CureIt.
Uruchom OTL i na dole wklej ten skrypt http://wklej.org/id/774453/ i kliknij "wykonaj skrypt".
Do aktualizacji:
IE do 9
Opera
Mozilla Firefox
Java
Adobe Reader
Adobe Flash Player (zarowno pod IE jak i inne przegladarki)
Skype
Do odinstalowania:
Google Toolbar for Internet Explorer
Conduit Engine
SFT_eng7 Toolbar
Winamp Toolbar
Windows iLivid Toolbar
Po wykonaniu wszystkiego sprawdz czy problem nadal wystepuje, jezeli tak to wykonaj nowe logi (wedlug tej samej instrukcji co w pierwszym moim poscie).
Ewentualnie dostań się z poziomu LiveCD jakiejś dystrybucji Linuksa i zmodyfikuj plik hosts z tego poziomu. Może tez wystarczyć zalogowanie się w trybie awaryjnym.
Pozdrawiam
Killavus
Gorzej jeśli to jakiś rootkit który przy starcie windy ten plik znowu zmodyfikuje.Cytuj:
Killavus napisał
#Vadim
Podczas wykonywania skryptu walnął blue screen, nic się nie naprawiło, kolejne logi podeślę jutro kiedy moja siostra wróci z pracy.
Jeżeli tak, to wyłącz wszystkie procesy uruchamiane podczas startu systemu z poziomu msconfig ;).Cytuj:
Ander Twenty napisał
Pozdrawiam
Killavus
Rootkit tak łatwo by się nie poddał. Obecność na liście w msconfig dla czegoś co z zasady na być niewykrywalne(ewentualnie empirycznie poprzez odczucie różnic w zachowaniu systemu) oczywiście taka próba nie zaszkodzi
zastanawia mnie jednak co trzeba robić żeby coś takiego złapać
Nie przesadzacie? To tylko ukrycie pliku host, a Wy proponujecie takie drastyczne rozwiązania ; d
Ewidentna modyfikacja pliku host. Zastosuj się do tego:
http://support.microsoft.com/kb/972034
(mam na myśli pierwszy sposób z pobraniem pliku).
Piszesz, że po wykonaniu skryptu Vadima wyskakuje blue screen... W takim razie czekam na kolejne logi. Po nich będzie można dojść co zostało usunięte i na czym system utknął.
PS: W ogóle skąd teoria o rootkitach? One mają głównie na celu ukrytcie pomocnego mu procesu/pliku, a nie bezpośrednie uszkodzenia.
Próbowałem.Cytuj:
Nights napisał
Dalej uważam, że to coś zaszytego w systemie, format niestety nie wchodzi w grę.
To reinstalacja bez formatowania przy czym wszystkie pliki wykonywalne, dll na śmieci(to minimum, pełny format wszystkich dysków byłby lepszy)
może jest jakiś dobry skaner uruchamiany z płyty? Wie ktoś coś na ten temat? W to sposób nic nie powinno się ukryć.
W takim razie można się pokusić o ręczą edycję pliku host z pozostawieniem dwóch pierwszy linijek (włącz pokazywanie ukrytych plików > otwórz w notatniku system32\drivers\etc\hosts > usuń wszystkie linijki poza pierwszą i drugą). Nie sądzę, aby narzędzie microsoftu nie zadziałało, więc faktycznie infekcja może działać w tle. Możesz użyć narzędzia Tdsskiller (proponowane: przyznaj skip dla wszystkich znalezionych infekcji i przedstaw najpierw raport). Po tym, jak umieścisz kolejny log OTL powinniśmy dojść do tego co faktycznie wywołuje ten blue screen i użyć OTLPE ze środowiska zewnętrznego (chociaż sądzę, że narzędzia kasperskiego powinny sobie z tym poradzić).
Hmm, a moze by tak sprawdzic co blue screen oznacza? W sensie spisac numery i wklepac w google. Sprobuj jeszcze raz go wykonac ;d
Wiesz co to moze byc: C:\Users\mirka\Downloads\21zg0mzm.exe ? Jezeli masz to jeszcze na dysku to wrzuc na https://www.virustotal.com/ i daj link po przeskanowaniu.
Nights, autor napisal w pierwszym poscie ze tdsskiller nic nie znalazl :<
Ten plik to GMER (niektóre rootkity reagują źle na 'gmer' w nazwie pliku i go blokują).Cytuj:
Vadim napisał
HOSTS nie mogę edytować, nie ma go w folderze, a gdy robię nowy w notatniku to przy próbie zapisu pyta czy nadpisać, potwierdzam i dostaję info że plik tylko do odczytu.
I nie mam go jak usunąć, jak folderowi (jego podfolderom i plikom) odznaczam 'Tylko do odczytu' to i tak wraca na poprzednie miejsce, więc to dość upierdliwy pliczek który mi przeszkadza.
Ten sposób ze skryptami FixIT M$ też nie działa, niby coś tam robi, niby powodzenie ale i tak nic nie naprawia. Dzisiaj jeszcze raz przeskanuje TDSSKillerem + OTL + GMER.
sry za dabyl posta
OTL.txt
extras.txt
Nie wiem czy coś się zmieniło, Twojego skryptu dalej nie mogę odpalić, google dalej nie śmiga.
TDSSkiller dalej nic.
Hmm, to sprobuj tylko taki skrypt wykonac, a noz to cos da:
:Commands
[RESETHOSTS]
Właśnie teraz 'hosts' się pojawił w folderze 'etc' jako 'plik systemowy', tylko nie wiem czy to zmyłka.
#edit
Są tam te linijki z adresami serwerów googla ale znowu nie chce się zapisać, spróbuję OTL.
#edit2
Wszystko działa, dzięki panowie ;)