Prawdopodobnie wirus - format nie jest rozwiązaniem

Od zdaje się jakiegoś tygodnia mam niesamowite problemy z komputerem. Randomowe błędy wyskakujące znikąd dotyczące jusched.sys, explorer.exe, i svchost.exe niby coś zamykające. Ogólny spadek formy sprzętu i mało tego - menedżer zadań nie chce się włączyć. Prawdopodobnie coś gdzieś siedzi co mi psuje sprzęt ale nie jestem w stanie tego zlokalizować bo średnio się na tym znam. Jako tymczasowe rozwiązanie działa utworzenie nowego profilu w systemie ale to niestety jest rozwiązanie na maksymalnie 2 dni. Potem dalej jest to samo.

Wrzucam logi z OTL - może ktoś coś znajdzie

http://www.wklej.org/id/915768/
http://www.wklej.org/id/915770/

W OTL, w pole Własne opcje skanowania / skrypt wklej:

Cytuj:

---

:OTL
MOD - [2013-01-05 21:15:29 | 000,012,970 | ---- | M] () -- C:\Documents and Settings\Granat 2\Ustawienia lokalne\Temp\xkahb.exe
PRC - [2013-01-05 21:15:29 | 000,012,970 | ---- | M] () -- C:\Documents and Settings\Granat 2\Ustawienia lokalne\Temp\xkahb.exe
O4 - Startup: C:\Documents and Settings\Granat\Menu Start\Programy\Autostart\runctf.lnk = C:\WINDOWS\system32\rundll32.exe (Microsoft Corporation)
O32 - AutoRun File - [2012-12-17 00:03:04 | 000,000,250 | RHS- | M] () - C:\autorun.inf -- [ NTFS ]
O32 - AutoRun File - [2012-12-17 00:03:04 | 000,000,231 | RHS- | M] () - D:\autorun.inf -- [ NTFS ]
O32 - AutoRun File - [2012-09-18 22:43:22 | 000,000,313 | RHS- | M] () - F:\autorun.inf -- [ FAT ]
:Files
C:\Documents and Settings\Granat 2\Ustawienia lokalne\Temp\xkahb.exe
C:\Documents and Settings\All Users\Dane aplikacji\dsgsdgdsgdsgw.pad
C:\Documents and Settings\All Users\Dane aplikacji\dsgsdgdsgdsgw.js
C:\dxjl.exe
C:\autorun.inf

:Reg
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Uninstall\Live Security Platinum]
[-HKEY_CURRENT_USER\software\microsoft\windows\curre ntversion\explorer\mountpoints2]

:Commands
[emptytemp]

---

Kliknij Wykonaj skrypt i zatwierdź restart.
Pokaż raport z usuwania i nowy log z opcji Skanuj po wklejeniu w okienko OTL zatytułowane Własne opcje skanowania/skrypt. (W starszych wersjach OTL: Custom Scans/Fixes)

Kod:

---

netsvcs
 C:\*.*
 D:\*.*
 E:\*.*
 F:\*.*
 G:\*.*
 H:\*.*
 I:\*.*
 J:\*.*
 K:\*.*
 L:\*.*
 M:\*.*
 N:\*.*
 O:\*.*
 P:\*.*
 R:\*.*
 S:\*.*
 U:\*.*
 W:\*.*
 Y:\*.*
 Z:\*.*
 %ALLUSERSPROFILE%\Application Data\*.*
 %APPDATA%\*.*
 %SYSTEMDRIVE%\*.* /mp /s
 /md5start
 atapi.sys
 winlogon.exe
 explorer.exe
 beep.sys
 agp440.sys
 svchost.exe
 userinit.exe
 ntfs.sys
 /md5stop
 %systemroot%\system32\ws2_32.dll /md5
 %systemroot%\system32\kernel32.dll /md5
 %systemroot%\system32\user32.dll /md5
 %systemroot%\Tasks\*.* /lockedfiles

---

Jak wkleisz skrypt to usun te dwie spacje w kolku:
https://i.imgur.com/Yaoyg.png

Forum rozdziela dlugie ciagi znakow. Lepiej moze by bylo podawac skrypty tak jak robie to ja, na wklej.org. Tylko szkoda, ze w google pozniej tego nie ma ;<

I przy okazji dodam od siebie aktualizacje Javy oraz IE 6.

Logi -

http://www.wklej.org/id/915978/
http://www.wklej.org/id/915982/
http://www.wklej.org/id/915983/
http://www.wklej.org/id/915986/

Menedżer zadań dalej nie działa

Nie wykonałeś skana z opcjami dodatkowymi. musiałeś nacisnąć wykonaj skrypt zamiast skanuj. Podaj log z opcji skanuj po wklejeniu w białe pole:

Kod:

---

netsvcs
 C:\*.*
 D:\*.*
 E:\*.*
 F:\*.*
 G:\*.*
 H:\*.*
 I:\*.*
 J:\*.*
 K:\*.*
 L:\*.*
 M:\*.*
 N:\*.*
 O:\*.*
 P:\*.*
 R:\*.*
 S:\*.*
 U:\*.*
 W:\*.*
 Y:\*.*
 Z:\*.*
 %ALLUSERSPROFILE%\Application Data\*.*
 %APPDATA%\*.*
 %SYSTEMDRIVE%\*.* /mp /s
 /md5start
 atapi.sys
 winlogon.exe
 explorer.exe
 beep.sys
 agp440.sys
 svchost.exe
 userinit.exe
 ntfs.sys
 /md5stop
 %systemroot%\system32\ws2_32.dll /md5
 %systemroot%\system32\kernel32.dll /md5
 %systemroot%\system32\user32.dll /md5
 %systemroot%\Tasks\*.* /lockedfiles

---

@Vadim
a znaczniki code także będą rozdzielały?

Kod:

---

[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall\Live Security Platinum]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

---

Jak widac nie, wiec mozesz smialo tak wklejac skrypty :)

Poprawiony log. Faktycznie zrobiłe 'wykonaj skrypt' zamiast skanuj ;d

http://www.wklej.org/id/916002/

wrzuć log tutaj, bo wklej.org mi nie działa http://www.nopaste.pl/

Cytuj:

---

dadag90 napisał

wrzuć log tutaj, bo wklej.org mi nie działa http://www.nopaste.pl/

---

Chyba jest za wielki bo wywala im serwer. To samo zrobiło z wklej.org xD

podziel na dwa ;-)

Cytuj:

---

dadag90 napisał

podziel na dwa ;-)

---

Wciąż za wielki ;d

Plik txt waży 7,65 mb xD

wyślij na jakis serwer. speedyshare albo coś podobnego i daj linka

http://www.speedyshare.com/6zeYN/log.txt

Już wiem dlaczego tak duży dałem za dużo gwiazdek :D

W OTL, w pole Własne opcje skanowania / skrypt wklej:

Kod:

---


:OTL
DRV - File not found [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\kptgse.sys -- (amsint32)
O32 - AutoRun File - [2013-01-06 00:00:50 | 000,000,350 | RHS- | M] () - C:\autorun.inf -- [ NTFS ]
O32 - AutoRun File - [2013-01-06 00:00:50 | 000,000,225 | RHS- | M] () - D:\autorun.inf -- [ NTFS ]

:Files
C:\WINDOWS\setupapi.old
C:\Documents and Settings\Granat 2\Ustawienia lokalne\Temp\*.exe
D:\*.pif
D:\autorun.inf
E:\AUTORUN.INF
E:\BOOTFONT.BIN
E:\README.HTM
E:\SETUP.EXE
E:\SETUPXP.HTM
E:\WIN51
E:\WIN51IP
E:\WIN51IP.SP3


:Reg
 [-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall\Live Security Platinum]
 [-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

:Commands
[emptytemp]

---

Kliknij Wykonaj skrypt i zatwierdź restart.
Pokaż raport z usuwania i nowy log z opcji Skanuj po wklejeniu w białe pole:

Kod:

---

netsvcs
 C:\*.*
 D:\*.*
 E:\*.*
 F:\*.*
 G:\*.*
 H:\*.*
 I:\*.*
 J:\*.*
 K:\*.*
 L:\*.*
 M:\*.*
 N:\*.*
 O:\*.*
 P:\*.*
 R:\*.*
 S:\*.*
 U:\*.*
 W:\*.*
 Y:\*.*
 Z:\*.*
 %ALLUSERSPROFILE%\Application Data\*.
 %APPDATA%\*.
 %SYSTEMDRIVE%\*. /mp /s
 /md5start
 atapi.sys
 winlogon.exe
 explorer.exe
 beep.sys
 agp440.sys
 svchost.exe
 userinit.exe
 ntfs.sys
 /md5stop

---

.

Masz infekcje na pendrivie (pamięci przenoścnej) zabezpiecz komputer, a później najlepiej sfrmatuj pamięci.
Otwórz Notatnik i wklej do niego:

Kod:

---

Windows Registry Editor Version 5.00

 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
 @="@SYS:DoesNotExist"

---

Z menu Notatnika >>> Plik >>> Zapisz jako >>> Ustaw rozszerzenie na Wszystkie pliki >>> Zapisz jako FIX.REG

Dwuklik na plik, zatwierdź import do rejestru, dla zatwierdzenia zmian zresetuj komputer.




Jakby to nie pomogło to zrób scan Combofixem i wrzuć loga. Ja idę spać, zobaczę jutro rano.

Log z usuwania

http://www.wklej.org/id/916026/

I ze skanowania

http://www.wklej.org/id/916031/

#edit

Edycja rejestru została wyłączona przez administratora ;d Nie mogę dodać tego fix.reg. No i menedżer zadań nie działa.

zrób scan Combofixem

Skan combofixem -

http://www.nopaste.pl/1i6b

Pomogło?

wklej do OTL

Kod:

---

:OTL

:Reg
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]
"DisableTaskMgr"= 0
"DisableRegistryTools"= 0
:Commands
[emptytemp]

---

Ciekaw jestem czy to zadziała.

Cytuj:

---

dadag90 napisał

Pomogło?

wklej do OTL

Ciekaw jestem czy to zadziała.

---

Żadnych zmian. Cały czas jest to samo.

Log - http://www.wklej.org/id/916109/

Wykonaj pełny skan http://www.dobreprogramy.pl/Dr.WEB-C...ows,12976.html wylecz co znajdzie

Cytuj:

---

dadag90 napisał

Wykonaj pełny skan http://www.dobreprogramy.pl/Dr.WEB-C...ows,12976.html wylecz co znajdzie

---

Interesujący fakt: nie jestem w stanie tego ściągnąć. W momencie kiedy dobiega końca ściąganie plik się zawiesza i nie rusza dalej. Nie może być po prostu zapisany na dysku z niewiadomych przyczyn. Ściągnąłem to korzystając z drugiego komputera - udało się ale wciąż nie mogę tego przenieść na stacjonarke. Ani po lanie, ani na pendrivie, ani na płycie. W żaden sposób nie da się tego przenieść na dysk. A uruchomić z płyty, pendrive'a czy po sieci też się nie da.

Cytuj:

---

Sedes napisał

Interesujący fakt: nie jestem w stanie tego ściągnąć. W momencie kiedy dobiega końca ściąganie plik się zawiesza i nie rusza dalej. Nie może być po prostu zapisany na dysku z niewiadomych przyczyn. Ściągnąłem to korzystając z drugiego komputera - udało się ale wciąż nie mogę tego przenieść na stacjonarke. Ani po lanie, ani na pendrivie, ani na płycie. W żaden sposób nie da się tego przenieść na dysk. A uruchomić z płyty, pendrive'a czy po sieci też się nie da.

---

Zmień nazwę pliku na

Cytuj:

---

iexplore.exe

---

+ zeskanuj tym http://www9.zippyshare.com/v/13512050/file.html (TDSSKiller).

Cytuj:

---

Belve napisał

Zmień nazwę pliku na + zeskanuj tym http://www9.zippyshare.com/v/13512050/file.html (TDSSKiller).

---

TDSSKiller usnął jakieś 3 zagrożenia ale to wszystko. Dr Web nawet po zmianie nazwy pliku nie daje się przekopiować na dysk. Menedżer zadań i edycja rejestru wciąż zablokowane.

Przeczyść Sdfix, pokaż log z GMER i TDSSKiller - instrukcje

Nie mogę odpalić SDfix wg instrukcji. Tryb awaryjny nie działa ;/

TDSSKiller
http://www.wklej.org/id/916493/

GMER Quick Scan
http://www.wklej.org/id/916488/

Kurcze kończą mi się pomysły. Przeskanuj kompa http://www.avg.com/pl-pl/avg-rescue-cd lub http://www.freedrweb.com/livecd/?lng=en

Przeskanuj system za pomocą HitmanPro + daj screen z tego co znalazł.
http://www.surfright.nl/en/downloads/

Dodatkowo pobierz Comodo Cleaning Essentials:
http://www.comodo.com/business-secur...essentials.php

Po wypakowaniu uruchom plik

Cytuj:

---

KillSwitch.exe

---

Wykonaj:

Cytuj:

---

Kliknij "View->Hide Safe Processes + Hide Safe Loaded Modules"
Następnie "Tools->Enable Boot Logging"

---

Na pytanie czy uruchomić ponownie system kliknij tak, po ponownym uruchomieniu systemu uruchomi się killswitch i zacznie analizować, więc daj mu chwilę czasu na przeanalizowanie wszystkiego ok. 5 min, po czym zrób screen z zakładki System i Loaded Modules.
PS. Jeżeli będzie dużo wyników "Safe" znaczy że musisz powtórzyć krok

Cytuj:

---

Kliknij "View->Hide Safe Processes + Hide Safe Loaded Modules"

---

Dodatkowo możesz jeszcze przeskanować system za pomocą CCE znajdującym się w tym samym folderze co killswitch.

Cytuj:

---

dadag90 napisał

Kurcze kończą mi się pomysły. Przeskanuj kompa http://www.avg.com/pl-pl/avg-rescue-cd lub http://www.freedrweb.com/livecd/?lng=en

---

Aktualnie odpaliłem to. System znalazł 1990 (trochę dużo) potencjalnych zagrożeń. Od godziny je naprawia/usuwa. Zostawiam sprzęt na noc. Może skończy do rana. Potem zobaczę co udało się osiągnąć.

Poddałeś się?

Cytuj:

---

dadag90 napisał

Poddałeś się?

---

Nie. Od już prawie 24h AVG usuwa te 1990 wirusów. Jeszcze nie skończył xD

#edit

Przerwałem po równo 24h. Usunął 896 wirusów/zagrożeń w 24h. Z 1990. Efekt tego działania - brak.

Nie żebym nie wierzył w naszych forumowych speców ale zawsze z takimi ciężkimi przypadkami udawałem się na pclab / elektrodę i tam też mi pomagali rozwiązać problem z pozytywnymi skutkami.

Ja nic nie wymyślę w OTL użyj sprzątanie i pousuwaj wszystkie stare logi.
Napisz tutaj Fixitpc.pl
Masz pewnie jakiegoś wirusa polimorficznego, a ja go nie umiem sklasyfikować.
Daj znać jak poszło.