Winfile - WTF.

Lencu OP · 18-10-2011 19:39

Witam. Ściągałem jakieś śmieszne pliki z neta i w jakimś folderze miałem inny folder który okazał się aplikacją (winfile.exe)
Teraz na każdej partycji mam ten plik + na usb pojawił mi się.

Pytania:
1. Co to jest ?
2. Jak się tego gówna pozbyć.
3. Z czego dawać logi i jak XD ?

Arakon Arke · 18-10-2011 19:41

Logi z hijackthis oraz OTL, możesz też przeskanować COMBO FIX'em ale podobno robi burdel w systemie? Ja tam skanuje combofixem i nic mi się nie dzieje.

**Vadim** · 18-10-2011 19:41

Byl to plik .exe ze zmieniona ikona na folder abys go odpalil. Zainfekowal Ci partycje i pamiec przenosna usb.
Daj log z OTL (w ustawieniach zaznacz 'wszyscy uzytkownicy', 'infekcje purity', 'infekcje lop', innych opcji nie zmieniaj).

Arakon Arke napisał

Cytat został ukryty, ponieważ ignorujesz tego użytkownika. Pokaż cytat.

Logi z hijackthis oraz OTL, możesz też przeskanować COMBO FIX'em ale podobno robi burdel w systemie? Ja tam skanuje combofixem i nic mi się nie dzieje.

Zanim napiszesz o Combofixie upewnij sie, ze ma 32bitowy system, bo jeszcze odpali na 64bitach i sie posypie.

Lencu OP · 18-10-2011 19:43

Obojętnie jaką wersje OTL zassam ? + było dokładnie jak mówisz, ikonka folderu.

//Mam 64 bitowy. Dlaczego miałby mi się system posypać o.O ?

Arakon Arke · 18-10-2011 19:45

Vadim napisał

Cytat został ukryty, ponieważ ignorujesz tego użytkownika. Pokaż cytat.

Zanim napiszesz o Combofixie upewnij sie, ze ma 32bitowy system, bo jeszcze odpali na 64bitach i sie posypie.

Toż to napisałem że (podobno) robi burdel w systemie.

@up

Najlepiej pobierz najnowszą

**Vadim** · 18-10-2011 19:45

Lencu napisał

Cytat został ukryty, ponieważ ignorujesz tego użytkownika. Pokaż cytat.

Obojętnie jaką wersje OTL zassam ? + było dokładnie jak mówisz, ikonka folderu.

//Mam 64 bitowy. Dlaczego miałby mi się system posypać o.O ?

Combofix dziala tylko na 32bitach.
OTL: http://www.dobreprogramy.pl/OTL,Prog...ows,19450.html

@Up
Burdel to robi na 32bitach (jak sie nie umie korzystac) ;d A na 64 odpalony moze calkiem uspic system ;]

Lencu OP · 18-10-2011 19:50

W jaki sposób ? Co on takiego robi ? o.O ?
Skanuje mi się OTL'em. Ostrzegam ,że log może Cie zdziwić :D

Nie wiedziałem gdzie wrzucić bo tutaj za dużo znaków więc :

http://www.przeklej.pl/plik/otl-txt-0033go0ce1dc
http://wklej.org/id/609968/

**Vadim** · 18-10-2011 20:22

Otworz OTL, na dole masz biale pole, wklej do niego to:

:OTL
PRC - [2013-11-24 18:24:54 | 000,053,765 | ---- | M] (gy) -- C:\Windows\Mstray.exe
MOD - [2011-10-18 15:28:25 | 000,154,112 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\wina mp.lng
MOD - [2011-10-18 15:28:25 | 000,087,040 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\vis_ avs.lng
MOD - [2011-10-18 15:28:25 | 000,055,808 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\vis_ avs_282.lng
MOD - [2011-10-18 15:28:25 | 000,020,480 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\vis_ milk2.lng
MOD - [2011-10-18 15:28:25 | 000,007,680 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\vis_ nsfs.lng
MOD - [2011-10-18 15:28:24 | 000,016,896 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\out_ ds.lng
MOD - [2011-10-18 15:28:24 | 000,008,704 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\pmp_ usb.lng
MOD - [2011-10-18 15:28:24 | 000,007,168 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\out_ wave.lng
MOD - [2011-10-18 15:28:24 | 000,006,144 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\tagz .lng
MOD - [2011-10-18 15:28:24 | 000,006,144 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\pmp_ ipod.lng
MOD - [2011-10-18 15:28:24 | 000,004,608 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\pmp_ activesync.lng
MOD - [2011-10-18 15:28:24 | 000,004,096 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\pmp_ p4s.lng
MOD - [2011-10-18 15:28:24 | 000,003,584 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\pmp_ njb.lng
MOD - [2011-10-18 15:28:24 | 000,002,560 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\play list.lng
MOD - [2011-10-18 15:28:23 | 000,039,424 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\ml_p mp.lng
MOD - [2011-10-18 15:28:23 | 000,013,312 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\ml_w ire.lng
MOD - [2011-10-18 15:28:23 | 000,009,216 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\ml_p lg.lng
MOD - [2011-10-18 15:28:23 | 000,007,680 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\ml_t ranscode.lng
MOD - [2011-10-18 15:28:23 | 000,006,144 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\out_ disk.lng
MOD - [2011-10-18 15:28:23 | 000,006,144 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\ml_r g.lng
MOD - [2011-10-18 15:28:22 | 000,050,176 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\ml_l ocal.lng
MOD - [2011-10-18 15:28:22 | 000,045,056 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\ml_d isc.lng
MOD - [2011-10-18 15:28:22 | 000,012,800 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\ml_p laylists.lng
MOD - [2011-10-18 15:28:22 | 000,007,680 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\ml_h istory.lng
MOD - [2011-10-18 15:28:22 | 000,005,120 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\ml_o nline.lng
MOD - [2011-10-18 15:28:22 | 000,004,096 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\ml_o rb.lng
MOD - [2011-10-18 15:28:22 | 000,004,096 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\ml_n owplaying.lng
MOD - [2011-10-18 15:28:21 | 000,014,848 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\in_w m.lng
MOD - [2011-10-18 15:28:21 | 000,006,656 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\ml_a utotag.lng
MOD - [2011-10-18 15:28:21 | 000,005,120 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\ml_b ookmarks.lng
MOD - [2011-10-18 15:28:21 | 000,004,608 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\ml_d ash.lng
MOD - [2011-10-18 15:28:21 | 000,004,096 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\in_w ave.lng
MOD - [2011-10-18 15:28:20 | 000,022,016 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\in_m p3.lng
MOD - [2011-10-18 15:28:20 | 000,010,752 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\in_n sv.lng
MOD - [2011-10-18 15:28:20 | 000,009,216 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\in_v orbis.lng
MOD - [2011-10-18 15:28:20 | 000,004,096 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\in_m p4.lng
MOD - [2011-10-18 15:28:19 | 000,019,968 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\in_m idi.lng
MOD - [2011-10-18 15:28:19 | 000,018,432 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\in_m od.lng
MOD - [2011-10-18 15:28:19 | 000,006,144 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\in_d show.lng
MOD - [2011-10-18 15:28:19 | 000,005,632 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\in_f lac.lng
MOD - [2011-10-18 15:28:19 | 000,003,584 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\in_l inein.lng
MOD - [2011-10-18 15:28:18 | 000,020,992 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\gen_ ff.lng
MOD - [2011-10-18 15:28:18 | 000,019,456 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\gen_ ml.lng
MOD - [2011-10-18 15:28:18 | 000,013,824 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\in_c dda.lng
MOD - [2011-10-18 15:28:18 | 000,011,264 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\gen_ hotkeys.lng
MOD - [2011-10-18 15:28:18 | 000,008,192 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\gen_ tray.lng
MOD - [2011-10-18 15:28:18 | 000,007,168 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\gen_ crasher.lng
MOD - [2011-10-18 15:28:14 | 000,012,800 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\dsp_ sps.lng
MOD - [2011-10-18 15:28:14 | 000,009,728 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\enc_ aacplus.lng
MOD - [2011-10-18 15:28:14 | 000,006,144 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\enc_ wma.lng
MOD - [2011-10-18 15:28:14 | 000,005,632 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\enc_ lame.lng
MOD - [2011-10-18 15:28:14 | 000,004,096 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\enc_ vorbis.lng
MOD - [2011-10-18 15:28:14 | 000,004,096 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\enc_ flac.lng
MOD - [2011-10-18 15:28:14 | 000,003,584 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\enc_ wav.lng
MOD - [2011-10-18 15:28:13 | 000,066,560 | ---- | M] () -- C:\Users\Lencu\AppData\Local\Temp\WLZ84C8.tmp\burn lib.lng
O2 - BHO: (SMTTB2009 Class) - {FCBCCB87-9224-4B8D-B117-F56D924BEB18} - C:\Program Files (x86)\Hyperionics DB Toolbar\tbcore3.dll File not found
O4:64bit: - HKLM..\Run: [Chew7Hale] C:\Windows\SysNative\hale.exe ()
O4 - HKLM..\Run: [RavTimeXP] C:\Windows\Mstray.exe (gy)
O4 - HKU\S-1-5-21-3400002234-3992691136-1256281378-1001..\Run: [KiesTrayAgent] File not found
O4 - HKU\S-1-5-19..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe File not found
O4 - HKU\S-1-5-20..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe File not found
O4 - HKU\S-1-5-21-3400002234-3992691136-1256281378-1004..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe File not found
O8:64bit: - Extra context menu item: E&ksportuj do programu Microsoft Excel - res://C:\PROGRA~2\MICROS~2\Office12\EXCEL.EXE/3000 File not found
O8 - Extra context menu item: E&ksportuj do programu Microsoft Excel - res://C:\PROGRA~2\MICROS~2\Office12\EXCEL.EXE/3000 File not found
[2011-10-16 09:10:01 | 000,053,765 | -H-- | C] (gy) -- C:\Users\Lencu\Lencu.exe
[2011-10-16 09:10:01 | 000,053,765 | ---- | C] (gy) -- C:\WINFILE.EXE
[2011-10-16 09:10:01 | 000,053,765 | ---- | C] (gy) -- C:\Windows\Mstray.exe

:Commands
[EMPTYTEMP]
[EMPTYFLASH]
[RESETHOSTS]

I kliknij 'wykonaj skrypt' i czekaj cierpliwie, az sie wykona.

Zainstaluj sobie jakogos antywirusa, np. Avasta.

Lencu OP · 18-10-2011 20:32

Poważny syf nie ?

http://wklej.org/id/610003/

Niestety nie mam twardego dysku (jeden mi się spalił a na drugiego nie mogę pieniędzy nazbierać) a chciałem już z 8 miesięcy temu formatować go i czyścić ale nie mam jak i jest to co jest... + pytanie osobne, skąd wiesz co usuwać w moim systemie, co jest źle i tak dalej ? Skąd wiesz po logu co jest nie tak ? Jak się tego nauczyć/gdzie.

**Vadim** · 18-10-2011 20:38

Lencu napisał

Cytat został ukryty, ponieważ ignorujesz tego użytkownika. Pokaż cytat.

Poważny syf nie ?

http://wklej.org/id/610003/

Niestety nie mam twardego dysku (jeden mi się spalił a na drugiego nie mogę pieniędzy nazbierać) a chciałem już z 8 miesięcy temu formatować go i czyścić ale nie mam jak i jest to co jest... + pytanie osobne, skąd wiesz co usuwać w moim systemie, co jest źle i tak dalej ? Skąd wiesz po logu co jest nie tak ? Jak się tego nauczyć/gdzie.

Czy powazny syf to nie wiem, okaze się czy nie wroci ;)
Co usunac to wiem ktore pliki nie naleza do windowsa, lub w otl nie pisze od jakiego wydawcy pochodza. W razie watpliwosci mozna uzyc google. Pozatym syfy jak biblioteki widac odrazu po dacie powstania. Tego sie nie nauczysz od tak ;d
I zainstaluj tego antywirusa to nie bedziesz takich gowien na przyszlosc lapal.

Czy problemy juz nie wystepuja?

Lencu OP · 18-10-2011 20:40

Nie, nie widzę pliku, wszystko gra. Boje się ,że jak podłącze drugi USB który był podpięty to znowu mi się pojawi :DD

**Vadim** · 18-10-2011 20:44

Lencu napisał

Cytat został ukryty, ponieważ ignorujesz tego użytkownika. Pokaż cytat.

Nie, nie widzę pliku, wszystko gra. Boje się ,że jak podłącze drugi USB który był podpięty to znowu mi się pojawi :DD

Zainstaluj Avasta, odrazu powinien zablokowac. Syf nie wyglada na nowoczesny. Ja czesto jak pozyczam znajomym pendrive to wraca do mnie z 'niespodzianka' i Avast odrazu blokuje i usuwa.

Ps. w opcjach plikow odznacz opcje "ukryj rozszerzenia znanych typow plikow" to nie otworzysz w przyszlosci folderu *.exe

**Don Corleone** · 18-10-2011 20:46

Lencu napisał

Cytat został ukryty, ponieważ ignorujesz tego użytkownika. Pokaż cytat.

Poważny syf nie ?

http://wklej.org/id/610003/

Niestety nie mam twardego dysku (jeden mi się spalił a na drugiego nie mogę pieniędzy nazbierać) a chciałem już z 8 miesięcy temu formatować go i czyścić ale nie mam jak i jest to co jest... + pytanie osobne, skąd wiesz co usuwać w moim systemie, co jest źle i tak dalej ? Skąd wiesz po logu co jest nie tak ? Jak się tego nauczyć/gdzie.

Ja często jak widzę dziwny proces, to zaglądam na google, wpisując jego nazwę. Sam też usuwam niepożądane aplikacje poprzez start>uruchom>msconfig i odznaczam jeśli jest oraz start>uruchom>regedit i znajdujesz "HKEY_CURRENT_USER\Software\Microsoft\Windows\Curr entVersion\Run" oraz "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Cur rentVersion\Run" i usuwasz ręcznie przez "delete", ten proces który wydaje Ci się podejrzany.

Dodatkowo może Ci pomóc ten temat (pierwszy z brzegu z googli)
http://peb.pl/logi-do-sprawdzenia/46...nfile-exe.html

Nights · 18-10-2011 20:53

Vadim, chciałbym Cię poinformować, że nie możesz usuwać wszystkich "plików" z napisem "not found". Aż się slina na język ciśniew, jak na czuja mu to usuwasz, nosz... Niektóre takie pliki wymagają naprawy, a nie usuwania. Chciałbym też dopisać, że jeśli nie pisze wydawcy to nie znaczy, że wirus.

Pozatym syfy jak biblioteki widac odrazu po dacie powstania.

Przeanalizuj co napisałeś, proszę.

Co do ComboFixa... ludzie, jest to program o bardzo mocnej sile rażenia. Bez sprawdzenia logów i osoby nadzorującej nie powinno się go używać. Na pewno nie można go stosować jako codzienny skaner, bo może być nieciekawie. Najlepszym ostrzeżeniem powinno być to, że sam autor przestrzega przed jego używaniem i nie twierdzi, że jest bezpieczny, wręcz przeciwnie.

Nie, nie jestem jakimś doświadczonym w tych sprawach, jednak wiem, czego nie należy robić. Dodam też, że nieraz logi z OTL nie wystarczą (więcej.. logi z OTL na pewno nie wystarczą).

Jak się tego nauczyć/gdzie.

Tego się nie da nauczyć. Wszystko opiera się na dość szerokim aspekcie wiedzy (budowa systemu, rejestru itp. itd.). Przykłądowo ktoś, kto nie używał Windows 7 nie może pomagać użytkownikowi, który podsyła logi z tego SO. I tak dalej i tak dalej...

Ze swojej strony mogę skierować użytkownika na stronę fixitpc.pl. Zapewniam, że komputer odżyje. Nie, to nie jest reklama tylko pomoc autorowi tematu.

#up
Za Twój post mógłbym postawić Ci piwo xd

**Vadim** · 18-10-2011 21:01

Nights napisał

Cytat został ukryty, ponieważ ignorujesz tego użytkownika. Pokaż cytat.

Vadim, chciałbym Cię poinformować, że nie możesz usuwać wszystkich "plików" z napisem "not found". Aż się slina na język ciśniew, jak na czuja mu to usuwasz, nosz... Niektóre takie pliki wymagają naprawy, a nie usuwania. Chciałbym też dopisać, że jeśli nie pisze wydawcy to nie znaczy, że wirus.

Przeanalizuj co napisałeś, proszę.

Co do ComboFixa... ludzie, jest to program o bardzo mocnej sile rażenia. Bez sprawdzenia logów i osoby nadzorującej nie powinno się go używać. Na pewno nie można go stosować jako codzienny skaner, bo może być nieciekawie. Najlepszym ostrzeżeniem powinno być to, że sam autor przestrzega przed jego używaniem i nie twierdzi, że jest bezpieczny, wręcz przeciwnie.

Nie, nie jestem jakimś doświadczonym w tych sprawach, jednak wiem, czego nie należy robić. Dodam też, że nieraz logi z OTL nie wystarczą (więcej.. logi z OTL na pewno nie wystarczą).

Tego się nie da nauczyć. Wszystko opiera się na dość szerokim aspekcie wiedzy (budowa systemu, rejestru itp. itd.). Przykłądowo ktoś, kto nie używał Windows 7 nie może pomagać użytkownikowi, który podsyła logi z tego SO. I tak dalej i tak dalej...

Ze swojej strony mogę skierować użytkownika na stronę fixitpc.pl. Zapewniam, że komputer odżyje. Nie, to nie jest reklama tylko pomoc autorowi tematu.

#up
Za Twój post mógłbym postawić Ci piwo xd

Nie usunelem wszystkich plikow z napisam not found, bylo jeszcze pare ktorych nie znalem.
Co do wydawcy to oczywiscie, ze nie mowie, ze takie cos odrazu trzeba usuwac. Uzywam google lub z widzenia znam juz te pliki.
Co do bibliotek to mialem na mysli, te ktore powstaly podczas infekcji (zreszta wpisz sobie w google te wszystkie .lng co mu kazalem usunac;))

No i po co te zarzuty "mojej niewiedzy" skoro od dawna pomagam tu wszystkim z logami? ;)

Temat: Winfile - WTF.

Narzędzia tematu

Oceń ten temat

Winfile - WTF.

Informacje o temacie

Użytkownicy przeglądający temat

Podobne tematy

Wtf? Bug?

wtf kolejne bany? 0.o

wtf?

Zakładki

Zakładki

Zasady postowania