Rootkit- co robic?

[pharaun12 14]

Witam. Dzisiaj rano po włączeniu kompa ujrzałem niemiłą informację, że mam rootkita. Bałem sie go usunąć, więc postanowiłem przeniesc go do kwarantanny (uzywam avasta), ale nie dało się. Pomyślałem, że ściągne jakis program do skutecznego pozbycia się wirusa, ale nic z tego bo nie moge odpalić instalki, zresztą żadnych innych programów też, ponieważ do każdej aplikacji którą chce włączyć wyskakuje okienko "otwórz za pomocą" i tam jest ta lista. Myśle ze wiecie o co chodzi. Co do avasta i innych programów to nie ma problemu, po prostu wybieram avast.exe i sie odpala, ale nie wiem jak odpalić instalke programu do zwalczanie rootkitów. Avast znalazł mi tego rootkita w c/widnows/system32/drivers no i jest tam ten plik jasxrhnr.sys. czy moge go zwyczajnie usunąć czy lepiej nie ryzykować i spróbować reinstalla systemu?

Edit/ Próbowałem odpalić jakąś grę, no i standardowo wybieram konkretny plik .exe z listy "otwórz za pomocą" ale zawsze pisze, że brakuje jakiegoś pliku w c:/documents and settings ;/

[Barbarian_pol 2]

czy moge go zwyczajnie usunąć czy lepiej nie ryzykować

Czym ryzykujesz? Spróbuj go usunąć, co Ci szkodzi. Jeżeli się nie uda, podepnij jako drugi dysk slave do innego komputera, i wtedy usuń.

Przy okazji przemiel ten dysk wszystkimi programami anty- jakie masz na tym drugim komputerze.

Najlepiej zrobić image partycji systemowej (ghost) świeżo po instalacji systemu i w razie problemów przywrócić ten obraz.. przezorny zawsze ubezpieczony

[Qbek84 0]

Może spróbuj go zwalczyć jakimś antywirem live-cd. Np. Avira AntiVir Rescue System - ściągasz, wypalasz na CD i uruchamiasz później kompa z tej płyty.

 

PS. Jak wpiszesz w google: "antywirus live cd" to pierwszy link zaprowadzi cię do strony gdzie jest spis większej ilości takich programów.

[pharaun12 14]

Spróbowałem usunąć, ale wyskakuje błąd: Nie można usunąć jasxrhnr. Nie można odczytać z pliku lub dysku źródłowego

[tehawanka 0]

Pobierz i uruchom OTL

Do okna Custom Scans/Fixes wklej:

netsvcs
%systemdrive%\*.*

Zaznacz opcje Scan All Users, LOP Check, Purity Check i kliknij Run Scan

Log umieść tutaj i podaj link.

Dodatkowo log z Gmer (Download EXE)

[pharaun12 14]

Pobierz i uruchom OTL

Do okna Custom Scans/Fixes wklej:

netsvcs
%systemdrive%\*.*

Zaznacz opcje Scan All Users, LOP Check, Purity Check i kliknij Run Scan

Log umieść tutaj i podaj link.

Dodatkowo log z Gmer (Download EXE)

Ale jak odpalić instalke z tego OTL? Wyskakuje znowu te okienko "otwórz za pomocą"

[tehawanka 0]

Nie cytuj posta znajdującego się bezpośrednio nad odpowiedzią.

Nie widzę informacji o nazwie systemu jakiego używasz.

[pharaun12 14]

Sorry, mam windowsa XP

[tehawanka 0]

Pobierz i uruchom exefix_xp.com, a później szybko spróbuj utworzyć log.

Pokaż dwa logi: OTL.txt i Extras.txt.

[pharaun12 14]

OTL.txt http://wklej.org/id/300519/

Extras.txt http://wklej.org/id/300521/

[tehawanka 0]

Pobierz i uruchom The Avenger

Do okna programu wklej:

Files to delete:
C:\WINDOWS\system32\config\systemprofile\wuaucldt.exe
C:\Documents and Settings\Mgr Inz Adik\Menu Start\Programy\Autostart\syspck32.exe
C:\Documents and Settings\All Users\Dane aplikacji\ave.exe
C:\Documents and Settings\Mgr Inz Adik\Ustawienia lokalne\Dane aplikacji\vma.exe
C:\Documents and Settings\Mgr Inz Adik\Ustawienia lokalne\Dane aplikacji\MSASCui.exe
C:\Documents and Settings\Mgr Inz Adik\Ustawienia lokalne\Dane aplikacji\48531I0
C:\Documents and Settings\Mgr Inz Adik\Ustawienia lokalne\Dane aplikacji\av.exe
C:\Documents and Settings\Mgr Inz Adik\Ustawienia lokalne\Dane aplikacji\ave.exe
C:\WINDOWS\System32\wuaucldt.exe
C:\Documents and Settings\NetworkService\Dane aplikacji\jasltw.dat
C:\WINDOWS\System32\drivers\jasxrhnr.sys
C:\Documents and Settings\Mgr Inz Adik\Dane aplikacji\avdrn.dat

Folders to delete:
C:\Documents and Settings\Mgr Inz Adik\Ustawienia lokalne\Dane aplikacji\48531I0
C:\Documents and Settings\All Users\Dane aplikacji\48531I0

Registry values to delete:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run | Regedit32
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run | syncman
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run | StormCodec_Helper
HKU\S-1-5-21-789336058-1454471165-725345543-1004Software\Microsoft\Windows\CurrentVersion\Run | syncman

Drivers to delete:
jasxrhnr

Kliknij w Execute i zatwierdź restart.

Pokaż raport z usuwania i nowy log Run Scan.

[pharaun12 14]

raport http://wklej.org/id/300555/

Wszystko działa. Aplikacje uruchamiają sie normalnie, gry też. Stary, nie wiem kim jesteś ale wielkie dzięki i niech Bóg będzie z Tobą

[tehawanka 0]

Uruchom OTL i kliknij Run Scan.

Pokaż nowy log, bo nie wszystko zostało usunięte.

Dysk przeskanuj Malwarebytes' Anti-Malware

[pharaun12 14]

LOG : http://wklej.org/id/300575/

[tehawanka 0]

Do okna Custom Scans/Fixes wklej:

:OTL
O3 - HKLM\..\Toolbar: (DAEMON Tools Toolbar) - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll File not found
O3 - HKLM\..\Toolbar: (no name) - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - No CLSID value found.
O3 - HKU\S-1-5-21-789336058-1454471165-725345543-1004\..\Toolbar\WebBrowser: (DAEMON Tools Toolbar) - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll File not found
O4 - HKU\S-1-5-21-789336058-1454471165-725345543-1004..\Run: [syncman] C:\WINDOWS\System32\config\systemprofile\wuaucldt.exe File not found
O37 - HKU\S-1-5-21-789336058-1454471165-725345543-1004\...exe [@ = exefile] -- Reg Error: Key error. File not found

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]


:Files
C:\Documents and Settings\Mgr Inz Adik\Ustawienia lokalne\Dane aplikacji\ave.exe
C:\Documents and Settings\Mgr Inz Adik\Ustawienia lokalne\Dane aplikacji\48531I0
C:\Documents and Settings\All Users\Dane aplikacji\48531I0

:Commands
[emptytemp]

Kliknij Run Fix i zatwierdź restart.

Pokaż nowy log Run Scan.

[pharaun12 14]

http://wklej.org/id/300647/

[tehawanka 0]

Log wygląda OK.

Uruchom OTL i kliknij CleanUp.

Wyłącz na chwilę przywracanie systemu (punkt 19) - Klik

Zabezpiecz się przed infekcją z pendrive:

- użyj Flash Disinfector

- zainstaluj poprawkę KB971029

[pharaun12 14]

ok, dzieki za wszystko jeszcze raz