SOND folder ?! Virus ?![РЕШЕН]

20 юни 201016 г.

Колеги,

От скоро почна да ми се появява една странна папка по флашките (дори днеска на фотоапарата на СД картата)

Има autorun.inf

Също така папка SOND

Google.com нищо не знае по въпроса,

ВИЕ ?

Мисля, че е някъв вирус, но не мога да преценя ?!

20 юни 201016 г.

вирус е определено - а кой файл зарежда от autorun.inf може да се види с notepad... както и да е има си отделна тема за чистене на вируси - първо си чистиш компа според инструккциите, после и флашките...

аз мойта флашка съм я имунизирал като съм създал папка autorun.inf и в нея съм копнал едно текстово файлче (просто да не стои празна)

Редактирано 20 юни 201016 г. от the professor (преглед на промените)

1

20 юни 201016 г.

Много работи казва чичо Гошо

http://www.google.bg/webhp?hl=bg&fp=1#hl=bg&source=hp&q=autorun.inf+virus&aq=1&aqi=g10&aql=&oq=autorun.inf&gs_rfai=&fp=95d449691e519f16

ето и видео

НО аз ти препоръчвам да изпълниш всичко в тази тема

http://www.kaldata.c...howtopic=132819

Успехи !

Редактирано 20 юни 201016 г. от Hanibal_Lektar (преглед на промените)

1

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

20 юни 201016 г.

Добър вечер!Всичко е възможно...но ''наизуст'' в този раздел не се говори: Системата ми е инфектирана - Какво да правя сега? :blink:

4

21 юни 201016 г.

Автор

Това реклама на ESET NOD32 ли беше ?! :rolleyes: )))))))))

Мерси за линковете :yanim:

@the professor : Я кажи пак как си "имунизирал" флашката си ?!

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

21 юни 201016 г.

Аз мисля че въобще не е тук мястото да ви обясняват...Ако имате проблем кажете..?Този раздел си има правила и те трябва да се спазват..!

21 юни 201016 г.

Автор

Добре де, спокойно :rolleyes: Пошегувах се!

След малкощ е пусна репортите от програмите... Тази Malwarebytes доста време сканира, вече половин час.......

Malwarebytes' Anti-Malware 1.46

www.malwarebytes.org

Database version: 4221

Windows 5.1.2600 Service Pack 2

Internet Explorer 6.0.2900.2180

6/21/2010 11:57:42 PM

mbam-log-2010-06-21 (23-57-42).txt

Scan type: Full scan (C:\|D:\|)

Objects scanned: 260753

Time elapsed: 37 minute(s), 29 second(s)

Memory Processes Infected: 0

Memory Modules Infected: 1

Registry Keys Infected: 1

Registry Values Infected: 0

Registry Data Items Infected: 0

Folders Infected: 0

Files Infected: 1

Memory Processes Infected:

(No malicious items detected)

Memory Modules Infected:

c:\WINDOWS\system32\termsrv.dll (Trojan.Downloader) -> Delete on reboot.

Registry Keys Infected:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\termservice (Trojan.Downloader) -> Quarantined and deleted successfully.

Registry Values Infected:

(No malicious items detected)

Registry Data Items Infected:

(No malicious items detected)

Folders Infected:

(No malicious items detected)

Files Infected:

C:\WINDOWS\system32\termsrv.dll (Trojan.Downloader) -> Delete on reboot.

ОТ HIJACKTHIS:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 12:04:20 AM, on 6/22/2010

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Common Files\LightScribe\LSSrvc.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\RTHDCPL.EXE

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Program Files\Unlocker\UnlockerAssistant.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe

C:\FRAPS\FRAPS.EXE

C:\Program Files\Sitecom\Sitecom Wireless Network USB Adapter Turbo G WL-172\Installer\WLANUTL.EXE

C:\Program Files\Mozilla Firefox\firefox.exe

C:\WINDOWS\System32\svchost.exe

C:\New Folder\kaldata.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ask.com/?o=14656&l=dis

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [unlockerAssistant] "C:\Program Files\Unlocker\UnlockerAssistant.exe"

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [bgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe"

O4 - HKCU\..\Run: [Fraps] C:\FRAPS\FRAPS.EXE

O4 - Global Startup: Sitecom Wireless Utility.lnk = C:\Program Files\Sitecom\Sitecom Wireless Network USB Adapter Turbo G WL-172\Installer\WLANUTL.EXE

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe

O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: SiSoftware Deployment Agent Service (SandraAgentSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Professional Business 2009.SP2\RpcAgentSrv.exe

O23 - Service: Start BT in service - Unknown owner - C:\Program Files\IVT Corporation\BlueSoleil\StartSkysolSvc.exe

--

End of file - 2953 bytes

http://prikachi.com/images/848/2250848B.jpg

Тези да ги маркирам и да ги трия или какво ?

Редактирано 21 юни 201016 г. от Shnureaga (преглед на промените)

21 юни 201016 г.

Автор

Изчистих една флашка със споменатия метод под Safe Mode (attrib -s -h -r), файловете ги нямаше, докато не дадох Safe Remove Hardware, след което се появиха пак !!

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

22 юни 201016 г.

Тези да ги маркирам и да ги трия или какво ?

Категорично не. :rolleyes: .!

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

22 юни 201016 г.

Ще ми са необходими логове от сканирането с: Логовете изгответе с включена флашка(заразената)

1.Изтеглете програмата AVZ и разархивирайте avz4.zip например в папка (c:\antivir).

- стартирате AVZ и обновявате базата с данни (в меню AVZ: Файл - Обновление баз - Пуск):

2.Затворете всички програми,временно изключете антивирусната си програма,защитната стена и друг защитен софтуер (ако имате такъв),оставете запуснат само Internet Explorer.

- докато трае сканирането и формирането на логовете изключете си интернета.

3.Стартирате AVZ,(в ОС Windows Vista стартирате с десен бутон на мишката от името на администратор),избираме от Меню - Файл - Стандартные скрипты:

... поставете отметка на 3-ти скрипт и натискаме "Выполнить отмеченные скрипты".В резултат на изпълнение на скрипта в папката AVZ\LOG ще се създаде архив virusinfo_syscure.zip.:

Внимание:След изпълнение на скрипта рестартирайте компютъра си!

4.Стартирате AVZ,(в ОС Windows Vista стартирате с десен бутон на мишката от името на администратор),избираме от Меню - Файл - Стандартные скрипты и поставете отметка на 2-ри скрипт,натискаме "Выполнить отмеченные скрипты".В резултат на изпълнение на скрипта в папката AVZ\LOG ще се създаде архив virusinfo_syscheck.zip.:

5.Затворете AVZ.Включете си антивирусната програма,защитната стена и интернета.Към темата прикачете:

- virusinfo_syscure.zip

- virusinfo_syscheck.zip

Внимание!!!

Не бъркайте архива virusinfo_syscure.zip с virusinfo_cure.zip (втория за сега не ни е нужен)
Ако AVZ не се стартира преименувайте файла avz.exe в 123.com (123.pif или 123.cmd)

----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

За да направите програмата на руски език:

направете shortcut на иконката на програмата (от инсталационната папка на десктопа си)

десен бутон на иконката ==>properties ==>таб shortcut

ще видите този прозорец - направете посочените корекции:

22 юни 201016 г.

Автор

<?xml version="1.0" encoding="windows-1251" ?>

- <!-- AVZ XML Report

-->

- <AVZ Version="4.32" LogDate="6/23/2010 1:10:05 AM" WinDir="C:\WINDOWS\" ProfileDir="C:\Documents and Settings\Lukavia" IsWow64="False" CompHash="6424259B806D8DF87199714CD39C5A4E">

- <PROCESS>

</PROCESS>

- <DLL>

</DLL>

- <KERNELOBJ>

</KERNELOBJ>

- <Service>

</Service>

- <Drivers>

</Drivers>

- <AUTORUN>

</AUTORUN>

- <BHO>

</BHO>

- <ExplorerExt>

</ExplorerExt>

- <SPI>

</SPI>

<DPF />

<CPL />

- <HOSTS>

</HOSTS>

- <SuspFiles>

</SuspFiles>

- <RK_KM>

</RK_KM>

- <RK_IRP>

</RK_IRP>

- <WIZARD-TSW>

</WIZARD-TSW>

</AVZ>

<?xml version="1.0" encoding="windows-1251" ?>

- <!-- AVZ XML Report

-->

- <AVZ Version="4.32" LogDate="6/23/2010 1:16:05 AM" WinDir="C:\WINDOWS\" ProfileDir="C:\Documents and Settings\Lukavia" IsWow64="False" CompHash="6424259B806D8DF87199714CD39C5A4E">

- <PROCESS>

</PROCESS>

- <DLL>

</DLL>

- <KERNELOBJ>

</KERNELOBJ>

- <Service>

</Service>

- <Drivers>

</Drivers>

- <AUTORUN>

</AUTORUN>

- <BHO>

</BHO>

- <ExplorerExt>

</ExplorerExt>

- <SPI>

</SPI>

<DPF />

<CPL />

- <HOSTS>

</HOSTS>

- <SuspFiles>

</SuspFiles>

- <RK_KM>

</RK_KM>

- <RK_IRP>

</RK_IRP>

- <WIZARD-TSW>

</WIZARD-TSW>

</AVZ>

ROGER THAT !!

Всичко изпълнено стъпка по стъпка !!!

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

23 юни 201016 г.

Всичко изпълнено стъпка по стъпка !!!

Ами.... стъпка по стъпаТова което сте копирали не е вярно..!

поставете отметка на 3-ти скрипт и натискаме "Выполнить отмеченные скрипты".В резултат на изпълнение на скрипта в папката AVZ (там където сте я запомнили) в нея има подпапка LOG - в нея ще се създаде архив virusinfo_syscure.zip.:

Аналогично и за :

поставете отметка на 2-ри скрипт,натискаме "Выполнить отмеченные скрипты".В резултат на изпълнение на скрипта в папката AVZ\LOG ще се създаде архив virusinfo_syscheck.zip.:

Прикачете към поста си:

- virusinfo_syscure.zip

- virusinfo_syscheck.zip

Ето ви един пример от друга тема:

http://www.kaldata.c...dpost&p=1726946

1

23 юни 201016 г.

Автор

Колега, бях отговорил коректно на предишните "изисквания", но ето пак ще го сторя:

http://www.bgshare.com/461231/virusinfo_syscheck.zip

http://www.bgshare.com/461232/virusinfo_syscure.zip

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

24 юни 201016 г.

Извинете но вие за какъв ме вземате...Бъзикаш ли се с мен...Поради несериозното Ви отношение....затварям темата!

24 юни 201016 г.

Автор

Така ли трябва да го направя ?

mbam-log-2010-06-21 (23-57-42).txt

virusinfo_syscure.zip

virusinfo_syscheck.zip

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

25 юни 201016 г.

Продължаваме (по логовете виждам признаци на Kido или TDSS)..за целта:

Изтеглете Gmer или от тук.

Временно спрете Интернета си,всички работещи програми,както и антивирусната си програма.
Стартирате програмата.
След завършването на автомаичната експрес-проверка,маркирайте всички устройства : C:, D: и пр. и натиснете бутон Scan.
Изчакайте програмата да завърши сканирането,след което натиснете бутона Save и запишете (save as) резултатите на десктопа с име Gmer.log.
Включете Интернета си и прикачете Gmer.log в следващия си коментар.

Забележка:

Ако бъде открит Rootkit, ще последва въпрос дали желаете пълно сканиране на системата. Изберете NO.
Не предприемайте никакви действия върху редовете маркирани с "<--- ROOТKIT" ,защото това може да доведе до грешки.
В десния панел на програмата ще видите какво е ще се провери от програмата, не променяйте нищо. Убедете се, че на Show All няма отметка.

26 юни 201016 г.

Автор

Опитвам се да кача ЛОГ-а

Грешка Не можете да качвате такъв тип файл

26 юни 201016 г.

Опитвам се да кача ЛОГ-а

Грешка Не можете да качвате такъв тип файл

Може да го архивираш в ZIP, за да го прикачиш или направо да пуснеш съдържанието на лог файла в следващия си коментар.

28 юни 201016 г.

Автор

Може да го архивираш в ZIP, за да го прикачиш или направо да пуснеш съдържанието на лог файла в следващия си коментар.

Леле и .RAR ли не приема братче........

gmer.zip

28 юни 201016 г.

Да, само ZIP. Между другото имаш доста сериозен проблем. Колегата icotonev ще продължи.

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

29 юни 201016 г.

Здравейте!

Запазете текста в карето във файл cleanup.bat и го поставете там където се намира gmer.exe


gmer.exe -del service tdplauh

gmer.exe -del service wkcutyjhd

gmer.exe -del file "C:\Program Files\Internet Explorer\yxlmb.dll"

gmer.exe -del file "C:\WINDOWS\system32\yxlmb.dll"

gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\wkcutyjhd"

gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\tdplauh"

gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\wkcutyjhd"

gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\tdplauh"

gmer.exe -reboot

Стартирате с двоен клик съхранения пакетен файл cleanup.bat.

Внимание!!! Компютъра ви ще се рестартира!!!

Изгответе нов лог с Gmer (съгласно инструкцията в пост # 16)

1

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

29 юни 201016 г.

Изтеглете Quick Killer 2.25 .Разархивирате и стартирате QuickKiller.exe.

1.Маркирайте бутона KidoKiller

2.Отметнете ''Създай лог 'report.txt'.''

3.Отметнете ''Премахване на остатъци,които остават след заразяване с вирус''

4.Отметнете ''При приключване игнорирай командата за натискане на клавиш по избор''

5.Натиснете бутона ''Изпълни''

След завърщване на сканирането в папката от която е стартиран QuickKiller ще се генерира report-[Kido].txt . Прикрепете го в следващия си пост.

Продължаваме аналогично с TDSSKiller

1.Маркирайте бутона TDSSKiller

2.Отметнете ''Създай лог 'report.txt'.''

3.Натиснете бутона ''Изпълни''

След завършване на сканирането в папката от която е стартиран QuickKiller ще се генерира report-[TDSS].txt . Прикрепете го в следващия си пост.

1

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

29 юни 201016 г.

Ще ви помоля да подготвите нови логове :АВЗ+Джак+MBAM..!

+

Такъв лог:

Изтеглете RSIT илиот тук. Стартирате програмата, избирате проверка на файловете за последние три месеца и натискате продължи. Ще се генерират два отчета log.txt и info.txt. Прикрепете ги в следващото си съобщение.Логовете по подразбиране се съхраняват в папка (RSIT) в директорията на системния ви диск

29 юни 201016 г.

Автор

Изтеглете Quick Killer 2.25 .Разархивирате и стартирате QuickKiller.exe.

1.Маркирайте бутона KidoKiller

2.Отметнете ''Създай лог 'report.txt'.''

3.Отметнете ''Премахване на остатъци,които остават след заразяване с вирус''

4.Отметнете ''При приключване игнорирай командата за натискане на клавиш по избор''

5.Натиснете бутона ''Изпълни''

След завърщване на сканирането в папката от която е стартиран QuickKiller ще се генерира report-[Kido].txt . Прикрепете го в следващия си пост.

Продължаваме аналогично с TDSSKiller

1.Маркирайте бутона TDSSKiller

2.Отметнете ''Създай лог 'report.txt'.''

3.Натиснете бутона ''Изпълни''

След завършване на сканирането в папката от която е стартиран QuickKiller ще се генерира report-[TDSS].txt . Прикрепете го в следващия си пост.

Създадения .bat файл ми дава грешки, ще се видят на принт скрийна:

http://prikachi.com/images/85/2279085t.jpg

След сканиране с Quick Killer не ми създава логове в папката на стартиране. По харда също няма. Прикачвам и лога от gmer.

Ще ви помоля да подготвите нови логове :АВЗ+Джак+MBAM..!

Това не го разбрах.

Прикачвам логове info.zip и log.zip

ПС: 4.Отметнете ''При приключване игнорирай командата за натискане на клавиш по избор''

Такава отметка нямам...

gmer2.zip

info.zip

log.zip

Редактирано 29 юни 201016 г. от Shnureaga (преглед на промените)

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

30 юни 201016 г.

1.Активни рооткит в системата ви не виждам!

2.Обаче в системата ви виждам остатъци от ComboFix..!!!!

Правилната деинсталация е тази и задължителна:

Натиснете Start ==> Run ==> въведете командата Combofix /Uninstall ==> OK

Изтеглете OTCleanIt или от тук,стартирайте и натиснете Clean up

3.

Това не го разбрах.

Имах впредвид да направите ново сканиране с програмата АВЗ....(пост # 10)....Наложащо е за да видим решили ли сме проблема!!! :yanim:

Добре дошли!

SOND folder ?! Virus ?![РЕШЕН]

Featured Replies

Регистрирайте се или влезете в профила си за да коментирате

Разглеждащи това в момента 0

Дарение

Бюлетин

Профил

Навигация

Търсене

Конфигуриране на push известия в браузъра

Chrome (Android)

Chrome (Desktop)

Safari (iOS 16.4+)

Safari (macOS)

Edge (Android)

Edge (Desktop)

Firefox (Android)

Firefox (Desktop)