Хм, редовно си сканирам системата с Malwarebytes и днес откри 4 infected files - Worm.Autorun нямам си идея от къде са дошли може ли да ми каже някои какво правят тези Worm.Autorun

Привет, The Man Of Steel!

Ще може ли да изпълните стъпки 3 (*бързо сканиране) и 4 от тази тема?

P.S. Обърнете внимание на правилата на този раздел.

Ето логовете mbam-log-2010-09-03 (11-34-41).txt DDS.txt Attach.txt

Редактирано 4 септември 201016 г. от The Man Of Steel (преглед на промените)

Ето какво следва:

Стъпка 1

Следвайте следната инструкция за работа с Security Check:

• Изтеглете Security Check (автор: screen317) от тук или от тук и го запишете на десктопа.
• Кликнете два пъти върху SecurityCheck.exe и следвайте инструкциите.
• Когато програмата завърши работата си, ще се отвори един текстов документ: checkup.txt.
• Копирайте съдържанието с Копирай (Copy) на checkup.txt и с Постави (Paste) го поставете в следващия си коментар.

Стъпка 2

Следвайте следната инструкция за работа с RKUnHooker:

• Изтеглете този файл на десктопа.
• Стартирайте RKUnhookerLE.exe, отидете на Report и маркирайте Drivers, Stealth Code, Files и Code Hooks. Демаркирайте останалите и натиснете ОК. Снимка:

  

• Изчакайте програмата да завърши работа. След това кликнете на File, после Save Report. Запазете (Save as) файла с име report.txt на десктопа. Прикачете го в следващия си коментар (погледнете опцията "прикачени файлове", когато публикувате мнение).

Тези фйалове от репорт.тхт защо са hidden checkup.txt Report.txt

Ще оправим скритите файлове. Сега:

Следвайте следната инструкция за работа с OTL:

• Изтеглете OTL.exe и го запазете на десктопа.
• Стартирайте файла с двукратен клик на мишката.
• Направете следните настройки:

• Под "Custom Scans/Fixes" с Copy/ Paste въведете изцяло следната информация от цитата по-долу (без думата Цитат):

netsvcs

msconfig

safebootminimal

safebootnetwork

activex

drivers32

%SYSTEMDRIVE%\*.exe

%systemroot%\*. /mp /s

%ALLUSERSPROFILE%\Application Data\*.

%ALLUSERSPROFILE%\Application Data\*.exe /s

%APPDATA%\*.

%APPDATA%\*.exe /s

/md5start

eventlog.dll

scecli.dll

netlogon.dll

cngaudit.dll

sceclt.dll

ntelogon.dll

logevent.dll

iaStor.sys

nvstor.sys

atapi.sys

beep.sys

IdeChnDr.sys

viasraid.sys

AGP440.sys

vaxscsi.sys

nvatabus.sys

viamraid.sys

nvata.sys

nvgts.sys

iastorv.sys

ViPrt.sys

eNetHook.dll

ahcix86.sys

ahcix86s.sys

KR10N.sys

nvstor32.sys

nvrd32.sys

explorer.exe

svchost.exe

userinit.exe

symmpi.sys

qmgr.dll

ws2_32.dll

proquota.exe

imm32.dll

kernel32.dll

ndis.sys

autochk.exe

spoolsv.exe

xmlprov.dll

ntmssvc.dll

mswsock.dll

ntfs.sys

tcpip.sys

termsrv.dll

sfcfiles.dll

st3shark.sys

srsvc.dll

adp3132.sys

mv61xx.sys

/md5stop

CREATERESTOREPOINT

%systemroot%\system32\*.dll /lockedfiles

%systemroot%\Tasks\*.job /lockedfiles

%systemroot%\system32\drivers\*.sys /lockedfiles

%systemroot%\System32\config\*.sav

%systemroot%\system32\drivers\*.sys /90

• Натиснете маркираният в синьо бутон: .
• Като приключи проверката, ще се създадат два файла - OTL.Txt и Extras.Txt.
• Прикачете в следващия си коментар (погледнете опцията "прикачени файлове", когато публикувате мнение) логовете от OTL: OTL.Txt, Extras.Txt.

В началото OTL ми даде някаква грешка, искаше диск Ето логовете: OTL.Txt Extras.Txt

Ето какво следва:

Стъпка 1

Стартирайте пак OTL.exe и с Copy/ Paste под колонката Custom Scans/Fixes въведете скриптовия текст от цитата по-долу, като не забравяте да копирате скрипта 1 към 1 (без думата Цитат), както и двете точки преди първия ред на скрипта!

:OTL

SRV - (HidServ) -- C:\WINDOWS\System32\hidserv.dll File not found

DRV - (GMSIPCI) -- E:\INSTALL\GMSIPCI.SYS File not found

O32 - AutoRun File - [2010/09/03 09:32:56 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]

O34 - HKLM BootExecute: (autocheck autochk *) - File not found

:Files

recycler /alldrives

autorun.inf /s /alldrives

ipconfig /flushdns /c

:Commands

[purity]

[clearallrestorepoints]

[resethosts]

[emptytemp]

[emptyflash]

[Reboot]

След като въведете скрипта от цитата по-горе натиснете бутона, маркиран в червено:

Ще се създаде лог файл. Копирайте и поставете този файл в следващия си коментар.

Стъпка 2

Следвайте следната инструкция за работа със SystemLook:

Изтеглете SystemLook и запазете програмата на десктопа.

• Кликнете два пъти върху SystemLook.exe, за да стартирате програмата.
• Копирайте съдържанието от цитата по-долу в текстовото поле на програмата:

  :filefind

  iepeers.dll

• Кликнете на бутона Look, за да започне сканирането.
• Когато сканирането завърши ще се отвори Notepad с резултата от сканирането. После публикувайте лог файла в следващия си коментар.

Стъпка 3

• Изтеглете Flash Disinfector и го запишете на десктопа.
• Стартирайте Flash_Disinfector.exe с двоен клик. Програмата ще поиска да поставите флаш памети или подобни преносими устройства, включително мобилни телефони и камери. Следвайте инструкциите на Flash Disinfector, за да сканира и да почисти тези устройства.
• След това рестартирайте компютъра.

Ето лога: logOTL.txt

Ще има ли лог от SystemLook?

Не ми отваря systemLook This application has failed to start because the application configuration is incorrect. Reinstalling the application may fix this problem

Стъпка 1

Стартирайте отново OTL, натиснете всички бутони -> None.

• Под "Custom Scans/Fixes" с Copy/ Paste въведете изцяло следната информация от цитата по-долу (без думата Цитат):

  /md5start

  iepeers.*

  /md5stop

• Натиснете маркирания в синьо бутон: .
• Като приключи проверката, публикувайте или прикачете в следващия си коментар (погледнете опцията "прикачени файлове", когато публикувате мнение) лога от OTL

Стъпка 2

Следвайте следната инструкция за проверка с F-Secure Online Scanner:

• Изтеглете го от тук и стартирайте програмата с английски интерфейс (English). За сканиране изберете Start Scanning. Ако получите съобщение да инсталирате ActiveX се съгласете и го инсталирайте. След това натиснете ОК, зa да се съгласите с лицензионните права и за да започне сканиране.
• Маркирайте пълно сканиране (Full System Scan), изчакайте обновяването на дефинициите и завършването на сканирането.
• След като сканирането завърши, изберете Automatic cleaning (recommended) и изчакайте.
• Най-накрая натиснете Show report. Копирайте (Copy) и поставете (Paste) резултатите от сканирането в следващия си коментар.

Стъпка 3

Качете (Upload a file) на Virus Total за сканиране следния файл:

C:\WINDOWS\system32\iepeers.dll

Копирайте (copy) адреса на файла, маркиран по-горе в зелено и отидете в текстовото поле с надпис "Разглеждане". Поставете поставете (paste) в полето File Name адреса на файла, после Open. След това на Virustotal натиснете Send File. Изчакайте да завърши сканирането и публикувайте линка с резултатите от сканирането в следващия си коментар.

Ето ОTL лога:

OTL.Txt

и ето какво откри F-secure :S

скан от вирустотал:

http://www.virustotal.com/file-scan/report.html?id=b441646ef3f5896d50116e43b024ab2b8ee34b44f0364f8bc1ce2d41ae742832-1283601807

0/43

Следвайте следната инструкция за деинсталиране на OTL:

Стартирайте OTL.exe още веднъж и натиснете бутона CleanUp!

При дeинсталацията на OTL ще бъдат почистени инструменти и файлове, които използвахме в темата. Ще последва рестарт на Windows. Останалите файлове, програми и логове може да почистите ръчно. Оставете си MBAM и сканирайте от време на време.

Има ли някакви други оплаквания от Windows?

Ами имам чувството, че още може да има някакъв шпионски софтуер... защото като сканирах няколко пъти с Malwarebytes не откри нищо а F-secure откри TrackingCookie

Tracking Cookies не представляват някаква опасност. Това са текстови файлове. Можете да ги чистите от време на време през Firefox или Internet Explorer, както да почиствате Windows със CCleaner или със системния инструмент Disk Cleanup. Няма да е лошо да минете на последната стабилна версия на Firefox.

Редактирано 4 септември 201016 г. от nologo (преглед на промените)

Сканирах с Dr web и открих някакви неща в D: в System Volume Information при това доста, кажи това опасно ли е какво е :/ с никоя др. антивирусна не го откриваше DR WEB SCAN.txt

Да, опасно е. Toва е полиморфен вирус - Virut. Ето моят съвет, който ще ви спести време и нерви:

1. Не използвайте външни носители на информация за този компютър - USB флашки, преносими дискове и пр., избягвайте записи и на оптични дискове.

Забележка: Ако имате ценни файлове, запишете ги някъде в Интернет. Но избягвайте следните файлови разширения: EXE, SCR, ZIP, RAR, 7z, HTM, HTML, PHP, ASP. Препоръчително е да изтриете всичко и да започнете на чисто.

2. Снабдете се с инсталационно CD на Windows и направете чиста инсталация (виж Метод 1): изтриване на всички дялове, формат и инсталация нa Windows. При инсталацията на Windows трябва да се изтрият всички дялове, после да се създадат наново, формат и т.н. За Windows XP при инсталацията има опции на това меню:

За триене (Delete Partitions) - D, за създаване (Create Partitions) - C и т.н.

Успех!

По никакъв друг начин ли не може да се изтрие от System...

Има начини, но са много трудни и няма никаква гаранция за успех. Например ще бъде чиста загуба на време работата с външни Live CD (най-подходящите за Virut) от сорта: Dr.Web LiveCD, Avira AntiVir Rescue System. После следва възстановяване на системни файловe и пак сканиране с маса инструменти и скенери, като Dr.Web CureIt и подобни. Каквото и да направите, после няма как да докажете, че сте си почистили системата. Това почистване ще отнеме дни. Няма никаква гаранция, че някой файл, заразен от Virut не е останал в системата, заради пропуски в дефинициите на антивирусите.

Тук не правим експерименти, а отстраняваме зарази от Windows. Обаче при полиморфните вируси (за съжаление) борбата почти винаги е обречена на неуспех. Затова препоръчах какво да направите в предишния си коментар.

добре, изглежда ще преинсталирам, а също искам да питам дали Virut има някаква функция като шпионин/keylogger или просто заразява файлове?

Tрудно е да се каже дали Virut има някаква чисто шпионска функция. Virut заразява предимно .EXE и .SCR файлове, отваря backdoor (задна врата) във Windows, като се свързва с IRC сървър. Така позволява отдалечено администриране за допълнително изтегляне и стартиране на най-различни файлове към заразения компютър. Virut е доста труден за засичане, почти винаги има сериозни поражения по Windows. Задължително е да направите чиста инсталация с изтриване на дялове, създаване, формат и т.н. Задължително е да смените паролите си.

Аз имам въпрос понеже не съм запознат с тоя тип вируси много(полиморфен вирус) и не съм бил заразяван от такива, това може да се дължи на добрата ми компютърна грамотност не кликам навсякъде, както и да е исках да питам има ли някаква тим имунизация от такива ?

Редактирано 4 септември 201016 г. от Burkoff (преглед на промените)

Аз имам въпрос понеже не съм запознат с тоя тип вируси много(полиморфен вирус) и не съм бил заразяван от такива, това може да се дължи на добрата ми компютърна грамотност не кликам навсякъде, както и да е исках да питам има ли някаква тим имунизация от такива ?

Главно избягване на портали с пиратско съдържание, използване на NoScript за предпазване от лошите iFrame, използване на обновена антивирусна и добра HIPS програма или програма за виртуализация. Това са основните неща. Прочетете и това.

Превантивните мерки от Microsoft се свеждат до:

*Enable a firewall on your computer.

*Get the latest computer updates for all your installed software.

*Use up-to-date antivirus software.

*Limit user privileges on the computer.

*Use caution when opening attachments and accepting file transfers.

*Use caution when clicking on links to Web pages.

*Avoid downloading pirated software.

*Protect yourself against social engineering attacks.

*Use strong passwords.

използване на NoScript за предпазване от лошите iFrame

За това ли говориш ?

https://addons.mozilla.org/bg/firefox/addon/722/