Здравейте,вчера вечерта след стартиране на компютъра антивирусната ми показа че е засекла руткит C windows system 32 drivers sptd.sys след което ми даде като възможност или да го изтрия или да го игнорирам,ас го изтрих след което ми даде като опция да сканира системата преди да зареди ,пуснах го да сканира и след това пак ми показа че е засекла същия руткит.След това го изтрих ръчно от папката на windows.Също така от два дни като заредя браузъра (мозила)ми исписва че зададения URL е невалиден или грешен,но не го прави всеки път. Като стартирам DDS.scr ми забива компютъра след първата минута. Благодаря предварително

Здравейте...!Драйверът sptd.sys е на Daemon Tools....!Това не е рууткит...!Щом сте го изтрили сте прецакали коректната работа на Daemon Tools....! Преименувайте DDS.scr на DDS.pif , изключете си временно антивирусната програма и тогава опитайте да направите сканирането...! Поздрави..!

Здравеите,защо аваст го определя като рууткит,и ако не е да го инсталирам ли пак.DDS.pif пак забива,след като не е рууткит нужен ли е този тест.

Защото доколкото виждам в първия ви пост имате и други оплаквания които ми приличат на действие на зловред....!

Поне пуснете едно контролно сканиране с МБАМ :

* Изтеглете Malwarebytes' Anti-Malware или от тук

* Кликнете два пъти върху mbam-setup.exe, за да инсталирате програмата.

* Уверете се, че са поставени отметки на Update Malwarebytes' Anti-Malware и Launch Malwarebytes' Anti-Malware. След това кликнете на Finish.

* Ако има намерени обновявания, тя ще ги изтегли и инсталира.

* Стартирайте програмата и изберете "Perform Full Scan", след това кликнете на Scan.

* Сканирането ще отнеме малко време, затова моля да бъдете търпеливи.

* Когато сканирането завърши, кликнете на OK, след това Show Results, за да видите резултата.

* Уверете се, че на всички редове има отметки, и кликнете на Remove Selected.

* Когато всичко бъде премахнато, в Notepad ще бъде отворен лог. Копирайте този лог и го публикувайте в следващия си коментар по темата.

Забележка: Ако MalwareBytes' Anti-Malware се затрудни в премахването на откритите вируси/заплахи, той ще поиска да рестартира компютъра Ви и по време на рестартирането да премахне проблемните вируси/заплахи. Ако бъдете попитани, потвърдете че желаете вашия компютър да бъде рестартиран.

Първо ми даде лога и после поиска рестарт,това е лога. Malwarebytes' Anti-Malware 1.50.1.1100 www.malwarebytes.org Database version: 6746 Windows 5.1.2600 Service Pack 3 Internet Explorer 6.0.2900.5512 01.6.2011 г. 23:01:26 mbam-log-2011-06-01 (23-01-26).txt Scan type: Full scan (C:\|D:\|) Objects scanned: 194137 Time elapsed: 54 minute(s), 25 second(s) Memory Processes Infected: 0 Memory Modules Infected: 0 Registry Keys Infected: 0 Registry Values Infected: 0 Registry Data Items Infected: 0 Folders Infected: 0 Files Infected: 1 Memory Processes Infected: (No malicious items detected) Memory Modules Infected: (No malicious items detected) Registry Keys Infected: (No malicious items detected) Registry Values Infected: (No malicious items detected) Registry Data Items Infected: (No malicious items detected) Folders Infected: (No malicious items detected) Files Infected: c:\documents and settings\YURI\my documents\bs.player pro v2.57 build 1051 final\Keygen\Keygen\keygen.exe (Trojan.Agent) -> Quarantined and deleted successfully.

Това че е поискал рестарт не е много добре....нещо се е затормозил при премахването на нещо ....!Ами какво да ви кажа...иска ми се да поогледм системата по - подробно....стана късно ако искате утре ще продължим.....! Колкото до засичането на драйвера sptd.sys това е FP на антивирусната ви....но проблема е докладван на екипа на Аваст и след обновяване на дефинициите проблема ще е решен...!!!

До утре, лека нощ.

Здравейте...!

==>> Следвайте следната инструкция за работа с OTL:

• Изтеглете OTL.exe и го запазете на десктопа.
• Стартирайте файла с двукратен клик на мишката.
• Сложете отметка пред Scan All Users
• Под менюто File Age => изберете 90 days
• Под менюто Standard Registry => променете на ALL
• Сложете отметки пред LOP и Purity Check

• Под с Copy/ Paste въведете изцяло следната текстова информация (само това, което е поставено в карето):

netsvcs
msconfig
%SYSTEMDRIVE%\*.*
%USERPROFILE%\*.*
%USERPROFILE%\Application Data\*.*
%USERPROFILE%\Local Settings\Application Data\*.*
%AllUsersProfile%\*.*
%AllUsersProfile%\Application Data\*.*
%USERPROFILE%\AppData\*.*
%USERPROFILE%\My Documents\*.*
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /90
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\system32\Spool\prtprocs\w32x86\*.dll
/md5start
hlp.dat
winlogon.exe
wininit.exe
userinit.exe
explorer.exe
volsnap.sys
/md5stop

• Натиснете маркираният в синьо бутон: .
• Като приключи проверката, ще се създадат два файла - OTL.Txt и Extras.Txt. Прикачете тези два файла в следващия си коментар (погледнете опцията "прикачени файлове", когато публикувате мнение).

Здравей,изтрих папката в която МБАМ посочи че е заразения фаил.

Редактирано 2 юни 201115 г. от zorge (преглед на промените)

Cтартирайте пак OTL и с Copy/ Paste под колонката Custom Scans/Fixes въведете скриптовия текст от текстовото поле по-долу, като не забравяте да копирате скрипта 1 към 1, както и двете точки преди първия ред на скрипта!

:OTL
SRV - File not found [Disabled | Stopped] --  -- (HidServ)
O18 - Protocol\Handler\ipp - No CLSID value found
O18 - Protocol\Handler\msdaipp - No CLSID value found
[2011.04.11 18:12:58 | 000,000,000 | ---D | C] -- C:\WINDOWS\System32\3076
[2011.04.11 18:12:58 | 000,000,000 | ---D | C] -- C:\WINDOWS\System32\2052
[2011.04.11 18:12:58 | 000,000,000 | ---D | C] -- C:\WINDOWS\System32\1054
[2011.04.11 18:12:58 | 000,000,000 | ---D | C] -- C:\WINDOWS\System32\1042
[2011.04.11 18:12:58 | 000,000,000 | ---D | C] -- C:\WINDOWS\System32\1041
[2011.04.11 18:12:58 | 000,000,000 | ---D | C] -- C:\WINDOWS\System32\1037
[2011.04.11 18:12:58 | 000,000,000 | ---D | C] -- C:\WINDOWS\System32\1033
[2011.04.11 18:12:58 | 000,000,000 | ---D | C] -- C:\WINDOWS\System32\1031
[2011.04.11 18:12:58 | 000,000,000 | ---D | C] -- C:\WINDOWS\System32\1028
[2011.04.11 18:12:58 | 000,000,000 | ---D | C] -- C:\WINDOWS\System32\1025 

autorun.inf /alldrives
recycler /alldrives
ipconfig /flushdns /c

:Commands
[purity]
[emptytemp]
[resethosts]
[CreateRestorePoint]
[emptyflash]
[Reboot]

След като въведете скрипта от цитата по-горе натиснете бутона, маркиран в червено:

Ще се създаде лог файл. Публикувайте съдържанието му с Copy/Paste в следващия си коментар.

След статиране на OLT.exe по указания начин от десктопа изчезнаха всички икони,остана син екран,след 10 секунди поиска рестарт. All processes killed ========== OTL ========== Error: No service named HidServ was found to stop! Service\Driver key HidServ not found. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\Handler\ipp\ not found. File Protocol\Handler\ipp - No CLSID value found not found. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\Handler\msdaipp\ not found. File Protocol\Handler\msdaipp - No CLSID value found not found. Folder C:\WINDOWS\System32\3076\ not found. Folder C:\WINDOWS\System32\2052\ not found. Folder C:\WINDOWS\System32\1054\ not found. Folder C:\WINDOWS\System32\1042\ not found. Folder C:\WINDOWS\System32\1041\ not found. Folder C:\WINDOWS\System32\1037\ not found. Folder move failed. C:\WINDOWS\System32\1033 scheduled to be moved on reboot. Folder C:\WINDOWS\System32\1031\ not found. Folder C:\WINDOWS\System32\1028\ not found. Folder C:\WINDOWS\System32\1025\ not found. ========== COMMANDS ========== [EMPTYTEMP] User: Administrator ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes ->FireFox cache emptied: 0 bytes User: All Users User: Default User ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes User: LocalService ->Temp folder emptied: 65984 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: NetworkService ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: YURI ->Temp folder emptied: 884 bytes ->Temporary Internet Files folder emptied: 33170 bytes ->Java cache emptied: 0 bytes ->FireFox cache emptied: 7194933 bytes ->Google Chrome cache emptied: 0 bytes ->Flash cache emptied: 456 bytes %systemdrive% .tmp files removed: 0 bytes %systemroot% .tmp files removed: 0 bytes %systemroot%\System32 .tmp files removed: 0 bytes %systemroot%\System32\dllcache .tmp files removed: 0 bytes %systemroot%\System32\drivers .tmp files removed: 0 bytes Windows Temp folder emptied: 108 bytes %systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 0 bytes %systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 0 bytes RecycleBin emptied: 0 bytes Total Files Cleaned = 7,00 mb C:\WINDOWS\System32\drivers\etc\Hosts moved successfully. HOSTS file reset successfully Restore point Set: OTL Restore Point (0) [EMPTYFLASH] User: Administrator User: All Users User: Default User User: LocalService User: NetworkService User: YURI ->Flash cache emptied: 0 bytes Total Flash Files Cleaned = 0,00 mb OTL by OldTimer - Version 3.2.23.0 log created on 06022011_175337 Files\Folders moved on Reboot... Folder move failed. C:\WINDOWS\System32\1033 scheduled to be moved on reboot. Registry entries deleted on Reboot...

Добре....сега как е положението със системата ви...?

След рестарта на OLT Мозила пак показа че съм задал грешен URL. когато се опитах да я стартирам.Под съобщението грешен URL има бутон ОК след като кликна на него зарежда адреса от настройките които съм задал. От тогава няколко пъти затварям и зареждам браузъра и работи нормално.

Следвайте следната инструкция за проверка с GooredFix:

• Изтеглете GooredFix, миръри: тук и тук. Запазете го на десктопа.
• Затворете всички браузъри и стартирайте GooredFix.exe (десен клик Run As Administrator). Потвърдете с Yes, за да започне сканирането.
• GooredFix ще провери за инфекции и след това ще се появи лог (GooredFix.txt). Копирайте (Copy) и поставете (Paste) резултатите от сканирането в следващия си коментар.

GooredFix by jpshortstuff (03.07.10.1) Log created at 21:40 on 02/06/2011 (YURI) Firefox version 4.0.1 (bg) ========== GooredScan ========== (none) ========== GooredLog ========== C:\Program Files\Mozilla Firefox\extensions\ {972ce4c6-7e08-4474-a285-3208198ce6fd} [17:55 11/04/2011] {CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA} [11:49 09/05/2011] {CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA} [21:05 09/05/2011] {CAFEEFAC-0016-0000-0025-ABCDEFFEDCBA} [21:52 09/05/2011] C:\Documents and Settings\YURI\Application Data\Mozilla\Firefox\Profiles\cpbsawu4.default\extensions\ (none) [HKEY_LOCAL_MACHINE\Software\Mozilla\Firefox\Extensions] "[email protected]"="C:\Program Files\AVAST Software\Avast\WebRep\FF" [18:11 11/04/2011] "[email protected]"="C:\Program Files\Java\jre6\lib\deploy\jqs\ff" [11:48 09/05/2011] ---------- Old Logs ---------- GooredFix[18.37.12_02-06-2011].txt GooredFix[18.39.03_02-06-2011].txt -=E.O.F=-

Сега промени при браузера имаш ли..?

Последните 10 зареждания няма проблем,преди от 10 пъти 4-5 пъти показваше грешен URL. GooredFix, правилно ли е изпълнено,защото като му дам десен клик в командния прозорец ми дава Run as... и като го потвърдя ми отваря файла и ми дава Run или Cancel, потвърждавам Run и тогава ме пита как да го изпълни.

Правилно е изпълнен ..Целта му единствено да махне зловредното в Мозилата...Дано да нямате повече проблеми..!

Как да деинсталирам OLT и GooredFix. Благодаря за оказаното съдействие.

Деинсталирайте OTL така:

Стартирайте OTL още веднъж и натиснете бутона CleanUp.

Ще последва рестарт на Windows..!

Ако след това GooredFix е още на компютъра го изтрийте по стандартния начин..!

След това при вас какво остана ...да ..да си преинсталирате Daemon Tools..сещате се защо...!

Освен това няма да е лошо да ъпдейтнете Аваста с последни дефиниции и да си направите едно контролно сканиране с него..!

Това е от мен...Бъдете здрав и сърфирайте безопасно..!Лека вечер..!