Logi OTL do sprawdzenia

[12kzhita]

http://www.wrzucaj.org/210869 Extras

http://www.wrzucaj.org/664339 OTL

 

Proszę o szybką odpowiedź

[Fr3shMak3r]

A co dolega systemowi ?

Owszem jest infekcja ,ale najpierw opisz całą sytuacje po co wrzucasz logi .

Tu nie służba od sprawdzania ,żeby łaskawie sprawdzić logi .

Opisz całą sytuacje .

[12kzhita]

otóz wysakuje mi błąd svchost.exe i nie moge odpalać plików exe oraz cos strasznie zamula mi kompa

[Fr3shMak3r]

Przejde do rzeczy .

W systemie siedzi okropny wirus Sality który zaraża i niszczy pliki wykonywalne na wszystkich dyskach :

 

PRC - [2013-04-24 19:21:07 | 000,051,370 | ---- | M] () -- C:\Users\Krystian\AppData\Local\Temp\winesmdm.exe
PRC - [2013-04-24 19:17:18 | 000,012,970 | ---- | M] () -- C:\Users\Krystian\AppData\Local\Temp\winugraoo.exe


[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"cval" = 1
"AntiVirusOverride" = 1
"AntiVirusDisableNotify" = 1
"FirewallDisableNotify" = 1
"FirewallOverride" = 1
"UpdatesDisableNotify" = 1
"UacDisableNotify" = 1

Niestety sytuacja jest tragiczna .

Svchost.exe zwraca błąd bo został zniszczony przez wirusa .

Niestety najlepszym pomysłem jest format ,ale pamiętaj nie wolno ci zostawić żadnego pliku wykonywalnego z rozszerzeniem .exe .dll i .src

Możemy też spróbować powalczyć z Sality ,ale to już polecałbym ci leczenie z poza systemu bo najwidoczniej Sality dobrał się do plików systemowych więc te pliki będą zarażać w kółko system .

Ale pamiętaj po leczeniu systemu system może nie powstać gdyż mogą ulec uszkodzeniu pliki systemowe .

Więc wybieraj :

 

-Format

-Walczymy .

[12kzhita]

walczymy

!

[Fr3shMak3r]

Jeszcze jedno chciałbym spytać .

Masz w systemie uruchomione sterowniki Avasta :

 

DRV - [2013-03-07 01:33:24 | 000,765,736 | ---- | M] (AVAST Software) [File_System | System | Running] -- C:\Windows\System32\drivers\aswSnx.sys -- (aswSnx)
DRV - [2013-03-07 01:33:24 | 000,368,176 | ---- | M] (AVAST Software) [Kernel | System | Running] -- C:\Windows\System32\drivers\aswSP.sys -- (aswSP)
DRV - [2013-03-07 01:33:23 | 000,066,336 | ---- | M] (AVAST Software) [File_System | Auto | Running] -- C:\Windows\System32\drivers\aswMonFlt.sys -- (aswMonFlt)
DRV - [2013-03-07 01:33:23 | 000,060,656 | ---- | M] (AVAST Software) [Kernel | System | Running] -- C:\Windows\System32\drivers\aswRdr2.sys -- (aswRdr)
DRV - [2013-03-07 01:33:22 | 000,029,816 | ---- | M] (AVAST Software) [File_System | Auto | Running] -- C:\Windows\System32\drivers\aswFsBlk.sys -- (aswFsBlk)

Ciężko mi stwierdzić czy rzeczywiście Avast działa bez żadnych zarzutów .

W logach widzę sterowniki w Stanie Running + proces Avasta .

Czy przy Avascie jak go uruchamiasz pokazuje ci że zabezpieczenia nie są włączone ?

[12kzhita]

pokazuje

[Fr3shMak3r]

No to Avast padł ofiarą Sality.

Albo musiałeś go wyłączyć gdy wyświetlał alert o Sality i uruchomić i teraz nie chce się uruchomić bo są nałożone blokady w rejestrze .

Wstępnie spróbujemy leczenie spod systemu ,może się uda .

 

Wstępne leczenie :

 

1. Wyłącz przywracanie systemu na wszystkich dyskach .

 

2.Pobierz SalityKiller skan do skutku ,aż będzie 0 wykrytych .

jednorazowy skan może nie pomóc masz skanować ,aż SalityKiller nie będzie wcale wykrywać .

Daje ci tu alternatywny link bo nie wejdziesz do strony Kasperskiego :

http://www.speedyshare.com/eXu5a/SalityKiller.rar

 

 

3. Po leczeniu pokazujesz nowy log OTL .

Dodatkowo będę wymagał loga GMER ,ale to po leczeniu dopiero .

[12kzhita]

jak wyłączyć to przywracanie systemu na dyskach ?

Juz wyłączyłem i skanuje

[Fr3shMak3r]

http://programs.pl/forum/showthread.php?357-Jak-wy%C5%82%C4%85czy%C4%87-przywracanie-systemu-w-Windows-Vista-i-7

[12kzhita]

nowy log http://www.wrzucaj.org/190135

[Fr3shMak3r]

A gdzie Extras ?

Nie zaznaczyłeś w logu skan dodatkowy na użyj filtrowania .

Log bez zmian .

Mam wiedzieć że SalityKiller już nic nie wykrywa ?

Dodatkowo pojawił się dziwny obiekt :

MOD - [2013-04-24 20:50:55 | 000,041,472 | ---- | M] () -- C:\Windows\svchost.com

 

Co gorsza wczoraj pisałem o prywatnym serwerze Metin2 evelion on ma wirusa Sality i prawdopodobnie stąd przeniosłeś infekcje :

C:\Users\Krystian\Desktop\eVelion\Switchbotv3.exe

 

Czy mam wiedzieć jak leczyłeś system to wtedy sobie że tak powiem grałeś ?

I tu był błąd najlepiej to nic nie robić podczas leczenia systemu bo uruchomiona dana gra ma w sobie gen Sality te pliki które były wyleczone są na odwrót infekowane .

Dodatkowo dostarcz mi log GMER tu masz instrukcje :

http://www.MPCpc.pl/topic/60-diagnostyka-infekcje-typu-rootkit/

[12kzhita]

http://www.wrzucaj.org/640259

 

http://www.wrzucaj.org/665389

 

Teraz bede robil loga GMER

 

Robiłem skan tym SalityKillerem 3x i nie wykrył tylko za 1

[Fr3shMak3r]

W extras troche lepiej zdjete blokady .

Pobierz Kaspersky Removal Tool i zrob nim pelne skanowanie jesli cos wykryje wrzuc loga.