Mam problem z Windows XP , początkowo eksploatowany był na dodatku Service Pack.2 ( zaznaczą iż chodzi o dość leciwą maszynką ,dodatek sp-3 nie za bardzo dało sią zainstalować), nastąpnie skorzystano z funkcji naprawienia systemu z płyty instalacyjnej i system powrócił do SP-1 , ale dodatek SP-2 nie chce sią doinstalować.
Nadmienią ,iż czynność powyższa została zrobiona po usuniąciu zainfekowanego pliku UKASHem , po wcześniejszym przywróceniu systemu do działania( nie wiem po co bo nie ja to zrobiłem).
Obecnie przy otwieraniu różnych programów pokazuje sią komunikat o braku procedur, najcząściej w biblotece Kernel.32.dll oraz biblotece urlmon.dll .

http://www.wklej.eu/...p?id=c7c1a06994 OTL

http://www.wklej.eu/...p?id=40a55f39fb Extras

http://www.wklej.eu/...p?id=97a9c62903 Gmer

Bardzo wiele infekcji.
Użyj ComboFixa i wklej z niego log: http://www.bleepingcomputer.com/combofix...a-combofix

http://www.wklej.eu/index.php?id=d64ddae6bd log combofix

Pokaż log z TDSSKiller. Rozpakuj, uruchom go, wciśnij Start Scan i czekaj, aż zakończy sią skanowanie. Raport znajdziesz na partycji C:\. NIC NIE USUWAJ (!)

Hm, ale ten TDSSkiler u mnie nie startuje, chyba dlatego iż obecnie u mnie jest windows xp sp-1;/.

1. Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej nastąpujący tekst:

[okno]:processes
killallprocesses

:Files
rd /s /q c:\docume~1\PIOTRE~1.PIO\USTAWI~1\Temp /C
rd /s /q c:\documents and settings\piotrek.PIOTREK-SLCAL1X\Ustawienia lokalne\Temp /C
rd /s /q c:\windows\$NtUninstallKB4967$ /C
c:\documents and settings\piotrek.PIOTREK-SLCAL1X\Ustawienia lokalne\Temp
c:\docume~1\PIOTRE~1.PIO\USTAWI~1\Temp
c:\windows\$NtUninstallKB4967$
C:\WINDOWS\system32\WebUpdateSvc.exe
c:\windows\system32\EuGdiDrv.sys
c:\windows\system32\epmntdrv.sys
c:\windows\*.tmp

:Services
WebUpdate
SRVLOC
SCREAMINGBDRIVER
massfilter
EuGdiDrv
epmntdrv
SpiderG3
afmfbsxu

:Commands
[Reboot][/okno]
Kliknij w Wykonaj skrypt. Zatwierdź restart komputera.

2. Uruchamiasz ponownie ComboFixa.

3. Wykonujesz nowe logi z OTL.

Końcowo przedstawiasz logi z:

• Raport z usuwania OTL'em
  
• Raport ze skanowania ComboFixem
  
• Nowe logi z OTL (OTL.txt + Extras.txt)
  

Mam takie pytanie w woli ścisłości wykonują skrypt tylko i robią powtórne logi, a czy korzysta sią z funkcji sprzątanie w otl i jak to kiedy?

Cytat: sprzątanie w otl i jak to kiedy?

Wtedy jest Sprzątanie, kiedy infekcji w systemie już nie ma. Opcja Sprzątanie służy do deinstalacji OTL'a / sprzątaniu po ComboFixie i innych programach.

http://www.wklej.eu/...p?id=6fc8a5632c otl po wykonaniu skryptu



http://www.wklej.eu/...p?id=f8f2a4592a combofix


http://www.wklej.eu/...p?id=de45dd8abd otl końcowy
http://www.wklej.eu/...p?id=8d29df7575 extras końcowy


Niepokoją mnie te foldery nie usuniąte w C:/ Ustawieniach lokalnych/Temp/ ( 24 pliki o dość długich opisach nie dające sią usunąć).....

Uruchom SystemLook i w oknie wklej:

[okno]:dir
c:\docume~1\PIOTRE~1.PIO\USTAWI~1\Temp
c:\documents and settings\piotrek.PIOTREK-SLCAL1X\Ustawienia lokalne\Temp

:reg
HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s[/okno]
Klik w Look. Przedstaw wynikowy skan.

http://www.wklej.eu/index.php?id=7e52ab69a0 system look

Jedziemy z usuwaniem.

Otwórz Notatnik i wklej do niego ten tekst:
[okno]KillAll::

Folder::
c:\docume~1\PIOTRE~1.PIO\USTAWI~1\Temp
c:\documents and settings\piotrek.PIOTREK-SLCAL1X\Ustawienia lokalne\Temp
c:\windows\$NtUninstallKB4967$
C:\Documents and Settings\piotrek.PIOTREK-SLCAL1X\Ustawienia lokalne\Dane aplikacji\{e899cfac-eda8-d652-1b59-3d15015970e5}
C:\Documents and Settings\All Users.WINDOWS\Dane aplikacji\6ae90000-f9ba-4c3b-2df6-97458020dc84

File::
c:\windows\system32\drivers\ndisrd.sys
C:\Program Files\Common Files\AskToolbarInstaller.exe
C:\Documents and Settings\piotrek.PIOTREK-SLCAL1X\Ustawienia lokalne\Dane aplikacji\ce86221e
C:\WINDOWS\System32\EuEpmGdi.dll
C:\WINDOWS\System32\BootMan.exe
C:\WINDOWS\System32\setupempdrv03.exe
C:\WINDOWS\~~~runcd.ini
C:\WINDOWS\System32\Scandrv.dll
C:\WINDOWS\pccuo.dll
C:\WINDOWS\System32\Scandrv.ini
C:\WINDOWS\cadkasdeinst01pol.exe
C:\WINDOWS\pccuo.ini
C:\WINDOWS\_SETUPD_.EXE
C:\WINDOWS\System32\imblacklist.dat
C:\Documents and Settings\All Users.WINDOWS\Dane aplikacji\bdinstall.bin
C:\Documents and Settings\piotrek.PIOTREK-SLCAL1X\Dane aplikacji\Sys6925.Config Collection.sys
C:\WINDOWS\Sys3390 SettingsCollection.bin
C:\Documents and Settings\piotrek.PIOTREK-SLCAL1X\Ustawienia lokalne\Dane aplikacji\housecall.guid.cache

Driver::
ndisrd
DwProt
ZTEusbser6k
ZTEusbnmea
ZTEusbmdm6k
StarOpen
btkrnl[/okno]>>Plik>>Zapisz jako... >>> CFScript
Przeciągnij i upuść plik CFScript.txt na plik ComboFix.exe
-------->
Ma sią rozpocząć usuwanie (i powstanie log na końcu). Daj ten log.

2. Tworzysz ponownie logi z OTL. Finalizując dajesz nowe logi z OTL + ComboFix

http://www.wklej.eu/...p?id=ad248bc031 combofix


ttp://www.wklej.eu/index.php?id=b72aded41d extras


http://www.wklej.eu/...p?id=963929a55f otl

Cytat:Użyto nastąpujących komend :: c:\documents and settings\piotrek.PIOTREK-SLCAL1X\Pulpit\NARZ¦DZIA\CFScript.txt.txt

Źle zrobiłeś skrypt.
Proszą, zrobiłem za Ciebie => http://www.speedyshare.com/QwMv5/CFScript.txt
Åšciągasz go tam, gdzie masz ComboFixa i przeciągasz, jak wyżej.
I wykonujesz dalsze polecenia, nowe logi z OTL też dajesz.

nowe logi:
http://www.wklej.eu/...p?id=c53f31347a combofix



http://www.wklej.eu/...p?id=99d2750e47 OTL


http://www.wklej.eu/...p?id=9033fe3aa7 extras


Przepraszam za ten błądny skan combofixem, widocznie komp podpowiedział i zaakceptowałem wpis z rozszerzeniem .txt .

Nie mam pojącia czemu ComboFix nie wykonuje skryptu. Robimy w takim razie inaczej.

Åšciągnij -->Avenger.
wklej do niego ten tekst:
[okno]Files to delete:
c:\windows\system32\drivers\ndisrd.sys
C:\Program Files\Common Files\AskToolbarInstaller.exe
C:\Documents and Settings\piotrek.PIOTREK-SLCAL1X\Ustawienia lokalne\Dane aplikacji\ce86221e
C:\WINDOWS\System32\EuEpmGdi.dll
C:\WINDOWS\System32\BootMan.exe
C:\WINDOWS\System32\setupempdrv03.exe
C:\WINDOWS\~~~runcd.ini
C:\WINDOWS\System32\Scandrv.dll
C:\WINDOWS\pccuo.dll
C:\WINDOWS\System32\Scandrv.ini
C:\WINDOWS\cadkasdeinst01pol.exe
C:\WINDOWS\pccuo.ini
C:\WINDOWS\_SETUPD_.EXE
C:\WINDOWS\System32\imblacklist.dat
C:\Documents and Settings\All Users.WINDOWS\Dane aplikacji\bdinstall.bin
C:\Documents and Settings\piotrek.PIOTREK-SLCAL1X\Dane aplikacji\Sys6925.Config Collection.sys
C:\WINDOWS\Sys3390 SettingsCollection.bin
C:\Documents and Settings\piotrek.PIOTREK-SLCAL1X\Ustawienia lokalne\Dane aplikacji\housecall.guid.cache
c:\program files\Common Files\AskToolbarInstaller.exe

Folders to Delete:
c:\docume~1\PIOTRE~1.PIO\USTAWI~1\Temp
c:\documents and settings\piotrek.PIOTREK-SLCAL1X\Ustawienia lokalne\Temp
c:\windows\$NtUninstallKB4967$
C:\Documents and Settings\piotrek.PIOTREK-SLCAL1X\Ustawienia lokalne\Dane aplikacji\{e899cfac-eda8-d652-1b59-3d15015970e5}
C:\Documents and Settings\All Users.WINDOWS\Dane aplikacji\6ae90000-f9ba-4c3b-2df6-97458020dc84

Drivers to Delete:
ndisrd
DwProt
ZTEusbser6k
ZTEusbnmea
ZTEusbmdm6k
StarOpen
btkrnl
MEMSWEEP2[/okno]
Kliknij w "Execute" i zatwierdź restart komputera.
Zrestartuj komputer.
Daj Raport z Avengera z C:\avenger.txt.

Oraz nowy log z OTL.

http://www.wklej.eu/index.php?id=f45f2b4c1a avenger

http://www.wklej.eu/index.php?id=4d4ba49467 extras



http://www.wklej.eu/index.php?id=a32963f553 otl

1. Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej nastąpujący tekst:

[okno]:OTL
O16 - DPF: DirectAnimation Java Classes file://C:\WINDOWS\Java\classes\dajava.cab (Reg Error: Key error.)
O16 - DPF: Microsoft XML Parser for Java file://C:\WINDOWS\Java\classes\xmldso.cab (Reg Error: Key error.)
O16 - DPF: {33564D57-9980-0010-8000-00AA00389B71} http://download.microsoft.com/download/D...mv9dmo.cab (Reg Error: Value error.)
O16 - DPF: {68282C51-9459-467B-95BF-3C0E89627E55} http://www.mks.com.pl/skaner/SkanerOnline.cab (Reg Error: Value error.)
O3 - HKLM\..\Toolbar: (no name) - {98889811-442D-49dd-99D7-DC866BE87DBC} - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - {FE063DB9-4EC0-403e-8DD8-394C54984B2C} - No CLSID value found.
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - No CLSID value found.
O2 - BHO: (no name) - {AE40EBA0-2D49-48C9-BA8D-E9F046240F5F} - No CLSID value found.
FF - HKLM\Software\MozillaPlugins\@microsoft.com/WPF,version=3.5: File not found
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://home.mywebsearch.com/index.jhtml?...7WW.4HT7sQ
IE - HKCU\..\SearchScopes,DefaultScope = {1F096B29-E9DA-4D64-8D63-936BE7762CC5}
IE - HKCU\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = http://www.bing.com/search?q={searchTerm...ORM=IE8SRC
IE - HKCU\..\SearchScopes\{0D7562AE-8EF6-416d-A838-AB665251703A}: "URL" = http://start.facemoods.com/?a=ironto&s={...Terms}&f=4
IE - HKCU\..\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}: "URL" = http://websearch.ask.com/redirect?client...cale=en_US
IE - HKCU\..\SearchScopes\{1F096B29-E9DA-4D64-8D63-936BE7762CC5}: "URL" = http://search.babylon.com/?babsrc=SP_ss&...ffID=17161
IE - HKCU\..\SearchScopes\{253E99E9-3329-4E07-9BBB-02990A2D10B4}: "URL" = http://search.yahoo.com/search?fr=chr-gr...earchTerms}
IE - HKCU\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = http://search.conduit.com/ResultsExt.asp...=CT2405280
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\ComboFix\catchme.sys -- (catchme)
@Alternate Data Stream - 88 bytes -> C:\Documents and Settings\piotrek.PIOTREK-SLCAL1X\Pulpit\Eagle_kurs.pdf:SummaryInformation
@Alternate Data Stream - 119 bytes -> C:\Documents and Settings\All Users.WINDOWS\Dane aplikacji\TEMP:7E95B6FD

:Files
C:\Program Files\mozilla firefox\searchplugins\allegro-pl.xml.moz-backup
C:\Program Files\mozilla firefox\searchplugins\fbc-pl.xml.moz-backup
C:\Program Files\mozilla firefox\searchplugins\merlin-pl.xml.moz-backup
C:\Program Files\mozilla firefox\searchplugins\pwn-pl.xml.moz-backup
C:\Program Files\mozilla firefox\searchplugins\wikipedia-pl.xml.moz-backup
C:\Program Files\mozilla firefox\searchplugins\wp-pl.xml.moz-backup
C:\Program Files\Mozilla Firefox\extensions\{45e1d8cd-bafd-1fbf-6eaf-311dc543d67b}
C:\WINDOWS\setupapi.old
C:\Documents and Settings\piotrek.PIOTREK-SLCAL1X\Ustawienia lokalne\Dane aplikacji\ce86221e

:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Default_Page_URL"=-
"Start Page"="about:blank"
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
"Default_Page_URL"=-
"Start Page"="about:blank"

:Commands
[emptyflash]
[emptytemp][/okno]
Kliknij w Wykonaj skrypt. Zatwierdź restart komputera.

2. W aplecie panelu sterowania => dodaj lub usuń programy => odinstaluj te śmiecie: Complitly + ... wszystkie inne śmiecie których nie potrzebujesz / nie znasz / nie używasz

3. Użyj AdwCleaner z opcji Delete. Pokaż raport który sią wyświetli w notatniku po restarcie albo znajdziesz go: C:\Clean.txt

4. Po wykonaniu tych czynnośći tworzysz ponownie logi z OTL. Ale przed wciśniąciem Skanuj zahaczykuj: Rejestr - skan dodatkowy - Użyj filtrowania. Potem wciskasz przycisk Skanuj.

Końcowo przedstawiasz logi z:

• Raport z usuwania OTL'em
  
• Raport z czyszczenia AdwCleanerem
  
• Nowe logi z OTL (OTL.txt + Extras.txt)
  

http://www.wklej.eu/...p?id=384166e523 raport z usuwania otl

http://www.wklej.eu/index.php?id=09e31d5b7e adwcleaner


http://www.wklej.eu/...p?id=56f530c22a otl


http://www.wklej.eu/...p?id=ce02982435 extras

W tych logach już nie widzą żadnej infekcji.

1. Odinstaluj w prawidłowy sposób ComboFix, co wyczyści też foldery Przywracania systemu. Klawisz z flagą Windows + R i w polu Uruchom wklej komendą:

c:\documents and settings\piotrek.PIOTREK-SLCAL1X\Pulpit\NARZ¦DZIA\ComboFix.exe /uninstall

Gdy komenda ukończy działanie, w OTL uruchom Sprzątanie, które skasuje z dysku OTL wraz z kwarantanną. Przez SHIFT+DEL skasuj folder C:\Windows\erdnt. W AdwCleaner uruchom Uninstall.

2. Wykonaj najważniejsze aktualizacje:

Cytat:Windows XP Professional Edition Dodatek Service Pack. 1 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 6.0.2800.1106)
"{022F6097-A053-4B1B-BE50-3AADE4116B92}" = Opera 10.50
"{26A24AE4-039D-4CA4-87B4-2F83216031FF}" = Java™ 6 Update 31
"{AC76BA86-7AD7-1033-7B44-A94000000001}" = Adobe Reader 9.4.6
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin
"Mozilla Firefox (3.6.28)" = Mozilla Firefox (3.6.28)

• Załataj krytyczne luki w systemie: Windows XP SP 3 + IE 8
  
• Wszystkie obecne Javy które posiadasz w systemie do kompletnej deinstalacji (tutaj specjalny program: JavaRa), w zamian zainstaluj: Java SE 7 update 5 (JRE) + Java SE 6 Update 33.
  
• Sprawdź jaką masz wersją Adobe Flash Playera za pomocą Find Flash Player version. Jeżeli masz inną niż 11.3.300.271 - do aktualizacji.
  
• Adobe Reader jest już w wersji X (10.1.3) - czyli do aktualzacji.
  
• Przeglądarki: Opera 12.01 / FireFox 14.0.1

3. Zalecam ponowne PEŁNE SKANOWANIE SYSTEMU za pomocą MalwareBytes Anti-Malware . Przed skanowaniem zaaktualizuj rącznie bazą wirusów. Usuń to co znajdzie i wklej raport końcowy po czyszczeniu.

4. Prewencyjnie zmień hasła logowania w serwisach.