wirus w winlogon

[scorses]

Wczoraj mój Norton Antivirus 2005 poinformował mnie że mam wirus trojana w pliku winlogon. Niestety antivirus pomimo aktualnej biblioteki wirusów nie poradził sobie z usunięciem tego trojana. Zakładam że to paskudztwo "wlazło" do mojego kompa z netu choć jestem zdziwiony bo mam antivira, Zonealarm i firewall sprzętowy w routerze i nie używam P2P. Przez wszystkie lata używania kompa spokój i tu nagle taka niespodzianka !

Czy ktoś wie jak to paskudztwo usunąc czy też pozostaje tylko format twardego dysku.

Jeśli tak to czy wystarczy sformatować tylko partycję z windowsem czy też wszystkie?

Prosze o POMOC ! !

[CatchMe]

Tak. Pozbędziemy się tego bez formatu. Wklej logi z HiajackThis, Silent Runners i ComboFix.

[JTH]

tak , ale nie zapominajmy , że Norton może fałszywy alarm wprowadzić

[scorses]

Dziś wieczorkiem będę mieć trochę czasu to wkleję te logi o których wspominacie i zobaczycie co tam piszczy w moim kompie

[ Dodano: 2007-06-23, 22:23 ]

Tak. Pozbędziemy się tego bez formatu. Wklej logi z HiajackThis, Silent Runners i ComboFix.

Logi zamieszczone, teraz w Was cała moja nadzieja

[CatchMe]

Ale masz syfu... bezczelny rootkit w dodatku. ComboFix naprawił Winlogon.

KONIECZNIE !

1. Ściągnij: WWDC

- Zmień wszystkie opcje z disable na enable i uruchom ponownie komputer.

- Prawidłowy układ portów przedstawia zdjęcie:

http://www.firewallleaktester.com/images_site/wwdc.jpg

* NetBIOS może być żółty.

Pobierz i uruchom narzędzie : The Avenger

Zaznacz opcję Input script manually i kliknij na Lupkę z prawej strony. W okienku, które się otworzy wklejasz:

Files to delete:

C:WINDOWSTempstartdrv.exe

C:WINDOWSnircmd.exe

C:WINDOWSsystem32driversruntime.sys

Folders to delete:

C:1

C:Qoobox

registry values to delete:

HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun | PowerBar

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun | NWEReboot

Klikasz Done, a następnie zielone światełko i zgadzasz się na restart klikając OK.

Po restarcie w HijackThis usuwasz wpis/wpisy:

O4 - HKLM..Run: [startdrv] C:WINDOWSTempstartdrv.exe

Kasujesz ręcznie z dysku plik: C:Avengerbackup.zip i wklejasz na forum raport: C:avenger.txt + log z HijackThis + log z Silent Runners + log z ComboFix + KONIECZNIE GMER ! :

Ściagnij: Gmer`a

* Rootkit >>> zaznaczone Pokaż wszystko >>> wskazane tylko Usługi >>> Szukaj >>> Kopiuj >>> CTRL+V na www.wklej.org

* Rootkit >>> odznaczone Pokaż wszystko >>> wskazane wszystkie obiekty do skanu >>> Szukaj>>> Kopiuj >>> CTRL+V na www.wklej.org

- W rezultacie otrzymujemy 2 logi, które wklejamy na www.wklej.org a linki podajemy na forum.

Na sam koniec mam pytanie: ZoneAlarm, BitDefender, Norton AntiVirus - masz taki zestaw, 2 antywirusy i firewall. Z którego korzystasz bo strasznie obciąża to system?

[scorses]

Coś jest nie tak na etapie Avengera. Oto błedy jakie wyskakują gdy wcisnę zielone światełko:

http://img.wklej.org/images/76231error.JPG

po wciśnięciu OK:

http://img.wklej.org/images/57485error2.JPG

i po wciśnięciu OK:

http://img.wklej.org/images/31847error3.JPG

może coś źle wklejam. Czy mam to wklejać łącznie ze zdaniami "Files to delete:", "Folders to delete" i "registry values to delete"? Szczerze mówiąc to wklejam z tym i bez i ciągle error

[CatchMe]

Obiecałem, że usuniemy to usuniemy. Startuj do trybu awaryjnego i powtarzasz czynności.

[ Dodano: 2007-06-26, 21:38 ]

Pokaż logi nowe. Pisz tutaj a nie na PW.

[scorses]

http://wklej.org/id/b49b531f95

http://www.wklej.org/id/17c48a7f32

[CatchMe]

- Logi czyste ale one nic nie dają.

- Masz nadal Nortona?

- Wklejaj ComboFixa i logi z Gmera nowe.

[scorses]

http://www.wklej.org/id/6dac80821e

http://www.wklej.org/id/5c252f8f73

http://www.wklej.org/id/389dabebcd

http://www.wklej.org/id/c805eb80d5

tak, mam cały czas Nortona

[SE]

pobierz sobieavasta a nie Norton muli kompa