logo elektroda
logo elektroda
X
logo elektroda
REKLAMA
REKLAMA
Adblock/uBlockOrigin/AdGuard mogą powodować znikanie niektórych postów z powodu nowej reguły.

Jak usunąć wirusa Win32:Rootkit-gen(Rtk) z pomocą Avast?

Kamyl1993 13 Mar 2010 16:35 3424 25
REKLAMA
  • #1 7823891
    Kamyl1993
    Poziom 10  
    Posty: 21
    Tak ja w temacie mam problem z wirusem. Wyskakuje ostrzeżenie z programu antywirusowego Avast że znaleziono wirusa i niezależnie co wybiorę (kwarantanna, usuń lub coś innego) ostrzeżenie wyskakuje ponownie. Wydaje mi się że już miałem podobny problem około rok temu lecz wtedy kuzyn zrobił z tym porządek. Teraz nie mogę zasięgnąć jego opinii i zwracam się o pomoc. próbowałem zrobić skana ComboFix-em lecz trzeba wyłączyć Avasta a ja nie wiem jaki byłby skutek.

    Oto wyniki skanu HiJackThis:
    http://www.sendspace.pl/file/f2f8ac1a1379cc8eb91d33a

    Proszę o pomoc.
  • REKLAMA
  • #2 7823989
    kolokat
    Poziom 26  
    Posty: 1129
    Pomógł: 47
    Ocena: 31
    Avast to nie antywirus.
    Po nieprzejrzeniu loga na szybko nie znalazłem nic interesującego.

    Niech Kolega wykona jeszcze skan za pomocą Cureit.
  • REKLAMA
  • #4 7824193
    Kamyl1993
    Poziom 10  
    Posty: 21
    To jest skan z OTL, zamieściłem dwa pliki ponieważ takie uzyskałem a że nie miałem wcześniej styczności z tym programem to nie wiedziałem który będzie pomocny.
    Załączniki:
    • Extras.Txt (32.59 KB) Musisz być zalogowany, aby pobrać ten załącznik.
    • OTL.Txt (63 KB) Musisz być zalogowany, aby pobrać ten załącznik.
  • #5 7824844
    Kolobos
    Spec od komputerów
    Posty: 85178
    Pomógł: 17171
    Ocena: 10454
    Zrob skan przy pomocy mbam.

    Odinstaluj: BitTorrent DNA, PHPNukeEN, ToggleEN, Daemon Toolbar.

    Wklej to do OTL i nacisnij Run Fix:

    :OTL
    IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://www.daemon-search.com/startpage
    IE - HKCU\..\URLSearchHook: {038cb5c7-48ea-4af9-94e0-a1646542e62b} - C:\Program Files\ToggleEN\tbTog0.dll (Conduit Ltd.)
    IE - HKCU\..\URLSearchHook: {dd02a4eb-4afd-4d60-99d8-e67f964ca813} - C:\Program Files\PHPNukeEN\tbPHP0.dll (Conduit Ltd.)
    O2 - BHO: (ToggleEN Toolbar) - {038cb5c7-48ea-4af9-94e0-a1646542e62b} - C:\Program Files\ToggleEN\tbTog0.dll (Conduit Ltd.)
    O2 - BHO: (PHPNukeEN Toolbar) - {dd02a4eb-4afd-4d60-99d8-e67f964ca813} - C:\Program Files\PHPNukeEN\tbPHP0.dll (Conduit Ltd.)
    O3 - HKLM\..\Toolbar: (ToggleEN Toolbar) - {038cb5c7-48ea-4af9-94e0-a1646542e62b} - C:\Program Files\ToggleEN\tbTog0.dll (Conduit Ltd.)
    O3 - HKLM\..\Toolbar: (DAEMON Tools Toolbar) - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll ()
    O3 - HKLM\..\Toolbar: (PHPNukeEN Toolbar) - {dd02a4eb-4afd-4d60-99d8-e67f964ca813} - C:\Program Files\PHPNukeEN\tbPHP0.dll (Conduit Ltd.)
    O3 - HKCU\..\Toolbar\WebBrowser: (ToggleEN Toolbar) - {038CB5C7-48EA-4AF9-94E0-A1646542E62B} - C:\Program Files\ToggleEN\tbTog0.dll (Conduit Ltd.)
    O3 - HKCU\..\Toolbar\WebBrowser: (DAEMON Tools Toolbar) - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll ()
    O3 - HKCU\..\Toolbar\WebBrowser: (PHPNukeEN Toolbar) - {DD02A4EB-4AFD-4D60-99D8-E67F964CA813} - C:\Program Files\PHPNukeEN\tbPHP0.dll (Conduit Ltd.)
    O4 - HKLM..\Run: [UserFaultCheck] File not found
    O4 - Startup: C:\Documents and Settings\user\Menu Start\Programy\Autostart\winesm32.exe ()
    O33 - MountPoints2\{5dbe4567-c96d-11de-bd07-4d6564696130}\Shell - "" = AutoRun
    O33 - MountPoints2\{a712f440-fcfd-11de-bd81-4d6564696130}\Shell - "" = AutoRun
    O33 - MountPoints2\{b97df0e0-ec8f-11dd-bb41-0080c6e9e7f2}\Shell - "" = AutoRun
    O33 - MountPoints2\{b97df0e0-ec8f-11dd-bb41-0080c6e9e7f2}\Shell\Auto\command - "" = G:\sxs.exe -- File not found
    O33 - MountPoints2\{d152d0bb-e493-11dd-bb28-0080c6e9e7f2}\Shell\AutoRun\command - "" = H:\LIMUN\svrsh.exe -- File not found
    O33 - MountPoints2\{d152d0bb-e493-11dd-bb28-0080c6e9e7f2}\Shell\explore\command - "" = H:\LIMUN\svrsh.exe -- File not found
    O33 - MountPoints2\{d152d0bb-e493-11dd-bb28-0080c6e9e7f2}\Shell\open\command - "" = H:\LIMUN\svrsh.exe -- File not found

    :Files
    C:\Documents and Settings\user\Dane aplikacji\Mozilla\Firefox\Profiles\1fgcejb2.default\searchplugins\daemon-search.xml
    C:\Documents and Settings\user\Menu Start\Programy\Autostart\winesm32.exe
    C:\Documents and Settings\user\Dane aplikacji\avdrn.dat
    C:\WINDOWS\System32\drivers\lbrtfdc.sys
    C:\WINDOWS\System32\dllcache\i2omgmt.sys
    C:\WINDOWS\System32\drivers\changer.sys
    C:\WINDOWS\System32\dllcache\changer.sys

    Po wykonaniu daj nowy log.
  • #6 7829242
    Kamyl1993
    Poziom 10  
    Posty: 21
    Zrobiłem tak jak radził Kolobos i oto wyniki.

    W pierwszym załączniku jest plik który pojawił się po restarcie komputera a w drugim jest wynik skanu jaki zrobiłem po uruchomieniu się komputera.


    Sorry że na tej stronie dodałem ale miałem problemy z dodaniem załacznika.


    http://www.sendspace.pl/file/64384ec408a977b6f3b3a42
    Załączniki:
    • OTL.Txt (53.92 KB) Musisz być zalogowany, aby pobrać ten załącznik.
  • #7 7829304
    Kolobos
    Spec od komputerów
    Posty: 85178
    Pomógł: 17171
    Ocena: 10454
    Daj log z combofix.
  • #8 7829385
    Kamyl1993
    Poziom 10  
    Posty: 21
    Oto on.
    Załączniki:
    • ComboFix.txt (12.17 KB) Musisz być zalogowany, aby pobrać ten załącznik.
  • #9 7830382
    Kolobos
    Spec od komputerów
    Posty: 85178
    Pomógł: 17171
    Ocena: 10454
    Jak juz pisalem wczesniej odinstaluj: BitTorrent DNA, DAEMON Tools Toolbar.

    Wypakuj plik z zalacznika do katalogu C:\plik\

    Uzyj CFScript.txt z combofix:


    FCopy::
    C:\plik\sfcfiles.dll | c:\windows\system32\sfcfiles.dll
    C:\plik\sfcfiles.dll | c:\windows\system32\dllcache\sfcfiles.dll

    File::
    c:\windows\system32\dllcache\lbrtfdc.sys
    c:\windows\system32\drivers\lbrtfdc.sys
    c:\windows\system32\drivers\i2omgmt.sys
    c:\windows\system32\dllcache\changer.sys
    c:\windows\system32\drivers\changer.sys
    c:\windows\system32\config\systemprofile\Dane aplikacji\rbuwzv.dat

    Po wykonaniu daj log, ktory sie utworzy.
    Załączniki:
    • plik.rar (46.16 KB) Musisz być zalogowany, aby pobrać ten załącznik.
  • #10 7832267
    Kamyl1993
    Poziom 10  
    Posty: 21
    Kolobos mógłbyś trochę jaśniej? Pierwszy raz działam w programie Combofix i nie rozumiem połowy z tego co piszesz. W poprzednim poście kazałeś coś odinstalować i coś wkleić do OTL i tak zrobiłem. Potem zrobiłem skan Combofix-em jak poleciłeś i wysłałem loga. A reszty nie rozumiem. Nie wiem co to jest CFScript.txt, wpisałem w wyszukiwarce i nie znalazło takiego czegoś. I to co zamieściłeś w ostatnim poście te lokalizacje - nie wiem co mam z nimi zrobić. Jeśli mógłbyś to proszę o jakieś prostsze instrukcje.
  • #12 7832692
    Kamyl1993
    Poziom 10  
    Posty: 21
    Dzięki za ten link Sumas123. Bardzo to było pomocne. Oto log który otrzymałem po wykonaniu tego co zalecił Kolobos:
    Załączniki:
    • log.txt (14.23 KB) Musisz być zalogowany, aby pobrać ten załącznik.
  • #13 7833200
    Kolobos
    Spec od komputerów
    Posty: 85178
    Pomógł: 17171
    Ocena: 10454
    Usun jeszcze: c:\windows\system32\dllcache\i2omgmt.sys
  • #14 7833270
    Kamyl1993
    Poziom 10  
    Posty: 21
    Mam to usunąć przez ComboFix-a? Tzn zapisać w dokumencie tekstowym i przenieść do ComboFix?
  • REKLAMA
  • #15 7833291
    Kolobos
    Spec od komputerów
    Posty: 85178
    Pomógł: 17171
    Ocena: 10454
    Usun recznie, dopiero jezeli bedzie problem to mozesz uzyc CFScript.txt:

    File::
    c:\windows\system32\dllcache\i2omgmt.sys
  • #16 7833338
    Kamyl1993
    Poziom 10  
    Posty: 21
    Nie znalazłem dllcache w podanej lokalizacji.
  • #17 7833480
    Kolobos
    Spec od komputerów
    Posty: 85178
    Pomógł: 17171
    Ocena: 10454
    To nie szukaj tylko uzyj CFScript.txt, ktory podalem. Po wykonaniu mozesz dac kontrolnie log, ktory sie utworzy.
  • #18 7852246
    Kamyl1993
    Poziom 10  
    Posty: 21
    Zrobiłem to co poleciłeś. Oto log który się utworzył.
    Załączniki:
    • ComboFix.txt (42.57 KB) Musisz być zalogowany, aby pobrać ten załącznik.
  • REKLAMA
  • #19 7852276
    Kolobos
    Spec od komputerów
    Posty: 85178
    Pomógł: 17171
    Ocena: 10454
    Wyglada ok. Wpisz w uruchom: combofix /u
  • #20 7852669
    Kamyl1993
    Poziom 10  
    Posty: 21
    Ten log mi pokazało.
    Załączniki:
    • ComboFix.txt (12.29 KB) Musisz być zalogowany, aby pobrać ten załącznik.
  • #21 7852918
    Kolobos
    Spec od komputerów
    Posty: 85178
    Pomógł: 17171
    Ocena: 10454
    W takim razie wybierz w OTL CleanUp, nastepnie uzyj TFC.exe.
  • #22 7852998
    Kamyl1993
    Poziom 10  
    Posty: 21
    Mógłbyś wyjaśnić co to jest TFC.exe.??
  • #23 7853124
    Kolobos
    Spec od komputerów
    Posty: 85178
    Pomógł: 17171
    Ocena: 10454
    Po co? Nie mozesz wpisac nazwy w google?
  • #24 7856331
    Kamyl1993
    Poziom 10  
    Posty: 21
    Zrobiłem tak jak poleciłeś , Kolobos, w OTL wybrałem "Clean up" i zrestartował się komp a po włączeniu nie było już OTL anie ComboFix-a. Potem zrobiłem tym TFC i zno9wu się zrestartował ale nie zauważyłem żeby się coś zmieniło.
  • Pomocny post
    #25 7856582
    Kolobos
    Spec od komputerów
    Posty: 85178
    Pomógł: 17171
    Ocena: 10454
    To juz wszystko.
  • #26 7857007
    Kamyl1993
    Poziom 10  
    Posty: 21
    Dzięki za pomoc.

Podsumowanie tematu

✨ Użytkownik zgłasza problem z wirusem Win32:Rootkit-gen(Rtk), który jest wykrywany przez program antywirusowy Avast, ale nie można go usunąć. W odpowiedzi na prośbę o pomoc, uczestnicy forum sugerują wykonanie skanów przy użyciu narzędzi takich jak Cureit, Malwarebytes (mbam) oraz ComboFix. Użytkownik jest instruowany, aby odinstalować niepożądane programy, takie jak BitTorrent DNA i DAEMON Tools Toolbar, oraz dostarczyć logi z OTL i ComboFix. Po kilku próbach i wskazówkach, użytkownik wykonuje zalecane kroki, co prowadzi do usunięcia wirusa i zakończenia problemu.
Podsumowanie AI na podstawie dyskusji. Może zawierać błędy.
REKLAMA