Jak usunąć rootkita po skanowaniu ComboFix i Gmer?

Question

Witam,

Złapałem chyba jakiegoś wirusa, bo walą mi się wszystkie programy. Zrobiłem format, który nic nie dał. Po odpaleniu combofixa dostaje komunikat, że mam rootkita. Podaje link do loga - http://wyslijto.pl/plik/nx2ib00tmm
I jeszcze link do loga z gmera chociaż nie wiem czy tak to ma wyglądać - http://wyslijto.pl/plik/hxif5el5hh

Kolobos · Answer

Zrob skan przy pomocy mbam oraz cureit. Daj logi z MbrCheck oraz TDSSKiller: (nic w nim nie usuwaj, nawet jezeli cos wykryje)

ketyow1 · Answer

Po szybkim skanowaniu w obu programach nic nie zostało wykryte. Napisz jeśli mam zrobić pełne. Dodam może jeszcze jak moim zdaniem doszło do infekcji - ściągnąłem program do zmiany skórek XP nazywający się Style XP, nie pamiętam z jakiej strony. Przy instalacji NOD32 coś wykrył (nie pamiętam jednak co, a po formacie nie ma już opcji żeby to sprawdzić), jednak przy jednym z komunikatów chyba omyłkowo kliknąłem ignoruj.

Logi:
TDSSKiller - http://wyslijto.pl/plik/silxe3x9m4
MbrCheck - nie za bardzo wiem gdzie szukać loga. Daje screen z tym co się pokazało, chociaż nie wiem czy procedura przebiegła prawidłowo, bo trwało to jakieś 20-30 sek - http://wyslijto.pl/plik/oztd5g51ty

Kolobos · Answer

Wszystko wyglada ok. Uzyj HdTune i daj screeny ze wszystkich zakladek programu.

ketyow1 · Answer

1. Wyniki HDtune - . Raczej wszystko w porządku. 2. Combofix daje ciągle ten sam komunikat - najświeższy log - . Czy mimo tego komunikatu log z combofixa też wyglądaja na czysty? 3. Może napiszę jeszcze dokładniej czym objawiają się problemy. Zaczęło się od tego, że nie mogłem uruchomić programu AutoCAD. Wyrzucało mi brak jakiejś biblioteki .dll związanej z Microsoft Visual. Potem to samo stało się z NOD32. W obu przypadkach reinstalacja, ani ręczne dodanie biblioteki nie pomagało. Potem to samo stało się z Adobe Readerem, jednak tu reinstalacja pomogła. Mimo wszystko zdecydowałem się na format (tylko partycji systemowej, a mam prócz niej jeszcze jedną). Robiłem go standardowo, czyli przy użyciu płytki XP używając opcji pełne formatowanie. Po formacie nie działają właściwie tylko AutoCAD, narzędzia Lenovo (komputer to thinkpad T60) i program o nazwie Hold'em Manager. Ich reinstalacja nic nie daje, chociaż po formacie komunikat w AutoCADzie jest teraz inny. Zaraz po formacie był też problem z IE, ale po reinstalacji działa. Office, Firefox, Adobe Reader działają i o dziwo NOD32 też, chociaż zaraz po formacie nie chciał i ruszył dopiero po zainstalowaniu kilku uaktualnień systemu. Przy uruchamianiu Hold'em Managera dostałem komunikat, że ma problem z Framework 3.5. Zrobiłem reinstalację Frameworka i pomogło, ale pojawił się następny komunikat już bez podanej konkretnej przyczyny. Póki co wygląda na to, że szkodnik został usunięty bo nie pojawiają się nowe problemy, jednak szkody które zostały wyrządzone pozostały i nie bardzo wiem jak je naprawić. 4. W sumie to 2 dni temu robiłem format, więc jak trzeba, to może nie zastanawiajmy się wiele, bo mogę go zrobić jeszcze raz. Musiałbym tylko wiedzieć przy pomocy jakiego narzędzia go zrobić, żeby na pewno wszystko zostało usunięte. Jeśli jest taka konieczność mogę nawet sformatować obie partycje. Dodano po 1 [godziny] 15 [minuty]: Może dodam jeszcze szczegółowy komunikat, który wyświetla się podczas błędu programu Holdem Manager. Wygląda na to że znów jakiś problem dla programu używającego C++ (tak jak przy Autocadzie): Szczegółowe informacje na temat wywoływania debugowania w trybie JIT (just in time) zamiast tego okna dialogowego znajdują się na końcu tego komunikatu. ************** Tekst wyjątku ************** System.TypeInitializationException: Inicjator typów zgłosił wyjątek dla typu ''. ---> .ModuleLoadException: The C++ module failed to load during appdomain initialization. ---> System.ComponentModel.Win32Exception: Nie można odnaleźć określonego pliku w CModuleInitialize.LoadWpfGfx(CModuleInitialize* ) w CModuleInitialize.{ctor}(CModuleInitialize* ) w ?A0x0b283f3b.??__E?A0x0b283f3b@cmiStartupRunner@@YMXXZ() w _initterm_m((fnptr)* pfbegin, (fnptr)* pfend) w .LanguageSupport.InitializePerAppDomain(LanguageSupport* ) w .LanguageSupport._Initialize(LanguageSupport* ) w .LanguageSupport.Initialize(LanguageSupport* ) --- Koniec śladu stosu wyjątków wewnętrznych --- w .LanguageSupport.Initialize(LanguageSupport* ) w .cctor() --- Koniec śladu stosu wyjątków wewnętrznych --- w i.a() w i..ctor(cy A_0) w cy.a(Object A_0, EventArgs A_1) w System.Windows.Forms.Timer.OnTick(EventArgs e) w System.Windows.Forms.Timer.TimerNativeWindow.WndProc(Message& m) w System.Windows.Forms.NativeWindow.Callback(IntPtr hWnd, Int32 msg, IntPtr wparam, IntPtr lparam) ************** Zestawy załadowane ************** mscorlib Wersja zestawu: 2.0.0.0 Wersja Win32: 2.0.50727.3615 (GDR.050727-3600) CodeBase: file:///C:/WINDOWS/Microsoft.NET/Framework/v2.0.50727/mscorlib.dll ---------------------------------------- HoldemManager Wersja zestawu: 1.11.5.3786 Wersja Win32: 1.11.05.3786 CodeBase: file:///D:/Programy/Holdem%20Manager/HoldemManager.exe ---------------------------------------- System.Drawing Wersja zestawu: 2.0.0.0 Wersja Win32: 2.0.50727.3053 (netfxsp.050727-3000) CodeBase: file:///C:/WINDOWS/assembly/GAC_MSIL/System.Drawing/2.0.0.0__b03f5f7f11d50a3a/System.Drawing.dll ---------------------------------------- System Wersja zestawu: 2.0.0.0 Wersja Win32: 2.0.50727.3614 (GDR.050727-3600) CodeBase: file:///C:/WINDOWS/assembly/GAC_MSIL/System/2.0.0.0__b77a5c561934e089/System.dll ---------------------------------------- System.Windows.Forms Wersja zestawu: 2.0.0.0 Wersja Win32: 2.0.50727.3053 (netfxsp.050727-3000) CodeBase: file:///C:/WINDOWS/assembly/GAC_MSIL/System.Windows.Forms/2.0.0.0__b77a5c561934e089/System.Windows.Forms.dll ---------------------------------------- DevComponents.DotNetBar2 Wersja zestawu: 8.3.0.0 Wersja Win32: 8.3.0.0 CodeBase: file:///D:/Programy/Holdem%20Manager/DevComponents.DotNetBar2.DLL ---------------------------------------- System.Xml Wersja zestawu: 2.0.0.0 Wersja Win32: 2.0.50727.3082 (QFE.050727-3000) CodeBase: file:///C:/WINDOWS/assembly/GAC_MSIL/System.Xml/2.0.0.0__b77a5c561934e089/System.Xml.dll ---------------------------------------- Accessibility Wersja zestawu: 2.0.0.0 Wersja Win32: 2.0.50727.3053 (netfxsp.050727-3000) CodeBase: file:///C:/WINDOWS/assembly/GAC_MSIL/Accessibility/2.0.0.0__b03f5f7f11d50a3a/Accessibility.dll ---------------------------------------- System.Windows.Forms.resources Wersja zestawu: 2.0.0.0 Wersja Win32: 2.0.50727.3053 (netfxsp.050727-3000) CodeBase: file:///C:/WINDOWS/assembly/GAC_MSIL/System.Windows.Forms.resources/2.0.0.0_pl_b77a5c561934e089/System.Windows.Forms.resources.dll ---------------------------------------- DeployLX.Licensing.v3 Wersja zestawu: 3.2.2000.0 Wersja Win32: 3.2.2000.3813 CodeBase: file:///D:/Programy/Holdem%20Manager/DeployLX.Licensing.v3.DLL ---------------------------------------- mscorlib.resources Wersja zestawu: 2.0.0.0 Wersja Win32: 2.0.50727.3615 (GDR.050727-3600) CodeBase: file:///C:/WINDOWS/Microsoft.NET/Framework/v2.0.50727/mscorlib.dll ---------------------------------------- System.Web Wersja zestawu: 2.0.0.0 Wersja Win32: 2.0.50727.3618 (GDR.050727-3600) CodeBase: file:///C:/WINDOWS/assembly/GAC_32/System.Web/2.0.0.0__b03f5f7f11d50a3a/System.Web.dll ---------------------------------------- System.Configuration Wersja zestawu: 2.0.0.0 Wersja Win32: 2.0.50727.3053 (netfxsp.050727-3000) CodeBase: file:///C:/WINDOWS/assembly/GAC_MSIL/System.Configuration/2.0.0.0__b03f5f7f11d50a3a/System.Configuration.dll ---------------------------------------- WindowsFormsIntegration Wersja zestawu: 3.0.0.0 Wersja Win32: 3.0.6920.1427 built by: SP CodeBase: file:///C:/WINDOWS/assembly/GAC_MSIL/WindowsFormsIntegration/3.0.0.0__31bf3856ad364e35/WindowsFormsIntegration.dll ---------------------------------------- PresentationCore Wersja zestawu: 3.0.0.0 Wersja Win32: 3.0.6920.1427 built by: SP CodeBase: file:///C:/WINDOWS/assembly/GAC_32/PresentationCore/3.0.0.0__31bf3856ad364e35/PresentationCore.dll ---------------------------------------- WindowsBase Wersja zestawu: 3.0.0.0 Wersja Win32: 3.0.6920.1427 built by: SP CodeBase: file:///C:/WINDOWS/assembly/GAC_MSIL/WindowsBase/3.0.0.0__31bf3856ad364e35/WindowsBase.dll ---------------------------------------- ************** Debugowanie w trybie JIT ************** Aby włączyć debugowanie w trybie JIT (just-in-time), plik .config tej aplikacji lub komputera (machine.config) musi mieć wartość jitDebugging ustawioną w sekcji system.windows.forms. Aplikacja musi być również skompilowana z włączonym debugowaniem. Na przykład: Gdy debugowanie JIT jest włączone, wszystkie nieobsługiwane wyjątki są wysyłane do debugera JIT zarejestrowanego na komputerze i nie są obsługiwane w tym oknie dialogowym.

Kolobos · Answer

Watpie zeby problem mial zwiazek z tematyka tego dzialu. Wyglada na to, ze brakuje Ci plikow. Mogles odinstalowac jakis program, ktory usunal pliki z ktorych korzystaja inne programy.

ketyow1 · Answer

Raczej ma związek, bo zmiany się nasilały, a jeśli bym po prostu coś usunął to formatowanie by pomogło. No i ten Combofix...

Kolobos · Answer

W logach nie ma nawet sladu infekcji, a wiec problem nie ma zwiazku z tym dzialem.

Jak usunąć rootkita po skanowaniu ComboFix i Gmer?

Post #1

Post #2

Post #3

Post #4

Post #5

Post #6

Post #7

Post #8

Podsumowanie tematu