Win7,brak połączenia z internem(skutki walki z przekierowaniem na 95p.com),logi

Możliwie najkrócej: linki z googla przekierowywały na 95p.com (temat poruszany już na forum jako działania wirusa), zesknowano Avirą (Okazało się, że ostatnie skanowanie było we wrześniu, a co gorsza Anit Vir Guard był wyłączony). Skaner coś znalazł, i coś z tym zrobił (niestety nie wiem co, bo gdy komputer dotarł do mnie, Anti Vir Guard nie chciał się włączyć, więc odruchowo przeinstalowałem Avire nie patrząc w historię... ), zresetował komputer i od tamtej pory laptop nie łączy się z internetem. Podłącza się do sieci, ale do internetu już nie.

Kiedy przeinstalowałem Avirę zrobiła znowu skan i znalazła w C:\Windows\assembly\GAC_MSIL\Desktop.ini coś, co nazwała TR/ATRAPS.Gen2 Trojan (raport w pliku raportAvira1.txt) i usiłowała bezskutecznie przenieść to do kwarantanny. Zasugerowała restart, po restarcie znów zaczęła skanować znalazła to samo w tym samym miejscu ale tym razem przeniosła (raport w pliku raportAvira2.txt)

Szybkie skanowanie Dr.Web CureIt znalazło:oiu0.2889698579429727.exe, C:\Users\Olenka\AppData\Local\Temp, Trojan.DownLoader5.30729, Niewyleczalny.Przeniesiony.

Pełne skanowanie zawieszało się po ok 1/10. Dwa razy.

Szybkie skanowanie Malwarebytes znalazło: C:\Windows\hosts (Trojan.Agent) -> Nie wykonano akcji (załączam log, nie miałem śmiałości usuwać pliku z folderu systemowego bez pewności)

Załączam również logi z OTL i GMER.

System Win7,32bit

Z góry dziękuję za wszelką pomoc.

Rootkit ZeroAcces.

1) Daj log z ComboFixa https://www.elektroda.pl/rtvforum/topic1044160.html

2) Daj log z Webroot AntiZeroAccess

3) Daj log z >TDSSKiller

4) Daj nowe logi z OTL

.

Combofix poprosił o wyłączenie antywirów. Przypadkiem chodzą dwa: Trialowy Malwarebytes i Avira. Wyłączyłem w obu ochronę bieżącą i dałem ok, ale i tak znów zapiszczał i wyświetlił okno błędu bez treści. Mimo to zaczął skanować. No i skanuuuje... Już ponad pół godziny bez znaków życia. A niby ma to trwać ok 10 min. Dopiero po uruchomieniu doczytałem, że ma być uruchamiany z pulpitu, a ja go włożyłem do katalogu na C to kwestia tego? Cierpliwie czekać aż skończy niezależnie od czasu, próbować wyłączyć, przenieść na pulpit i odpalić jeszcze raz, czy przejść do kolejnego programu?

----
Pojawił się alert, że jakiś program przestał działać (nie zapisałem co...), kliknąłem zamknij program i dalej nic...

Co do OTL'a. Jaki ustawić tam czas "nie dalej niż". Zważywszy na ostatni skan we wrześniu poprzednio dałem 180dni, ale może to za dużo i bez sensu log'a wydłuża?

na razie czekaj.
Ale jeśli po kolejych 15 minutach ComboFix nie skończy, to sam zrestartujesz komputer, a przejdziesz do następnych narzędzi.

co do OTL - 30 dni wystarczy

po równej godzinie wcisnąłem po prostu guzik zasilania (na krótko - normalne wyłączanie systemu). Po restarcie dostałem komunikat, że kosz na tym dysku jest uszkodzony i pytanie czy chce opróżnić. Dałem tak. Załączam pozostałe dwa logi. Co ciekawe tdss znalazł tylko jeden plik o średnim ryzyku: sptd, kazałem przenieść do kwarantanny a ponieważ skan był szybki i nie wiedziałem czy to wszystko znów dałem skanuj, efekt był identyczny, ten sam plik, to samo miejsce, znów kwarantanna i znów skan i znów jest.

aha. Logi z OTL robię z "pominięciem dobrych znanych programów".

Przepraszam jeśli jestem zbyt szczegółowy, nie chcę pominąć czegoś istotnego.

"sptd.sys" to sterownik używany np. przez Daemon Tools - zawsze jest wykrywany jako podejrzany.
Przed robieniem logów zaleca się jego usunięcie, by nie stwarzał takich problemów.

Dziwne, że ani TDSSKiller, ani AniZeroAcces, nie wykrył tego Rootkita.
Być może ComboFix jednak zdążył go usunąć, zanim się zawiesił?

START > w polu szukania wpisz: cmd > z prawokliku "Uruchom jako Administrator" > wpisz netsh winsock reset
naciśnij ENTER

Uruchom OTL i w oknie Własne opcje skanowania/Script wklej to:

Cytat:

:OTL
[2012-01-04 19:33:44 | 000,000,000 | -HSD | C] -- C:\Users\Olenka\AppData\Local\9c7b32df

:Files
netsh winsock reset /C
C:\Users\Olenka\AppData\Local\Temp*.html
C:\Windows\$NtUninstallKB20827$\2625319647
C:\Windows\$NtUninstallKB20827$\2625319647\@
C:\Windows\$NtUninstallKB20827$\2625319647\L
C:\Windows\$NtUninstallKB20827$\2625319647\L\xadqgnnk
C:\Windows\$NtUninstallKB20827$\2625319647\loader.tlb
C:\Windows\$NtUninstallKB20827$\2625319647\U
C:\Windows\$NtUninstallKB20827$\2625319647\U\@00000001
C:\Windows\$NtUninstallKB20827$\2625319647\U\@000000c0
C:\Windows\$NtUninstallKB20827$\2625319647\U\@000000cb
C:\Windows\$NtUninstallKB20827$\2625319647\U\@000000cf
C:\Windows\$NtUninstallKB20827$\2625319647\U\@80000000
C:\Windows\$NtUninstallKB20827$\2625319647\U\@800000c0
C:\Windows\$NtUninstallKB20827$\2625319647\U\@800000cb
C:\Windows\$NtUninstallKB20827$\2625319647\U\@800000cf
C:\Windows\$NtUninstallKB20827$\795570617

:Commands
[emptytemp]

Kliknij w Wykonaj Script. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania.

Użyj >Ad-Remover i kliknij w nim Clean (uruchom z prawokliku "jako Administrator)
Pokaż raport z niego.
.

zrobione. Ad-Remover zażyczył sobie na koniec reboot - zrobiłem.

W nowym logu OTL nie widzę już niczego do usuwania (jest "Conduit", ale to potem usunął Ad-Remover.

Myślę, że możemy kończyć:

W OTL kliknij na przycisk Sprzątanie - to go usunie razem z jego Kwarantanną.
Jednocześnie zniknie ComboFix.

.

Jest tylko jeden problem... Wciąż: Połączono z siecią, brak dostępu do internetu... Czy możliwe, że to antywir usunął/przeniósł coś czego nie powinien i to są tego skutki?

---

Przeskanowałem Malwarebytes szybkim: w C:\Windows\hosts ciągle znajduje Trojan.Agent, o którym pisałem, że nie wiem czy usuwać czy nie.

ten "hosts" oczywiście do usunięcia.

ZeroAcces często usuwa całe usługi, np. powiązane z internetem, więc trzeba by było je odbudować w Rejestrze. Ale nie wiadomo, które usługi usunął Rootkit.

Tu przykład: >http://www.fixitpc.pl/topic/6615-rootkit-zeroaccess-po-naprawie-brak-internetu/" target="_blank" rel="nofollow noopener ugc" class="postlink inline" title="" >
http://www.fixitpc.pl/topic/6615-rootkit-zeroaccess-po-naprawie-brak-internetu/
Na tamtym forum jest też kilka przykładów odbudowywania różnych usług, usuniętych przez ZeroAcces'a.
.

ech... resa zrobiłem według skryptu na forum, ale nic nie dało. A poza tym podają różne skrypty, a one - jak rozumiem - są przecież pod konkretny komputer...

----

grzebię i grzebię... wygląda, że sam raczej nic nie zdziałam...

----
Właśnie odkryłem, że nad zaporą też nie mam władzy.... zbieram się do formatu....

zamiast formatować, może lepiej po prostu załóż tam temat?

Nie wiem dlaczego uroiłem sobie, że takie podlinkowanie innych forów jest niezgodne z regulaminem. Teraz napisałem, szkoda, że nie zrobiłem tego wczoraj, bo może bym już coś wiedział, a tak czas leci, dane zgrane i format kusi, żeby mieć z głowy.

------

Napisałem. Problem rozwiązany Link