Niestety mój komputer został zainfekowany jakimś wirusem!

Question

Niestety mój komputer został zainfekowany jakimś wirusem i nie wiem jak go usunąć. Pobiera on cały czas jakieś pliki z sieci. Wydaje mi się że jest to jakiś trojan downloader albo coś takiego. Sprawdzałem dyski programami: Ad-Aware, Spyware Dostor, oraz CA Anti-Virus. Jeśli chodzi o system...

Kolobos · Accepted Answer

maciek11
Masz zainstalowane pelno programow, ktore sciagaja aktualizacje itp rzeczy wiec to normalne, ze wysyla i nie jest to żaden trojan, ktory sciagaja jakies pliki. Log jest ok, svchost'ow ma byc tyle ile jest, a to co znalazl ad-aware mozesz zostawic albo usunac, bez roznicy.

majtek007 · Accepted Answer

maciek11: Jak trafi mi sie jakies nieznane dotad paskudztwo - a zdazylo mi sie to pare razy, to zawsze skore ratowal mi firewall - polecam ZoneAlarm (freeware do uzytku domowego).
Po zainstalowaniu firewalla bedziesz pytany o zezwolenie dostepu do internetu - kazdego uruchomionego programu ktory bedzie probowal sie polaczyc z siecia.
Z uslug systemowych i innych microsoftowych programow:
dostep do sieci maja u mnie tylko 2
c:\windows\system32\svchost.exe
c:\windows\system32\lsass.exe
Firewall spyta o nie na samym poczatku - zezwol tym 2. Teraz kazdy program ktorego nie uruchomiles, a bedzie rzadal dostepu do internetu jest potencjalnym wirusem - a wtedy sciezke dostepu juz mozna latwo okreslic

P.S. Nie licz na windowsowego firewalla i nie zapomnij go wylaczyc przed instalacja innego firewalla (bo moga wystapic konfilkty). Jesli niechcesz zostawac zupelnie bez firewalla w czasie instalacji - to na jej czas mozesz odlaczyc kabel sieciowy.

Kolobos · Answer

> Pobiera on cały czas jakieś pliki z sieci.

Jakie pliki? Z jakiej strony?

Przeskanuj system przy pomocy ewido.

W hjt usun:
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.bearshare.com/pl/
O2 - BHO: My Global Search Bar BHO - {37B85A21-692B-4205-9CAD-2626E4993404} - C:\Program Files\MyGlobalSearch\bar\1.bin\MGSBAR.DLL
O3 - Toolbar: My Global Search Bar - {37B85A29-692B-4205-9CAD-2626E4993404} - C:\Program Files\MyGlobalSearch\bar\1.bin\MGSBAR.DLL <- katalog MyGlo... usun z dysku.

soulreaver1 · Answer

Zainstaluj sobie Spyware Terminator : Naprawdę polecam jest bardzo skuteczny i darmowy Miałem ostatnio problemy z trojanami i ten program mnie uratował. Zainstaluj,przeskanuj,pozbądź się robactwa... Po co bawić się w ręcze czyszczenie rejestru? Ten program zrobi wszystko sam.

maciek11 · Answer

Komputer przeskanowałem, ale problem nadal występuje mimo wykasowania kilku wirusów. W menedżerze zadań znalazłem podpadający moim zdaniem wpis: SWDOCTOR. Co to może być?

Kolobos · Answer

soulreaver1
Spyware Terminator jest to program o watpliwej reputacji wiec nie polecaj go na publicznym forum. Sam mozesz go uzywac ale innym nie polecaj tego smiecia.

:arrow:

maciek11
Dlaczego nie odpowiedziales na moje pytania?
Moze wysil sie troche i napisz jaki DOKLADNIE problem wystepuje.

maciek11 · Answer

Po połączeniu z siecią komputer wysyła parę kB. J
ak włączę właściwości połączenia, to widzę że komputer pobiera jakieś dane.
Jakie niestety nie wiem. W logu z Hijacka nic podejrzanego nie widzę.
Jeśli chodzi o Spyware Terminatora, to zdążyłem zauważyć że potrafi on trochę zamieszać.
I jeszcze jedno pytanie:
Czy svchost.exe musi być uruchamiany tyle razy?
W cmd wpisałem Tasklist /SVC. Wynik znajduje się w załączniku.
Zastanawiam się nad tym plikiem ponieważ już kiedyś został on zainfekowany i musiałem z nim trochę powalczyć, ale się udało

Przeskanowałem komputer programem Ad-Aware.
Co prawda nie znalazł on już żadnych "wrednych programów", ale w zakładce Negligible Objects jest kilka wpisów.
Nie znam się za bardzo na rejestrze i prosiłbym o sprawdzenie tego:

Moderowany przez TONI_2003:
Kliknij aby powiększyć
Proszę tylko zamieszczać fotki tak jak w linku poniżej!
Sądzę że jest to zrozumiale dla wszystkich, a przynajmniej powinno być, ale jakoś nie mogę się przekonać do tego obserwując co poniektórych!
Ogłoszenie: Wklejanie zdjęć.

dr.master · Answer

Kolego są to elementy nieistotne, mało znaczące. Nie to jest problemem,
a do skanowania polecił bym Kasperskiego.
Odinstalować wszelakiego typu oprogramowanie anty wirusowe , ściągnąć Kasperskiego 30-sto dniowy klucz darmowy i przeskanować kompa porządnie. Powinno pomóc.

Promuję tematy:
17.10.2020 [Sprzedam] Oprogramowanie firmware do drukarek Brother - ceny od 50 do 150 zł

maciek11 · Answer

W takim razie gdzie szukać przyczyny?

dr.master · Answer

Jesli nie Kaspersky to spróbuj jakiegoś skanera on-line

lelekx · Answer

co do logu: co to jest Spyware doctor? Druga sprawa - kiedy odbywa się ruch sieciowy, uruchom w konsoli CMD polecenia: Kod: text Rozwiń Zaznacz wszystko Kopiuj do schowka netstat -aon >conn.txt tasklist > tasks.txt i podaj pliki conn.txt i tasks.txt na forum

Kolobos · Answer

lelekx > co do logu: co to jest Spyware doctor? Uzyj google to sie dowiesz.

maciek11 · Answer

Przesyłam pliki : conn.txt Kod: text Rozwiń Zaznacz wszystko Kopiuj do schowkaNazwa obrazu                 PID Nazwa sesji      Nr sesji  Uľycie pam. ========================= ====== ================ ======== ============ System Idle Process            0 Console                 0        16 KB System                         4 Console                 0       220 KB SMSS.EXE                     500 Console                 0       372 KB CSRSS.EXE                    828 Console                 0     4˙408 KB WINLOGON.EXE                 988 Console                 0     5˙164 KB SERVICES.EXE                1124 Console                 0     4˙084 KB LSASS.EXE                   1184 Console                 0     1˙964 KB SVCHOST.EXE                 1732 Console                 0     4˙644 KB SVCHOST.EXE                 1936 Console                 0     4˙316 KB SVCHOST.EXE                  292 Console                 0    24˙896 KB SVCHOST.EXE                  488 Console                 0     3˙416 KB SVCHOST.EXE                  788 Console                 0     7˙548 KB EXPLORER.EXE                1320 Console                 0    23˙604 KB SPOOLSV.EXE                 1868 Console                 0     4˙680 KB ISAFE.EXE                    340 Console                 0    11˙752 KB MDM.EXE                      420 Console                 0     2˙844 KB NVSVC32.EXE                  608 Console                 0     3˙324 KB SVCHOST.EXE                  984 Console                 0     4˙092 KB WDFMGR.EXE                  1496 Console                 0     1˙660 KB VETMSG.EXE                  1628 Console                 0     4˙068 KB DRAGDIAG.EXE                1604 Console                 0     2˙236 KB NvMixerTray.exe             1744 Console                 0     3˙480 KB RUNDLL32.EXE                 216 Console                 0     2˙836 KB CCTRAY.EXE                   536 Console                 0     8˙568 KB CAVRID.EXE                   516 Console                 0     3˙692 KB ALG.EXE                     1208 Console                 0     3˙652 KB CTFMON.EXE                   332 Console                 0     3˙384 KB SVCHOST.EXE                 2340 Console                 0     3˙276 KB cmd.exe                     3868 Console                 0     2˙544 KB NOTEPAD.EXE                 1336 Console                 0       568 KB tasklist.exe                3304 Console                 0     4˙168 KB wmiprvse.exe                 864 Console                 0     5˙492 KB Oraz tasks.txt Aktywne połączenia Kod: text Rozwiń Zaznacz wszystko Kopiuj do schowkaProtokół  Adres lokalny          Obcy adres        Stan           PID   TCP    0.0.0.0:135            0.0.0.0:0              NASťUCHIWANIE    1936   TCP    0.0.0.0:445            0.0.0.0:0              NASťUCHIWANIE    4   TCP    0.0.0.0:2869           0.0.0.0:0              NASťUCHIWANIE    788   TCP    127.0.0.1:1025         0.0.0.0:0              NASťUCHIWANIE    340   TCP    127.0.0.1:1025         127.0.0.1:1028         USTANOWIONO     340   TCP    127.0.0.1:1025         127.0.0.1:1032         USTANOWIONO     340   TCP    127.0.0.1:1026         0.0.0.0:0              NASťUCHIWANIE    340   TCP    127.0.0.1:1027         0.0.0.0:0              NASťUCHIWANIE    340   TCP    127.0.0.1:1027         127.0.0.1:1029         USTANOWIONO     340   TCP    127.0.0.1:1027         127.0.0.1:1030         USTANOWIONO     340   TCP    127.0.0.1:1028         127.0.0.1:1025         USTANOWIONO     1628   TCP    127.0.0.1:1029         127.0.0.1:1027         USTANOWIONO     1628   TCP    127.0.0.1:1030         127.0.0.1:1027         USTANOWIONO     536   TCP    127.0.0.1:1031         0.0.0.0:0              NASťUCHIWANIE    1208   TCP    127.0.0.1:1032         127.0.0.1:1025         USTANOWIONO     536   TCP    127.0.0.1:1453         127.0.0.1:2869         USTANOWIONO     292   TCP    127.0.0.1:2869         127.0.0.1:1453         USTANOWIONO     788   TCP    213.238.125.134:139    0.0.0.0:0              NASťUCHIWANIE    292   UDP    0.0.0.0:445            *:*                                    4   UDP    0.0.0.0:500            *:*                                    1184   UDP    0.0.0.0:1037           *:*                                    292   UDP    0.0.0.0:1057           *:*                                    488   UDP    0.0.0.0:1069           *:*                                    488   UDP    0.0.0.0:1199           *:*                                    488   UDP    0.0.0.0:4500           *:*                                    1184   UDP    127.0.0.1:123          *:*                                    292   UDP    127.0.0.1:1038         *:*                                    292   UDP    127.0.0.1:1448         *:*                                    292   UDP    127.0.0.1:1454         *:*                                    292   UDP    127.0.0.1:1900         *:*                                    788   UDP    213.238.125.134:68     *:*                                    292   UDP    213.238.125.134:123    *:*                                    292   UDP    213.238.125.134:137    *:*                                    292   UDP    213.238.125.134:138    *:*                                    292   UDP    213.238.125.134:1900   *:*                                    788

lelekx · Answer

Na to wygląda, że żadne połączenie na zewnątrz w tym czasie nie było ustanowione. Jeżeli coś siedzi, zostaje sprawdzenie, czy nie łączy się przed firewallem.
Jak faktycznie czujesz, że jakiś dziad siedzi, ściągnij LSPFIX i zobacz, co masz w łańcuchach LSP. Możesz się jeszcze wyposażyć np. w RootkitRevealera. Spróbować też możesz zrobić płytę z BartPE i jakimś antywirusem, żeby przeskanować dysk z niezainfekowanego systemu.

A co do "Spyware doctor" to sprawdziłem dopiero później - jakoś mi się ta nazwa źle kojarzy (chociażby z Spyware Sheriff).

maciek11 · Answer

Dziękuję wszystkim za pomoc w rozwiązaniu mojego problemu. Nareszcie wszystko działa tak jak powinno. Pozdrawiam.

Niestety mój komputer został zainfekowany jakimś wirusem!

Post #1

Post #2

Post #3

Post #4

Post #5

Post #6

Post #7

Post #8

Post #9

Post #10

Post #11

Post #12

Post #13

Post #14

Post #15

Post #16

Post #17

Podsumowanie tematu