zainfekowane pliki systemowe

[~Anonim]

http://www.wklej.org/id/514234/
http://www.wklej.org/id/514236/

Co do windowsa to jest xp mx7, z sp3. To jest jakaś modyfikacja, powywalane niektóre niepotrzebne rzeczy, kilka nowych motywów.

[ognisty_lisek]

Pobierz te pliki:
- ctfmon.exe
- midimap.dll
- msgsvc.dll
- pchsvc.dll
- regedit.exe
- regsvc.dll
- wscntfy.exe

i umieść je bezpośrednio na dysku C.

Następnie pobierz The Avenger i wklej do niego:

Kod:

Files to move:
C:\wscntfy.exe | C:\WINDOWS\system32\wscntfy.exe
C:\ctfmon.exe | C:\WINDOWS\system32\ctfmon.exe
C:\msgsvc.dll | C:\WINDOWS\system32\msgsvc.dll
C:\pchsvc.dll | C:\WINDOWS\system32\pchsvc.dll
C:\regsvc.dll | C:\WINDOWS\system32\regsvc.dll
C:\regedit.exe | c:\windows\regedit.exe
C:\midimap.dll | c:\windows\system32\midimap.dll

Naciśnij Execute, komputer uruchomi się ponownie. Pokaż raport.

W SP3 dla Win XP nie znalazłam tych dwóch plików:
- ias.dll
- iaStor.sys

Jeśli znajdziesz je na płycie systemu, skopiuj też na partycję C i załaduj ten skrypt do Avengera:

Kod:

Files to move:
C:\ias.dll | C:\WINDOWS\system32\ias.dll
C:\iaStor.sys | C:\WINDOWS\system32\drivers\iaStor.sys

(pokaż raport)

Uwaga: Pliki mogą mieć rozszerzenia sy_ albo dl_ . Wtedy trzeba usunąć z ich nazwy "_" i dodać "s" odpowiednio dla "sy_" i "l" dla "dl_".

[~Anonim]

http://wklej.org/id/515569/

Na płycie z windowsem znalazłem jeden plik, iaStor.sys, ten drugi ias jest tylko z rozszerzeniem md_. Czy powinienem zmienić rozszerzenie na dll?

[ognisty_lisek]

Nie, nie zmieniaj. W tym wypadku wykonaj tylko tą część skryptu:

Kod:

Files to move:
C:\iaStor.sys | C:\WINDOWS\system32\drivers\iaStor.sys

[~Anonim]

http://wklej.org/id/515974/

Tutaj załączam raport. Po restarcie nastąpiła dziwna sytuacja. Mianowicie otworzył się raport, chciałem go skopiować podczas włączania się innych programów po restarcie i nagle wyskoczyły mi krzaczki, okazało się iż było to zdjęcie z pulpitu, którego teraz już się nie da otworzyć i jakby zostało edytowane. Miało miejsce również otworzenie się jakiejś jakby konsoli z windowsa tylko na chwile, pojawiła się na pasku zadań ale zaraz zniknęła.

[ognisty_lisek]

W takim razie pokaż nowy log z OTL i RSIT.

[~Anonim]

RSiT log

OTL log

Proszę bardzo.

[ognisty_lisek]

Nic więcej tu nie wskazuje na infekcję, przeskanuj jeszcze dokładnie obszar wszystkich partycji programami MBAM i Dr.Web CureIt!

[~Anonim]

regedit32 scan

Jeszcze nie zdążyłem zrobić skanu programami, którymi podałaś, lecz coś podkusiło mnie aby sprawdzić tamte dwa pliki, które były zainfekowane. Wklejam log. Coś znalazło w regedicie.

edit: tamten plik jest innym zainfekowanym, zeskanowałem go przypadkowo.

[ognisty_lisek]

Nie wiem jakim cudem regedit może być zainfekowany. Wyciągnęłam go prosto z SP3 dla Win XP.