System NT Kernel & System

Apollo79 · #1 (**permalink**) 31.10.2009, 21:12

Witam,

Mam problem z laptopem Acer Aspire 3690. Proces System zabija mi laptopa - zajęcie procesora czesto na poziomi 88-100% CPU. Jaka może być tego przyczyna? Poniżej wklejam logi z OTL-a. Jeśli zajdzie potrzeba mogę zrobić log ComboFix-em.
Z góry dziękuję za pomoc.

Plik OTL - http://www.wklej.org/id/191547/

Plik Extras - http://www.wklej.org/id/191548/

Pozdrawiam,

Ptrk05 · #2 (**permalink**) 31.10.2009, 21:40

Cytat:

Napisał Win32:Sality

Zastosuj ComboFix.

Przeczytaj uważnie instrukcję do tego programu, po czym wyłącz swój program antywirusowy, firewall i inne programy, które mogą zakłócać nawet pobieranie ComboFixa twierdząc, że jest wirusem. Nie jest.. Spokojnie go ściągnij i zapisz na pulpicie.

Pobierz:

Uruchom program z dwukliku (VISTA: prawoklik i 'uruchom jako administrator'). Pozwól mu spokojnie działać, nie klikaj ani nie stukaj w klawiaturę - to może spwodować zawieszenie się komputera. Jeśli będzie potrzeba - zgódź się na restart. Zalecane jest też instalowanie konsoli odzyskiwania, jeśli ComboFix o nią poprosi. Dzięki niej można odrolować zmiany w przypadku pomyłki narzędzia.

Kiedy program skończy, wytworzy loga (będzie on także w pliku C:\ComboFix.txt), którego wklej w odpowiedzi, pamiętając o tagach [code] lub na www.wklej.org.

Apollo79 · #3 (**permalink**) 31.10.2009, 22:42

Ok, zrobiłem log-a ComboFix-em. ComboFix najpierw napisał że znalazł Rootkita i poprosił o restart. Tak też zrobiłem. Da się odczytać jaki to był rootkit?

LOG - http://www.wklej.org/id/191629/

Win32:Sality · #4 (**permalink**) 31.10.2009, 23:25

Otwórz systemowy notatnik (i tylko on, ponieważ ComboFix jest niekompatybilny z innymi) i wklej do niego poniższy skrypt:

Kod:

KillAll::

File::
c:\windows\Setup1.exe
c:\windows\ODEUNST.EXE
c:\windows\modcas.dll
c:\windows\msvbvm60.dll
c:\windows\odestkit.dll
c:\users\Agnieszka\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\tmonitor.exe

Folder::
c:\users\Agnieszka\AppData\Local\.#
C:\af4902fe6be809c0ff9181d6f4fc943c
C:\a830846e7949723d2f
C:\aaf0b2cff342505a9115e7
c:\users\Default\AppData\Local\temp
c:\users\Agnieszka\AppData\Local\temp
c:\windows\ia32.dll
c:\program files\wellgames

DirLook::
C:\KrView
c:\program files\KrView

Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"????r"=-
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]
"{8e41e543-e069-4197-8608-e8b4c2f75747}"= -
[-HKEY_CLASSES_ROOT\clsid\{8e41e543-e069-4197-8608-e8b4c2f75747}]
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{8e41e543-e069-4197-8608-e8b4c2f75747}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{8e41e543-e069-4197-8608-e8b4c2f75747}"=-
[-HKEY_CLASSES_ROOT\clsid\{8e41e543-e069-4197-8608-e8b4c2f75747}]
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\Webbrowser]
"{8E41E543-E069-4197-8608-E8B4C2F75747}"=-
[-HKEY_CLASSES_ROOT\clsid\{8e41e543-e069-4197-8608-e8b4c2f75747}]

Reboot::

Plik zapisz jako CFScript.txt, po czym przeciągnij go i upuść na ikonę ComboFixa, jak na obrazku poniżej:

To go uruchomi. Dasz do oceny loga, który powstanie po działaniu programu.

Ściągnij program Malwarebytes Anti-Malware, ręcznie uaktualnij jego bazę danych i wykonaj pełne skanowanie komputera.
Pokaż potem na forum raport z tego skanowania.

Apollo79 · #5 (**permalink**) 31.10.2009, 23:58

Wklejam log z ComboFixa
http://www.wklej.org/id/191710/

Za moment będzie raport z Malwarebytes Anti-Malware.
Acha - ComboFix wysyłał jakieś pliki na serwer - nie mam pojęcia jakie.

Wrzucam log z Malwarebytes Anti-Malware - http://www.wklej.org/id/192009/
Znalazł jakiegoś rootkita.

Na stronie http://virusscan.jotti.org/pl/ przeskanowałem ten plik r-k.exe i F-PROT tylko wykrył W32/Damaged_File.gen!Eldorado.

Win32:Sality · #6 (**permalink**) 01.11.2009, 15:55

Każ MBAMowi usunąć ten plik.

Do wykonania zostało sprzątanie po "czyścicielach". Nie trzymaj tych programów na dysku, ponieważ sa one na bieżąco aktualizowane - jeśli znowu kiedyś przytrafi Ci się infekcja, wtedy na pewno będą nowe ich wersje.

Usuwanie ComboFixa:
- Start => uruchom => ComboFix /u i enter
- Sprawdź, czy z dysku zniknął folder C:\Qoobox, jeśli nie, to usuń go ręcznie przez Shift + Del.
Ściągnij i uruchom programik OTC - doczyści resztki.
Wyczyść lokalizacje tymczasowe. Najlepiej w tym celu ściągnąć i uruchomić program TFC, który wykona to automatycznie.
Można to też zrobić ręcznie za pomocą ATF Cleanera. Instrukcję obsługi znajdziesz tutaj.
Wyczyść punkty przywracania systemu poprzez chwilowe wyłączenie tej funkcji. Szczegóły: KLIK

Malwarebytes Anti-Malware zostaw na dysku, ponieważ jest to bardzo dobry program, tylko trzeba go ręcznie aktualizowć. W zasadzie to powiem, że dzięki niemu można samemu wiele swoich problemów z komuterem rozwiązać.

PAMIĘTAJ: Ty jesteś najlepszym zabezpieczeniem dla swojego komputera. Najlepszym programem antywirusowym i firewallem nie zabezpieczysz komputera tak dobrze, jak zdrowym rozsądkiem.

Szybka odpowiedź
Po Twoich działaniach wystąpiły następujące błędy

OK
Weryfikacja obrazka Wiadomość: Kliknij jedną z ikon szybkiej odpowiedzi w postach powyżej w celu aktywacji tego okna. Opcje Zacytować wiadomość podczas odpowiedzi? Dodawanie szybkiej odpowiedzi - Proszę czekać!

Narzędzia wątku	Przeszukaj ten temat
Wersja do druku Wyślij na email	Przeszukaj ten temat: Zaawansowane wyszukiwanie
Wygląd
Wygląd liniowy Wygląd mieszany Wygląd wątkowy

Podobne wątki
Temat	Autor wątku	Forum	Odpowiedzi	Ostatni post/autor
system windows nie może dokończyć formatowania pendrive - system plików raw	juro_888	windows	13	16.07.2011 23:30
[RS]System of a Down - System of a Down (1998)	HErr_Panzer	albumy rock & metal	4	28.04.2011 18:31
System error! your system is infected with dangerous virus!	ula666devil	Logi do sprawdzenia	7	13.05.2008 20:57
Program musi mieć rejestr i system NT. Nie wolno mu zostawić śladu na dysku. - Jak ?	yakuzja	windows	0	10.02.2008 15:17

Wiadomość

Anuluj zmiany