Podmieniony Shell

Witam

Klikając na pozornie bezpieczny link w googlach (po wyszukaniu) nabawiłem
się następujących trojanów i vrusów
(żadne tam strony XXX!!!).

 --------- Raport skanera on-line ---------
; Data modułu wykrywającego wirusy : 2004-10-07
; Data bazy wirusów : 2005-09-01
; ------------------------------------------
D:\WINDOWS\kl.exe <- ZNALEZIONO : Trojan.Dropper.Small.Aek Plik usunięty
D:\WINDOWS\hosts <- ZNALEZIONO : Trojan.Qhost.K Plik usunięty
D:\WINDOWS\tool2.exe <- ZNALEZIONO : Trojan.Fakealert.Mg.A16 Nie udało się
usunąć
D:\WINDOWS\tool2.exe <- ZNALEZIONO : Trojan.Fakealert.Mg.A16 Zmieniona nazwa
pliku
D:\WINDOWS\tool3.exe <- ZNALEZIONO : Trojan.Downloader.Vb.Nh Plik usunięty
D:\WINDOWS\tool4.exe <- ZNALEZIONO : Trojan.Proxy.Mitglieder.Ds Plik
usunięty
D:\WINDOWS\tool5.exe <- ZNALEZIONO : Trojan.Downloader.Asks Plik usunięty
D:\WINDOWS\ms1.exe <- ZNALEZIONO : Trojan.Downloader.Asks Plik usunięty
D:\WINDOWS\ms2.exe <- ZNALEZIONO : Trojan.Downloader.Asks Plik usunięty
D:\WINDOWS\system32\ddraw32.dll <- ZNALEZIONO : Trojan.Proxy.Mitglieder.Ds
Nie udało się usunąć
D:\WINDOWS\system32\ddraw32.dll <- ZNALEZIONO : Trojan.Proxy.Mitglieder.Ds
Brak akcji
D:\WINDOWS\system32\msupdate32.exe <- ZNALEZIONO :
Trojan.Proxy.Mitglieder.Ds Plik usunięty
D:\WINDOWS\system32\tibs.exe <- ZNALEZIONO : Trojan.Dktibs Plik usunięty
D:\WINDOWS\system32\paytime.exe <- ZNALEZIONO : Trojan.Startpage.Pt Nie
udało się usunąć
D:\WINDOWS\system32\paytime.exe <- ZNALEZIONO : Trojan.Startpage.Pt Brak
akcji
D:\WINDOWS\system32\drivers\etc\hosts <- ZNALEZIONO : Trojan.Qhost.K Plik
usunięty
D:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00001.exe <-
ZNALEZIONO : Trojan.Reboot.A1 Plik usunięty
D:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00001.dll <-
ZNALEZIONO : Trojan.Reboot.A2 Nie udało się usunąć
D:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00001.dll <-
ZNALEZIONO : Trojan.Reboot.A2 Brak akcji
D:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00002.dll <-
ZNALEZIONO : Trojan.Psw.Small.Ak Nie udało się usunąć
D:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00002.dll <-
ZNALEZIONO : Trojan.Psw.Small.Ak Brak akcji
! Skanowanie przerwane przez użytkownika!
; ------------------------------------------
; Liczba przeskanowanych plików : 21043
; Liczba zainfekowanych plików : 16
;
; Liczba wyleczonych plików : 0
; Liczba przemianowanych plików : 1
; Liczba skasowanych plików : 0
; Pozostało zarażonych : 5
; ------------------------------------------

które usunąłem częściowo MKS virem a częściowo z poziomu Win98 (
zainstalowanego na pierwszej partycji c:\Windows obok WinXp)
Nortonem Antyvirusem; skutecznie.

Jednak po usunięciu całego śmiecia pozostały gdzieś w rejestrze odwołania do
podmienionego przez trojana "złego" shell'a.
Efekt, wszystko co wymaga rundll.exe nie odpala się. Żadna "exekowa"
aplikacje nie uruchamia się. Dostaje komunikat o niemożliwości odszukania
odpalonego skrótem pliku. (Niemniej skojarzenia do rozszerzeń innych
działają , mogę klikajac np. cośtam.mp3 wywołać WinAmpa etc.
Dodatkowo zaraz po starcie mam oczywiście komunikat ze system nie może
odnaleźć pliku ibm00001.exe<dll> który był plikiem trojana (ładującym "zły"
shell) umieszczonym w : d:\Program Files\Common Foles\Microsoft
Shared\WebFolders\

Nie mogę odpalić regedit
Nie mogę przez F1 wywołać wizarda do przywracania systemu z zapamiętanej
kopi (punk przywracania systemu).
Tryb awaryjny nie załatwia sprawy, te same objawy.

Wiem ze ktoś kiedyś napisał mały programik w C++ który odpalony podmienia
wpisy w rejestrze.
Nie chce przinstalowywaćWin XP.
To kwestia walki do końca :)

Pozdrawiam i proszę o pomocne sugestie

Andrzej
Received on Sat Sep 3 10:40:17 2005