Re: Podmieniony Shell

rejestr by uruchomic zmien plik regedit.exe na regedit.com
szankiel wrote:

> Witam

> Klikając na pozornie bezpieczny link w googlach (po wyszukaniu) nabawiłem
> się następujących trojanów i vrusów
> (żadne tam strony XXX!!!).

> --------- Raport skanera on-line ---------
> ; Data modułu wykrywającego wirusy : 2004-10-07
> ; Data bazy wirusów : 2005-09-01
> ; ------------------------------------------
> D:WINDOWSkl.exe <- ZNALEZIONO : Trojan.Dropper.Small.Aek Plik usunięty
> D:WINDOWShosts <- ZNALEZIONO : Trojan.Qhost.K Plik usunięty
> D:WINDOWStool2.exe <- ZNALEZIONO : Trojan.Fakealert.Mg.A16 Nie udało się
> usunąć
> D:WINDOWStool2.exe <- ZNALEZIONO : Trojan.Fakealert.Mg.A16 Zmieniona nazwa
> pliku
> D:WINDOWStool3.exe <- ZNALEZIONO : Trojan.Downloader.Vb.Nh Plik usunięty
> D:WINDOWStool4.exe <- ZNALEZIONO : Trojan.Proxy.Mitglieder.Ds Plik
> usunięty
> D:WINDOWStool5.exe <- ZNALEZIONO : Trojan.Downloader.Asks Plik usunięty
> D:WINDOWSms1.exe <- ZNALEZIONO : Trojan.Downloader.Asks Plik usunięty
> D:WINDOWSms2.exe <- ZNALEZIONO : Trojan.Downloader.Asks Plik usunięty
> D:WINDOWSsystem32ddraw32.dll <- ZNALEZIONO : Trojan.Proxy.Mitglieder.Ds
> Nie udało się usunąć
> D:WINDOWSsystem32ddraw32.dll <- ZNALEZIONO : Trojan.Proxy.Mitglieder.Ds
> Brak akcji
> D:WINDOWSsystem32msupdate32.exe <- ZNALEZIONO :
> Trojan.Proxy.Mitglieder.Ds Plik usunięty
> D:WINDOWSsystem32tibs.exe <- ZNALEZIONO : Trojan.Dktibs Plik usunięty
> D:WINDOWSsystem32paytime.exe <- ZNALEZIONO : Trojan.Startpage.Pt Nie
> udało się usunąć
> D:WINDOWSsystem32paytime.exe <- ZNALEZIONO : Trojan.Startpage.Pt Brak
> akcji
> D:WINDOWSsystem32driversetchosts <- ZNALEZIONO : Trojan.Qhost.K Plik
> usunięty
> D:Program FilesCommon FilesMicrosoft SharedWeb Foldersibm00001.exe <-
> ZNALEZIONO : Trojan.Reboot.A1 Plik usunięty
> D:Program FilesCommon FilesMicrosoft SharedWeb Foldersibm00001.dll <-
> ZNALEZIONO : Trojan.Reboot.A2 Nie udało się usunąć
> D:Program FilesCommon FilesMicrosoft SharedWeb Foldersibm00001.dll <-
> ZNALEZIONO : Trojan.Reboot.A2 Brak akcji
> D:Program FilesCommon FilesMicrosoft SharedWeb Foldersibm00002.dll <-
> ZNALEZIONO : Trojan.Psw.Small.Ak Nie udało się usunąć
> D:Program FilesCommon FilesMicrosoft SharedWeb Foldersibm00002.dll <-
> ZNALEZIONO : Trojan.Psw.Small.Ak Brak akcji
> ! Skanowanie przerwane przez użytkownika!
> ; ------------------------------------------
> ; Liczba przeskanowanych plików : 21043
> ; Liczba zainfekowanych plików : 16
> ;
> ; Liczba wyleczonych plików : 0
> ; Liczba przemianowanych plików : 1
> ; Liczba skasowanych plików : 0
> ; Pozostało zarażonych : 5
> ; ------------------------------------------

> które usunąłem częściowo MKS virem a częściowo z poziomu Win98 (
> zainstalowanego na pierwszej partycji c:Windows obok WinXp)
> Nortonem Antyvirusem; skutecznie.

> Jednak po usunięciu całego śmiecia pozostały gdzieś w rejestrze odwołania do
> podmienionego przez trojana "złego" shell'a.
> Efekt, wszystko co wymaga rundll.exe nie odpala się. Żadna "exekowa"
> aplikacje nie uruchamia się. Dostaje komunikat o niemożliwości odszukania
> odpalonego skrótem pliku. (Niemniej skojarzenia do rozszerzeń innych
> działają , mogę klikajac np. cośtam.mp3 wywołać WinAmpa etc.
> Dodatkowo zaraz po starcie mam oczywiście komunikat ze system nie może
> odnaleźć pliku ibm00001.exe<dll> który był plikiem trojana (ładującym "zły"
> shell) umieszczonym w : d:Program FilesCommon FolesMicrosoft
> SharedWebFolders

> Nie mogę odpalić regedit
> Nie mogę przez F1 wywołać wizarda do przywracania systemu z zapamiętanej
> kopi (punk przywracania systemu).
> Tryb awaryjny nie załatwia sprawy, te same objawy.

> Wiem ze ktoś kiedyś napisał mały programik w C++ który odpalony podmienia
> wpisy w rejestrze.
> Nie chce przinstalowywaćWin XP.
> To kwestia walki do końca :)

> Pozdrawiam i proszę o pomocne sugestie

> Andrzej
Received on Wed Oct 5 11:10:16 2005