infekcja rootkit win32:Qandr proszę o pomoc

[Gość: michał]

Proszę o sprawdzenie logów. wczoraj avast monitorował mnie o wykryciu rootkita
o nazwie win32:Qandr, najwięcej w lokalizacji windows/system32/drivers ,drugie
co wykrył to:VBS:Malware-gen. i nie wiem jak z tym sobie poradzić.
poniżej logi z OTL
Extras- www.wklej.org/id/319125/
OTL - www.wklej.org/id/319126/
log z hijack www.wklej.org/id/320121/

[Gość: Kolobos]

Nie przyszlo Ci do glowy, ze warto podac NAZWY zainfekowanych plikow?
Czy mbam oraz cureit cos wykryly? Jezeli tat to czy usunales infekcje?

Odinstaluj: Ant Toolbar.

Wklej to do OTL i nacisnij Run Fix:

:OTL
FF - prefs.js..browser.search.defaultenginename: "Ant.com"
O3 - HKU\S-1-5-21-515967899-1844823847-682003330-1003\..\Toolbar\WebBrowser: (no name) - {2C688203-7EB3-4327-9995-1CB417BA23F9} - No CLSID value found.
O3 - HKU\S-1-5-21-515967899-1844823847-682003330-1003\..\Toolbar\WebBrowser: (no name) - {32099AAC-C132-4136-9E9A-4E364A424E17} - No CLSID value found.
O4 - Startup: C:\Documents and Settings\DOM\Menu Start\Programy\Autostart\monxga32.exe ()
O33 - MountPoints2\{49a7781c-90d2-11de-8fca-4d6564696130}\Shell\AutoRun\command - "" = 22yj2fy1.exe
O33 - MountPoints2\{49a7781c-90d2-11de-8fca-4d6564696130}\Shell\open\Command - "" = 22yj2fy1.exe

:Files
C:\Documents and Settings\DOM\Dane aplikacji\avdrn.dat
C:\Documents and Settings\DOM\Menu Start\Programy\Autostart\monxga32.exe
C:\WINDOWS\System32\drivers\mshcmd.sys

Daj tez log z combofix.

[Gość: Michał]

log z combofixa www.wklej.org/id/320680/
co do nazw plików to jest ich sporo ponad 100 praktycznie wszystkie z
rozszerzeniem .sys (np. aec.sys,ccdcmb.sys,gdrv.sys,ip6fw.sys,hpzipr12.sys itd),
oraz jeden: 2.tmp , kolejny: fjhdyfhsn.bat
Szybkie skanowanie mbam nie wykryło nic.

[Gość: michał]

raport z mbam po pełnym skanowaniu www.wklej.org/id/320705/

[Gość: Kolobos]

Rozumiem, ze to co wymieniles to pliki juz usuniete przez antywirus?

Uzyj CFScript.txt z combofix:

File::
c:\windows\system32\dllcache\lbrtfdc.sys
c:\windows\system32\drivers\lbrtfdc.sys
c:\documents and settings\NetworkService\Dane aplikacji\kcmdte.dat
c:\windows\system32\config\systemprofile\Dane aplikacji\kcmdte.dat

Driver::
MEMSWEEP2

[Gość: michał]

wszystkie te pliki są w kwarantannie

[Gość: michał]

oto raport z combofixa www.wklej.org/id/320781/

[Gość: michał]

pliki które wymieniłem są w kwarantannie w antywirusie

[Gość: Kolobos]

W takim razie to juz wszystko.

[Gość: michał]

a czy te pliki z kwarantanny należy usunąć czy mają tam zostać?
i jeszcze rzecz tego rodzaju że po włączeniu komputera muszę czekać 15 do 20
minut zanim cokolwiek mogę zrobić, pulpit się pojawia, ikony na pulpicie też,
natomiast cały dolny pasek jest zawieszony, zegarek się nie zmienia a programy
które zawsze obok zegara były wcale się nie pojawiają(dopiero po odczekanym
czasie).a co dziwne pliki i foldery które są na pulpicie do nich mam dostęp ale
np. wchodząc w mój komputer z pozycji pulpitu wejdę ale już na dyski C,D itd.
nie ma możliwości bo się wiesza. czy na to jest jakieś rozwiązanie?

[Gość: Kolobos]

> a czy te pliki z kwarantanny należy usunąć czy mają tam zostać?

Moga zostac.

> jeszcze rzecz tego rodzaju że po włączeniu komputera muszę czekać 15 do 20

Sprobuj odinstalowac na czas testow antywirus. Wylacz zbedne programy w msconfig, zakladka uruchamianie i sprawdz czy cos sie zmieni.

[Gość: michał]

dziękuje za pomoc