Arabski? Wirus

[lukas12x]

Od niedawna mój komputer zostaje atakowany przez jakiegoś wirusa. Po prostu na pulpicie wyskakuje jakiś obrazek z dwoma Żydami (bez rasizmu, naprawdę to Zydzi) podającymi sobie ręke. Oraz plik od przeglądarki. Kiedy go włącze wyskakują Arabskie (chyba) napisy bo od strony prawej na lewą. CZasem także u góry ekranu wyskakuje żółty pasek z arabskimi literami. Wydaje mi się że haker kontroluje mój komputer. Ponieważ : Zablokował mi Menadżera zadań- Wyskakuje Menadżer zadań zostakł zablokowany przez Administratora. Zablokował mi edycje rejestru wyskakuje edytor rejestru został zablokowany przez administratora. Sam się włącza EA Download menager. Spróbuję póżniej zrobić screena tych plików. Teraz ich nie mam bo wywaliłem je do kosza.

Sreeny :

http://zapodaj.net/6c157f637a31.png.html

http://zapodaj.net/f9bf3469db1f.png.html

http://zapodaj.net/deca0523e54a.png.html

http://zapodaj.net/a9b93b5be999.png.html

http://zapodaj.net/79f10beafef8.png.html

[Firestone]

Spróbuj przeskanować kompa Malwarebytes Antimalware.

[adam1415]

Jakiego masz firewalla i czy jest on skonfigurowany? Z jakiego antywirusa korzystasz*? Sciagnij Malwarebytes Antymalware, A-Squared Free, OTL, GMER, odlacz kompa z netu (upewnij sie poprzednio, ze MBAM oraz ASF i GMER sa zakutalizowane) i przeskanuj kompa. Wyniki wrzuc na forum.

* - jesli to Avast to od razu go wywal i w jego miejsce zainstaluj cos porzadniejszego (Avire lub pakiet Comodo Internet Security)

[Alaknar]

Strasznie pozytywny wirus, sądząc po tym obrazku! : ) Ci "dwaj Żydzi" (słowo daję, nie wiem skąd ten protekcjonizm w Twoim poście : ) ), to jakieś większe szyszki z Izraela (niestety, imion nie pamiętam), ten po prawej to "znany w pewnych kręgach" prezydent Iranu. : )

Ale do rzeczy - ściągnij Malwarebyte's Anti-Malware. Restart komputera, uruchom go w trybie awaryjnym (F8 podczas uruchamiania komputera), zainstaluj MBAM, odpal, zeskanuj wszystko ze dwa razy. Niech program naprawi wszystko, co ma do naprawiania.

Następnie pokarz na forum drugi log, jaki zostanie wygenerowany (otworzy się w Notatniku plik tekstowy, skopiuj zawartość i wrzuć na wklej.org). Ściągnij też program OTL, zrób skan i wrzuć tutaj (podobnie jak poprzednio) log.

EDIT - niech to licho! Nie zdążyłem! : )

[lukas12x]

Wyniki skanowań :

OTL: http://wklej.org/id/371028/

Malwarebyte's Anti-Malware wynik nie chciał się wkleić w wklej.org więc załączam go tutaj:

Malwarebytes' Anti-Malware 1.46

www.malwarebytes.org

Wersja bazy: 4052

Windows 6.0.6000

Internet Explorer 7.0.6000.17037

2010-07-30 19:44:28

mbam-log-2010-07-30 (19-44-28).txt

Typ skanowania: Pełne skanowanie (C:\|D:\|E:\|F:\|)

Przeskanowano obiektów: 316103

Upłynęło: 1 godzin(y), 24 minut(y), 55 sekund(y)

Zainfekowanych procesów w pamięci: 0

Zainfekowanych modułów w pamięci: 0

Zainfekowanych kluczy rejestru: 0

Zainfekowanych wartości rejestru: 4

Zainfekowane informacje rejestru systemowego: 7

Zainfekowanych folderów: 1

Zainfekowanych plików: 5

Zainfekowanych procesów w pamięci:

(Nie znaleziono zagrożeń)

Zainfekowanych modułów w pamięci:

(Nie znaleziono zagrożeń)

Zainfekowanych kluczy rejestru:

(Nie znaleziono zagrożeń)

Zainfekowanych wartości rejestru:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\soundmax (Worm.Malas) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\nofolderoptions (Hijack.FolderOptions) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\nofolderoptions (Hijack.FolderOptions) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore\disableconfig (Windows.Tool.Disabled) -> Delete on reboot.

Zainfekowane informacje rejestru systemowego:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions (Hijack.FolderOptions) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions (Hijack.FolderOptions) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools (Hijack.Regedit) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr (Hijack.TaskManager) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Zainfekowanych folderów:

C:\Program Files (x86)\XPCode (Worm.P2P) -> Delete on reboot.

Zainfekowanych plików:

C:\Program Files (x86)\XPCode\Games.lnk (Worm.P2P) -> Quarantined and deleted successfully.

C:\Program Files (x86)\XPCode\SexGame.exe (Worm.P2P) -> Quarantined and deleted successfully.

C:\Program Files (x86)\XPCode\SexGameList.pif (Worm.P2P) -> Quarantined and deleted successfully.

C:\Program Files (x86)\XPCode\SexScreenSaver.scr (Worm.P2P) -> Quarantined and deleted successfully.

C:\Users\pc\userinit.exe (Worm.Malas) -> Delete on reboot.

[adam1415]

Niech Malwarebytes naprawi to co znalazl. Dla mnie log OTL wyglada w porzadku (widocznie MBAM juz wykonal swoje zadanie), ale moze Sevard sie cos tam dopatrzy. Zrob jeszcze pelny skan Dr Web CureIT (znajdz na google darmowy skaner z oficjalnej strony producenta). Niech usunie reszte dziadostwa jesli jest. I daj znac jak sie sytem po tym wszystkim zachowuje?

Z jakiego firewalla korzystasz i antywirusa?

[Sevard]

Zaktualizuj bazę Malwarebytes' Anti-Malware i wykonaj ponowne pełne skanowanie. Wklej log na forum.

Do tego daj nowe logi z OTL (wszystkie opcje ustaw na "użyj filtrowania").