Backdoor:Win32/IRCbot trojan

Dakle, problemi su počeli kada mi Akcijski centar u Windows 7 prestao raditi kao i Firewall.

Uz pomoć WimMounta sam popravio firewall i koruptiranu datoteku dok mi Akcijski centar i dalje ne radi, (slika1). Pokušao sam razne metode i na kraju sam dva sata skenirao računalo sa Microsoft Safety Scannerom te je on pronašao spomenutog trojanca i nije ga se uspio riješiti. Kao ni avast ni Malwarebytes anti-malware.

Išao sam i ručno po uputama da ugasim proces Backdoor.Win32.IRCBot.fx te iz regitrya uklonim sljedeće:

HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\ XTray.exe
HKEY_LOCAL_MACHINESOFTWAREMICROSOFTWINDOWSCURRENTVERSIONRUN XTray.exe

No nakon šta je Microsoft Safety Scanner obavio posao toga nema iako je rečeno da taj trojanac nije izbrisan.

Pa ako je netko riješio problem oko tog trojanca bio bi zahvalan na savjetu....

Dali si probao iz nekog live linuxa skenirati?

Pravio avira rescue cd?

  uradi ovako i kopiraj logove da pogledam

otvori OTS i ovo kopiraj u prazno polje

[Kill All Processes]
[Unregister Dlls]
[Registry - Safe List]
< Internet Explorer Settings [HKEY_USERS\S-1-5-21-999034565-2869669309-4251437818-1000\] > ->
YN -> HKEY_USERS\S-1-5-21-999034565-2869669309-4251437818-1000\: Main\\"Start Page Redirect Cache_TIMESTAMP" -> BD 86 66 7F 15 9A CB 01 [binary data]
< 64bit-BHO's [HKEY_LOCAL_MACHINE] > -> 64bit-HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\
YN -> {3706EE7C-3CAD-445D-8A43-03EBC3B75908} [HKLM] -> Reg Error: Key error. [Expat Shield Class]
< Internet Explorer ToolBars [HKEY_USERS\S-1-5-21-999034565-2869669309-4251437818-1000\] > -> HKEY_USERS\S-1-5-21-999034565-2869669309-4251437818-1000\Software\Microsoft\Internet Explorer\Toolbar\
YN -> WebBrowser\\"{D4027C7F-154A-4066-A1AD-4243D8127440}" [HKLM] -> Reg Error: Key error. [Reg Error: Key error.]
< 64bit-SSODL [HKEY_LOCAL_MACHINE] > -> HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
YN -> "{E6FB5E20-DE35-11CF-9C87-00AA005127ED}" [HKLM] -> Reg Error: Key error. [WebCheck]
< SSODL [HKEY_LOCAL_MACHINE] > -> HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
YN -> "{E6FB5E20-DE35-11CF-9C87-00AA005127ED}" [HKLM] -> Reg Error: Key error. [WebCheck]
< MountPoints2 [HKEY_CURRENT_USER] > -> HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2
YN -> \G\shell\\"" -> [AutoRun]
YN -> \G\shell\AutoRun\command\\"" -> [G:\autorun.exe]
YN -> \H\shell\\"" -> [AutoRun]
YN -> \H\shell\AutoRun\command\\"" -> [H:\setup.exe]
[Registry - Additional Scans - Safe List]
< 64bit-Disabled MSConfig Registry Items [HKEY_LOCAL_MACHINE] > -> HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\
YN -> Malwarebytes' Anti-Malware hkey=Reg Error: Value error. key=Reg Error: Value error. -> Reg Error: Value error.
< SafeBoot-Minimal Settings > -> HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\
YN -> 81547168.sys -> Driver
YN -> 84877701.sys -> Driver
< 64bit-SafeBoot-Network Settings > -> HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\
YN -> hitmanpro36 -> Reg Error: Value error.
YN -> hitmanpro36.sys -> Reg Error: Value error.
< SafeBoot-Network Settings > -> HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\
YN -> hitmanpro36 -> Reg Error: Value error.
YN -> hitmanpro36.sys -> Reg Error: Value error.
[Files/Folders - Created Within 30 Days]
NY -> 105cf017 -> C:\Users\Domagoj\AppData\Local\105cf017
NY -> 5 C:\Windows\*.tmp files -> C:\Windows\*.tmp
NY -> 20 C:\Windows\SysWow64\*.tmp files -> C:\Windows\SysWow64\*.tmp
NY -> 1 C:\Users\Domagoj\AppData\Local\*.tmp files -> C:\Users\Domagoj\AppData\Local\*.tmp
[Files/Folders - Modified Within 30 Days]
NY -> 5 C:\Windows\*.tmp files -> C:\Windows\*.tmp
NY -> 20 C:\Windows\SysWow64\*.tmp files -> C:\Windows\SysWow64\*.tmp
NY -> 1 C:\Users\Domagoj\AppData\Local\*.tmp files -> C:\Users\Domagoj\AppData\Local\*.tmp
[Files - No Company Name]
NY -> ParetoLogic Registration3.job -> C:\Windows\tasks\ParetoLogic Registration3.job
NY -> ParetoLogic Update Version3.job -> C:\Windows\tasks\ParetoLogic Update Version3.job
[Alternate Data Streams]
NY -> @Alternate Data Stream - 122 bytes -> C:\ProgramData\TEMP:A1063995
[Purity]
[Empty Temp Folders]
[EmptyFlash]
[EmptyJava]
[CreateRestorePoint]
[Reboot]

-klik na RUN FIX

-log koji dobieš kopiraj

2. skini combofix i spremi na desktop

-isključi antivirus

-pokreni combofix i na sve što traži odgovori potvrdno

-log kopiraj

Ništa ne govori taj post jer to ne funkcionira!!

Nakon ove zadnje operacije ne radi ni jedna igra, (ni originali ni pirati), mnogi programi...

Veća slika

  samo restartiraj računalo i opet će bit sve ok

  pronađi ova dva file-a i uploadaj ih na Jotti's malware scan

rezultate kopiraj

C:\Windows\SysWow64\pdftk.exe
C:\Windows\SysWow64\ptj.exe

  afd.sys ima odgvarajući md5 , ali zato nema odgovarajući registri unos

[HKEY_LOCAL_MACHINE\system\CurrentControlSet\Services\afd]
"BootFlags"= 0x0000000001 (1)
"DisplayName"="@%systemroot%\system32\drivers\afd.sys,-1000"
"Group"="PNP_TDI"
"ImagePath"="\SystemRoot\system32\drivers\afd.sys"
"Description"="@%systemroot%\system32\drivers\afd.sys,-1000"
"ErrorControl"= 0x0000000001 (1)
"Start"= 0x0000000001 (1)
"Type"= 0x0000000001 (1)

[HKEY_LOCAL_MACHINE\system\CurrentControlSet\Services\afd\Parameters]
(No values found)

[HKEY_LOCAL_MACHINE\system\CurrentControlSet\Services\afd\Enum]
"0"="Root\LEGACY_AFD\0000"
"Count"= 0x0000000001 (1)
"NextInstance"= 0x0000000001 (1)

skini ovaj .reg i spremi na desktop

-desni klik mišem na .reg i klik na merge

-restartiraj računalo

2. farbar service scanner 

-skini program i spremi na desktop

-sve označi i klik na scan, kad zavši scan log koji dobiješ kopiraj

FSS.txt

combofix nam više neće trebati, i mislim da bi sad trebalo biti sve ok

kako radi računalo ?

wscsvc.reg

skini ovaj reg i spremi na desktop, klik na merge

pogledaj u services da li se pojavio security center

Total koja si struka?

  pokeni systemlook i ovo kopiraj u prazno polje

:filefind
wscsvc

:reg
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\wscsvc /s

  ajmo probat još ovo

ponovo skini wscsvc.reg i spremi na desktop

-desn klik mišem na   wscsvc.reg >>klik na merge

-restart

nakon restarta

-start/search/ u search polje upiši regedit i potvrdi
-pronađi ovaj ključ HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\wscsvc
-desni klik mišem na wscsvc , klik na "Permissions"
-klik na ADD i upiši Everyone >>klik na OK
-sad klik na Everyone
-u premisions panelu označi "Alow" u "Full control" redu

ako ni to ne pomogne

skini ovaj program i spremi na desktop

otvori advanced tab, označi kao na slici, označi restart system when finish i klik na start

javi kako je

možeš izbrisati OTS, combofix i ostale alate koje smo koristili

otvori OTS i klik na clean up

OTS će pobristai sebe i većinu alata, a ako je što ostalo, samo s mišm odvuci u smeće

Di si ovo pokupija? Da nebi ja slucajno jer mi je ocajna zastita racunala :/

  šteta što zadnji korak nije uspio, a trebao bi....

zanimljivo,prema farbar service scaneru svi servisi su ok ,i ne bi trebalo uopće biti problema s securit centrom

jedno je sigurno, virusa nemaš na računalu