MyCity » Ambulanta -> Arhiva Ambulante » Malware brise boot.ini

Malware brise boot.ini

Napisano na dan: 5.10.2009
2

Malware brise boot.ini
Pagination Prethodna strana

Idi na vrh

Poslao: 06 Okt 2009 18:22
Idi na vrh
offline
  • drejk 
  • Ugledni građanin
  • Pridružio: 31 Mar 2005
  • Poruke: 448
  • Gde živiš: Novi Beograd

ja sam obrisao rucno lufo.exe i .jpg-ove u safe mod-u, ostali samo registry OSmile

sorry al bio sam nestrpljiv, mozda je zbog toga?

da ipak ponovim?



Poslao: 06 Okt 2009 18:30
Idi na vrh
offline
  • dr_Bora  Male
  • Anti Malware Fighter
    Rank 2
  • Pridružio: 24 Jul 2007
  • Poruke: 12280
  • Gde živiš: Höganäs, SE

Nema potrebe, sad je jasno šta se dogodilo. Smile

Šta je bilo u ovom folderu: c:\windows\system32\Sys32

Samo screenshotovi?



Poslao: 06 Okt 2009 18:34
Idi na vrh
offline
  • drejk 
  • Ugledni građanin
  • Pridružio: 31 Mar 2005
  • Poruke: 448
  • Gde živiš: Novi Beograd

ne, tu je bio lufo.exe, i nekih lufo fajlova (nekih 5-6), i jedno zilion screenshotova po datumima i vremenima.

Jel keylogger bio u pitanju (sve mi se cini da su ti screenshotovi negde zavrsavali)?

i gaddemit kako je dosao na moj komp, i kako nisam primetio (boot.ini nestajanje je pocelo tek pre neki dan, a neki screenshotovi u nazivu imaju datume iz jula?

pored mene zena koristi komp (najlakse je okriviti nju Smile, ali ako sam i ja nesto greskom uradio voleo bih da znam.

svaka ti cast, jos jednom

poz

Drejk

Poslao: 06 Okt 2009 18:50
Idi na vrh
offline
  • dr_Bora  Male
  • Anti Malware Fighter
    Rank 2
  • Pridružio: 24 Jul 2007
  • Poruke: 12280
  • Gde živiš: Höganäs, SE

Imamo još malo posla (program je greškom obrisao neke legitimne file-ove, vratićemo ih nazad).



Otvoriti Notepad i iskopirati sledeci tekst:


Dequarantine::
C:\Qoobox\Quarantine\C\Documents and Settings\All Users\Application Data\Microsoft\VCExpress\9.0\1033\ResourceCache.dll.vir
C:\Qoobox\Quarantine\C\WINDOWS\WINHELP.INI.vir
C:\Qoobox\Quarantine\C\Documents and Settings\All Users\Application Data\Microsoft\VCSExpress\9.0\1033\ResourceCache.dll.vir
C:\Qoobox\Quarantine\C\Documents and Settings\All Users\Application Data\Microsoft\VBExpress\9.0\1033\ResourceCache.dll.vir
C:\Qoobox\Quarantine\C\Documents and Settings\All Users\Application Data\Microsoft\MSDN\9.0\1033\ResourceCache.dll.vir
C:\Qoobox\Quarantine\C\WINDOWS\SW_Win2000X1.DLL.vir
C:\Qoobox\Quarantine\C\WINDOWS\SW_Win2146X32.DLL.vir
Quit::



Snimiti na Desktop fajl iz Notepada kao "CFScript"




Prevuci snimljeni skript/tekst na ComboFix ikonicu kao na slici.
Postaviti u sledecoj poruci log koji bude bio napravljen na kraju ciscenja/skeniranja.



Citat:Jel keylogger bio u pitanju

Da.

Citat:i gaddemit kako je dosao na moj komp, i kako nisam primetio (boot.ini nestajanje je pocelo tek pre neki dan, a neki screenshotovi u nazivu imaju datume iz jula?

Teško je reći odakle je došao. Malware, instalacija nekog prepakovanog programa sa "sumnjivog" sajta ili ga je neko ručno instalirao.

Mislim da problem sa boot.ini nije imao veze sa ovim.

Malware je na PC-u (verovatno) od 7. jula.

Poslao: 06 Okt 2009 19:11
Idi na vrh
offline
  • drejk 
  • Ugledni građanin
  • Pridružio: 31 Mar 2005
  • Poruke: 448
  • Gde živiš: Novi Beograd

Evo dekarantinizacije:

[Link mogu videti samo ulogovani korisnici]


boot.ini je onda verovatno imao veze sa askupdate serviceom koji sam ugasio u msconfigu....(samo uncheckirao service).

Poslao: 06 Okt 2009 20:23
Idi na vrh
offline
  • dr_Bora  Male
  • Anti Malware Fighter
    Rank 2
  • Pridružio: 24 Jul 2007
  • Poruke: 12280
  • Gde živiš: Höganäs, SE

Ask Toolbar možeš deinstalirati ako smatraš da on pravi neke probleme.


Potrebno je deinstalirati ComboFix:
klikni start (ili ), a zatim RUN.

Na Visti koristiti Start Search polje ukoliko Run nije dostupan.

U liniju za unos teksta ukucaj (iskopiraj) sledeće:

combofix /u

Primeti da postoji razmak između "ComboFix" i "/u".



a zatim klikni OK (ili pritisni Enter).

Sačekaj da se proces deinstalacije završi.


To je sve.

Poslao: 06 Okt 2009 20:43
Idi na vrh
offline
  • drejk 
  • Ugledni građanin
  • Pridružio: 31 Mar 2005
  • Poruke: 448
  • Gde živiš: Novi Beograd

Uradjeno,

hvala jos jednom, pravi si drugar und spasilac.

Pozdrav

Drejk

MyCity » Ambulanta -> Arhiva Ambulante » Malware brise boot.ini

Ko je trenutno na forumu
 

Ukupno su 1601 korisnika na forumu :: 88 registrovanih, 5 sakrivenih i 1508 gosta   ::   [ Administrator ] [ Supermoderator ] [ Moderator ] :: Detaljnije

Najviše korisnika na forumu ikad bilo je 20624 - dana 04 Apr 2026 04:18

Korisnici koji su trenutno na forumu:
Korisnici trenutno na forumu: 10x10.9, 357magnum, Agape, aramis s, Avalon015, Baždaranac, blankspace, bojan_t, Brot, cenejac111, Cigi, cinoeye, Colt D, darkkran, debeli, Dejan_vw, deks, Demi87, Denaya, desmeki, dj.ape, djboj, Djokislav, Doc, Dungorth, Dusko Nikolin, Dusko_Dugousko, Elvin, expanse, feanor, FOX, Georgius, goran.vvv, Hans Gajger, Helket, Hemi, iceburn, ikan, ironcorporal, jaeger, jalos, Jomini, K-1A, kaput21, KizJ, Leonov, littlebunny, lord sir giga, LostInSpaceandTime, magyar, Makarid, Mali Rambo, Medojed, mercedesamg, mikrimaus, milanpb, naki011, nebidrag, nenad81, Njubara, obsc, Paklenica, pera bager, picknick, Qvazimodo, Sarmat, Sevatar, Sirius, Skakac7, skvara, Srki98, sspp, t84dar, tamno.nebo, taomaster, Timočka Divizija, Tumansky, Tvrtko I, ulogovan, uruk, Username1000, Vanderx, vathra, Vlad000, vrgudinac, vukovi, W123, zzapNDjuric99