Prorat напаст

[LaVendetta]

Така Преди 2 дена изтеглих една програма Prorat, но се оказа пълна помия. Обаче успя да ми вкара някакъв или някакви вируси. Компютъра започна да се рестартира постоянно. В смисъл, че зарежда Уиндоуса, но почти веднага след стартирането, той се рестартира. Нямах избор реших да вляза под safe mode и да направя system restore . Това оправи нещата, но в последствие се оказа, че е било за малко. След siytem-restore- а сканирах с аваст и тя откри потенциалния файл, който е самата програма, беше троянец, така отървах се от него. Все пак разбрах, за този вирус, който вкарва в системата prorat и потърсих още нещо против напастта. В от интернет разбрах, че това бил често срещан проблем и има антивирусна специална антивирусна Anti - Prorat, изтеглих я и те изчисти каквото беше останало и бях спокоен. Обаче на другия ден пак същия проблем- рестартиране, отново върнах системата назад. Сканирах с анти-прорат, аваст, те не оъкриха нищо, но mbam( Malware - bytes) за мое учудване откри 26 заплахи, казах си това е край чистя ги и съм спокоен, но това пак беше заблуда. Качвам доклада, защото знам, че тука държите да го има.

Malwarebytes' Anti-Malware 1.51.0.600

www.malwarebytes.org

 

Версия на базата от данни: 6685

 

Windows 5.1.2600 Service Pack 3

Internet Explorer 6.0.2900.5512

 

04.6.2011 г. 19:47:05

mbam-log-2011-06-04 (19-47-05).txt

 

Тип сканиране: Бързо сканиране

Сканирани обекти: 158431

Изминало време: 4 минута(и), 33 секунда(и)

 

Заразени процеси в паметта: 0

Заразени модули в паметта: 0

Заразени ключове в регистратурата: 16

Заразени стойности в регистратурата: 0

Заразени информационни обекти в регистратурата: 0

Заразени папки: 8

Заразени файлове: 2

 

Заразени процеси в паметта:

(Не бяха открити зловредни обекти)

 

Заразени модули в паметта:

(Не бяха открити зловредни обекти)

 

Заразени ключове в регистратурата:

HKEY_CLASSES_ROOT\CLSID\{A4730EBE-43A6-443e-9776-36915D323AD3} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{56256A51-B582-467e-B8D4-7786EDA79AE0} (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{56256A51-B582-467e-B8D4-7786EDA79AE0} (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{00A6FAF1-072E-44CF-8957-5838F569A31D} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{07B18EA1-A523-4961-B6BB-170DE4475CCA} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{59C7FC09-1C83-4648-B3E6-003D2BBC7481} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{68AF847F-6E91-45dd-9B68-D6A12C30E5D7} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{9170B96C-28D4-4626-8358-27E6CAEEF907} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{D1A71FA0-FF48-48dd-9B6D-7A13A3E42127} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{DDB1968E-EAD6-40fd-8DAE-FF14757F60C7} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{F138D901-86F0-4383-99B6-9CDD406036DA} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{1D4DB7D2-6EC9-47a3-BD87-1E41684E07BB} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\MyWebSearch (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\FocusInteractive (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Fun Web Products (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\MyWebSearch (Adware.MyWebSearch) -> Quarantined and deleted successfully.

 

Заразени стойности в регистратурата:

(Не бяха открити зловредни обекти)

 

Заразени информационни обекти в регистратурата:

(Не бяха открити зловредни обекти)

 

Заразени папки:

c:\program files\funwebproducts (Adware.MyWebSearch) -> Quarantined and deleted successfully.

c:\program files\funwebproducts\screensaver (Adware.MyWebSearch) -> Quarantined and deleted successfully.

c:\program files\funwebproducts\screensaver\Images (Adware.MyWebSearch) -> Quarantined and deleted successfully.

c:\program files\funwebproducts\Shared (Adware.MyWebSearch) -> Quarantined and deleted successfully.

c:\program files\mywebsearch (Adware.MyWebSearch) -> Quarantined and deleted successfully.

c:\program files\mywebsearch\bar (Adware.MyWebSearch) -> Quarantined and deleted successfully.

c:\program files\mywebsearch\bar\History (Adware.MyWebSearch) -> Quarantined and deleted successfully.

c:\program files\mywebsearch\bar\Settings (Adware.MyWebSearch) -> Quarantined and deleted successfully.

 

Заразени файлове:

c:\program files\mywebsearch\bar\History\search3 (Adware.MyWebSearch) -> Quarantined and deleted successfully.

c:\program files\mywebsearch\bar\Settings\s_pid.dat (Adware.MyWebSearch) -> Quarantined and deleted successfully.

 

така обаче днес, пак се рестартира веднъж, втори път не го направи, но се рестартира. Това ме налегна на въпроса, че пак нещо има. Започнах сканиране, нищо не открих, този път даже и mbam не помогна, ще кача пак доклада, но просто нямаше проблеми. Та помогнете сега, какво да правя, с какво да сканирам, че няма спасение ;(

Втори доклад:

 

Malwarebytes' Anti-Malware 1.51.0.600

www.malwarebytes.org

 

Версия на базата от данни: 6773

 

Windows 5.1.2600 Service Pack 3

Internet Explorer 6.0.2900.5512

 

05.6.2011 г. 09:33:46

mbam-log-2011-06-05 (09-33-46).txt

 

Тип сканиране: Бързо сканиране

Сканирани обекти: 160478

Изминало време: 8 минута(и), 2 секунда(и)

 

Заразени процеси в паметта: 0

Заразени модули в паметта: 0

Заразени ключове в регистратурата: 0

Заразени стойности в регистратурата: 0

Заразени информационни обекти в регистратурата: 0

Заразени папки: 0

Заразени файлове: 0

 

Заразени процеси в паметта:

(Не бяха открити зловредни обекти)

 

Заразени модули в паметта:

(Не бяха открити зловредни обекти)

 

Заразени ключове в регистратурата:

(Не бяха открити зловредни обекти)

 

Заразени стойности в регистратурата:

(Не бяха открити зловредни обекти)

 

Заразени информационни обекти в регистратурата:

(Не бяха открити зловредни обекти)

 

Заразени папки:

(Не бяха открити зловредни обекти)

 

Заразени файлове:

(Не бяха открити зловредни обекти)

 

 

[panevdd]

Виж тази статия, предполагам, че ще ти свърши работа - Backdoor.Prorat - Removal.

Имай предвид обаче, че ако вирусът е повредил системата ти, пораженията най-вероятно ще останат.

[LaVendetta]

Нямаше нищо интересно, всичко беше чисто, да не е от систем рестора, но пък тая сутрин компютъра както казах се ресна сам, давайте някакви предположения...

[-TEN4O-]

Препоръчвам ти да си преведеш следния абзац "Removal Method" от тази статия (и докато имаш нужда от превод не инсталирай разни неща "ей така").

 

 

[LaVendetta]

Абе няма нищо в регистрите опоменатите файлове ги няма, всичко е чисто, но компютъра сутринта се ресна сам, кажете къде може да бъркам и какво може да направя ( освен тези напътствия за почистване, които ми дадохте )

[panevdd]

Погледни в Event Viewer, може да има информация за проблема.

[mihnev_sz]

Нямаше нищо интересно, всичко беше чисто, да не е от систем рестора, но пък тая сутрин компютъра както казах се ресна сам, давайте някакви предположения...

Ок, спри system restore,изтрий всички точки на възстановяване освен последната,влез в safe mode режим и пусни MBAM да сканира отново!

[LaVendetta]

Значи като махна отметката на Automatically restart мисля, че спря да рестартира при пускане, но не съм много сигурен, то ще си покаже де... Обаче този Automatically restart е предвиден когато има System failure, което би трябвало да рече, че се рестартира , защото имам някакъв проблем в системата, не защото така му е зададено да прави всеки път, нали ? Ако съм прав, това значи, че имам още някакъв проблем :(

 

П.С. Изтрих рестор пойнтовете, сканира с mbam, но нищо не засече. Event Viewer -a незнам какво да търся там,пълно е различни информации...

[mihnev_sz]

Добре,деинсталирай тази програма Prorat ,от контрол панела "добавяне и премахване на програми"

По това което ти е засякла МБАМ още в първия пост,има нисък риск за системата и все си мисля че имаш някаква несъвместимост с някой драйвър! Виж в докладите C/Windows/Minidump има ли нещо или в debug,като текстов файл.

[LaVendetta]

Това иска хда го направя отдавна, но програмата не се инсталира и там я няма, просто 1 файл е със езици към нея, сканирах и аваста засече о после проблемния файл беше изтрит както дургото що имаше във папката.

 

В C/Windows/Minidump всички файлове са с разширение .dmp, текстов редактор не мога да го прочета, не знам дали под това имаш предвид доклад.

 

В debug иам текстови документи, качвам ги :

В User Mode папката има само това :Copy of userenv.txt

Има още пет, но те са само в debug :

Copy of blastcln.txt

Copy of mrt.txt

Copy of mrteng.txt

Има и един PASSWD, no e prazen

 

P.S. Защо форума не дава, да се качва .log файлове ?!?

P.S.2. Това Copy го има защото първо копнах файловете и след това ги преименувах ( Май не беше нужно, но съм си такъв, търся си работа )

[icotonev]

В C/Windows/Minidump всички файлове са с разширение .dmp, текстов редактор не мога да го прочета, не знам дали под това имаш предвид доклад.

 

Естествено че няма да може да ги прочетеш..Просто тези файлове ги архивирай и прикачи в следващия си пост..или изтегли програмата BlueScreenView и с нея много лесно ще разчетеш Minidump - файловете и ще опредилиш кое е причината за BSOD

[LaVendetta]

Абе струва ми се, че нищо няма да разбера, така, че ето рар-а :

Minidump.rar

 

P.S. Не ми е излизал BSOD ( Синия екран )

[mihnev_sz]

Ok., изтегли този файл,запиши го на дектопа! Разархивирай го там и го стартирай,ще се отвори дос прозореца!Aко поиска да потвърдиш задай Y ,след като приключи рестартирай системата!

Pass на архива: 123

Има ли промяна?

[icotonev]

След siytem-restore- а сканирах с аваст и тя откри потенциалния файл, който е самата програма, беше троянец, така отървах се от него.

 

Кажете ми този файл ли изтрихте: aswSP.SYS

 

Анализа на дъмпа с две програми показва едни и същи резултати: Проблем с драйвера aswSP.SYS на avast! Self Protection

 

Crash List.txt

[LaVendetta]

Не знам какво е направил .bat файла ето кода му да видиш и ти :

@ECHO OFF
MSCDEX.EXE /D:CDDRIVER /L:X
XMSDSK.EXE 51200 R: /t /y
CTMOUSE.EXE
PATH=A:\;R:\
GOTO %CONFIG%

:TESTDISK
COPY X:\TESTDISK\*.* R:
R:\TESTDISK.EXE
GOTO DOS

:GHOST
COPY X:\GHOST\GHOST.EXE R:
R:\GHOST.EXE
GOTO DOS

:NTFS
COPY X:\NTFS\*.* R:
R:\NTFS4DOS.EXE
GOTO DOS

:RPM
COPY X:\RPM\*.* R:
R:\RPM.EXE
GOTO DOS

:DOS
ECHO  X: CD DRIVE
ECHO  R: RAM DRIVE

 

Не поиска нищо щом го включих, даже се изпълни веднага. Рестартирах, сега чакам инструкции ...