Live Essential Platinium i UKASH. Podejście pierwsze
i ostatnie miejmy nadzieję.
Ostrzeżenie. Wpis powstał pod wpływem emocji.
Prolog czas zacząć
Wpis ten powstał w wyniku spotkania z pewnym gościem, który zawitał nie wiedzieć czemu do mojego, jakże znienawidzonego, wróć ukochanego systemu od firmy Redmont. Dokładniej do Windows 7 w wersji 32 bitowej. System legalny, antywirus też (THX Dobreprogramy za Trustporta), więc obecność mojego koleżki była podwójnie niespodziewana. Jedyne co wskazywało na jego obecność była aktywność antywirusa. Nie wiedzieć czemu antywir wywalił ładne okienko, czy ma zablokować niezidentyfikowany program. Dałem blokuj raz, drugi i kolejny. I mam spokój. Plik nosił nazwę 2vs2.exe i znajdował się w folderze AppData\Local\Temp. Po za tym znajdowały się tam jeszcze dwa pliki o wiele mówiącym rozszerzeniu TMP. Pierwsza myśl. Coś tu nie gra, ale Trustport regularnie rzuca takimi dymkami. Więc myślę, że sprawdzę ten pliczek. Skaner mojego Trustporta sprawdził raz, drugi, dziesiąty. Pusta, zwykła aplikacja. Więc ekspresowo gonię na VirusTotal. Wrzucam mój pliczek, błyska kolorowy paseczek postępu i zaraz wyskakuje raport.
6/49 silników wykryło, że coś tu nie gra. Dziwne, zwłaszcza, że jedynym bardziej znanym z nich był Kaspersky. Potem chwila spokoju. Ponowne uruchomienie kompa. Wyskoczyła chmura dymków. Z głupoty (własnej, a jakże mea maxima culpa) kliknąłem przepuść. Nie zauważyłem tego. Monitor mignął ze dwa razy imoim oczom ukazał się ON.
Wirus,tak to on
Wielki baner, screena nie mam. Właściwie jedyna działająca cześć systemu był przycisk dalej. Baner informował, że dla ochrony przed zagrożeniem zablokował mi kompa. Klikam przycisk dalej, a tam znajoma skąd niekąd prośba o kod UKASH lub PayPal. Coś tu mi nie gra
- Który AV każe sobie płacić. FAŁSZYWY AV
- Skąd u licha u mnie antywirus MSE. Jak, ja tego chłamu w życiu nie zainstaluje. FAŁSZYWY AV
- Kto rząda kodu UKASH. FAŁSZYWY AV
Trochę nerwów później. Recepta
Po dłuższej chwili nerwów wykombinowałem (dzięki poradnikowi z cert.pl), jak go wywalić. Najpierw restart i wybór jedynego właściwego i zawsze działającego (za wyjątkiem chwil, gdy nie działa) systemu Pear OS. Dla nie znających go dorzucę, że to całkiem udana modyfikacja Ubuntu. Może nie jest odkrywcza, ale działa, na medal. Potem ściągnąłem i rozpakowałem pakiet SysInternals Autoruns stąd. Pobrany zip należy wypakować na Pendrive. Jak ktoś nie ma linuxa to radź sobie i szukaj innego kompa. Potem kolejny reset odpalenie Windowsa z obsługą terminala. Wróć. Wiersza poleceń (nazwanie windowsowego cmd terminalem to bzdura. Nawet sh ma bez dodatków większe możliwości). Należy to zrobić naciskając wściekle przycisk F8 przy starcie systemu. Dalej jest z górki. Wybieramy strzałkami i zatwierdzamy właściwy tryb. A voile`a. Następnie wkładamy pendrive do właściwego otworu (wierzcie mi niektórzy wsadzają pendrivy do różnych dziwnych miejsc. Mam na myśli oczywiście Ethernet. ). I wpisujemy w to czarne okienko po kolei
wmic logicaldisk get caption,volumename
Potem wyskoczy lista dysków. Odszukujemy nasz pendrive.
X: X - litera oznaczająca nasz pendrive. Autoruns.exe
Pojawi się okienko. Wybieramy options -> Filter Options -> Hide Microsoft Entry i odptaszamy tą opcję. Potem wchodzimy w zakładkę Logon i/lub Schedule Task i odszukujemy dziwnie wyglądające procesy. Tj. taki, które w image path mają folder AppData lub ProgramData lub mają w nazwie losowo wybrany ciąg liter i cyfr zakończony .exe lub .EXE. U mnie był w Logon pod koniec. Na obrazku oznaczyłem interesujące nas rzeczy. Jeśli znajdziemy taki proces odznaczamy go w miejscu oznaczonym 3. Potem restart systemu. Odpalamy sprzęt normalnie. Wszystko działa. Ale czy na pewno. Pobieramy z tego portalu Malwarebytes Anti-Malware Free i po instalacji w wersji darmowej przeprowadzamy szybko skan. Później postępując zgodnie z komunikatami kulturalnie wywalamy gościa z systemu. Później warto przeskanować system jeszcze jeden raz. U mnie za pierwszym razem przegapił jeden plik. I po resecie dla pewności jeszcze jeden. A co. Do tego polecam skorzystać z HijackThis i jakiegoś renomowanego skanera online. Np. Kaspersky`ego i skanerem SuperAntiSpyware dla pewności (ten ostatni pięknie czyści pliki cookie, które mimo,że bezpieczne to jednak przypominające w internecie tarcze strzelecką dla reklamodawców)
1. Image Path 2. Zakładka (tutaj tylko Logon) 3. Pole do odptaszenia dziwnego procesu 4. Opcje 5. Po resecie ten przycisk usunie nam kompletnie wirusa z autostartu
Dziękuje za uwagę. Może i skrypt w OTL na forum byłby krótszy i ładniejszy niż ten wpis, ale czyż nie lepiej pewnych rzeczy zrobić samemu.
PS. Słowo wirus w tym wpisie to tylko skrót myślowy. Powinienem pisać Ransomware lub Malware, ale który Kowalski wie, co te pojęcia znaczą ręka w górę.