Αυτά τα αρχεία ποιός θα τα σβήσει;

[defyho]

Γειά σε όλους...

 

Έχω αρπάξει έναν ιό, και έχει βάλει κάποια αρχεία στο φάκελο των Windows. Το antivirus τα βρίσκει αλλά δεν τα σβήνει. Προσπάθησα να βάλω την επιλογή να βλέπω τα κρυφά αρχεία για να τα σβήσω χειροκίνητα, αλλά ενώ βλέπω τα υπόλοιπα κρυφά αρχεία του συστήματος, αυτά τα ρημάδια δε φαίνονται πουθενά! Πως θα γίνει να τα σβήσω;

 

Είναι τα παρακάτω, μαρκαρισμένα...

 

[flik]

Αν μετακινήθηκαν στην quarantine δεν έχεις πρόβλημα. Τι σε κάνει να πιστεύεις οτι τα αρχεία είναι ακόμα στον φάκελο system32?

[washcloud]

...το path που δείχνει στο ss ( ; )

 

defyho, από safe mode αν μπεις, "ζει" το avira ;

[defyho]

Μου λέει κάτι "cannot delete..." και δίνει επιλογή "copy to quarantine".

 

washcloud, αν σου πω ότι στο safe mode δεν τα ενοπίζει καν θα με πιστέψεις;

[PCharon]

Μου λέει κάτι "cannot delete..." και δίνει επιλογή "copy to quarantine".

Ίσως και να έχεις δίκιο, δηλαδή τα αντιγράφει στο quarantine και δεν τα μετακινεί (άρα συνεχίζουν να τρέχουν).

 

washcloud, αν σου πω ότι στο safe mode δεν τα ενοπίζει καν θα με πιστέψεις;

(λέγε με PCharon) Λογικό αυτό, προφανώς σε safe mode δεν ξεκινάει αυτόματα η προστασία του AV, όπως και όλα τα άλλα, σωστά συμβαίνει. Αυτό που πρέπει να κάνεις εσύ είναι να ξαναμπεις σε safe mode, να ανοίξεις το AV και να σκανάρεις χειροκίνητα το φάκελο Windows, που ξέρεις ότι περιέχει τα "κακά" αρχεία. Θα τα βρει και θα τα τους βάλει χέρι...

[washcloud]

...τώρα γιατί εγώ είμαι με την εντύπωση ότι σε safe mode ξεκίνησε manual scan (και ο αβίρας δε λέει να βιράρει ; )

[PCharon]

Χμμ... βλέποντας το screenshot στις λεπτομέρειες (έλεος, πού το πήρε το μάτι σου?) παίζει να έχεις το δίκιο σου.

 

(Αλλά για να μας πει τι έκανε...)

[defyho]

Ναι manual έκανα, τί πρέπει να κάνω δηλαδή;

 

Επίσης σκέφτηκα αφού ξέρω ποια είναι τα αρχεία να κάνω ένα αρχείο .bat για να τα σβήνει αλλά κάτι λάθος έκανα πάλι...

 

>del "C:\WINDOWS\system32\drivers\ovfsthgkvuoreuyabrskdabwixyxxlkmoxxbvn.sys"
del "C:\WINDOWS\system32\ovfsthfdykqbfukhnehajphqrftpkuuoeorfo.dll"
del "C:\WINDOWS\system32\ovfsthdsuxwvntjqskkjcyvtjuddnlabypjiyb.dll"
del "C:\WINDOWS\system32\ovfsthrhbirxrvvidrwpsgibxjhvartpdfthau.dll"
del "C:\WINDOWS\system32\ovfsthlog.dat"
del "C:\WINDOWS\system32\ovfsthujclrwbrvhplltaqmujwqpueywaqpuim.dat"
del "C:\WINDOWS\system32\ovfstholiecbxwwdsuskksrhshqqjgkommtptl.dat"

[washcloud]

εμένα προκαταβολικά μου έρχονται πάντως λέξεις όπως

"online antivirus scan"

"live cd και delete"

"ξήλωμα του avira, και αντικατάσταση πχ με avast"

"google search των αρχείων που βρίσκονται αλλά δεν φαίνονται, μπας και δεν είναι τόσο τραγικά τα πράμματα και το αφήσεις έτσι"

"format"....

[micos000]

Υπάρχει η πιθανότητα τα αρχεία αυτά να είναι δημιούργημα του ιού και όχι ο ίδιος ο ιός, και μπορεί να έχουν κάθε φορά τυχαίο όνομα.

Έτσι εμφανίζονται μόνο όταν μπαίνεις στα windows κανονικά και όχι σε safe mode.

Μπορεί να είναι malware και όχι ιός, γι αυτό δεν το βρίσκει το avira. Δοκίμασε και Malwarebytes antimalware και spybot s&d. Μπορεί να είναι και rootkit.

Δοκίμασε κανένα άλλο αντιικό (AVG, AVAST) ή κάποιο online (τάδε έφη washcloud).

Τέλος, επειδή τα αρχεία έχουν μια συγκεκριμένη μορφή, όλα αρχίζουν με ovfsth, μια αναζήτηση στο Google έβγαλε πολλά αποτελέσματα. Ρίξε μια ανάγνωση να δεις τι λένε και οι υπόλοιποι.

 

EDIT:

Κάνε αναζήτηση στον φάκελο windows για ovfsth.

[washcloud]

"...και στο τέλος κι ένα φορμάτ"

[micos000]

"...και στο τέλος κι ένα φορμάτ"

 

Η υπέρτατη αλήθεια...

[aiantas]

Δοκίμασε αυτό: http://downloads5.kaspersky-labs.com/devbuilds/AVPTool/

Νομίζω ότι θα κάνει αυτό που πρέπει....

[defyho]

Τις τελευταίες δυό μέρες δοκίμασα 2-3 antivirus επιπλέον αλλά κανένα εκτός του AntiVir δεν έβρισκε τίποτα. Googlίζοντας τα ονόματα των αρχείων κάπου είδα ότι δεν ήταν απλώς hidden αλλά "invisible to win32" όπως έλεγε.

 

Έκανα και μια πατάτα με ένα antimalware και κάτι έγινε με το δίσκο και δε μπορούσα να κάνω defragment και CheckDisk και ετοιμαζόμουν για το format που λέγατε.

 

Αφού έκανα backup δοκίμασα και το ComboFix ως τελευταία λύση. Μη σας τα πολυλογώ, την έκανε τη δουλειά του. Έσβησε τα αρχεία που του υπέδειξα και κάποια άλλα που δεν πολυκατάλαβα τί ήτανε () και μέχρι τώρα που γράφω το σύστημα δουλεύει ρολόι.

 

Φτηνά το γλύτωσα το format φαίνεται!

[micos000]

Ούτε στον παπά να μην το πεις.