Problem sa "siszyd32.exe"

[Ivancho]

Prvo pozdrav svima,

Imam isti problem kao Raleks,

postavio sam log na: http://pastebin.com/m3c6e0230 molim za pomoc, hvala unapred

a evo i log posle CF-a http://pastebin.com/m381d2f11

[Desmo]

Basa Mrkalj kaže:

Raleks nismo zavrsili. Skini ovaj fajl na desktop
Ugasi AV i levim klikom misa prevuci CFScript na ikonicu Combofixa,



Kad zavrsi ciscenje, postavi novi log.

Захваљујем на овоме, помогло је и мени, нема више сисијаД32 али
остао је нечекиран у стартапу. Видим да је путања до њега друкчија код
Raleksа него код мене па ево линка са мојим логом:
http://pastebin.com/m9b74c98 у нади да ћете и мени помоћи
Хвала још једном, и ово вредело, поздрав из Вршца

[Basa Mrkalj]

@Desmo, deinstaliraj D-Tools pre nego pokrenes skriptu i ugasi AV.
Postavi mi log posle ciscenja.

[Ivancho]

A ja , zasto ste mene preskocili?

[Basa Mrkalj]

I za tebe isto vazi da deinstaliras D-tools pre skripte.

Ne pokrecite CF drugari, ako imate problem iznesite ga, pa da vidimo sta moze da se uradi. Ubuduce necu da pisem skripte ako ste pokrenuli CF bez uputstva.

[nsinisa]

Imam isti problem, uspeo sam da obrisem fajl siszyd32.exe, medjutim izgleda da ga nisam skroz otklonio, jer mi upload radi kao nenormalan, a nista ne radim na kompu. Kada ukucam netstat.exe, prikaze mi da moj kompjuter pokusava da salje podatke na raznorazne mejl servere. Sta da radim, pomagajte!

[Mizika]

Narode imam isti problem, doduse za zakasnelom reakciom - pokrenuo sam CF i uradio je analizu racunara. Pre nego sto sam ga pokrenuo pogasio sam sve aktivne programe i anti virus, a CF sam pokrenuo sa Desktopa.
Napravio je fajl tipa txt sto je u prilogu


Molio bih za pomoc oko daljeg postupka uklanjanja virusa.
PS: Posle uklanjaja virusa planiram da uradim reinstalaciju racunara.

[Sass Drake]

nsinisa kaže:

Imam isti problem, uspeo sam da obrisem fajl siszyd32.exe, medjutim izgleda da ga nisam skroz otklonio, jer mi upload radi kao nenormalan, a nista ne radim na kompu. Kada ukucam netstat.exe, prikaze mi da moj kompjuter pokusava da salje podatke na raznorazne mejl servere. Sta da radim, pomagajte!

Prvo, ne povezuj ga na internet. Zatim instaliraj neki dvosmjerni firewall (kao što je COMODO ili ZoneAlarm), i onda lociraj ko pokušava da se poveže na net.

[nsinisa]

Sass Drake kaže:

Prvo, ne povezuj ga na internet. Zatim instaliraj neki dvosmjerni firewall (kao što je COMODO ili ZoneAlarm), i onda lociraj ko pokušava da se poveže na net.

A kako ga lociram preko tih programa? Ono sto sam provalio jeste da se taj proces sto aktivira spemovanje implantirao u svchost.exe. Ono sto ne znam jeste kako da ga prepoznam koji je od silnih procesa ustvari maliciozan u svchost-u i kako da ga ubijem.

[VojaM]

Ne mora da znači da se implantirao tamo. Moguće da samo koristi svchost, kao i svaki drugi program koji se povezuje na Internet.

[Basa Mrkalj]

@Mizika, ma kako si ga pokrenuo sa desktopa kad nisi, drugo Combofix ti je star, kad si ga skinuo. Vec dva dana je povucen sa zvanicnog sajta.

Idi u safe mode i obrisi ove fajlove rucno.

c:\documents and settings\MIHAL_JULIANNA\Start Menu\Programs\Startup\siszyd32.exe
c:\windows\pss\siszyd32.exe

Ja nesto ne vidim da imas antivirus.

[Mizika]

Zahvaljujem na odgovorenom problemu.
Moj problem je od ranije pa sam po netu istrazivao, dok nisam nasao ovaj forum a i ujedno se zahvaljujem na ovom forumu.
Combo fix sam skinuo ranije sa neznam i sam kog linka, medjutim kad sam ga pokrenuo trazio mi je da se update sto sam i potvrdio. A sto se tice anti virusa imao sam neki problem s njim tj avastom nije hteo da mi se ugasi pa ni sam iz nekog razloga je prestao da radi pa sam ga obrisao iz racunara. Naravno dok se ne resim ovog virusa posto mi usporava racunar tj trosi mi 100% resursa procesora.

Inace upravo sam pokrenuo XP iz safe moda i obrisao sam fajl koji si mi rekao s tim sto u direktorijumu(folderu) c:\windows\pps nisam nasao fajl s tim imenom
sad je sve ok s racunarom procesor radi normalno

[Basa Mrkalj]

Ok, samo ces morati rucno da obrise CF, ikonicu. Zatim u C obrisi foldere
c:\combofix
c:\qoobox
Onda iskljuci system restore, restartuj pa ponovo ukljuci SR.

[player1]

Brat od strica mi zapatio taj siszyd32.exe. Krivac je bio AVG, koji nije uspeo da spreci zarazu. Proleteo neki trojan downloader (koji isti nije mogao da detektuje, neki exe fajl koji pocinje na "av_", ne secam se tacnog naziva), koji je posle skinuo pojacanje, ukljucujuci taj siszyd32.exe, koji je inace AVG zatim uklonio, ali ne bez stete (taj siszyd32.exe voli da brise firefox.exe). Posle toga ostatak se ponasao kao "azdaja": ukloni se jedan dao, pa se sam vrati ako se ne ukloni drugi deo. Izbaci se deo iz registija (koristeci "good old" highjackthis, posto je combofix trenutno offline), a on se vrati i slicno. Cak je atapi.sys bio inficiran, sto je dosta otezalo uklanjanje (nekoliko puta samo morao da vracam originalni backup istog iz safe moda, jer se isti stalo posle ponovo inficirao).

Na kraju sam uspeo rucno da uklonim svu gamad. I jedan svchost proces je bio deo virusa, i odma pokusavao da ugasi windows, ako se ubije (srecom znam za "shutdown -a" trik).

5 sati zivota izgubljenih...


P.S.
Da je u pitanju bila Vista ili Win7, sa aktivnim UACom, virus ne bi nikako mogao da se stalno tako povraca u zivot. Jednom bi mogao da proleti nepaznjom korisnika (automatskim prihvatanjem sta kod UAC ponudi), al ne bi nikako moga stalno da menja sistemske fajlove bez ikakvog pitanja. Mislim... stalno inficiranje atapi.sys-a, boze me sacuvaj.

[ninam]

Po drugi put, buduci da me je izlgovao ...

Oko 22 veceras prvi put u zivotu mi je skocio WinDefender - i prijavio siszyd32.exe. Deny je pao, posle dugug mucenja, ali je WD zaustavio dva sledeca

HKLM\Software\Microsoft\Windows\CurrentVersion\Run \\sysgif32

C:\WINDOWS\Temp\~TMB20F.tmp

Temp sam obrisala, a kljuc nisam uspela da pronadjem u regu, ni rucno ni na search.

WinDef ima u karantinu uhvacen PWS:Win32/Daurso.A

Veceras je prethodno, pri redovnom skeniranju Clam prijavio infekciju u reg bazi, na atapi.sys -- nista nisam dirala, jer em je sistemski, em postoji prijava na Clamu od 2 popodne na sumnju na falsepositive.

siszyd32.exe se smestio u Strtup, i posle neuspesnog brisanja, divljacki, desno dugme del, u drugom pokusaju se uklonio iz startupa, ocito samo link.

Msconfig je i dalje prikazivao siszyd32.exe u Startup-u. Odcekirala, ali masinu nisam restartovala. Proverila iz SpybotS&D i tamo je odcekiran, a msconfig na urednom /auto .

WindowsExplorer ne vidi siszyd32.exe ni u jednom Startup folderu, ali ga u mom profilu /Startup vidi TotalCommander i ne moze da se obrise. Unlocker ne mogu da pokrenem u TC, a iz WE se ne vidi pa ni tu unlocker ne radi.

Blage veze nemam kao me je napao, jer nista nisam skidala, mogao je udje jedino s foruma na kome sam bila, ili kroz mejl a da ga ni jedna od realtime zastita nije videla, sem napola uspesnog WD.

S obzirom na savete koji su ranije dati nista nisam preduzimala od savetovanog, iako sam sve savete iscitala vise puta. Jedino me uznemirava player1-ova poruka, izgleda mi da je sve prilicno gadno.

Molila bih savet sta da pocnem, uzasava me pomisao na prebijanje masine, i podesavanje svega i svacega. Mnogo hvala unapred.

[player1]

Izgleda da si istu stvar zapatila, kao moj burazer. I tu je bio neki tmp fajl tokodje kao deo infekcije.

Nazalost, nemam neki laki savet za ovo, niti bi mogao da ponovim sve korake koje sam iskoristio da to ovo sredim (od cega je najriskantniji povratak originalnog atapi.sys, ako se to ne uradi kako valja, windows nece moci da se butuje normalno). A ako se ostali devoli virusa ne uklone, veoma lako ce isti ponovo biti inficiran.

Znam samo da je neki av_ nesto fajl proleteo, a da ga antivirus nije detektovao (tek kad sam isti poslao na analizu na virustotal sajt sam saznao da je isti virus).

U memoriji u procesima, dve stavke virusa su stalno bile aktivne. Taj av_ nesto i jedan svchost proces koji je cesto isao do 99% zauzeca. A ako se ubije dolazi ona poruka za shutdown (tada obavezno u command prompt, pa ukucati shutdown -a da se isti prekine). Verovatno bi i sysgif32.exe trebalo da se nadje u istim, ali AVG je njega odma obrisao kod mog brata, pa isti realno nije vise bio na disku (iako su druge komponente virusa stalno stavljali run za njega natrag u registi, ako tu stavku obrisem).

Ja bi gledao da se oni privi ukinu, pa tek onda petlja sa registima (jer ako su aktuelni, stalno ce ponovo se dodavatu u registri).


P.S.
Bilo bi zgodno da postavis log od hijackthis, pa mogu da ti kazem, koje od izlistanih komponenti znam da su taj virus. Mozda malo pomogne.


P.P.S.
Barem u WinXP SP2, pravi atapi.sys je oko 94-95KB, dok je inficirani oko 145KB. Pretragom po windows folderu nasli smo neki bekap sa ispravnim atapi.sys. Koji sam posle iskoristio da zamenim inficirani u save modu. NAPOMENA: Ne raditi isto ako ne znas sta radis, bez atapi.sys windows NE MOZE da se butuje!!! Takodje, ako se ode u device menadzer i pogleda drajver sa Primary/Secondary IDE ATA kontrolere, videce se da je atapi.sys unknown i unsigned, ako je isti inficiran.

[ninam]

Mnogo ti hvala na brzom odgovoru!
Pregledala sam sve, i za sada izgleda ovako.

Na disku su 3 atapi.sys. Jedan na regularnom mestu, sys32, i duzina mu je ~95 iz Win, iz TC 96512, isti takav je i u Windows\ServicePackFiles\i386; treci je u W\sys32\ReinstallBackups i on je manji, iz TC 95360 iz W ~94 .

Buduci da imam SP3, a i manje vise uredno updejtujem Win (prednosti legalnog sfw ) pretpostavljam da je ovaj najkraci iz SP2, a da su ova dva kasnije dosla.

Pregled u device manager-u ne pokazuje promenu na Prim/Sec niti na kontroleru, na prva dva potpisan microsoft, a na samom kontroleru drajver masine Intel(R) 82801EB ...

MEdjutim, promena je na drugom mestu, na USB kontroleru. Universal Serial Bus Controllers -- 5x Intel(R)S..B..C..Host , 5x USB Root Hub i u toj grupi, kao sesti Unknown Device, ali je potpisan kao Microsoft 01-Jul-01 ...isto kako i ostali, ali mu je Driver version kratak 5.1.2600.0 umesto 5.1.2600.1106 . Ali je on potpisan Microsoft... Medju karticama tog 6, Unknown Device nema kartica Power i Power Management. Postoji razlika i u kartici Details, i upravo tu nije prepoznat a ID je predugacak da ga kucam. Istini za volju, ovaj cudak moze da bude od skenera, koji ima problema pa malo-malo puca i otkacinje se. Trenutno, osim tog palog skenera nemam nista prikaceno, a zivo ili neophodno. Za sada ga nisam dirala, moda bi ga trebalo ukloniti?

U procesima ne vidim nista, iako je posle one prve nocasnje intervencije kod mene bio neki ~Temp... ubila sam ga jos tada, instinktivno, jer tako nesto tu ne treba da se nalazi, i nije se pojavio ponovo do sada (masina nije gasena).

Mem aktivnost je normalna, nema nikakvih udara, svchost-ovi su uglavnom mirni, ali je SistemIdleProcess prilicno aktivan.

Mislim da si u pravu za redosled poteza. Pokusacu da nadjem i upotrebim hjackthis, ili ono sto je Basa Mrkalj koristio...

Jos jednom, mnogo hvala!


PS

Da dodam i novo "otkrice" - zaista ima nesto tamo gde ne bi smelo nista da brlja, a i vreme odgovara... u sys32, folderi drivers i dllchache imaju datum i vreme promene 14-12-09 22:54 , bas kao sto se i desilo...


PPS
Probala da posaljem iz edita, ali ceo ocito morati nova poruka
Hvala!

[ninam]

Evo i loga iz HJTa , meni ne govori mnogo, osim sto gada vidim u startup-u, al to i tako znam(o).

Nadam se da ce pomoci.


PS

Evo i linka na pastebin po preporukama Base Mrkalja

http://pastebin.com/m366e5e22

[player1]

Da, log je iznenadjujuce cist. Samo siszyd32.exe u startup sekciji. Dobro je da sad nije nasao stetocine u fajlovima na disku (rece ti negde da si brisala neke rucno), nego je samo u startup sekciji.

Probaj da prosto uklonis isti sa hijackthis (samo ga checkiraj na listi i FIX) i vidi dal ce sam da se vrati. Mozda je u pitanju samo preostali "rep" koji ne radi nista (link ka fajlu koji si vec ranije obrisala). A ako se pak "magicno" vrati sam od sebe (kao sto se kod mene desavalo), onda jos ima neka gamad.


P.S.
Deluje mi da je tvoj atapi.sys cist (jel se isti koristi samo za IDE kontrolere, ako se ne varam, a ako ga tamo u device menadzeru vidi kao potpisanog, onda bi trebalo da je u redu).

[Basa Mrkalj]

@ninam

Skini ovaj program na desktop i raspakuj ga u folder http://swandog46.geekstogo.com/avenger2/download.php
Iskopiraj sledeci tekst u prozor programa

Files to delete:
c:\documents and settings\ninam\start menu\programs\startup\siszyd32.exe

Klikni execute, pa yes 2x i sacekaj, doci ce do restarta. Kad zavrsi okaci izvestaj, tj. log koji dobijes.

Proveri ovaj vajl na ovom linku i postavi izvestaj http://www.virustotal.com/

c:\windows\system32\drivers\vdwbf.sys