Podejrzenie aplikacji monitorującej

[szelo]

Witam.

Mam przeczucie, że mogę mieć key loggera zainstalowanego albo inny monitorujący program. Czy mógłbym prosić o spojrzenie na logi z OTL

otl:

http://wklej.to/WI5Gl

 

extras:

http://wklej.to/YzUSn

 

Dzięki za ewentualną pomoc

[picasso]

Zasady działu: KLIK. Po pierwsze: temat założony w złym dziale, przenoszę do diagnostyki infekcji. Po drugie: co to za tytuł "sprawdzanie logów"? Zmieniam. Po trzecie: brak rzeczowego opisu problemu, "mając przeczucia" idzie się do wróżbity, proszę o konkrety co się zdarzyło i skąd dedukcje o monitorze. Po czwarte: niepełny zestaw logów, brakuje obowiązkowego raportu GMER pod kątem infekcji rootkit.

 

A z OTL nic nie wynika, ale to jest tylko ogólny log o ograniczonym polu widzenia, nie specjalizuowany zresztą w szukaniu rzeczy ukrytych.

 

 

.

[szelo]

Jeżeli chodzi o przeczucie to niestety tylko na tym moge sie opierać. Kopmuter działą sprawnie nic sie z nim niedzieje.

System to windows 7 32-bit.

Gmer: http://wklejto.pl/136390

Mój komputer na kilka dni trafił do rąk obych ludzi przez pomyłke a, że zajmuje sie robieniem przelewów to wole dmuchać na zimne.

[picasso]

Log z GMER jest urwany, to przez ten serwis wklejto.pl (ma limity), przehostuj raport na wklej.org. Log musisz zrobić od nowa, wykonałeś go w nieprawidłowych warunkach przy czynnym sterowniku SPTD:

 

DRV - File not found [Kernel | On_Demand | Unknown] --  -- (awe4okkw)
DRV - [2010-06-09 09:31:37 | 000,691,696 | ---- | M] () [Kernel | Boot | Running] -- C:\Windows\System32\drivers\sptd.sys -- (sptd)

 

Przed uruchomieniem GMER należy wykonać to: KLIK.

 

 

System to windows 7 32-bit.

 

To wiadome z logów. Nagłówek precyzyjnie podaje z czym mam do czynienia:

 

Ultimate Edition Service Pack 1 (Version = 6.1.7601) - Type = NTWorkstation
Internet Explorer (Version = 8.0.7601.17514)

 

Gdyby system był 64-bitowy, nie otrzymałbyś skierowania do raportu GMER (nie współpracuje z x64).

 

 

Jeżeli chodzi o przeczucie to niestety tylko na tym moge sie opierać.

 

Póki co: masz tylko przeczucia, żadnych widzialnych oznak / zanotowanych dziwnych zdarzeń, zainstalowany Kaspersky nic nie zgłasza, w raportach OTL brak oznak infekcji + czytelna początkowa część GMER też nic ciekawego nie pokazuje. Tylko sobie doczyść szczątki adware i pliki śmieciarskie GG10:

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
FF - prefs.js..browser.search.defaultengine: "Ask.com"
FF - prefs.js..browser.search.defaultenginename: "Ask.com"
FF - prefs.js..browser.search.defaulturl: "http://search.babylon.com/web/{searchTerms}?babsrc=browsersearch&AF=15627"
FF - prefs.js..browser.search.order.1: "Ask.com"
FF - prefs.js..extensions.enabledItems: {0b38152b-1b20-484d-a11f-5e04a9b0661f}:5.6.12.1
IE - HKLM\..\SearchScopes\{EEE7E0A3-AE64-4dc8-84D1-F5D7BAF2DB0C}: "URL" = "http://slirsredirect.search.aol.com/slirs_http/sredir?sredir=2685&query={searchTerms}&invocationType=tb50winampie7"
IE - HKU\S-1-5-21-1555027709-3540086573-1199259649-1000\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = "http://search.babylon.com/web/{searchTerms}?babsrc=browsersearch&AF=15627"
IE - HKU\S-1-5-21-1555027709-3540086573-1199259649-1000\..\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}: "URL" = "http://websearch.ask.com/redirect?client=ie&tb=FF-DL&o=16596&src=crm&q={searchTerms}&locale=en_US&apn_ptnrs=1A&apn_dtid=YYYYYYYYPL&apn_uid=267723B5-3927-496A-AB3A-FCB13D40890B&apn_sauid=5419807B-05FE-4E73-8969-C7C352809BFD"
IE - HKU\S-1-5-21-1555027709-3540086573-1199259649-1000\..\SearchScopes\{EEE7E0A3-AE64-4dc8-84D1-F5D7BAF2DB0C}: "URL" = "http://slirsredirect.search.aol.com/slirs_http/sredir?sredir=2685&query={searchTerms}&invocationType=tb50winampie7"
 
:Files
C:\Program Files\mozilla firefox\searchplugins\babylon.xml
C:\Users\Agnieszka\AppData\Roaming\mozilla\firefox\profiles\mi6gge37.default\searchplugins\askcom.xml
C:\Users\Agnieszka\AppData\Roaming\mozilla\firefox\profiles\mi6gge37.default\searchplugins\winamp-search.xml
C:\Users\Agnieszka\AppData\Roaming\mozilla\Firefox\Profiles\mi6gge37.default\extensions\{0b38152b-1b20-484d-a11f-5e04a9b0661f}
C:\Users\Agnieszka\AppData\Local\Temp*.html
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany. Po użyciu programu zastosuj Sprzątanie.

 

2. W Google Chrome jest resztka wtyczki Babylon:

 

========== Chrome  ==========
 
CHR - plugin: Babylon Chrome Plugin (Enabled) = C:\Users\Agnieszka\AppData\Local\Google\Chrome\User Data\Default\Extensions\dhkplhfnhceodhffomolpfigojocbpcb\1.4_0\BabylonChromePI.dll

 

Zamknij Google Chrome (nie może być w procesach!).

 

---- Otwórz w Notatniku plik:

 

C:\Users\Agnieszka\AppData\Local\Google\Chrome\User Data\Default\Preferences

 

W pliku wyszukaj blok korespondujący do wtyczki Babylon Chrome Plugin i go usuń. Dla porównania tu punkt 3, tylko nazwa wtyczek rzecz jasna inna: KLIK.

 

---- Przez SHIFT+DEL skasuj z dysku poniższy folder (o ile w ogóle jest na dysku):

 

:\Users\Agnieszka\AppData\Local\Google\Chrome\User Data\Default\Extensions\dhkplhfnhceodhffomolpfigojocbpcb

 

 

 

.

Edytowane 28 Listopada 2012 przez picasso
28.11.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso