Włamanie na Paypal - podejrzenie keyloggera

[Fr3shMak3r]

Witam dzisiaj zauważyłem, że ktoś mi ukradł pieniądze z Paypala i natychmiast zgłosiłem to do Paypala .

Mam Antywirusa MSE i nic mi nie wykrywa. Znając życie w Polsce to kradzież kwoty/mienia do 400 zł są uważane za wykroczenie, a mi ktoś ukradł 120 zł z konta więc na Policję nie ma co iść, bo wiadomo Polska ...

Proszę o sprawdzenie logów .

FRST.txt

Addition.txt

Shortcut.txt

OTL.Txt

Extras.Txt

[Rucek]

sprobuj jeszcze zrobic log GMER. Tutaj masz instrukcje: https://www.fixitpc.pl/topic/60-diagnostyka-infekcje-typu-rootkit/?do=findComment&comment=318
 

polecam lepszego antywirusa, duzo juz nie kosztują mozna sie zrzucic w pare osob na licencje na kilka kompow

 

co do policji mozesz isc by im popsuc statystyki

[muzyk75]

Witam dzisiaj zauważyłem, że ktoś mi ukradł pieniądze z Paypala....

Znając życie w Polsce to kradzież kwoty/mienia do 400 zł są uważane za wykroczenie, a mi ktoś ukradł 120 zł z konta więc na Policję nie ma co iść, bo wiadomo Polska ...

Jeżeli ukradł Tobie ktoś (?) kasę z PayPal, to aby tej kradzieży dokonać musiał włamać się na twoje konto. Za włam kodeks karny przewiduje karę do 10 lat pozbawienia wolności + dochodzi jeszcze kradzież Twojej własności ( może to być nawet szczoteczka do zębów, lub 2 zł z konta ). Tak więc zasuwaj to zgłosić. Policjant lub prokurator ma obowiązek przyjąć od Ciebie zgłoszenie popełnienia przestępstwa na twoją szkodę. Tym bardziej że PP dysponuje logami połączeń i wiedzą gdzie te pieniądze poszły, a tym samym nazwiskiem potencjalnego złodzieja. Nawet za włam na Twarzoksiążkę otrzymasz wyrok.

[Fr3shMak3r]

Już dzisiaj się wybiorę do miasta złozyc zawiadomienie o popełnieniu przestępstwa na moją szkodę.

PS: Dodałem już log GMER .

GMER.txt

[picasso]

Są tu oznaki infekcji routera, co może być nie bez znaczenia w kontekście problemu PayPal. Ten szczególny adres IP wg Whois pochodzi z Tajwanu: KLIK.

 

Tcpip\Parameters: [DhcpNameServer] 168.95.1.1

 

Ponadto są tu szczątki adware, ale to nie ma związku ze zdarzeniem podstawowym.

 

 

---

Przeprowadź następujące działania:

 

1. Zresetuj ustawienia routera. Należy zmienić login i ustawienia DNS. Dodatkowo: o ile tego jeszcze nie zrobiłeś, zmień dane logowania PayPal.

 

2. Otwórz Notatnik i wklej w nim:

 

R1 wStLibG64; C:\Windows\System32\drivers\wStLibG64.sys [61112 2014-04-09] (StdLib)
S2 SPDRIVER_1.35.1.155; \??\C:\Program Files (x86)\ShopperPro\JSDriver\1.35.1.155\jsdrv.sys [X]
HKLM-x32\...\Run: [fst_pl_31] => [X]
AppInit_DLLs-x32: c:\progra~2\optimi~1\optpro~1.dll => "c:\progra~2\optimi~1\optpro~1.dll" File Not Found
Task: {27EF978A-C3C0-4CA2-A6AA-EAAA7FA53ACE} - System32\Tasks\SPDriver => C:\Program Files (x86)\ShopperPro\JSDriver\1.35.1.155\jsdrv.exe 
Task: {2BA4CCDE-863C-4A13-98DF-A099BAAACCC1} - \bench-sys No Task File 
Task: {318DA270-7E35-4443-A471-32B7D355D631} - System32\Tasks\ShopperProJSUpd => C:\Program Files (x86)\ShopperPro\updater.exe 
Task: {3A0D27E4-DC8B-45B0-9238-DE71E4CF7D4F} - System32\Tasks\bench-Updater removing
Task: {3D1C2D20-2772-4929-ABCB-0B1AF014063B} - \Show-Password Update No Task File 
Task: {B25F7934-45AC-4977-9B5D-66E6B3B0CF0A} - System32\Tasks\SomotoUpdateCheckerAutoStart => C:\Users\agusia\AppData\Local\FilesFrog Update Checker\update_checker.exe 
Task: {D8561507-60D7-45AE-B1FA-3DA18D4201CF} - \EPUpdater No Task File 
Task: {F71B18CF-BAD2-4DC4-9730-487173EF4B92} - System32\Tasks\ShopperPro => C:\Program Files (x86)\ShopperPro\ShopperPro.exe 
Task: C:\Windows\Tasks\bench-Updater removing.job => ? 
GroupPolicy: Group Policy on Chrome detected 
ProxyServer: 199.191.120.205:46760
StartMenuInternet: IEXPLORE.EXE - C:\Program Files (x86)\Internet Explorer\iexplore.exe
SearchScopes: HKLM - DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL =
AlternateDataStreams: C:\ProgramData\Temp:373E1720
C:\Program Files (x86)\mozilla firefox\extensions
C:\Users\agusia\AppData\Roaming\Mozilla\Extensions\{ec8030f7-c20a-464f-9b0e-13a3a9e97384}
C:\Users\agusia\AppData\Roaming\qone8
C:\Users\agusia\Desktop\Nowy folder (2)\McAfee Security Scan Plus.lnk
C:\Windows\System32\drivers\wStLibG64.sys
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\fst_pl_96" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\lollipop_03270551" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SPDriver" /f
Reg: reg delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\qone8 uninstaller" /f
Reg: reg delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\ShopperPro" /f
CMD: netsh advfirewall reset
Reboot:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. System zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

3. Specjalny skrót Internet Explorer został błędnie naprawiony czymś (utrata specjalnego atrybutu):

 

Shortcut: C:\Users\agusia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation)

 

W pasku adresów eksploratora wklej ścieżkę C:\Users\agusia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools i ENTER. Prawoklik na zlokalizowany tam skrót Internet explorer (bez dodatków) > Właściwości > w polu Element docelowy po ścieżce "C:\Program Files (x86)\Internet Explorer\iexplore.exe" dopisz dwie spacje i -extoff

 

4. Wyczyść Firefox:

• menu Historia > Wyczyść historię przeglądania
• menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox. Zakładki i hasła nie zostaną naruszone, ale iMacros for Firefox tyrzeba będzie przeinstalować.

5. Wyczyść Google Chrome:

• Ustawienia > karta Ustawienia > Po uruchomieniu > usuń wszystkie adresy stamtąd, przestaw na "Otwórz stronę nowej karty"
• Ustawienia > karta Ustawienia > Wygląd i zaznacz "Pokaż przycisk strony startowej" > klik w Zmień i usuń adres mysearch.avg.com
• Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Zresetuj ustawienia przeglądarki. Zakładki i hasła nie zostaną naruszone, ale rozszerzenia zostaną wyłączone, więc ponownie aktywuj AdBlock.
• Ustawienia > karta Historia > wyczyść
• Zresetuj cache wtyczek. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie Włącz.

6. Uruchom AdwCleaner. Zastosuj Szukaj, a po tym Usuń. Powstanie folder C:\AdwCleaner z raportem z usuwania.

 

7. Uruchom TFC - Temp Cleaner.

 

8. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt i log z AdwCleaner.

 

 

 

 

.