Zamiana numeru konta bankowego przy kopiowaniu

[Tomek1623]

Witam, kilka dni temu wykonując przelew na podany nr konta, po skopiowaniu go i wklejaniu był zamieniany na inny, ale wszystko było w porządku kiedy wpisałem go ręcznie. Przelew poszedł a na drugi dzień okazało się że pieniądze poszły na zupełnie inny nr konta niż wpisany. Dzisiaj zadzwoniła do mnie pani z banku i powiedziała że wykryto u mnie wirusa zamieniającego nr konta. Bank nie dopuścił do transakcji i wrócili mi pieniądze.

 

Zaraz po tym jak zrobiłem przelew (ten od którego wszystko się zaczeło) na pclab pomagał mi Miszel03, sprawdzał logi podał Fix-a do FRST .

 

FF SearchPlugin: C :\Program Files ( x86 )\ mozilla firefox\ br

EmptyTemp :

 

Robiliśmy testy i nie zauważyłem żeby sytuacja się powtarzała.

 

Polecił mi założyć temat tutaj i poprosić Was o pomoc. Nie chciał bym formatować komputera a nie jestem pewny czy już pozbyłem się tego świństwa.

 

Logi

 

FRST

 

Shortcut http://wklej.org/id/1503128/

 

Addition http://wklej.org/id/1503129/

 

FRST http://wklej.org/id/1503130/

 

OTL http://wklej.org/id/1503132/

 

Extras http://wklej.org/id/1503136/

 

Nie mogę zrobić raportu GMER wyskakuje takie coś, wszystkie zbędne programy wyłączone.

http://s14.directupload.net/images/141029/wihssi67.jpg

[Miszel03]

Historia Sprawy:

 

http://forum.pclab.pl/topic/999808-Zamiana-numeru-konta-bankowego-przy-kopiowaniu/

[picasso]

Witam, kilka dni temu wykonując przelew na podany nr konta, po skopiowaniu go i wklejaniu był zamieniany na inny, ale wszystko było w porządku kiedy wpisałem go ręcznie. Przelew poszedł a na drugi dzień okazało się że pieniądze poszły na zupełnie inny nr konta niż wpisany. Dzisiaj zadzwoniła do mnie pani z banku i powiedziała że wykryto u mnie wirusa zamieniającego nr konta. Bank nie dopuścił do transakcji i wrócili mi pieniądze.

Tu było jawne malware manipulujące na kontach bankowych, udające "statystyki Microsoftu". Na tamtym forum temat zaczynał się z czynnym malware uruchamianym z wielokrotnych kopii via Autostart oraz Harmonogram zadań:

 

==================== Processes (Whitelisted) =================
 

() C:\ProgramData\WinSTAT\SYS.exe

() C:\ProgramData\WinSTAT\data\winhost32.exe

(Microsoft® Corporation) C:\ProgramData\WinSTAT\WinSTAT.exe

(Microsoft® Corporation) C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\WinSTAT.exe
 

==================== Registry (Whitelisted) ==================
 

HKLM-x32\...\Run: [Windows® Statistics Service] => C:\ProgramData\WinSTAT\WinSTAT.exe [1460224 2014-09-07] (Microsoft® Corporation)

HKU\S-1-5-21-606281877-1479866930-3929170589-1000\...\Run: [Windows® Statistics Service] => C:\ProgramData\WinSTAT\WinSTAT.exe [1460224 2014-09-07] (Microsoft® Corporation)

Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\WinSTAT.exe (Microsoft® Corporation)

Startup: C:\Users\Tomek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\WinSTAT.exe (Microsoft® Corporation)
 

==================== Scheduled Tasks (whitelisted) =============
 

Task: {80661CB9-B627-42DD-AEAA-F09D62EEFA9A} - System32\Tasks\WinSTAT => C:\ProgramData\WinSTAT\WinSTAT.exe [2014-09-07] (Microsoft® Corporation)

 

Nie zostały te wpisy zauważone, dopiero ESET wychwycił komponenty "WinSTAT" i skasował szkodnika częściowo. Obecnie nadal jest w systemie to szkodliwe zadanie "WinSTAT", tylko już bez pliku (ale cały folder nadal na dysku):

 

==================== Scheduled Tasks (whitelisted) =============
 

Task: {80661CB9-B627-42DD-AEAA-F09D62EEFA9A} - System32\Tasks\WinSTAT => C:\ProgramData\WinSTAT\WinSTAT.exe

 

Sprawa poboczna:

 

podał Fix-a do FRST

Ten skrypt nie miał związku z malware omawianym powyżej. Zresztą skrypt i tak w ogóle nie został przetworzony (nie podałeś wynikowego fixlog.txt, ale widać, że nic nie zostało zrobione): dopiero MBAM dokasował tę wyszukiwarkę adware istartsurf.xml z Firefox, zaś Tempy nadal nie wyczyszczone. I tu nie koniec czyszczenia z adware: na koncie Tomek w Firefox jest nadal adware-przekierowanie nowej karty, zaś na koncie Mateusz skróty LNK przeglądarek są zmodyfikowane.

 

 

---

Poprawkowe działania:

 

1. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
Task: {80661CB9-B627-42DD-AEAA-F09D62EEFA9A} - System32\Tasks\WinSTAT => C:\ProgramData\WinSTAT\WinSTAT.exe
ShortcutWithArgument: C:\Users\Mateusz\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://www.istartsurf.com/?type=sc&ts=1408122845&from=smt&uid=SAMSUNGXHD200HJ_S16KJDWQ806266
ShortcutWithArgument: C:\Users\Mateusz\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Mozilla Firefox.lnk -> C:\Program Files (x86)\Mozilla Firefox\firefox.exe (Mozilla Corporation) -> hxxp://www.istartsurf.com/?type=sc&ts=1408122845&from=smt&uid=SAMSUNGXHD200HJ_S16KJDWQ806266
StartMenuInternet: IEXPLORE.EXE - C:\Program Files (x86)\Internet Explorer\iexplore.exe
FF Plugin-x32: @esn/npbattlelog,version=2.4.0 -> C:\Program Files (x86)\Battlelog Web Plugins\2.4.0\npbattlelog.dll No File
FF Plugin HKCU: ubisoft.com/uplaypc -> C:\Program Files (x86)\Ubisoft\Ubisoft Game Launcher\npuplaypc.dll No File
HKU\S-1-5-21-606281877-1479866930-3929170589-1000\...\Run: [ALLUpdate] => "C:\Program Files (x86)\ALLPlayer\ALLUpdate.exe" "sleep"
BootExecute: autocheck autochk * sdnclean64.exe
S3 MSICDSetup; \??\E:\CDriver64.sys [X]
S3 NTIOLib_1_0_C; \??\E:\NTIOLib_X64.sys [X]
C:\ProgramData\WinSTAT
C:\Windows\DEA314C409294250BC9298E4C105F28D.TMP
RemoveDirectory: C:\Users\Administrator
Folder: C:\Users\Tomek\AppData\Roaming\tor
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Wyczyść Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox. Zakładki i hasła nie zostaną naruszone, ale Adblock Plus trzeba będzie przeinstalować.

 

3. W systemie są dwa czynne konta:

 

========================= Accounts: ==========================
 

Mateusz (S-1-5-21-606281877-1479866930-3929170589-1003 - Administrator - Enabled) => C:\Users\Mateusz

Tomek (S-1-5-21-606281877-1479866930-3929170589-1000 - Administrator - Enabled) => C:\Users\Tomek

 

Dotychczas były sprawdzane raporty z konta Tomek. Wymagane raporty z obu kont. Po kolei zaloguj się na każde z nich poprzez pełny restart komputera (a nie opcję Wyloguj czy Przełącz użytkownika) i zrób nowy log FRST z opcji Scan, zaznacz ponownie pole Addition, by powstały dwa logi na każdym koncie. Dołącz też plik fixlog.txt.

 

 

 

 

.

[Tomek1623]

Zrobiłem to co napisałaś

Załączniki

Fixlog.txt

FRST.txt

Addition.txt

FRST.txt

Addition.txt

[picasso]

Fix pomyślnie przetworzony. Na koncie Mateusz również są nieusunięte szczątki malware WinSTAT. Poprawki będąc zalogowanym na koncie Mateusz. Otwórz Notatnik i wklej w nim:

 

HKU\S-1-5-21-606281877-1479866930-3929170589-1003\...\Run: [Windows® Statistics Service] => C:\ProgramData\WinSTAT\WinSTAT.exe
S2 jhi_service; "C:\Program Files (x86)\Intel\Intel® Management Engine Components\DAL\jhi_service.exe" [X]
RemoveDirectory: C:\Users\Mateusz\AppData\Roaming\tor
RemoveDirectory: C:\Users\Mateusz\Desktop\Stare dane programu Firefox
RemoveDirectory: C:\Users\Tomek\AppData\Roaming\tor
RemoveDirectory: C:\Users\Tomek\Desktop\Stare dane programu Firefox
DeleteQuarantine:

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Przedstaw wynikowy fixlog.txt.

 

 

I trzeba się zastanowić jakie było źródło tego malware. Prawdopodobnie pobrałeś coś co miało doczepionego backdoora. Czy jesteś w stanie powiązać wystąpienie objawów ze ściągnięciem czegoś konkretnego?

 

 

 

.

[Tomek1623]

Szczerze nie mam pojecia. Kobita z banku mówiła że to wirus VBKlip. Mówiła że najprawdopodobniej złapałem go przez poczte. Prawie codziennie przychodzą mi jakieś newslettery że stron na których mam konta. Zdarzało się ze czytałem niektóre.

[picasso]

Czy wykonałeś Fix?

 

Typowy VBKlip opiera się na pojedynczym zadaniu startującym via Harmonogram. Log z FRST przedstawi go w ten sposób:

 

==================== Scheduled Tasks (whitelisted) =============
 

Task: {D23B4F95-12F2-413D-A3A9-C55814ED46D3} - System32\Tasks\SYSTEM => C:\ProgramData\wmc.exe [2014-08-15] (Microsoft® Corporation)

Task: {3E60B94C-D9C5-44DC-8F4A-785A3D92D2A3} - System32\Tasks\SYSTEM => C:\ProgramData\wms.exe [2014-10-12] (Microsoft® Corporation)

 

U Ciebie występował inny bardziej rozbudowany wariant uruchamiający się wielokrotnie na różne sposoby. Nie jestem pewna co to za wersja ten "WinSTAT".

[Tomek1623]

Jeszcze nie, do 2 godzin wrzucę.

 

Jednak szybciej dorwałem kompa

Fixlog.txt

[picasso]

Czy coś usuwałeś ręcznie przed wykonaniem skryptu FRST, a może być używany msconfig? Ta odpadkowa wartość kierująca do WinSTAT.exe nie została znaleziona. Na wszelki wypadek zrób mi jeszcze raz log FRST z poziomu konta Mateusz (bez Addition i Shortcut).

[Tomek1623]

Tylko jakiś folder firefox kopia profilu czy coś, z pulpitu.

FRST.txt

[picasso]

Ten wpis nadal jest, ale już wiem czemu się nie skasował, pewnie kwestia formatowania przekształconego przez forum (znaczek "R" w nawiasie przekonwertowany w poście na znak zastrzeżony ®). Finalizując sprawy:

 

1. Siedząc na koncie Mateusz Start > w polu szukania wpisz regedit > z prawokliku Uruchom jako Administrator > przejdź do klucza:

 

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

 

Z prawokliku skasuj wartość Windows® Statistics Service kierującą do WinSTAT.exe.

 

2. Usuń używane narzędzia za pomocą DelFix.

 

3. Na wszelki wypadek zmieniłabym hasła logowania do banku.

 

 

 

.

[Tomek1623]

Czyli udało się już pozbyć tego świństwa, czy mam się czego jeszcze obawiać. ?

[picasso]

Na tyle na ile widać z raportów, infekcja została usunięta (brak punktów ładowania). Robiłeś też skany na poprzednim forum, więc tego kroku już nie powtarzam.

[Tomek1623]

Usunąłem to, problem rozwiązany? Podać jeszcze jakieś logi?

[picasso]

Tomek1623, został zalecony DelFix (usuwa narzędzia i logi) i z mojej strony nie padła prośba o żadne nowe logi, co znaczy, że nie potrzebuję ich już. To już koniec czyszczenia.

[Tomek1623]

W takim razie wielkie dzięki za pomoc