Wirus rozsyłany w linku przez STEAM - dalszy spam linkami do znajomych

[shikaka90]

Witam,

dostałem linka od znajomego na steamie, kliknalem, wyskoczyło pobieranie pliku.... ( mój błąd, zmeczony po całym dniu, zazwyczaj nie pobieram i nie otwieram czegoś takiego - tym razem jednak odpaliłem plik ) - do znajomych porozsyłało tego samego linka z tym samym plikiem, multum okienek czatu steam, wyłączyłem proces steam.exe w MU

proszę o informację czy coś się zagnieździło czy nie

 

Temat juz ktoś poruszył na wykopie, zamieszczam link

http://www.wykop.pl/wpis/10180692/steam-uwaga-na-proby-wykradniecia-waszych-itemow-n/

 

Proszę o informacje czy nie ma jakiegoś innego syfu

Addition.txt

Extras.Txt

FRST.txt

GMER.txt

OTL.Txt

Shortcut.txt

[picasso]

Póki co, to ja tu nie widzę jawnych oznak infekcji (do czyszczenia będą tylko puste wpisy i odpadki programów), ale w systemie są trzy konta:

 

========================= Accounts: ==========================
 

Kuba (S-1-5-21-2615021221-2235552605-2224125913-1001 - Administrator - Enabled) => C:\Users\Kuba

Pawel (S-1-5-21-2615021221-2235552605-2224125913-1000 - Administrator - Enabled) => C:\Users\Pawel

Tata (S-1-5-21-2615021221-2235552605-2224125913-1002 - Administrator - Enabled) => C:\Users\Tata

 

Zostały dostarczone logi FRST z konta Pawel. Zaloguj się po kolei na pozostałe konta (poprzez pełny restart komputera a nie opcję Wyloguj czy Przełącz użytkownika) i zrób nowe raporty FRST z każdego (włącznie z plikiem Addition, Shortcut jednak zbędny).

 

 

 

.

[shikaka90]

już się robią, niestety tylko z konta Tata, brata nie ma i nie mam jak zalogować się na jego konto

 

Całe to zamieszanie było na koncie Paweł, na pozostałe dwa nikt sie nie logował

poniżej raporty z konta Tata

 

 

Addition.txt

FRST.txt

[picasso]

Jak mówię, nic nie widzę, więc tylko doczyść szczątki programów (szczątki instalacji Wondershare oraz niepożądanego programu Systweak) i Tempy. Przy okazji sprawdzę czy w folderze Steam nie ma czegoś "dodatkowego". Z poziomu konta Paweł:

 

Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
Task: {87AC9404-D465-4CE2-ACC9-220CECB5CD90} - System32\Tasks\ASP => C:\Program Files (x86)\RCP\systweakasp.exe
HKLM-x32\...\Run: [Wondershare Helper Compact.exe] => C:\Program Files (x86)\Common Files\Wondershare\Wondershare Helper Compact\WSHelper.exe [2024800 2014-06-04] (Wondershare)
HKU\S-1-5-21-2615021221-2235552605-2224125913-1000\...\Run: [MX Skype Recorder] => "C:\ProgramData\MXSkypeRecorder\MXSkypeRecorder.exe" /autorun
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = www.wp.pl/?src01=dp220141019
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = www.wp.pl/?src01=dp220141019
C:\Program Files (x86)\Common Files\Wondershare
C:\Program Files\Wondershare
C:\ProgramData\APN
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PDF Editor 4.5
C:\Users\Kuba\AppData\Local\Wondershare
C:\Users\Kuba\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\PDF Editor 4.5
C:\Users\Kuba\AppData\Roaming\Wondershare
C:\Users\Kuba\AppData\Roaming\Systweak
C:\Users\Kuba\Downloads\*(*)-dp*.exe
C:\Users\Kuba\Desktop\PDF Editor 4.5.lnk
C:\Users\Tata\Desktop\PDF Editor 4.5.lnk
C:\Users\Pawel\AppData\Local\Wondershare
C:\Users\Public\Documents\Wondershare
C:\Windows\C5C1C0F0D62F4DBF81D4D7EF397C228B.TMP
C:\Windows\system32\roboot64.exe
C:\Windows\system32\WSMonEditor.dll
C:\Windows\SysWOW64\tmp*.tmp
Folder: C:\Users\Pawel\AppData\Roaming\Steam
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. Przedstaw go.

 

 

PS. Widzę na dysku pliki "Asystenta pobierania" dobrychprogramów. Czym to grozi: KLIK. Jeśli już musisz stamtąd pobierać, korzystaj z odnośników Linki bezpośrednie.

 

 

 

 

.

[shikaka90]

Poniżej zamieszczam fixlog

 

Dziękuję za radę co do asystentów pobierania

Fixlog.txt

[picasso]

Fix wykonany. Na zakończenie usuń ręcznie pobrany GMER, zastosuj Delfix i wyczyść foldery Przywracania systemu: KLIK.

[shikaka90]

Wszystko zrobione, dziękuję za pomoc