Komputer po otwarciu bankowego konia trojańskiego ISFB

[szpula]

Hej.

 

Mój tata dostał jakiś czas temu maila z wezwaniem do zapłaty od jakiejś kancelarii prawnej. Oczywiście był też załącznik, który otworzył...

Szerzej ta akcja była opisywana tutaj: https://zaufanatrzeciastrona.pl/post/ciekawa-i-bardzo-roznorodna-kampania-zlosliwego-oprogramowania/(w tym wypadku zdarzył się najprawdopodobniej wariant 2).

 

Do tej pory użyłem: Revo Uninstaller (do usunięcia jakiś toolbarów), AdwCleaner, Malwarebytes Anti-Malware, HitmanPro, Comodo Internet Security i F-Secure Online Scanner. Niektóre z tych programów coś znalazły, inne nie - niestety nie mam logów z ich działalności.

 

Chciałem się upewnić, że na pewno wszystko jest ok, więc proszę o sprawdzenie logów z FRST i GMER.

 

 

Addition.txtFRST.txtShortcut.txtGMER.txt

[picasso]

W raportach brak jakichkolwiek oznak infekcji pasujących do opisywanego zdarzenia. Jest na dysku widoczny tylko jeden drobny szczątek adware (folder "Shortcut") i nic poza tym. Tylko kosmetyczne zadania do przeprowadzenia:

 

1. Odinstaluj starą wersję i zbędny program: Adobe Reader X (10.1.11) - Polish, HP Deskjet 2510 series — badanie mające na celu poprawę produktów.

 

2. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
CreateRestorePoint:
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.com
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = www.google.com
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = www.google.com
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = www.google.com
FF HKLM\...\Firefox\Extensions: [{20a82645-c095-46ed-80e3-08825760534b}] - c:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension
C:\Documents and Settings\All Users\Dane aplikacji\F-Secure
C:\Documents and Settings\Dom\Dane aplikacji\Shortcut
C:\Documents and Settings\Dom\Moje dokumenty\Zbyszek dokumenty\avast! Internet Security.lnk
C:\Documents and Settings\Dom\Moje dokumenty\Zbyszek dokumenty\Centrum obsługi HP.lnk
C:\Documents and Settings\Dom\Moje dokumenty\Zbyszek dokumenty\Corel CONNECT X6.lnk
C:\Documents and Settings\Dom\Moje dokumenty\Zbyszek dokumenty\HP Photosmart Essential 2.5.lnk
C:\Documents and Settings\Dom\Moje dokumenty\Zbyszek dokumenty\Narzędzie Wireless N USB.lnk
C:\Documents and Settings\Dom\Moje dokumenty\Zbyszek dokumenty\Nero StartSmart.lnk
C:\Documents and Settings\Dom\Moje dokumenty\Zbyszek dokumenty\PITy 2012.lnk
C:\Documents and Settings\Dom\Moje dokumenty\Zbyszek dokumenty\Szkoła\2006-2007\Skrót do paliwo - maj 2008.lnk
C:\Documents and Settings\Dom\Moje dokumenty\Zbyszek dokumenty\Zbyszek dokumenty\Szkoła\2006-2007\Skrót do paliwo - maj 2008.lnk
C:\Documents and Settings\Dom\Ustawienia lokalne\Dane aplikacji\ars.cache
C:\Documents and Settings\Dom\Ustawienia lokalne\Dane aplikacji\census.cache
C:\Documents and Settings\Dom\Ustawienia lokalne\Dane aplikacji\housecall.guid.cache
C:\Documents and Settings\Dom\Ustawienia lokalne\Dane aplikacji\F-Secure
C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension
C:\WINDOWS\system32\Drivers\tmcomm.sys
C:\WINDOWS\Tasks\At*.job
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Wyłącz COMODO, gdyż zablokuje FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. Przedstaw ten plik. Nowe skany FRST nie są mi potrzebne.

Edytowane 2 Czerwca 2016 przez picasso
Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso