Backdoor, 100% zużycia procesora i większości pamięci

[sandoz]

Witajcie,

po powrocie do rodzinnego domu zauważyłem drastyczny spadek wydajności laptopa, którego pamięć w większości wykorzystują procesy ctfmon.exe notepad.exe msiexec.exe dlhost.exe msdtc.exe itd. Po uruchomieniu Windowsa wyskakiwała informacja, że system nie może otworzyć pliku pewnego typu, a przy zamykaniu systemu wyskakiwały okna z grafiką stron internetowych które odwiedziłem. Po skanie Windows Defenderem dany plik okazał się backdoorem, którego usunął (?) (niestety z jakichś przyczyń informacje już nie figurują w historii Defendera, a w podglądzie zdarzeń szczegółów brak), informacja o pliku oraz okna już nie wyskakują, natomiast pozostały dziwne procesy i spowolnienie.

Addition.txt

FRST.txt

Shortcut.txt

GMER-29.12.txt

[jessica]

Nie widzę tu żadnej infekcji.

 

Otwórz Notatnik i wklej w nim:

 

Task: {8790D195-976F-4AE5-8589-B79911587537} - System32\Tasks\{6936A43F-DADD-4730-AD36-4D6DA95F7D24} => pcalua.exe -a "C:\Program Files\Activision Value\THPS2\uninstall\Uninstall.exe" -d "C:\Program Files\Activision Value\THPS2\uninstall"
Task: {ABD5337C-341F-415D-A1C0-4099FA255E43} - System32\Tasks\{2F801CC0-F901-4C56-A81C-8F0E98B4D801} => pcalua.exe -a "C:\Users\sandoz\Desktop\Nowy folder\Nokia_PC_Suite_7_1_30_9_pol_web(2).exe" -d "C:\Users\sandoz\Desktop\Nowy folder"
Task: {B5AED4F1-022F-4BAF-A7CC-A24A7E530102} - System32\Tasks\{600D8E77-1226-4BB3-8674-DC9C93D77C17} => pcalua.exe -a E:\Launch.exe -d E:\
Task: {B87430FF-EE9F-4D3E-B8B0-A2DF842CF6EA} - System32\Tasks\{D5A045CA-DE8F-4F6A-A9C8-D6F00207F509} => pcalua.exe -a "C:\Users\sandoz\Desktop\Nowy folder\RegCleaner.exe" -d "C:\Users\sandoz\Desktop\Nowy folder"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\PEVSystemStart => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\procexp90.Sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\PEVSystemStart => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\procexp90.Sys => ""="Driver"
HKU\S-1-5-21-662459261-2097686485-2363488366-1004\...\Run: [Polar Sync] => [X]
CHR HKLM\...\Chrome\Extension: [jcdgjdiieiljkfkdcloehkohchhpekkn] - <Brak Path\update_url>
CHR HKLM\...\Chrome\Extension: [pbiamblgmkgbcgbcgejjgebalncpmhnp] - <Brak Path\update_url>
C:\Users\sandoz\AppData\Roaming\Microsoft\Office\Niedawny\dwucukry i wielocukry.doc.LNK
C:\Users\sandoz\AppData\Roaming\Microsoft\Office\Niedawny\Dysk wymienny (G).LNK
C:\Users\sandoz\AppData\Roaming\Microsoft\Office\Niedawny\Dzieje Ziemi.ppt.LNK
C:\Users\sandoz\AppData\Roaming\Microsoft\Office\Niedawny\HASŁO człowiek.docx.LNK
C:\Users\sandoz\AppData\Roaming\Microsoft\Office\Niedawny\Historia Ziemi.ppt.LNK
C:\Users\sandoz\AppData\Roaming\Microsoft\Office\Niedawny\K.Czarnota_II_LO_i.ppt.LNK
C:\Users\sandoz\AppData\Roaming\Microsoft\Office\Niedawny\SŁUŻBA CYWILNA.docx.LNK
C:\Users\sandoz\AppData\Roaming\Microsoft\Office\Niedawny\Tokarczyk.LNK
C:\Users\sandoz\AppData\Local\Microsoft\Windows\GameExplorer\{F1AB869D-89BC-4FC9-B966-FE7B566543D0}\PlayTasks\0\Play.lnk
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix (NAPRAW).
Powstanie plik fixlog.txt.
Daj ten log.

 

Zrób nowe logi. FRST.

 

Potem czekaj na @Picasso - nie wiem, kiedy tu zajrzy.

 

jessi

[sandoz]

Poprawy brak. W załączeniu obraz z powielonymi procesami.

Addition.txt

FRST.txt

Shortcut.txt

Fixlog.txt