Ransomware.locky wykryty przez cybertarcze Orange

[pitra]

Witam. Dzisiaj rano zostało u mnie wykryte przez cybertarcze orange ransomware.locky. Antywirus avira nic nie wykrył, tak samo malwarebytes' anti-malware. Chciałbym się upewnić czy to fałszywy alarm czy faktycznie coś złapałem. Dołączam logi z FRST.

Addition.txt

FRST.txt

Shortcut.txt

[picasso]

Brak oznak infekcji. Ten komunikat może być wynikiem tego:

 

W obliczu braku jakichkolwiek śladów tego rodzaju infekcji komunikat może być związany z aktywnością infekcji ogólnie w sieci Orange. Skan Cybertarczy z tego co rozumiem nie skanuje konkretnie wybranego systemu lecz stawia diagnozę na podstawie IP. Orange przypisuje zmienne adresy IP, mogło być i tak że przydzielony Ci adres IP należał wcześniej do innego rzeczywiście zainfekowanego komputera. Można to przetestować wymuszając rozłączenie/reset urządzenia Orange, by przypisało inny adres IP.

 

 

PS. Możesz wykonać poboczne działania usuwające wpisy puste / śmieciowe i szczątki odinstalowanego Firefoxa:

 

1. Uruchom Uruchom Program Install and Uninstall Troubleshooter i za jego pomocą usuń wpis Metric Collection SDK 35.

 

2. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
CreateRestorePoint:
HKLM\...\Policies\Explorer\Run: [btvStack] => C:\Program Files (x86)\Bluetooth Suite\BtvStack.exe
HKU\S-1-5-18\Control Panel\Desktop\\SCRNSAVE.EXE ->
Task: {05C663F9-9D29-4776-AA37-266F3DB8B71B} - System32\Tasks\PDVDServ Task => C:\Program Files (x86)\Lenovo\PowerDVD10\PDVD10Serv.EXE
Task: {0C017818-17DD-4F37-88A6-8E1F1DC612C7} - System32\Tasks\{8AC81B1D-7CF1-4FA3-A2B0-A3F88A452D73} => pcalua.exe -a "D:\NFS Carbon\EAUninstall.exe"
Task: {19FB4902-68DA-462D-BE1F-D4E38E005046} - System32\Tasks\Safer-Networking\Spybot Anti-Beacon\Refresh Anti-Beacon immunization => C:\Program Files (x86)\Spybot Anti-Beacon\SDAntiBeacon.exe
Task: {20EEA30E-FB16-4933-B1FC-B74394B6AA30} - System32\Tasks\{0BAFADCD-1ED6-43B0-B9E7-0931A3759C97} => pcalua.exe -a "D:\Diablo II\Game.exe" -d "D:\Diablo II"
Task: {26D04EB5-A5DD-412B-9A78-F5BA4A7610CD} - System32\Tasks\Lenovo\Lenovo Customer Feedback Program 64 35 => C:\Program Files (x86)\Lenovo\Customer Feedback Program 35\Lenovo.TVT.CustomerFeedback.Agent35.exe [2014-09-10] (Lenovo)
Task: {54D0B0AA-39C8-493A-8658-464F84D6FAA6} - System32\Tasks\Lenovo\Lenovo Customer Feedback Program 64 => C:\Program Files (x86)\Lenovo\Customer Feedback Program\Lenovo.TVT.CustomerFeedback.Agent.exe
Task: {68CF97DB-E4FB-49B8-8A09-8D20806082FA} - System32\Tasks\{1773F3F7-D0C0-4BBE-A5BE-4182BB336F4F} => pcalua.exe -a "C:\Users\Jakub\Downloads\Diablo 2 LOD + Dodatki\LOD_109.EXE" -d "C:\Users\Jakub\Downloads\Diablo 2 LOD + Dodatki"
Task: {6C611C45-7E68-4392-8661-549E400A1853} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> Brak pliku 
Task: {75A81306-EA6F-4CBA-A1AE-01FDC12E02E2} - System32\Tasks\{3875887A-F900-47A0-9FA1-D486D5676695} => Chrome.exe hxxp://ui.skype.com/ui/0/7.24.0.104/pl/abandoninstall?page=tsProgressBar
Task: {7B002E9D-27BA-4AB5-A9F6-DCFD0F460F3A} - System32\Tasks\Lenovo\Lenovo Customer Feedback Program => C:\Program Files\Lenovo\Customer Feedback Program\Lenovo.TVT.CustomerFeedback.Agent.exe
Task: {A1911CA8-4943-421B-A300-446118A09A2C} - System32\Tasks\{D2FCE7D1-6C75-475F-8B64-369605AA97F0} => pcalua.exe -a "D:\Diablo II\Diablo II.exe" -d "D:\Diablo II"
Task: {DC00798B-C5A8-4E1E-8C08-1CF697ED71A0} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> Brak pliku 
Task: {E32E26E7-4C9D-45A0-8C70-3C9506B7C5C6} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> Brak pliku 
Task: {F4F9820B-2FB0-4630-BCF2-86FAF6E2EA98} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> Brak pliku 
Task: {F893A745-CC48-4A70-B2DC-EC6ACF0E848D} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> Brak pliku 
Task: {F934E4AC-FF62-433C-A392-4F7667D6FAE3} - System32\Tasks\McAfee\McAfee Idle Detection Task
Tcpip\..\Interfaces\{b7bb15fc-c8f2-4b0c-9d01-2f9d922548f3}: [DhcpNameServer] 150.205.1.2
DeleteKey: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2
DeleteKey: HKCU\Software\Mozilla
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Lenovo
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\McAfee
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Safer-Networking
DeleteKey: HKLM\SOFTWARE\Mozilla
DeleteKey: HKLM\SOFTWARE\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Wow6432Node\Mozilla
DeleteKey: HKLM\SOFTWARE\Wow6432Node\mozilla.org
DeleteKey: HKLM\SOFTWARE\Wow6432Node\MozillaPlugins
C:\ProgramData\IObit\Game Booster 3\BackLnk
C:\ProgramData\HitmanPro.Alert
C:\ProgramData\Malwarebytes
C:\ProgramData\Mozilla
C:\ProgramData\Pokki
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Electronic Arts
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Hitman - Codename 47
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Rockstar Games
C:\Users\Jakub\AppData\Local\Mozilla
C:\Users\Jakub\AppData\Roaming\Mozilla
C:\Users\Jakub\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Antaris
C:\Users\Jakub\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Sierra
C:\WINDOWS\_detmp.1
C:\WINDOWS\_detmp.2
C:\WINDOWS\_detmp.3
C:\Windows\System32\Tasks\Lenovo
C:\Windows\System32\Tasks\McAfee
c:\Windows\System32\Tasks\Safer-Networking
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. Przedstaw go. Nowe skany FRST nie są potrzebne.

Edytowane 10 Października 2016 przez picasso
Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso