Wykryty trojan:Win32/Detplock

[michalprog]

Dzień dobry.

 

Jestem posiadaczem komputera z systemem Windows 10. Od kilku tygodniu, Windows skarży się znalezieniem różnych wirusów na komputerze. Być może wirus został "złapany" przez fałszywy email. - rzekome awizo od poczty polskiej. Proszę o pomoc, co i czym zeskanować. Te trojany po usunięciu dalej się mnożą w innych miejscach.

 

Proszę o dalsze instrukcje.

 

http://wklej.org/id/2787200/ - FRST

http://wklej.org/id/2787201/ - Addition

http://wklej.org/id/2787228/ -Shortcut

http://wklej.org/id/2787225/ - GMER

[Rucek]

Zapoznaj się proszę z zasadami działu:
1. https://www.fixitpc.pl/forum-38/announcement-3-wa%C5%BCne-zak%C5%82adanie-tematu-obowi%C4%85zkowe-logi/
2. https://www.fixitpc.pl/forum-38/announcement-2-wa%C5%BCne-oprogramowanie-emuluj%C4%85ce-nap%C4%99dy/
3. https://www.fixitpc.pl/forum-38/announcement-1-wa%C5%BCne-u%C5%BCytkownicy-uprawnieni-do-pomocy/

Przeczytaj wszystko przed wykonaniem działań by było wiadomo co robić.
Postępując zgodnie z powyższymi instrukcjami - edytuj post i dołącz wymagane logi do tematu w postaci załączników ".txt".
Łącznie mają być 4 logi: (GMER [ręcznie wklejasz wynik skanowania do pliku GMER.txt], FRST [FRST.txt, Addition.txt, Shortcut.txt],
Jak coś nie będzie chciało się uruchomić - to odpal system w trybie awaryjnym i wtedy spróbuj zrobić logi.
Jeśli z czymś będzie problem - pisz w poście.
Po wrzuceniu logów nie dokonuj już żadnych zmian na kompie - by logi były aktualne.
Jak coś zmieniasz w poście to używaj opcji "edytuj" by był porządek.
Czekaj cierpliwie na Picasso - póki co jej nie ma, ale może Jessi albo Zappa zainteresują się tematem.

[jessica]

Startup: C:\Users\maria\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\distance-4.lnk [2016-08-22]

ShortcutTarget: distance-4.lnk -> C:\Users\maria\AppData\Roaming\distance-5\distance-0.exe ()

HKU\S-1-5-21-220422497-2159194145-808961759-1001\...\RunOnce: [rheology-78] => C:\Users\maria\AppData\Roaming\rheology-8\rheology-8.exe [685176 2016-08-22] ()

HKU\S-1-5-21-220422497-2159194145-808961759-1001\...\Run: [cohesion-2] => C:\ProgramData\cohesion-3\cohesion-0.exe [698880 2016-08-22] ()

 

Znasz te powyższe?

 

jessi

[michalprog]

Nie. Właśnie katalogi jakie tworzy ten wirus są nazywane: "nazwa-cyfra".

[jessica]

Otwórz Notatnik i wklej w nim:

 

startup: C:\Users\maria\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\x.vbs [2016-08-06] ()
HKU\S-1-5-21-220422497-2159194145-808961759-1001\...\Winlogon: [shell] C:\WINDOWS\explorer.exe [4515256 2016-07-01] (Microsoft Corporation) <==== UWAGA
HKU\S-1-5-21-220422497-2159194145-808961759-1001\...\Run: [cohesion-2] => C:\ProgramData\cohesion-3\cohesion-0.exe [698880 2016-08-22] ()
HKU\S-1-5-21-220422497-2159194145-808961759-1001\...\RunOnce: [rheology-78] => C:\Users\maria\AppData\Roaming\rheology-8\rheology-8.exe [685176 2016-08-22] ()
Startup: C:\Users\maria\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\distance-4.lnk [2016-08-22]
ShortcutTarget: distance-4.lnk -> C:\Users\maria\AppData\Roaming\distance-5\distance-0.exe ()
2016-08-22 13:57 - 2016-08-22 13:57 - 00000000 ____D C:\Users\maria\AppData\Roaming\distance-5
2016-08-22 13:54 - 2016-08-22 13:54 - 00000000 ____D C:\Users\maria\AppData\Roaming\rheology-8
2016-08-22 13:51 - 2016-08-22 13:51 - 00000000 ____D C:\ProgramData\cohesion-3
CustomCLSID: HKU\S-1-5-21-220422497-2159194145-808961759-1001_Classes\CLSID\{590C4387-5EBD-4D46-8A84-CD0BA2EF2856}\InprocServer32 -> C:\Users\maria\AppData\Local\Google\Update\1.3.30.3\psuser_64.dll => Brak pliku
CustomCLSID: HKU\S-1-5-21-220422497-2159194145-808961759-1001_Classes\CLSID\{793EE463-1304-471C-ADF1-68C2FFB01247}\InprocServer32 -> C:\Users\maria\AppData\Local\Google\Update\1.3.29.5\psuser_64.dll => Brak pliku
CustomCLSID: HKU\S-1-5-21-220422497-2159194145-808961759-1001_Classes\CLSID\{CC182BE1-84CE-4A57-B85C-FD4BBDF78CB2}\InprocServer32 -> C:\Users\maria\AppData\Local\Google\Update\1.3.29.1\psuser_64.dll => Brak pliku
CustomCLSID: HKU\S-1-5-21-220422497-2159194145-808961759-1001_Classes\CLSID\{D1EDC4F5-7F4D-4B12-906A-614ECF66DDAF}\InprocServer32 -> C:\Users\maria\AppData\Local\Google\Update\1.3.28.15\psuser_64.dll => Brak pliku
HOSTS:
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix (NAPRAW).

 

Zrób nowy log FRST - już bez Addition, i bez Shortcut.

 

jessi

[michalprog]

http://wklej.org/id/2787265/ FRST

[jessica]

Otwórz Notatnik i wklej w nim:

 

C:\ProgramData\midhinge-5
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix (NAPRAW).

 

Nic tu więcej podejrzanego nie widzę.

 

jessi

[michalprog]

Bardzo dziękuję!

 

Zobaczę, czy będą wyskakiwać alerty. Jeżeli będą, odezwę się.

 

Jeszcze raz dziękuję!

 

Pozdrawiam Michał