Tarcza Orange-Ransomware.Locky.

[Milten20]

Jak wielu poprzedników dostałem komunikat od cybertarczy o rzekomym ransomware. Zaszyfrowanych plików brak, skanery nic nie wykrywają więc na 95% mam pewnosc, ze to problem z IP. Mimo wszystko, wole byc ostroznym niz cos pominac dlatego zamieszczam logi do sprawdzenia. Za pomoc serdecznie dziekuje.

Addition.txt

FRST.txt

Shortcut.txt

gmer.txt

[picasso]

Cóż, dokładnie tak jak w poprzednich wypadkach nie ma tu żadnych śladów infekcji. Problemem jest IP i należy wymusić jego zmianę.

 

 

PS. Odinstaluj starszą wersję Java 8 Update 66. I możesz uruchomić kosmetyczny skrypt usuwający drobnostki i czyszczący Tempy. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
CreateRestorePoint:
GroupPolicy: Ograniczenia 
S4 sptd2; System32\Drivers\sptd2.sys [X]
HKLM-x32\...\Run: [FAStartup] => [X]
HKLM\...\StartupApproved\Run32: => "SunJavaUpdateSched"
HKU\S-1-5-21-598763898-964273417-681385867-1001\...\StartupApproved\Run: => "OneDrive"
HKU\S-1-5-21-598763898-964273417-681385867-1001\...\StartupApproved\Run: => "Advanced SystemCare 9"
ShellIconOverlayIdentifiers: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} => C:\Users\Bartlomiej\AppData\Local\Microsoft\OneDrive\17.3.6281.1202\amd64\FileSyncShell64.dll Brak pliku
ShellIconOverlayIdentifiers: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} => C:\Users\Bartlomiej\AppData\Local\Microsoft\OneDrive\17.3.6281.1202\amd64\FileSyncShell64.dll Brak pliku
ShellIconOverlayIdentifiers: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} => C:\Users\Bartlomiej\AppData\Local\Microsoft\OneDrive\17.3.6281.1202\amd64\FileSyncShell64.dll Brak pliku
ShellIconOverlayIdentifiers: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} => C:\Users\Bartlomiej\AppData\Local\Microsoft\OneDrive\17.3.6281.1202\amd64\FileSyncShell64.dll Brak pliku
ShellIconOverlayIdentifiers: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} => C:\Users\Bartlomiej\AppData\Local\Microsoft\OneDrive\17.3.6281.1202\amd64\FileSyncShell64.dll Brak pliku
ShellIconOverlayIdentifiers-x32: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} => C:\Users\Bartlomiej\AppData\Local\Microsoft\OneDrive\17.3.6281.1202\FileSyncShell.dll Brak pliku
ShellIconOverlayIdentifiers-x32: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} => C:\Users\Bartlomiej\AppData\Local\Microsoft\OneDrive\17.3.6281.1202\FileSyncShell.dll Brak pliku
ShellIconOverlayIdentifiers-x32: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} => C:\Users\Bartlomiej\AppData\Local\Microsoft\OneDrive\17.3.6281.1202\FileSyncShell.dll Brak pliku
ShellIconOverlayIdentifiers-x32: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} => C:\Users\Bartlomiej\AppData\Local\Microsoft\OneDrive\17.3.6281.1202\FileSyncShell.dll Brak pliku
ShellIconOverlayIdentifiers-x32: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} => C:\Users\Bartlomiej\AppData\Local\Microsoft\OneDrive\17.3.6281.1202\FileSyncShell.dll Brak pliku
CustomCLSID: HKU\S-1-5-21-598763898-964273417-681385867-1001_Classes\CLSID\{71DCE5D6-4B57-496B-AC21-CD5B54EB93FD}\localserver32 -> C:\Users\Bartlomiej\AppData\Local\Microsoft\OneDrive\17.3.6281.1202\FileCoAuth.exe => Brak pliku
DeleteKey: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2
DeleteKey: HKLM\SOFTWARE\Wow6432Node\MozillaPlugins
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Eushully
C:\Users\Bartlomiej\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\TEATIME
C:\Users\Bartlomiej\Desktop\ReiEditAA2.lnk
C:\Users\Bartlomiej\Desktop\らぶギア.lnk
C:\Users\Bartlomiej\Desktop\らぶギアスクリーンショットフォルダ.lnk
C:\Users\Bartlomiej\Desktop\らぶギア取扱説明書.lnk
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Z menu Notatnika > Plik > Zapisz jako > wprowadź nazwę fixlist.txt > Kodowanie zmień na UTF-8

 

Plik fixlist.txt umieść w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. Przedstaw go. Nowe skany FRST zbędne.