Pozostałe resztki syfu po usunięciu infekcji

[KuchtaPC2015]

Uruchomiłem program który po nazwie jest bezpieczny, lecz trafiłem na jego zainfekowaną kopię. Część udało się usunąć lecz w logach nadal widać resztki (co do dużej ilości wpisów w host > usuwanie szpiegowania Windows 10)

 

FRST.txt

Addition.txt

Shortcut.txt

gmer.txt

[Miszel03]

W raportach rzeczywiście widać szczątki po infekcji, która niewątpliwe tutaj gościła. 
 
1. Włącz przywracanie systemu.
 
2. Otwórz Notatnik w nim wklej:
 

CloseProcesses:
CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
HKU\S-1-5-21-3193611003-341622343-3118953118-1001\...\Policies\Explorer: [NoInternetOpenWith] 1
HKLM\...\Providers\os9m9brr: C:\Program Files (x86)\Courkaripack Center\local64spl.dll
C:\Program Files (x86)\Courkaripack Center
IFEO\OSppSvc.exe: [Debugger] KMS-R@1nHook.exe
IFEO\SppExtComObj.exe: [Debugger] KMS-R@1nHook.exe
ShellExecuteHooks: Brak nazwy - {6034A99A-C6B5-11E6-9816-64006A5CFC23} -  -> Brak pliku
HKU\S-1-5-18\...\Run: [] => 0
HKU\S-1-5-21-3193611003-341622343-3118953118-1001\SOFTWARE\Policies\Microsoft\Internet Explorer: Ograniczenia HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = 
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = 
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = 
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = 
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = 
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = 
HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = 
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Local Page = 
BHO: Brak nazwy -> {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} -> Brak pliku
BHO-x32: Brak nazwy -> {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} -> Brak pliku
U4 DiagTrack; Brak ImagePath
HKU\S-1-5-21-3193611003-341622343-3118953118-1001\Software\Classes\batfile:  HKU\S-1-5-21-3193611003-341622343-3118953118-1001\Software\Classes\.bat: batfile =>  HKU\S-1-5-21-3193611003-341622343-3118953118-1001\Software\Classes\cmdfile:  HKU\S-1-5-21-3193611003-341622343-3118953118-1001\Software\Classes\.cmd: cmdfile =>  C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Stardock\CursorFX.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Enhanced Mitigation Experience Toolkit\EMET User's Guide.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ALLPlayer\ALLPlayer.lnk
EmptyTemp:

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 
Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.
 
3. Pobierz AdwCleaner uruchom go i kliknij szukaj, kiedy skanowanie zakończy się wydobądź z niego raport, znajduję się on w folderze C:\AdwCleaner. Raport zaprezentuj na forum. 
 
4. Zrób nowy log FRST z opcji Skanuj (Scan) wraz z Addition i Shortcut. Dołącz też plik fixlog.txt.

[KuchtaPC2015]

AdwCleanerS0.txt

Fixlog.txt

FRST.txt

Addition.txt

Shortcut.txt

 

Przywracania systemu nie włączałem

Jeszcze mały problem jak usunąć pozostałości po programach które już nie istnieją a pokazują się w menu start po ich wpisaniu

np. CursorFX i Microsoft Edge, tych programów pozbyłem się a nadal pokazują się  wynikach

 

A przy próbie otwarcia np. host czy innego pliku bez rozszerzenia mam na liście Launch WindowsApp (powstało po usunięciu apek modernui) i nie wiem jak się tego pozbyć

[Miszel03]

AdwCleaner już nic nie wykrył. Poprawki:

 

Otwórz Notatnik w nim wklej:

 

CloseProcesses:
CreateRestorePoint:
GroupPolicy: Ograniczenia GroupPolicyScripts: Ograniczenia 
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

Nie musisz dostarczać już żadnych raportów. 

 

Podsumuj obecną sytuację. 

 

Przywracania systemu nie włączałem

 

Ale następnym razem, gdy będziesz prosił o pomoc proszę to zrobić. 

 

Jeszcze mały problem jak usunąć pozostałości po programach które już nie istnieją a pokazują się w menu start po ich wpisaniu

 

Menu Start: wpisujesz nazwę danego programu > klik PPM na niego > usuń z listy. 

[KuchtaPC2015]

Te ograniczenia GroupPolicy mogły zostać przezemnie zmodyfikowane, ale wykonam.

Na tych skrótach nie mam takiej opcji jest tylko opcja przypnij do menu start

 

Zaraz dodam świeże logi, plik z usuwania skasowałem omyłkowo, ale wszystko było zrobione pomyślnie

[Miszel03]

Zaraz dodam świeże logi, plik z usuwania skasowałem omyłkowo, ale wszystko było zrobione pomyślnie

 

Przecież napisałem, że nie musisz dostarczać żadnych raportów i prosiłem również o podsumowanie sytuacji. 

 

 

---

 

Na tych skrótach nie mam takiej opcji jest tylko opcja przypnij do menu start

 

Odpowiem na to pytanie za chwilę, bo jest niepriorytetowe. 

[KuchtaPC2015]

System działa już normalnie, brak śladów infekcji