ESET wykrywa BOTNET'a. Proszę o jak najszybszą pomoc

[njczyziu]

Witam,
od kilku godzin, co jakiś czas antywirus (ESET) wysyła mi tego typu powiadomienia:

 

 

To wyżej, co chwilę. Reszta (poniżej) nieco rzadziej.

 

 

 

Tu jakieś dziwne strony chcą się otwierać, pojawiają się różne adresy..

 

 

 

 

Zaczynam się już trochę denerwować, jeżeli to coś jest na moim kompie to masakra.. ponoć to jeden z najgorszych shitów.

 

Nie wiem czy mam już robić format, czy może jeszcze nie. Ciągle te komunikaty wyskakują, jakby ESET blokował to świństwo, ale nie mam pewności czy ono nie siedzi gdzieś otwarte, robiąc przy okazji rozróbę u mnie na dysku.
Plik ten wywaliłem od razu, jak pojawił się tylko pierwszy komunikat, ale nici z tego, bo widocznie gdzieś to jeszcze jest.
Zrobiłem skan ESET'em, nic nie znalazł..

 

Ponoć ciężko jest wykryć BOTNET'a, jeżeli gdzieś siedzi, a chciałabym mieć pewność, całkowitego pozbycia się problemu. Często loguję się na konta bankowe, portfele internetowe itd. Teraz jest strach to robić.

 

Na razie nie wpisuję żadnych haseł (ponoć ten wir może instalować keylogger'y itp.), ale nie wytrzymam w taki sposób za długo..

 

Od prawie 7 lat nie miałem żadnego wirusa, musiało się to stać akurat teraz, gdy mnóstwo rzeczy mam do zrobienia na kompie. Okazjonalnie było tylko wredne oprogramowanie, dołączane do programów z np. dobreprogramy.pl, instalki.pl itd (dopóki nie zacząłem pobierać programów z "linków bezpośrednich").

 

Proszę o jak najszybszą pomoc.

 

Pozdrawiam

 

EDIT1:

Addition - http://wklej.org/hash/e197687fb5a/
Shortcut - http://wklej.org/hash/3a731b963fc/
FRST - http://wklej.org/hash/b789d980ca3/
GMER - http://wklej.org/hash/f9ba0510181/

 

Przepraszam, sądziłem, że może w przypadku botnet'ów jest jeszcze inne postępowanie. Chciałem już formatować dysk.

 

Pozdrawiam

Edytowane 14 Stycznia 2017 przez Rucek

[Miszel03]

W raportach nie widzę infekcji, ale w takim przypadku to nic dziwnego, że nie widzę. Sprawdziłem te dwa adresy, z którymi łączył się Twój system. Jeden jest mi nieznany (KLIK), zaś drugi wygląda na usługę CloudFlare, czyli nieszkodliwą (KLIK).

 

1. Otwórz Notatnik w nim wklej:

 

CloseProcesses:
CreateRestorePoint:
HKLM\...\Policies\Explorer: [NoWinKeys] 1
S3 VGPU; System32\drivers\rdvgkmd.sys [X]
Task: {9C65CD00-93CB-41E1-BB75-C3593E50D123} - \Program aktualizacji online firmy InstallShield Software. -> Brak pliku 
C:\Users\Kamas\Desktop\Zapasowy (F).lnk
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Przeprowadź skanowanie systemu za pomocą programu HitmanPro (silnik Kasperskiego i BitDefendera). Jeśli coś wykryję to niczego nie usuwaj, a dostarcz raport.

 

3. Zrób nowy log FRST z opcji Skanuj (Scan) wraz z Addition i Shortcut. Dołącz też plik fixlog.txt.

[njczyziu]

HitmanPro - http://wklej.org/hash/8dcc0c8f53b/

Fixlog - http://wklej.org/hash/f9081bcff50/

FRST - http://wklej.org/hash/11356b01987/

Addition - http://wklej.org/id/3008746/

Shortcut - http://wklej.org/id/3008747/

[Miszel03]

HitmanPro nie wykrył żadnej infekcji, w FRST również (jak już wcześniej wspomniałem) żadnej nie widzę.
 
Nie mam pomysłu na to spróbuj zresetować router i poobserwuj.

[njczyziu]

Problem już rozwiązany, fachowiec z ESET pomógł

 

Po utworzeniu logów za pomocą ich specjalnego do tego celu programu i przesłaniu, facet przejrzał je dokładnie i zauważył, że siedzi coś "niepowołanego" w:

c:\programdata\microsoft\performance\monitor\ , chodziło o plik performancemonitor.dll.

Powstał on w czasie, kiedy zaczęły się problemy (powstał również wtedy ten główny folder w którym się on znajdował "Performance").
Z pozycji Windowsa nie dało się z nim nic zrobić, był ciągle blokowany - właśnie przez explorer.exe (którego dotyczyły komunikaty na pulpicie od ESET).
Po uwolnieniu go Unlocker'em, resetował się pulpit i plik znowu się zahaczał o system.
Użyłem więc miniXP z Hiren'sa i udało się w nim stworzyć zaszyfrowane archiwum tego pliku, który następnie przesłałem im do analizy.

 

Alerty od ESET przestały się już wtedy pojawiać.

 

Kazał dodatkowo usunąć jeszcze pewien wpis w rejestrze.

 

W sumie to najlepiej ich prosić o pomoc z różnego rodzaju, większymi "dolegliwościami" o ile korzysta się z ich programów.

Tam są tylko "najlepsi z najlepszych", byle kogo do tak potężnej firmy, zajmującej się ochroną sieci komputerowych nie biorą.

Można się skontaktować z nimi poprzez opcję "Dział obsługi klienta", znajdującą się w programie ESET, w zakładce "Pomoc i obsługa".

[Miszel03]

Narzędzia, którymi posługiwałeś się podczas pobytu na naszym forum możesz skasować - KLIK.

 

Na liście zainstalowanych programów widać niezaktualizowane pozycje, a to niedopuszczalne jeśli ktoś chcę mieć bezpieczny system. Zaktualizuj je - KLIK. 

[njczyziu]

Dzięki za poświęcony czas i pomoc na miarę możliwości.