Skocz do zawartości
WAŻNE - Użytkownicy uprawnieni do pomocy
WAŻNE - Zakładanie tematu: obowiązkowe logi
Nadchodzące zmiany w logowaniu

Samoistne instalowanie się programów, zużycie procesora 100 %

jackob209

Przez jackob209
w Dział pomocy doraźnej

Rekomendowane odpowiedzi

Pomoc jest darmowa, ale proszę rozważ przekazanie dotacji na utrzymanie serwisu: klik.
Miszel03

Miszel03

Opublikowano
Opublikowano

Jak chyba w każdym przypadku na tym forum...adware, czyli sfałszowane przeglądarki (Mozilla FireFox oraz Google Chrome), złośliwe oprogramowanie w usułgach i prawdopodobnie infekcja BitCoinMiner.

Do poczytania: KLIK.

1. Przez panel sterowania odinstaluj:

  • Wątpliwe oprogramowanie / Scam: YAC(Yet Another Cleaner!).

2. Otwórz Notatnik w nim wklej:
 

CloseProcesses:
CreateRestorePoint:
HKU\S-1-5-21-499711634-606110142-1186871544-1001\...\ChromeHTML: -> "C:\Program Files (x86)\Eastness\Application\chrome.exe" "%1" RemoveDirectory: C:\Program Files (x86)\Eastness
RemoveDirectory: C:\Users\KubaDamaszk\AppData\Local\Eastness
Task: {2A344C53-DD60-40AD-A0AD-AFA562D9591D} - System32\Tasks\Milimili => C:\Program Files (x86)\MIO\MIO.exe [2017-02-06] () Task: {7171A626-12B5-4F28-BF83-B82026429F86} - System32\Tasks\Windows-PG => powershell.exe C:\windows\psgo\psgo.ps1
Task: {71A357B2-5547-477F-AD72-150222197674} - \SteamClient -> Brak pliku RemoveDirectory: C:\Program Files (x86)\MIO
ShortcutWithArgument: C:\Users\KubaDamaszk\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://www.ourluckysites.com/?type=sc&ts=1493101209&z=f906ed2ef894f2ac480ec08gfz3tbc6g3e6gfo9o7t&from=che0812&uid=TOSHIBAXMQ01ABF050_Z3LTC8BPTXXZ3LTC8BPT
HKU\S-1-5-21-499711634-606110142-1186871544-1001\...\Run: [background_fault] => C:\Users\KubaDamaszk\AppData\Local\background_fault\aswRD.exe [1419576 2017-05-04] (AVAST Software) HKU\S-1-5-21-499711634-606110142-1186871544-1001\...\Policies\Explorer\Run: [Clients] => C:\Users\KubaDamaszk\AppData\Roaming\Microsoft\svbietti\wvrcgeii.exe
HKU\S-1-5-21-499711634-606110142-1186871544-1001\...\Run: [rmwmrrqm] => C:\Users\KubaDamaszk\AppData\Roaming\gvuyqy\ymmrzit.exe [427008 2017-01-20] (hEX-rays sA)
C:\Users\KubaDamaszk\AppData\Roaming\Microsoft\svbietti
C:\Users\KubaDamaszk\AppData\Roaming\gvuyqy
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> Brak pliku
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.ourluckysites.com/?type=hp&ts=1493101209&z=f906ed2ef894f2ac480ec08gfz3tbc6g3e6gfo9o7t&from=che0812&uid=TOSHIBAXMQ01ABF050_Z3LTC8BPTXXZ3LTC8BPT
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.ourluckysites.com/?type=hp&ts=1493101209&z=f906ed2ef894f2ac480ec08gfz3tbc6g3e6gfo9o7t&from=che0812&uid=TOSHIBAXMQ01ABF050_Z3LTC8BPTXXZ3LTC8BPT
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.ourluckysites.com/search/?type=ds&ts=1493101209&z=f906ed2ef894f2ac480ec08gfz3tbc6g3e6gfo9o7t&from=che0812&uid=TOSHIBAXMQ01ABF050_Z3LTC8BPTXXZ3LTC8BPT&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.ourluckysites.com/search/?type=ds&ts=1493101209&z=f906ed2ef894f2ac480ec08gfz3tbc6g3e6gfo9o7t&from=che0812&uid=TOSHIBAXMQ01ABF050_Z3LTC8BPTXXZ3LTC8BPT&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.ourluckysites.com/?type=hp&ts=1493101209&z=f906ed2ef894f2ac480ec08gfz3tbc6g3e6gfo9o7t&from=che0812&uid=TOSHIBAXMQ01ABF050_Z3LTC8BPTXXZ3LTC8BPT
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.ourluckysites.com/?type=hp&ts=1493101209&z=f906ed2ef894f2ac480ec08gfz3tbc6g3e6gfo9o7t&from=che0812&uid=TOSHIBAXMQ01ABF050_Z3LTC8BPTXXZ3LTC8BPT
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.ourluckysites.com/search/?type=ds&ts=1493101209&z=f906ed2ef894f2ac480ec08gfz3tbc6g3e6gfo9o7t&from=che0812&uid=TOSHIBAXMQ01ABF050_Z3LTC8BPTXXZ3LTC8BPT&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.ourluckysites.com/search/?type=ds&ts=1493101209&z=f906ed2ef894f2ac480ec08gfz3tbc6g3e6gfo9o7t&from=che0812&uid=TOSHIBAXMQ01ABF050_Z3LTC8BPTXXZ3LTC8BPT&q={searchTerms}
HKU\S-1-5-21-499711634-606110142-1186871544-1001\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.ourluckysites.com/?type=hp&ts=1493101209&z=f906ed2ef894f2ac480ec08gfz3tbc6g3e6gfo9o7t&from=che0812&uid=TOSHIBAXMQ01ABF050_Z3LTC8BPTXXZ3LTC8BPT
HKU\S-1-5-21-499711634-606110142-1186871544-1001\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.ourluckysites.com/?type=hp&ts=1493101209&z=f906ed2ef894f2ac480ec08gfz3tbc6g3e6gfo9o7t&from=che0812&uid=TOSHIBAXMQ01ABF050_Z3LTC8BPTXXZ3LTC8BPT
SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.ourluckysites.com/search/?type=ds&ts=1493101209&z=f906ed2ef894f2ac480ec08gfz3tbc6g3e6gfo9o7t&from=che0812&uid=TOSHIBAXMQ01ABF050_Z3LTC8BPTXXZ3LTC8BPT&q={searchTerms}
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.ourluckysites.com/search/?type=ds&ts=1493101209&z=f906ed2ef894f2ac480ec08gfz3tbc6g3e6gfo9o7t&from=che0812&uid=TOSHIBAXMQ01ABF050_Z3LTC8BPTXXZ3LTC8BPT&q={searchTerms}
SearchScopes: HKLM-x32 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.ourluckysites.com/search/?type=ds&ts=1493101209&z=f906ed2ef894f2ac480ec08gfz3tbc6g3e6gfo9o7t&from=che0812&uid=TOSHIBAXMQ01ABF050_Z3LTC8BPTXXZ3LTC8BPT&q={searchTerms}
SearchScopes: HKLM-x32 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.ourluckysites.com/search/?type=ds&ts=1493101209&z=f906ed2ef894f2ac480ec08gfz3tbc6g3e6gfo9o7t&from=che0812&uid=TOSHIBAXMQ01ABF050_Z3LTC8BPTXXZ3LTC8BPT&q={searchTerms}
SearchScopes: HKLM-x32 -> {E9410C70-B6AE-41FF-AB71-32F4B279EA5F} URL = hxxps://www.google.com/search?trackid=sp-006&q={searchTerms}
SearchScopes: HKU\S-1-5-21-499711634-606110142-1186871544-1001 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.ourluckysites.com/search/?type=ds&ts=1493101209&z=f906ed2ef894f2ac480ec08gfz3tbc6g3e6gfo9o7t&from=che0812&uid=TOSHIBAXMQ01ABF050_Z3LTC8BPTXXZ3LTC8BPT&q={searchTerms}
SearchScopes: HKU\S-1-5-21-499711634-606110142-1186871544-1001 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.ourluckysites.com/search/?type=ds&ts=1493101209&z=f906ed2ef894f2ac480ec08gfz3tbc6g3e6gfo9o7t&from=che0812&uid=TOSHIBAXMQ01ABF050_Z3LTC8BPTXXZ3LTC8BPT&q={searchTerms}
StartMenuInternet: IEXPLORE.EXE - c:\program files (x86)\internet explorer\iexplore.exe hxxp://www.ourluckysites.com/?type=sc&ts=1493978750&z=0b48d84dc5d8f85af5fe25egaz0t0cetdmeb0m7w2z&from=che0812&uid=TOSHIBAXMQ01ABF050_Z3LTC8BPTXXZ3LTC8BPT
HKU\S-1-5-21-499711634-606110142-1186871544-1001\...\StartMenuInternet\ChromeHTML: -> C:\Program Files (x86)\Eastness\Application\chrome.exe S2 3DM; C:\Users\KubaDamaszk\AppData\Local\3DM\Kitty.dll [754688 2017-04-19] (kitty.exe) [brak podpisu cyfrowego]
R2 AppleAzureSrv; C:\ProgramData\Software\Apple\Apps\Notification.dll [106496 2017-04-17] () [brak podpisu cyfrowego]
R2 AppleNotificationsSrv; C:\ProgramData\Software\Apple\Apps\Notification.dll [106496 2017-04-17] () [brak podpisu cyfrowego]
S2 BIT; C:\ProgramData\BIT\BIT.dll [1857536 2017-05-04] (windows) [brak podpisu cyfrowego]
R2 clean; C:\Users\KubaDamaszk\AppData\Local\clean\Kyubey.exe [114688 2017-04-06] () [brak podpisu cyfrowego]
R2 FirefoxU; C:\Program Files (x86)\Firefox\bin\FirefoxUpdate.exe [102400 2017-04-28] () [brak podpisu cyfrowego] R2 Kitty; C:\Users\KubaDamaszk\AppData\Local\Kitty\Kitty.dll [124928 2017-05-04] (kitty) [brak podpisu cyfrowego] R2 Kyubey; C:\Users\KubaDamaszk\AppData\Roaming\Kyubey\Kyubey.exe [236032 2017-04-01] () [brak podpisu cyfrowego]
R2 SNARER; C:\Users\KubaDamaszk\AppData\Local\SNARER\Snarer.dll [792576 2017-04-11] (InterSect Alliance Pty Ltd) [brak podpisu cyfrowego] R2 WinSAPSvc; C:\Users\KubaDamaszk\AppData\Roaming\WinSAPSvc\WinSAP.dll [603648 2017-05-05] (WinSAP) [brak podpisu cyfrowego] R2 WINSNARE; C:\Users\KubaDamaszk\AppData\Roaming\WINSNARE\WinSnare.dll [1291776 2017-04-05] (InterSect Alliance Pty Ltd) [brak podpisu cyfrowego] U0 aswVmm; Brak ImagePath
C:\ProgramData\BIT
C:\Users\KubaDamaszk\AppData\Local\clean
C:\Users\KubaDamaszk\AppData\Local\Kitty
C:\Users\KubaDamaszk\AppData\Roaming\Kyubey
C:\Users\KubaDamaszk\AppData\Local\SNARER
C:\Users\KubaDamaszk\AppData\Roaming\WinSAPSv
C:\Users\KubaDamaszk\AppData\Roaming\WINSNARE
2017-04-05 18:39 - 2017-04-05 18:39 - 00000000 ____D C:\Users\KubaDamaszk\AppData\Local\Moncar
RemoveDirectory: C:\Program Files (x86)\Firefox
RemoveDirectory: C:\Users\KubaDamaszk\AppData\Roaming\Firefox
RemoveDirectory: C:\Users\KubaDamaszk\AppData\Local\Firefox
DeleteKey: HKCU\Software\Mozilla
DeleteKey: HKCU\Software\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Mozilla
DeleteKey: HKLM\SOFTWARE\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Wow6432Node\Mozilla
DeleteKey: HKLM\SOFTWARE\Wow6432Node\mozilla.org
DeleteKey: HKLM\SOFTWARE\Wow6432Node\MozillaPlugins
C:\Users\KubaDamaszk\AppData\Local\Mozilla
C:\Users\KubaDamaszk\AppData\Roaming\Mozilla
C:\Users\KubaDamaszk\AppData\Roaming\Profiles
CMD: dir /a "C:\Program Files"
CMD: dir /a "C:\Program Files (x86)"
CMD: dir /a "C:\Program Files\Common Files\System"
CMD: dir /a "C:\Program Files (x86)\Common Files\System"
CMD: dir /a C:\ProgramData
CMD: dir /a C:\Users\Kris\AppData\Local
CMD: dir /a C:\Users\Kris\AppData\LocalLow
CMD: dir /a C:\Users\Kris\AppData\Roaming
EmptyTemp:


Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.


Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

3. Pobierz AdwCleaner uruchom go i kliknij Skanuj, kiedy skanowanie zakończy się wydobądź z niego raport, znajduję się on w folderze C:\AdwCleaner. Raport zaprezentuj na forum. 
 
4. Uruchom FRST, w polu Szukaj (Search) wklej poniższą frazę i kliknij w Szukaj w rejestrze (Search Registry).
 
eastness;moncar;firefox

 
Obok FRST powstanie raport SearchReg.txt - zaprezentuj go na forum. 
 
5. Zrób nowy log FRST z opcji Skanuj (Scan), wraz z Addition i Shortcut. Dołącz też plik fixlog.txt.
Dodatkowo pokaż jak wygląda stan wszystkich usług: KLIK.

Odnośnik do komentarza
Miszel03

Miszel03

Opublikowano
Opublikowano

Gdzie jest raport FSS, o który prosiłem? Proszę dostarcz go, ja muszę mieć diagnostykę wingmt - inaczej Cię ze szpon nie wypuszczę :P 
Zastanawiam się czy Comodo Dragon ma jakieś powiązania z Google Chrome w czasie rzeczywistym na komputerze klietna (pomijam wspólny silnik). Niby CHR nie ma zainstalowanego, ale jest Comodo Dragon.
W raportach widzę infekcję w CHR (= resztki w systemie, infekcja martwa) i myślę, czy przypadkiem nie ma przekazu danych..hmmm..wywal resztki po CHR i zobaczę. 
 
Kolorowo jeszcze nie jest, ale jest lepiej.
 
1. Zagrożenia wykryte przez AdwCleaner daj do usuwania (używając opcji Oczyść) - dostarcz następnie z tego raport. 

P.S: Zostanie podmieniony plik DNSAPI, bo ten jest zmodyfikowany przez infekcję. 
 
2. Otwórz Notatnik w nim wklej:
 

CloseProcesses:
CreateRestorePoint:
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Eastness
DeleteKey: HKEY_USERS\S-1-5-21-499711634-606110142-1186871544-1001\Software\Eastness
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Moncar
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Firefox
DeleteKey: HKEY_USERS\S-1-5-21-499711634-606110142-1186871544-1001\Software\Firefox
HKU\S-1-5-21-499711634-606110142-1186871544-1001\...\Run: [rmwmrrqm] => C:\Users\KubaDamaszk\AppData\Roaming\gvuyqy\ymmrzit.exe********************************************************* [427008 2017-05-07] ()
RemoveDirectory:  C:\Users\KubaDamaszk\AppData\Roaming\gvuyqy
SearchScopes: HKLM -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 
SearchScopes: HKLM-x32 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 
R2 WANARE; C:\Users\KubaDamaszk\AppData\Local\WANARE\Snare.dll [826368 2017-05-05] (InterSect Alliance Pty Ltd) [brak podpisu cyfrowego]
RemoveDirectory: C:\Users\KubaDamaszk\AppData\Local\WANARE
C:\Users\KubaDamaszk\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk
C:\Program Files (x86)\Google
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome
C:\Users\User\AppData\Local\Google
DeleteKey: HKCU\Software\Google
DeleteKey: HKLM\SOFTWARE\Google
DeleteKey: HKLM\SOFTWARE\Wow6432Node\Google
EmptyTemp:

 
Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.


Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.
 
3. Całościowo przeskanuj system za pomocą Malwarebytes AntiMalware. Jeśli coś wykryje to niczego nie usuwaj, a dostarcz raport.  
 
4. Zrób nowy log FRST z opcji Skanuj (Scan), wraz z Addition i Shortcut. Dołącz też plik fixlog.txt. 
Podsumuj również obecny stan systemu.
Odnośnik do komentarza

Jeśli chcesz dodać odpowiedź, zaloguj się lub zarejestruj nowe konto

Jedynie zarejestrowani użytkownicy mogą komentować zawartość tej strony.

Zarejestruj nowe konto

Załóż nowe konto. To bardzo proste!

Zarejestruj się

Zaloguj się

Posiadasz już konto? Zaloguj się poniżej.

Zaloguj się
Tematy

  • Ostatnio przeglądający   0 użytkowników

    • Brak zarejestrowanych użytkowników przeglądających tę stronę.
×
×
  • Dodaj nową pozycję...