Problem point.lotusiloveyou.com

seline · 16 Maja 2017

Witam, od pewnego czasu avast wyświetla komunikaty o zagrożeniu point.lotusiloveyou.com, jednak podczas skanowania nic nie znajduje. Zrobiłam potrzebne logi, w GMER nie było możliwości zaznaczenia wszystkich pozycji, jedynie usługi, rejestr i pliki. Z góry dziękuję za pomoc.

GMER.txt

Addition.txt

FRST.txt

Shortcut.txt

Miszel03 · 17 Maja 2017

To co dzieję się na forum jest patologiczne. To jest 25 temat (w ciągu 2 miesięcy!) z dokładnie takimi samymi przypadkami infekcji. Ehh...
Dwie fałszywki: pod Google Chrome i pod Mozilla FireFox. Po za tym widać również wpisy startowe na powłoce i w Harmonogramie zadań uruchamiające różne strony.

Tyle prosimy o używanie oprogramowania zabezpieczającego oraz przeczytania artykułu szefowej: Portale z oprogramowaniem / Instalatory - na co uważać.

1. Otwórz Notatnik w nim wklej:

CloseProcesses:
CreateRestorePoint:
Task: {7059FA19-9555-4BD3-82FC-62BB24E037B0} - \PowerWord-SCT-JT -> No File FirewallRules: [{EC64E54A-EEC4-4809-BE0C-3297B21A54A3}] => (Allow) C:\Program Files (x86)\Dayglad\Application\chrome.exe
FirewallRules: [{A99FBE2E-9D2A-41C0-9DA6-9EE056BD0968}] => (Allow) C:\Program Files (x86)\Firefox\bin\FirefoxUpdate.exe
FirewallRules: [{DD66645C-CBB2-435D-B02F-29D1EEA18A7F}] => (Allow) C:\Program Files (x86)\Firefox\Firefox.exe
RemoveDirectory: C:\Program Files (x86)\Dayglad
RemoveDirectory: C:\Users\Arekcipa\AppData\Roaming\Dayglad
RemoveDirectory: C:\Users\Arekcipa\AppData\Local\Dayglad
RemoveDirectory: C:\Program Files (x86)\Firefox
RemoveDirectory: C:\Users\Arekcipa\AppData\Roaming\Firefox
RemoveDirectory: C:\Users\Arekcipa\AppData\Local\Firefox
HKU\S-1-5-19\Control Panel\Desktop\\SCRNSAVE.EXE ->
HKU\S-1-5-20\Control Panel\Desktop\\SCRNSAVE.EXE ->
HKU\S-1-5-21-1375163193-2629173629-2764439304-1001\...\Run: [background_fault] => C:\Users\PAUL\AppData\Local\background_fault\aswRD.exe [1419576 2017-05-04] (AVAST Software) C:\Users\PAUL\AppData\Local\background_fault\aswRD.exe
HKU\S-1-5-21-1375163193-2629173629-2764439304-1001\Control Panel\Desktop\\SCRNSAVE.EXE ->
HKU\S-1-5-18\Control Panel\Desktop\\SCRNSAVE.EXE ->
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page =
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page =
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page =
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL =
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL =
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL =
SearchScopes: HKU\S-1-5-21-1375163193-2629173629-2764439304-1001 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL =
SearchScopes: HKU\S-1-5-21-1375163193-2629173629-2764439304-1001 -> {D06DC6CD-B472-42C3-AB78-A57BF968D205} URL =
Toolbar: HKLM - No Name - {CC1A175A-E45B-41ED-A30C-C9B1D7A0C02F} - No File
CHR DefaultSearchURL: Default -> hxxp://www.ourluckysites.com/search/?type=ds&ts=1493718706&z=88d84c001f4b1f3960a3f9cgczbt2c0m8g9b1m8g2z&from=ypid&uid=TOSHIBAXMQ01ABD100_6357P3XATXX6357P3XAT&q={searchTerms}
CHR DefaultSearchKeyword: Default -> ourluckysites
R1 {a3f28269-ad17-41a8-b032-3e0313ef8979}Gw64; C:\WINDOWS\System32\drivers\{a3f28269-ad17-41a8-b032-3e0313ef8979}Gw64.sys [61016 2014-06-06] (StdLib)
S4 sptd; \SystemRoot\System32\Drivers\sptd.sys [X]
U3 pxrdapod; \??\C:\Users\PAUL\AppData\Local\Temp\pxrdapod.sys [X] EmptyTemp:

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

2. Wyczyść i zabezpiecz przeglądarkę Google Chrome:

Zresetuj synchronizację (o ile włączona): KLIK.
Ustawienia > karta Rozszerzenia > odinstaluj wszystkie nieznane i niepotrzebne Ci rozszerzenia.
Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Resetowanie ustawień. Zakładki i hasła nie zostaną naruszone.
Ustawienia > karta Ustawienia > sekcja Szukaj > klik w Zarządzanie wyszukiwarkami > skasuj z listy wszystko z wyjątkiem Google.
Zainstaluj rozszerzenie blokujące reklamy o podłożu nieinfekcyjnym, polecam rozszerzenie uBlock Origin.
Ustaw tą przeglądarkę jako domyślną, aby cofnąć modyfikację infekcji.

3. Wyczyść i zabezpiecz przeglądarkę Mozilla FireFox:

Odłącz synchronizację (o ile włączona): KLIK.
Menu Pomoc > Informacje dla pomocy technicznej > Odśwież program Firefox. Zakładki i hasła nie zostaną naruszone.
Menu Historia > Wyczyść historię przeglądania.
Zainstaluj rozszerzenie blokujące reklamy o podłożu nieinfekcyjnym, polecam rozszerzenie uBlock Origin.

4. Pobierz AdwCleaner uruchom go i kliknij Skanuj, kiedy skanowanie zakończy się wydobądź z niego raport, znajduję się on w folderze C:\AdwCleaner. Raport zaprezentuj na forum.

5. Uruchom FRST, w polu Szukaj (Search) wklej poniższą frazę i kliknij w Szukaj w rejestrze (Search Registry).

dayglad;firefox

Obok FRST powstanie raport SearchReg.txt - zaprezentuj go na forum.

Zrób nowy log FRST z opcji Skanuj (Scan), wraz z Addition i Shortcut. Dołącz też plik fixlog.txt.

6. Zrób nowy log FRST z opcji Skanuj (Scan), wraz z Addition i Shortcut. Dołącz też plik fixlog.txt.

Edytowane 17 Maja 2017 przez Rucek