Blokady po użyciu cracka, resztki infekcji Adware.

[RDCX]

Witam. Wczoraj podkusiły mnie diabli na użycie aktywatora office, który utworzył KMS@r1n.exe i KMS@r1nhook.exe. Częściowo co umiałem to usunąłem, łącznie z plikami exe. Defender od windowsa wykrył w rejestrze chyba 2 klucze, które też usunął i teoretycznie powinno być czysto, jednak dla świętego spokoju bardzo prosiłbym o sprawdzenie logów z FRST. System jest oryginalny, niemodyfikowany - jedynie z officem zachciało mi się zabaw. Z góry dziękuję za pomoc.

Edytowane 10 Stycznia 2018 przez Rucek
Poprawiam tytul. Usuwam zbędne załączniki.

[Miszel03]

Raporty mają być z miejsca, z którego został uruchomiony FRST (czyli bez dat w nazwie), a nie z archiwalnego C:\FRST.

 

Brak dat jest potwierdzeniem, że są to najnowsze raporty.

[RDCX]

Faktycznie jest takie coś. Myślałem, że z FRST utworzonego na C. Logi bez daty. Przejrzałem je pobieżnie i widzę parę wpisów w FRST i w Addition, jednak nie jestem już na tyle zaawansowany, żeby samodzielnie wpisywać komendy :/ Oprócz tego w services też widnieje KMS, jednak bez statusu. Sam ten aktywator jest jakoś szkodliwy? Usunąć chciałbym go tak czy siak, tylko to już bardziej ciekawość czy może to zbierać jakieś dane i czy warto pozmieniać dane do gmaila, facebooka itd - na konta bankowe się nie logowałem, więc o to jestem spokojny.

FRST.txt

Addition.txt

Shortcut.txt

[Miszel03]

Sam ten aktywator jest jakoś szkodliwy?

 

Programy łamiące oryginalność oprogramowania to zawsze loteria. 

Generalnie z doświadczenia wiem, że tu na forum często ich instalacja zbiegała się z infekcją systemu. 

 

Jeśli chodzi o sam crack to ostały jego blokady typu Debbuger i zadanie w Harmonogramie Zadań - wszystko usuwam. Przy okazji sprzątam system z resztek po infekcji adware i po wcześniej odinstalowanym oprogramowaniu m.in po przeglądarce Mozilla FireFox.

 

Uruchom FRST. Z klawiatury CTRL+Y, zostanie otworzony plik tekstowy. Wklej do pliku następującą treść:

 

CloseProcesses:
CreateRestorePoint:
C:\Users\Bartek\Desktop\Euro Truck Simulator 2\readme.rtf.lnk
ShellIconOverlayIdentifiers: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> Brak pliku
ShellIconOverlayIdentifiers: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> Brak pliku
ShellIconOverlayIdentifiers: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> Brak pliku
ShellIconOverlayIdentifiers: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> Brak pliku
ShellIconOverlayIdentifiers: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> Brak pliku
ShellIconOverlayIdentifiers: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} =>  -> Brak pliku
ShellIconOverlayIdentifiers-x32: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> Brak pliku
ShellIconOverlayIdentifiers-x32: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> Brak pliku
ShellIconOverlayIdentifiers-x32: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> Brak pliku
ShellIconOverlayIdentifiers-x32: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> Brak pliku
ShellIconOverlayIdentifiers-x32: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> Brak pliku
ShellIconOverlayIdentifiers-x32: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} =>  -> Brak pliku
ContextMenuHandlers5: [igfxcui] -> {3AB1675A-CCFF-11D2-8B20-00A0C93CB1F4} =>  -> Brak pliku
Task: {C82C0D11-A4FF-483F-8E81-BF5D57A344F0} - System32\Tasks\R@1n-KMS\Office15ProPlus => wmic [Argument = path SoftwareLicensingProduct where (ID="b322da9c-a2e2-4058-9e4e-f59a6970bd69") call Activate]
Task: {6E2DF108-48AE-46D2-B654-8FC2A0C2AC47} - \Microsoft\Windows\UNP\RunCampaignManager -> Brak pliku 
Task: {DD44CECA-C4B6-4949-AFE1-187C2858FBB6} - System32\Tasks\ACC => C:\Program Files\DriverSetupUtility\FUB\FUB_Send.bat 
C:\Program Files\DriverSetupUtility
IFEO\OSppSvc.exe: [Debugger] KMS-R@1nHook.exe
IFEO\SppExtComObj.exe: [Debugger] KMS-R@1nHook.exe
DeleteKey: HKCU\Software\Mozilla
DeleteKey: HKCU\Software\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Mozilla
DeleteKey: HKLM\SOFTWARE\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Wow6432Node\Mozilla
DeleteKey: HKLM\SOFTWARE\Wow6432Node\mozilla.org
DeleteKey: HKLM\SOFTWARE\Wow6432Node\MozillaPlugins
C:\Users\Bartek\AppData\Local\Mozilla
C:\Users\Bartek\AppData\Roaming\Mozilla
C:\Users\Bartek\AppData\Roaming\Profiles
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Z klawiatury CTRL+S, by zapisać zmiany. Następnie w oknie FRST klik w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. Dostarcz go.

[RDCX]

W załączniku fixlog. Zawsze wiedziałem, że z windowsem dzieją się różne cuda po aktywacjach w rejestrach itd, ale że od offica może się burdel zrobić już nie byłem świadomy. Trza będzie dalej pozostać na libreoffice i tyle

 

Z services widzę zniknęło zadanie - został jedynie w system32/tasks pusty folder po KMS. O dziwo aktywacja offica się nie wyrzuciła.

Fixlog.txt