Avast blokuje co chwilę wscript.exe

[Dave72]

Dobry wieczór,

mam problem jak w tym temacie: https://www.fixitpc.pl/topic/30377-avast-ciągle-blokuje-zarażenie-urlmal/ Avast od dwóch dni co kilka minut blokuje działanie pliku wscript.exe. Problem zaobserwowany po aktualizacji systemu.

Proszę o pomoc.

 

@edit:

 

Załączam brakujące pliki do analizy oraz zrzut z alertu Avasta.

 

FRST.txt

Addition.txt

Shortcut.txt

[Miszel03]

Podobny temat sprzed dwóch dni z taką samą infekcją: Avast blokuje cały czas zagrożenie URL:Mal. Sprawy mają się tutaj podobnie. 

 

Dezynfekcja (+ kasacja martwych wpisów / szczątek po oprogramowaniu w tym po przeglądarce Mozilla FireFox): 

 

1. Uruchom FRST. Z klawiatury CTRL+Y, zostanie otworzony plik tekstowy. Wklej do pliku następującą treść:

 

CloseProcesses:
CreateRestorePoint:
ContextMenuHandlers5: [igfxcui] -> {3AB1675A-CCFF-11D2-8B20-00A0C93CB1F4} =>  -> Brak pliku
ShellIconOverlayIdentifiers: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> Brak pliku
ShellIconOverlayIdentifiers: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> Brak pliku
ShellIconOverlayIdentifiers: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> Brak pliku
ShellIconOverlayIdentifiers: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> Brak pliku
ShellIconOverlayIdentifiers: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> Brak pliku
ShellIconOverlayIdentifiers: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} =>  -> Brak pliku
ShellIconOverlayIdentifiers-x32: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> Brak pliku
ShellIconOverlayIdentifiers-x32: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> Brak pliku
ShellIconOverlayIdentifiers-x32: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> Brak pliku
ShellIconOverlayIdentifiers-x32: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> Brak pliku
ShellIconOverlayIdentifiers-x32: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> Brak pliku
ShellIconOverlayIdentifiers-x32: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} =>  -> Brak pliku
HKLM Group Policy restriction on software: %systemroot%\system32\mrt.exe 
Startup: C:\Users\Marta\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\JDSound.lnk [2018-02-14]
ShortcutTarget: JDSound.lnk -> C:\Users\Marta\AppData\Roaming\appmr\JDSound.vbs ()
2018-02-14 02:37 - 2018-02-15 18:29 - 000000000 ____D C:\Users\Marta\AppData\Roaming\vbhost
2018-02-14 02:37 - 2018-02-14 02:37 - 000000000 ____D C:\Users\Marta\AppData\Roaming\appmr
DeleteKey: HKCU\Software\Mozilla
DeleteKey: HKCU\Software\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Mozilla
DeleteKey: HKLM\SOFTWARE\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Wow6432Node\Mozilla
DeleteKey: HKLM\SOFTWARE\Wow6432Node\mozilla.org
DeleteKey: HKLM\SOFTWARE\Wow6432Node\MozillaPlugins
C:\Users\Marta\AppData\Local\Mozilla
C:\Users\Marta\AppData\Roaming\Mozilla
C:\Users\Marta\AppData\Roaming\Profiles
Powershell: wevtutil el | Foreach-Object {wevtutil cl "$_"}
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Z klawiatury CTRL+S, by zapisać zmiany. Następnie w oknie FRST klik w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Zrób nowy log FRST z opcji Skanuj (Scan) wraz z Addition i koniecznie Shortcut. Dołącz też plik fixlog.txt i napisz czy problem ustąpił.

[Dave72]

Załączam pliki po wykonaniu powyższych instrukcji.

Póki co brak żadnych alertów, ale upewnię się przez najbliższe dni czy problem ustąpił całkowicie.

Addition.txt

Fixlog.txt

FRST.txt

Shortcut.txt

[Miszel03]

Akcja wykonana pomyślnie. Infekcja usunięta.

 

Skoro problem ustąpił to zadaję już finalizację. 

Na koniec zastosuj DelFix (kasacja używanych narzędzi) oraz zaktualizuj oprogramowanie zewnętrzne jak i system Windows.

[Dave72]

Załączam plik z DelFix.

Dziękuję za pomoc.

DelFix.txt