Podejrzenie włamania do systemu..

[adamek]

Witam,

mam wrażenie,że ktoś włamuje się mojego kompa.Bledy dziwne wpisy w kontach uzytkownikow.Prosze o wszelkie rady

[picasso]

adamek raczę zwrócić uwagę, że z takim opisem problemu to możesz się udać do wróżbity, a temat ma wszelkie kwalifikacje, by przejechać się wprost do kosza. Zasady działu: KLIK. Po pierwsze dokładnie opisz co to znaczy "dziwne wpisy w kontach uzytkownikow", po drugie dostarcz obowiązkowe tu logi z OTL+GMER.

 

 

.

[adamek]

Wybacz Picassa dawno nie korzystałem z twojej pomocy:)

dziwne wpisy w kontach uzytkownikow-chodziło mi o menadzera poswiadczen jakis czas tem w opcjach tego menadzera pojawił sie login wraz z hasłem usunałem to ,ale znowu sie pojawił i znow usunalem narazie spokoj.Niemam pojecia o co z tym chodzi.Logi zalaczone.

OTL.Txt1111.txt

[picasso]

GMER nie jest przeznaczony na systemy 64-bit, nie doczytałeś, zbędny log usuwam. Nie wiedziałam, że masz system x64, ale zasady działu precyzują ten aspekt. OTL nie jest pełny, brakuje Extras, opcja "Rejestr - skan dodatkowy" nie została ustawiona na "Użyj filtrowania". W logach nic ciekawego nie widzę. Są owszem odpadki adware, które należy usunąć. I kiepsko z wolnym miejscem, ten system albo już muli albo wkrótce zacznie:

 

%SystemDrive% = C: | %SystemRoot% = C:\Windows | %ProgramFiles% = C:\Program Files (x86)
Drive C: | 63,47 Gb Total Space | 2,06 Gb Free Space | 3,25% Space Free | Partition Type: NTFS
Drive D: | 402,28 Gb Total Space | 3,66 Gb Free Space | 0,91% Space Free | Partition Type: NTFS

 

 

1. Przejdź do Panelu sterowania i odinstaluj YouTube Downloader Toolbar.

 

2. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
IE - HKCU\..\URLSearchHook: {d40b90b4-d3b1-4d6b-a5d7-dc041c1b76c0} - No CLSID value found
O3:64bit: - HKLM\..\Toolbar: (no name) - !{0974BA1E-64EC-11DE-B2A5-E43756D89593} - No CLSID value found.
O3:64bit: - HKLM\..\Toolbar: (no name) - {32099AAC-C132-4136-9E9A-4E364A424E17} - No CLSID value found.
O3:64bit: - HKLM\..\Toolbar: (no name) - 10 - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - !{0974BA1E-64EC-11DE-B2A5-E43756D89593} - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - {c2d64ff7-0ab8-4263-89c9-ea3b0f8f050c} - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - 10 - No CLSID value found.
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {32099AAC-C132-4136-9E9A-4E364A424E17} - No CLSID value found.
O4 - HKLM..\Run: []  File not found
O4 - HKCU..\Run: [fsm]  File not found
O8:64bit: - Extra context menu item: Atomic Email Hunter - C:\Program Files (x86)\AtomPark\Atomic Email Hunter\ie.htm File not found
O8 - Extra context menu item: Atomic Email Hunter - C:\Program Files (x86)\AtomPark\Atomic Email Hunter\ie.htm File not found
O20:64bit: - AppInit_DLLs: (C:\PROGRA~2\BEARSH~1\MediaBar\Datamngr\x64\datamngr.dll) -  File not found
O20:64bit: - AppInit_DLLs: (C:\PROGRA~2\BEARSH~1\MediaBar\Datamngr\x64\IEBHO.dll) -  File not found
O20:64bit: - AppInit_DLLs: (C:\PROGRA~2\BEARSH~1\MediaBar\Datamngr\x64\datamngr.dll) -  File not found
O20:64bit: - AppInit_DLLs: (C:\PROGRA~2\BEARSH~1\MediaBar\Datamngr\x64\IEBHO.dll) -  File not found
FF - HKEY_LOCAL_MACHINE\software\mozilla\FireFox\extensions\\{4bcdbfd0-fa26-11de-8a39-0800200c9a66}: C:\Users\Adam\AppData\Roaming\Mozilla\FireFox\{4bcdbfd0-fa26-11de-8a39-0800200c9a66}
FF - prefs.js..extensions.enabledItems: {67E7F3E5-8B3A-4219-B92B-47F9E05F5F4A}:1.0 
[2011-06-29 15:07:52 | 000,000,000 | ---D | M] (QueryScan) -- C:\Program Files (x86)\mozilla firefox\extensions\{67E7F3E5-8B3A-4219-B92B-47F9E05F5F4A}
[2011-09-27 17:44:14 | 000,000,000 | ---D | M] (Babylon) -- C:\Users\Adam\AppData\Roaming\mozilla\Firefox\Profiles\qeu0y5fr.default\extensions\ffxtlbr@babylon.com
[2011-05-28 18:40:17 | 000,005,115 | ---- | C] () -- C:\ProgramData\mtbjfghn.xbe
 
:Commands
[emptytemp]

 

Rozpocznij przez Wykonaj skrypt. System zostanie zrestartowany.

 

3. Przedstaw log z wynikami usuwania, nowy log z OTL z opcji Skanuj (przypominam o Extras) oraz AdwCleaner z opcji Search.

 

 

dziwne wpisy w kontach uzytkownikow-chodziło mi o menadzera poswiadczen jakis czas tem w opcjach tego menadzera pojawił sie login wraz z hasłem usunałem to ,ale znowu sie pojawił i znow usunalem narazie spokoj

 

Ale objaśnij jaki login o jakim typie poświadczeń, na jakiej podstawie zdawał się on "dziwny", jaką ścieżkę pokazywał. Czy odwiedzałeś dyski / ścieżki sieciowe?

 

 

 

.

[adamek]

Witam,

sorki za opóznienia odpowiedzi.

Panel sterowania\Konta użytkowników i Filtr rodzinny\Menedżer poświadczeń>Poswiadczenie rodzajowe(tu znajdował sie login- 02rvsasprggz@example.com wraz z zakropkowanym hasłem ktorego nie moglem złamac)

niewiem skad co i jak,chyba ,że sciaganie z chomikuj.pl ma coś z tym wspolnego ??

 

Wklejam ponizej logi.Jesli chodzi o te poswiadczenie to mam login ktory nie wiem skad sie wzial wczesniej w panelu sterowania skopiowałem go z resetowania hasło na stronie https://account.live.com/password/reset,ale nie przypominam sobie juz czy ja go tam umiesciłem kiedys aby odzyskac haslo czy ktos juz z tego korzystał.Mam cholerna zagadke:)

02282012_203627OTLLOG.txt

OTL.DRUGI LOG.txt

AdwCleanerR1.txt

AdwCleanerR1.txt

[picasso]

Na temat logów: doczyść resztki adware. Uruchom AdwCleaner z opcji Delete. Po tym spożyj w nim opcję Uninstall. W OTL uruchom Sprzątanie. Finalnie wyczyść foldery Przywracania systemu (KLIK). Koniec czyszczenia na tym poziomie.

 

Na temat wpisu w poświadczeniach: niestety jego pochodzenia nie jestem w stanie zdiagnozować. Jak mówiłam, w logach nie widać śladów ingerencji, ale to są po prostu określone logi, nie wszystkie typy napadów na system mogą być w nich widoczne. Poza tym, tam jest "example.com". Czy to w ogóle był prawidłowy e-mail? To wygląda na użycie omyłkowo jakiegoś szablonu, adres nieistniejący realnie.

Moim zdaniem tu nie ma żadnego włamania.

 

 

mam login ktory nie wiem skad sie wzial wczesniej w panelu sterowania skopiowałem go z resetowania hasło na stronie https://account.live.../password/reset,ale nie przypominam sobie juz czy ja go tam umiesciłem kiedys aby odzyskac haslo czy ktos juz z tego korzystał

 

Ten formularz służy do loginów w usłudze Windows Live (np. Windows Live Messenger czy poczta Microsoftu). Jaki to ma mieć związek z owym wpisem w menedżerze poświadczeń? O co Ci tu chodzi? Poświadczenia rodzajowe przy używaniu usług Live i innych Microsoftu wyglądają w taki oto sposób:

 

 

Wpis wygląda "podejrzanie", a jest w pełni poprawny. I ten wpis nie jest równy faktycznemu identyfikatorowi Windows Live.

 

 

 

.

[adamek]

Wporzadku Picasso wyjasniłas mi wystarczająco nie bede brnał w ten temat bo nie ma sensu.Zrobie porzadek jak poleciłas i to na tyle.Dziekuje za pomoc temat do zamkniecia.

 

P.S:Chyba znów zaczne sie interesowac serwisem tak jak kiedys na search....:)