Keylogger - podejrzenie zainstalowania

[summer]

Dobry wieczor,

mialam nieprzyjemna sytuacje zwiazana ze zlamaniem hasel. Hasla juz zmienilam, ale nie daje mi spokoju jeszcze jedna rzecz, czy aby jakies dziadostwo nie zostalo zainstalowane na moim komp. Do komp mialy dostep osoby trzecie.

Program antywirus mi nic nie wykryl (pewnie keyloggerow nie wykrywa, innych wirusow brak). Przeprowadzilam jeszcze skanowanie sbybotem (tu zadnego syfu tez nie znalazl), ale domyslam sie, ze keylogger to podstepne dziadostwo i nie tak latwo odszukac.

 

Zatem prosze o rzucenie okiem na logi, abym mogla spac spokojnie

 

Z gory dziekuje.

OTL.Txt

Extras.Txt

gmer.txt

[picasso]

Hasła gdzie?

 

Log z GMER zrobiony w nieprawidłowych warunkach, przy czynnym emulatorze SPTD (KLIK). W logach nie widzę jawnych oznak infekcji, choć w GMER jest jakiś dziwny ukryty plik:

 

---- Files - GMER 1.0.15 ----
 
File            C:\WINDOWS\system32\cl.uclmc2            533 bytes

 

Nie wiem co o tym sądzić, ale to chyba nic dobrego. Znalazłam na Google w cudzym logu zestaw trzech obiektów tworzonych razem (dowodujący, że to pochodna jakiegoś cracka):

 

2008-11-02 21:28 . 2008-11-02 21:29 1,059 --a------ c:\windows\system32\cl.uclmc2
2008-11-02 21:28 . 2008-11-02 21:28 518 --a------ c:\windows\MD_Settings.dat
2008-11-02 20:48 . 2008-11-02 20:48 
 d-------- c:\windows\KeyChanger Office Edition

 

U Ciebie MD_Settings.dat też występuje. Dodatkowe uwagi:

 

1. Log z OTL przedstawia plik HOSTS w postaci zupełnej sieczki. Zresetuj plik HOSTS do postaci domyślnej za pomocą automatycznego narzędzia Fix-it z artykułu: KB972034.

 

2. Usuń drobne szczątki. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
O3 - HKU\S-1-5-21-842925246-115176313-1417001333-1003\..\Toolbar\WebBrowser: (no name) - {472734EA-242A-422B-ADF8-83D1E48CC825} - No CLSID value found.
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} "http://appldnld.apple.com.edgesuite.net/content.info.apple.com/QuickTime/qtactivex/qtplugin.cab" (Reg Error: Key error.)
O16 - DPF: {68282C51-9459-467B-95BF-3C0E89627E55} "http://www.mks.com.pl/skaner/SkanerOnline.cab" (Reg Error: Key error.)

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt.

 

 

Przeprowadzilam jeszcze skanowanie sbybotem (tu zadnego syfu tez nie znalazl), ale domyslam sie, ze keylogger to podstepne dziadostwo i nie tak latwo odszukac.

 

1. Spybot Search & Destroy to skaner archaiczny, przestarzały i słabo zorientowany w nowoczesnych infekcjach. Pierwsze co zalecam, gdy go widzę = deinstalacja. I prawdopodobnie to on zmodyfikował plik HOSTS, choć OTL pokazuje sieczkę.

 

2. Bardziej wiarygodny skaner to Malwarebytes Anti-Malware.

 

3. Twój antywirus AVG nie jest najnowszy, a wygląda na aktualizowany nakładkowo z wersji 9. Zalecam dokładne odświeżenie aplikacji, poprzez deinstalację starej wersji i montaż najnowszej.

 

 

 

.

[summer]

Hasla w gg (na serwerze jak i w samym programie). Ale domyslam sie, ze to pikus, odpowiedni plik i mozna z niego wyciagnac wszystko. Dodatkowo podejrzewam zlamanie hasla do logowania sie na forum (akurat nie to forum). Nie wiem na ile wiarygodna jest ta informacja, ale ponoc zostaly przeczytane rzeczy, ktore byly dostepne tylko po zalogowaniu sie (nie dla kazdego uzytkownika forum, ale dla wybranej sekcji). Albo ta osoba klamala, zeby wzbudzic we mnie niepokoj, albo faktycznie tak sie stalo.

 

Teraz do rzeczy.

 

1 i 2 wykonana (OTL + fix it).

Gmer zrobiony poprawnie przy wylaczonym SPTD.

 

Usunelam stara wersje avg, zainstalowalam nowa 2012. Przy skanowaniu wywalilo alert, ze cos znanazlo:

c:\windows\system32\antiwpa.dll

nazwa: IDP.Program.BDC51DA6

Antywirus sobie z tym poradzil.

 

Odinstalowalam Spybot, zainstalowalam polecany Anti-Malware, ale po restarcie komp caly system mi sie zamrazal. Ladowal sie pulpit, ale nic nie dalo sie zrobic. Myszka dzialala, ale na nic nie dalo sie kliknac. Robilam reset 5x i zawsze to samo. Zawieszal sie system, nie ladowalo sie polaczenie sieciowe itp Wiec przez tryb awaryjny usunelam anti-malware i komp juz sie normalnie ladowal, bez zawieszki.

 

Co do crackow. Hmm, posiadam 2 programy graficzne, ktore w taki sposob nie staly sie trialami...nie wiem czy akurat to ich dotyczy.

 

Zalaczam nowe logi.

OTL.Txt

[summer]

Nie wiem czy to ma jakies znaczenie, ale kiedy ustawiam w opcjach folderow "pokaz ukryte pliki i foldery" to po jakims czasie przestawia sie samo na "nie pokazuj ukrytych plikow i folderow". Tak ma byc?

Wczoraj zaznaczylam, zeby mi pokazywalo ukryte pliki, teraz patrze i mam zaznaczone "nie pokazuj". Juz drugi raz obserwuje taka sytuacje. Nie wiem dlaczego tak sie dzieje.

[picasso]

GMER i OTL Extras po raz drugi niepotrzebne, brak nowych danych związanych z problematyką przewodnią. Usuwam te załączniki. Drobna uwaga co do przeprowadzonych działań, tzn. pozbądź się tych kopii pliku HOSTS:

 

[2012-09-03 19:44:39 | 000,443,286 | R--- | M] () -- C:\WINDOWS\System32\drivers\etc\hosts.old
[2012-08-22 21:00:20 | 000,443,286 | R--- | M] () -- C:\WINDOWS\System32\drivers\etc\hosts.20120903-194439.backup

 

 

Hasla w gg (na serwerze jak i w samym programie). Ale domyslam sie, ze to pikus, odpowiedni plik i mozna z niego wyciagnac wszystko. Dodatkowo podejrzewam zlamanie hasla do logowania sie na forum (akurat nie to forum). Nie wiem na ile wiarygodna jest ta informacja, ale ponoc zostaly przeczytane rzeczy, ktore byly dostepne tylko po zalogowaniu sie (nie dla kazdego uzytkownika forum, ale dla wybranej sekcji). Albo ta osoba klamala, zeby wzbudzic we mnie niepokoj, albo faktycznie tak sie stalo.

 

Z tego nic dla mnie nie wynika, logi też nic nie mówią pod tym kątem.

 

 

Nie wiem czy to ma jakies znaczenie, ale kiedy ustawiam w opcjach folderow "pokaz ukryte pliki i foldery" to po jakims czasie przestawia sie samo na "nie pokazuj ukrytych plikow i folderow". Tak ma byc?

Wczoraj zaznaczylam, zeby mi pokazywalo ukryte pliki, teraz patrze i mam zaznaczone "nie pokazuj". Juz drugi raz obserwuje taka sytuacje. Nie wiem dlaczego tak sie dzieje.

 

Otwórz Notatnik i wklej w nim:

 

Windows Registry Editor Version 5.00
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001

 

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.REG > Uruchom ten plik

 

 

Usunelam stara wersje avg, zainstalowalam nowa 2012. Przy skanowaniu wywalilo alert, ze cos znanazlo:

c:\windows\system32\antiwpa.dll

nazwa: IDP.Program.BDC51DA6

Antywirus sobie z tym poradzil.

 

To był ... crack aktywacyjny do XP:

 

O20 - Winlogon\Notify\Antiwpa: DllName - (antiwpa.dll) - C:\WINDOWS\System32\antiwpa.dll ()

 

 

Odinstalowalam Spybot, zainstalowalam polecany Anti-Malware, ale po restarcie komp caly system mi sie zamrazal. Ladowal sie pulpit, ale nic nie dalo sie zrobic. Myszka dzialala, ale na nic nie dalo sie kliknac. Robilam reset 5x i zawsze to samo. Zawieszal sie system, nie ladowalo sie polaczenie sieciowe itp Wiec przez tryb awaryjny usunelam anti-malware i komp juz sie normalnie ladowal, bez zawieszki.

 

Ale czy przypadkiem nie instalowałaś wersji komercyjnej z rezydentem? Mnie chodziło o wersję podstawową darmową.

 

 

 

.

Edytowane 12 Października 2012 przez picasso
12.10.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso