Zainfekowany plik WMV

[bialylukasz]

Witam,

 

na komputerze został otwarty zawirusowany plik WMV.

Na razie nie widzę większych oznak, jedynie nieskojarzenie aplikacji utorrent z plikami

 

Pozdrawiam

gmer.txt

FRST.txt

Addition.txt

Shortcut.txt

[bialylukasz]

pozwolę sobie odświeżyć temat, przeskanowałem komputer scanerem online ESET, wyniki jak w załączniku, drugie skanowanie nie wykazało już żadnych wirusów.

Przesyłam również odświeżone logi z FRST oraz GMER

wirusy.txt

Addition.txt

FRST.txt

Shortcut.txt

gmer.txt

[picasso]

Skąd było wiadomo, że plik WVM zainfekowany oraz jakie było jego źródło? Wyniki w skanie ESET nie mają związku ze zgłaszanym problemem, w większości to są ręcznie pobrane pliki (downloadery zamiast poprawnych instalatorów, crack ESET, sponsorowany instalator uTorrent per se) oraz jeden rekord w cache Google Chrome. W raportach nie widać żadnych oznak infekcji. Do wykonania tylko działania poboczne:

 

1. Odinstaluj stare wersje: Adobe Flash Player 16 NPAPI, Adobe Flash Player 19 ActiveX, Java 8 Update 25.

 

2. Wyczyść Firefox ze starych preferencji i sponsorowanych przekierowań Yahoo: Menu Pomoc > Informacje dla pomocy technicznej > Odśwież program Firefox. Zakładki i hasła nie zostaną naruszone, ale Adblock Plus trzeba będzie przeinstalować.

 

3. W Google Chrome Ustawienia > karta Rozszerzenia > odinstaluj OneTab. To rozszerzenie kojarzone z instalacjami adware: PUP.Optional.OneTab.

 

4. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
Task: {B6E6980B-0ED5-4115-A9C7-649A8D4EE2F0} - System32\Tasks\{13784B23-39D4-421D-A149-5FFE95DAC8D8} => pcalua.exe -a C:\Users\Lukasz\Downloads\WinSetupFromUSB-1-4.exe -d C:\Users\Lukasz\Downloads
Task: {FC464D26-D0D9-4C67-B627-9C60F8A82C8F} - System32\Tasks\{5C0120C7-B382-480B-B8C7-F643AC9EA3FD} => pcalua.exe -a D:\dziadek\Adobe.Acrobat.Pro.X.v10.0.Multilingual.Incl.Keymaker-CORE\setup.exe -d D:\dziadek\Adobe.Acrobat.Pro.X.v10.0.Multilingual.Incl.Keymaker-CORE
HKLM\...\Run: [Nvtmru] => "C:\Program Files (x86)\NVIDIA Corporation\NVIDIA Update Core\nvtmru.exe"
S3 btwampfl; \??\C:\Windows\system32\drivers\btwampfl.sys [X]
S3 btwaudio; system32\drivers\btwaudio.sys [X]
S3 btwavdt; system32\drivers\btwavdt.sys [X]
S3 btwl2cap; system32\DRIVERS\btwl2cap.sys [X]
S3 btwrchid; system32\DRIVERS\btwrchid.sys [X]
SearchScopes: HKU\S-1-5-21-595839063-1318309793-2819938948-1000 -> {63C1A194-4CFF-4C89-A061-E7331C825C71} URL = hxxps://search.yahoo.com/search?fr=chr-greentree_ie&ei=utf-8&ilc=12&type=639975&p={searchTerms}
CHR HKU\S-1-5-21-595839063-1318309793-2819938948-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [lmjegmlicamnimmfhcmpkclmigmmcbeh] - hxxps://clients2.google.com/service/update2/crx
FF HKLM-x32\...\Thunderbird\Extensions: [eplgTb@eset.com] - C:\Program Files\ESET\ESET NOD32 Antivirus\Mozilla Thunderbird => nie znaleziono
DeleteKey: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2
DeleteKey: HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\services\ABBYY.Licensing.FineReader.Corporate.10.0
C:\Users\Lukasz\AppData\Local\70149b02515b3bb20dd492.47983420
C:\Users\GuestUser\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Wireshark 2 Preview.lnk
CMD: netsh advfirewall reset
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. Przedstaw go. Nowe skany nie są mi potrzebne.

Edytowane 2 Czerwca 2016 przez picasso
Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso