Robak Sogou

[masterokocim]

Otóż przy instalacji sterowników do rootowania telefonu wdarł mi się przez przypadek robak sogou, a wraz z nim kilka innych programów. Przeskanowałem komputer Fsecure, następnie Malwarebytsem no ale jak wiadomo, mogło coś zostać. Prosiłbym o rzucenie okiem na moje logi z programów Gmer oraz FRST. Dziękuję.

 

Gmer.txt

Addition.txt

FRST.txt

Shortcut.txt

[Miszel03]

Przeskanowałem komputer Fsecure, następnie Malwarebytsem no ale jak wiadomo, mogło coś zostać.

 

Czy mógłbyś dostarczyć raport z tych dwóch działań? 

 

---

 

Faktycznie, nie wszystko zostało wyczyszczona. Nadal jest aktywna infekcja WMI oraz szczątki adware. 

Na temat asystentów pobierania poczytaj - KLIK. Tą instalke z nim kasuję.

 

C:\Users\PostraCH\Downloads\IObit-Unlocker-26902-AsystentPobierania.exe

 

1. Czy kojarzysz taki program jak ICalc - instalowałeś go celowo? Jeśli nie to spróbuj ją odinstalować. 

 

2. Otwórz Notatnik w nim wklej:

 

CloseProcesses:
CreateRestorePoint:
Task: {D249828A-1484-4492-AC79-D307072B948A} - System32\Tasks\osTip => Chrome.exe  
WMI_ActiveScriptEventConsumer_ASEC: 
ShortcutWithArgument: C:\Users\PostraCH\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer (64-bit).lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://qtipr.com/
ShortcutWithArgument: C:\Users\PostraCH\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://qtipr.com/
ShortcutWithArgument: C:\Users\PostraCH\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://qtipr.com/
ShortcutWithArgument: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk -> D:\Program Files (x86)\Mozilla Firefox\firefox.exe (Mozilla Corporation) -> hxxp://qtipr.com/
RemoveDirectory: C:\ProgramData\WindowsMsg
HKU\S-1-5-18\Control Panel\Desktop\\SCRNSAVE.EXE -> 
HKLM\...\Policies\Explorer: [EnableShellExecuteHooks] 1
SearchScopes: HKU\S-1-5-21-3865952795-1007310133-35833665-1000 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 
BHO-x32: Brak nazwy -> {FB4F6285-4C32-49F2-950F-A5998F9CEC6C} -> Brak pliku
S1 ucdrv; \??\C:\Program Files (x86)\UCBrowser\Security:ucdrv-x64.sys [X] 
2017-04-11 13:40 - 2017-04-11 13:40 - 01204256 _____ ( ) C:\Users\PostraCH\Downloads\IObit-Unlocker-26902-AsystentPobierania.exe
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\EA\BioWare\Star Wars - The Old Republic\Star Wars - The Old Republic.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\EA\BioWare\Star Wars - The Old Republic\SWTOR Customer Support.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\EA\BioWare\Star Wars - The Old Republic\Uninstall Star Wars - The Old Republic.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\EA\BioWare\Star Wars - The Old Republic\View License.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\EA\BioWare\Star Wars - The Old Republic\View Readme.lnk
C:\Users\PostraCH\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\UC浏览器\卸载UC浏览器.lnk
RemoveDirectory: C:\Program Files (x86)\UCBrowser
C:\Users\PostraCH\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Star Wars - The Old Republic.lnk
C:\Users\Public\Desktop\Star Wars - The Old Republic.lnk
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

3. Wyczyść i zabezpiecz przeglądarkę Mozilla FireFox:

• Odłącz synchronizację (o ile włączona): KLIK.
• Menu Pomoc > Informacje dla pomocy technicznej > Odśwież program Firefox. Zakładki i hasła nie zostaną naruszone.
• Menu Historia > Wyczyść historię przeglądania.
• Zainstaluj rozszerzenie blokujące reklamy o podłożu nieinfekcyjnym, polecam rozszerzenie uBlock Origin.

4. Pobierz AdwCleaner uruchom go i kliknij Skanuj, kiedy skanowanie zakończy się wydobądź z niego raport, znajduję się on w folderze C:\AdwCleaner.

 

5. Zrób nowy log FRST z opcji Skanuj (Scan) wraz z Addition i Shortcut). Dołącz też plik fixlog.txt.

[masterokocim]

Dzięki wielkie Miszel03 za pomoc, wszystko poszło jak należy, nie wyskakują już żadne okienka z tego chińskiego badziewia, komputer znowu działa jak należy, nie zauważyłem już żadnych niepokojących programów, po tym jak resztę niepokojących usunąłem w trybie awaryjnym, bo nie było do nich dostępu

[Rucek]

To nie koniec. Dostosuj się do poleceń, nie dałeś raportów.

[masterokocim]

Dobrze, załączam skany

Addition.txt

FRST.txt

Shortcut.txt

AdwCleanerS0.txt

[Rucek]

nadal brakuje jednego