Skocz do zawartości

infekcja malaware


Rekomendowane odpowiedzi

Witam,

 

Natrafiłem na jakiegoś złośliwego robala, który co jakiś czas otwiera mi przeglądarkę (firefox) i dodatkowo wyświetla co jakiś czas konsolę (cmd) i poprzez nia pobiera pliki.

Infekcja pojawiła się po próbie instalacji cracka do jednej z gier. Z rzeczy, które próbowałem zrobić skanowałem system dwoma programami ad-aware oraz Emisoft anti malware.

oba znajdują pliki i je usuwaja jednakże coś ponownie jej pobiera.

 

Link do pliku: hxxp://ec2-35-156-65-252.eu-central-1.compute.amazonaws.com/J3SKHb-Ic4ayWBmkcPL1Gw9UfpMbxT6FUo3czwi2iPGBQo3SnyQSBAEuMUVF_KwgMCyL3BXwTfNhbwzPUeWT6cmDi0Dzz-ApyRsNS2HYqfkX4AtzU92XO3wrx20MsqpG7Mqe5NVnKf8NMxGEo89NVlRvDaDs96DyuCMCZEUa2sfg 

 

Pozdrawiam

Addition.txt

FRST.txt

Shortcut.txt

Edytowane przez Miszel03
Dodaje maskowanie niebezpiecznego linku. //Miszel03
Odnośnik do komentarza
Pomoc jest darmowa, ale proszę rozważ przekazanie dotacji na utrzymanie serwisu: klik.

W systemie widocznych jest wiele infekcji. Głównie ulokowanych w Harmonogramie Zadań, widać również polecenie uruchamiające co start systemu reklamowe strony w przeglądarce Mozilla FireFox. Powinniśmy się z tym szybko uporać. 
 
P.S: Na koniec dezynfekcji odinstaluj jednego z antywirusów - powinien być jeden - inaczej może dojść do konfliktów. Na czas pomocy oba antywirusy wyłącz (mogą dublować moje działania). 
 
1. Przez Panel Sterownia odinstaluj program podpisany przez podejrzanego wydawce: App Explorer.
 
2. Uruchom FRST. Z klawiatury CTRL+Y, zostanie otworzony plik fixlist.txt. Wklej do pliku następującą treść:
 

CloseProcesses:
CreateRestorePoint:
ContextMenuHandlers5: [igfxcui] -> {3AB1675A-CCFF-11D2-8B20-00A0C93CB1F4} =>  -> Brak pliku
Task: {34A877EA-6BAA-40DA-81F5-4472E0A19249} - System32\Tasks\100newsupnetsoxkziwx => "C:\Program Files\Mozilla Firefox\firefox.exe" 100newsup.net/soxkziwx Task: {17E59FF8-4D54-4B5F-B0F0-470251DD6537} - System32\Tasks\nlmagdghbp => C:\Users\Remek\AppData\Local\ioxoklkyagn.bat [2017-11-12] () Task: {788D3C90-1EC7-446A-A34C-ED7FA6BF3906} - System32\Tasks\lptgjvvoitf => C:\Users\Remek\AppData\Local\bwhdiugx.bat [2017-11-12] () Task: {A39DE2C0-CD1B-4377-BA44-0B02F0706E14} - System32\Tasks\pvcloeel => C:\Users\Remek\AppData\Local\wlzmz.bat [2017-11-12] () Task: {EF5EDF67-D89C-486B-89DA-9C942383BE0E} - System32\Tasks\pswggvzcao => C:\Users\Remek\AppData\Local\mzqrygwxty.bat [2017-11-12] () C:\Users\Remek\AppData\Local\ioxoklkyagn.bat
C:\Users\Remek\AppData\Local\bwhdiugx.bat
C:\Users\Remek\AppData\Local\wlzmz.bat
C:\Users\Remek\AppData\Local\mzqrygwxty.bat
C:\Users\Remek\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk
HKU\S-1-5-21-3590818742-3342905787-1238264347-1001\...\StartupApproved\Run: => "mailruhomesearch"
GroupPolicy: Ograniczenia GroupPolicy\User: Ograniczenia HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = 
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = 
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = 
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = 
SearchScopes: HKU\S-1-5-21-3590818742-3342905787-1238264347-1001 -> {765E211B-5047-400B-A8E6-79CC8DF729E6} URL = 
HKU\S-1-5-21-3590818742-3342905787-1238264347-1001\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://mail.ru/cnt/10445?gp=811141
SearchScopes: HKU\S-1-5-21-3590818742-3342905787-1238264347-1001 -> DefaultScope {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={searchTerms}&fr=ntg&product_id=%7B182A5CC5-62AD-43BC-8F04-2F5D5FDFD668%7D&gp=811142
SearchScopes: HKU\S-1-5-21-3590818742-3342905787-1238264347-1001 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={searchTerms}&fr=ntg&product_id=%7B182A5CC5-62AD-43BC-8F04-2F5D5FDFD668%7D&gp=811142
S4 mccspsvc; "C:\Program Files\Common Files\McAfee\CSP\2.5.312.0\\McCSPServiceHost.exe" [X]
2017-11-12 22:50 - 2017-11-12 22:50 - 000000348 _____ () C:\Users\Remek\AppData\Local\gorknnnamdlo.bat
2017-11-12 22:52 - 2017-11-12 22:52 - 000000348 _____ () C:\Users\Remek\AppData\Local\jgqejkmxam.bat
2017-11-12 22:52 - 2017-11-12 22:52 - 000000348 _____ () C:\Users\Remek\AppData\Local\jvvwd.bat
2017-11-12 22:50 - 2017-11-12 22:50 - 000000348 _____ () C:\Users\Remek\AppData\Local\plcevar.bat
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PDFCreator\Licenses\GPL License.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PDFCreator\Licenses\FairPlay License.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PDFCreator\Licenses\AFPL License.lnk 
C:\Users\Remek\Favorites\Mail.Ru Агент - используй для общения!.url
C:\Users\Remek\Favorites\Mail.Ru.url
Powershell: wevtutil el | Foreach-Object {wevtutil cl "$_"}
Hosts:
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 
Z klawiatury CTRL+S, by zapisać zmiany. Następnie w oknie FRST klik w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.
 
3. Wyczyść przeglądarkę Mozilla FireFox (na używanych przez Ciebie profilach):
  • Odłącz synchronizację (o ile włączona): KLIK.
  • Menu Pomoc > Informacje dla pomocy technicznej > Odśwież program Firefox. Zakładki i hasła nie zostaną naruszone.
  • Menu Historia > Wyczyść historię przeglądania.

4. Całościowo przeskanuj system za pomocą Malwarebytes AntiMalware. Jeśli coś wykryje to niczego nie usuwaj, a dostarcz raport. 
 
5. Zrób nowy log FRST z opcji Skanuj (Scan) wraz z Addition, ale już bez Shortcut. Dołącz też plik fixlog.txt.

Odnośnik do komentarza

Wszystko pomyślnie wykonane, Malwarebytes wykrył tylko malutkie szczątki po PUP - usuwam je w skrypcie. Musimy jednak tylko powtórzyć reset pliku Hosts, który stawia opory - zrobimy to przy zabitej powłoce explorer. 

 

1. Uruchom FRST. Z klawiatury CTRL+Y, zostanie otworzony plik fixlist.txt. Wklej do pliku następującą treść:

 

CloseProcesses:
(Microsoft Corporation) C:\Windows\explorer.exe
CreateRestorePoint:
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = 
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = 
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = 
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = 
SearchScopes: HKU\S-1-5-21-3590818742-3342905787-1238264347-1001 -> DefaultScope {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = 
HKU\S-1-5-21-3590818742-3342905787-1238264347-1001\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://mail.ru/cnt/10445?gp=811141 C:\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\BOOKING.COM.LNK DeleteKey: HKU\S-1-5-21-3590818742-3342905787-1238264347-1001\SOFTWARE\1Q1F1S1C1P1E1C1F1N1C1T1H2UtF1E1I Hosts: EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 
Z klawiatury CTRL+S, by zapisać zmiany. Następnie w oknie FRST klik w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Zrób nowy log FRST z opcji Skanuj (Scan) wraz z Addition, ale już bez Shortcut. Dołącz też plik fixlog.txt. 

Powiedz jak podsumowujesz aktualny stan systemu. Czy wszystkie problemy ustąpiły?

Odnośnik do komentarza

Nie siedzę tutaj 24h / 7. 

 

Problem z Internetem wydaje się być nie dorzeczny. Zresetuje katalog Winsock - ale to naciągana naprawa łańcucha połączeń. 

 

C:\Windows\explorer.exe => Nie można zamknąć procesu
"C:\Windows\System32\Drivers\etc\hosts" => Nie można przenieść
Nie można przywrócić Hosts.

 

Ty po prostu nie uruchamiasz FRST jako administrator, więc powtórz pkt. (jako administrator), ale z następującym skryptem:

 

Hosts:

CMD: netsh winsock reset

 

Dostarcz plik Fixlog i napisz czy problem z internetem i problem ze złośliwym oprogramowaniem ustąpiły.

Odnośnik do komentarza

Jeśli chcesz dodać odpowiedź, zaloguj się lub zarejestruj nowe konto

Jedynie zarejestrowani użytkownicy mogą komentować zawartość tej strony.

Zarejestruj nowe konto

Załóż nowe konto. To bardzo proste!

Zarejestruj się

Zaloguj się

Posiadasz już konto? Zaloguj się poniżej.

Zaloguj się
  • Ostatnio przeglądający   0 użytkowników

    • Brak zarejestrowanych użytkowników przeglądających tę stronę.
×
×
  • Dodaj nową pozycję...