CMD - włącza i po chwili wyłącza :/

[genius95]

Witam, mam problem taki jak w tytule. Znajdzie się jakaś dobra duszyczka która mi pomoże?

 

dodaje pliki z FRST

 

 

Addition.txt

FRST.txt

[Miszel03]

Witaj genius95!

 

Uruchamiający się wiersz poleceń to efekt infekcji, niestety nie jestem w stanie powiedzieć konkretnie jakiej - zadałem w skrypcie analizę w serwisie VirusTotal. Podejrzewam, że to wariant koparki kryptowaluty. 

Oprócz oczywistej dezynfekcji odbędzie się tu również sprzątanie martwych wpisów, a także resztek po oprogramowaniu (m.in po przeglądarce Mozilla FireFox). 

 

Akcja: 

 

1. Uruchom FRST. Z klawiatury CTRL+Y, zostanie otworzony plik tekstowy. Wklej do pliku następującą treść:

 

CloseProcesses:
CreateRestorePont:
ContextMenuHandlers5: [igfxcui] -> {3AB1675A-CCFF-11D2-8B20-00A0C93CB1F4} => -> Brak pliku
Task: {C78E616A-8237-48E5-AF44-D75E053789C3} - \Microsoft\Windows\UNP\RunCampaignManager -> Brak pliku 
HKU\S-1-5-21-1536483902-100257688-3692752940-1001\...\MountPoints2: {90808e49-0a58-11e8-8d92-1cb72c2addb7} - "F:\HiSuiteDownLoader.exe"
VirusTotal: C:\Users\mkesk\AppData\Roaming\Microsoft\SoundMixer\SoundMixer.exe
HKU\S-1-5-21-1536483902-100257688-3692752940-1001\...\Winlogon: [shell] C:\Windows\System32\cmd.exe [273920 2018-01-17] (Microsoft Corporation) 
HKU\S-1-5-21-1536483902-100257688-3692752940-1001\...\Command Processor: @mode 20,5 & tasklist /FI "IMAGENAME eq SoundMixer.exe" 2>NUL | find /I /N "SoundMixer.exe">NUL && exit & if exist "C:\Users\mkesk\AppData\Roaming\Microsoft\SoundMixer\SoundMixer.exe" ( start /MIN "" "C:\Users\mkesk\AppData\Roaming\Microsoft\SoundMixer\SoundMixer.exe" & tasklist /FI "IMAGENAME eq explorer.exe" 2>NUL | find /I /N "explorer.exe">NUL && exit & explorer.exe & exit ) else ( tasklist /FI "IMAGENAME eq explorer.exe" 2>NUL | find /I /N "explorer.exe">NUL && exit & explorer.exe & exit ) 
C:\Users\mkesk\AppData\Roaming\Microsoft\SoundMixer
VirusTotal: C:\WINDOWS\System32\openssh\ssh-agent.exe
VirusTotal: C:\WINDOWS\System32\openssh\sshd.exe
DeleteKey: HKCU\Software\Mozilla
DeleteKey: HKCU\Software\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Mozilla
DeleteKey: HKLM\SOFTWARE\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Wow6432Node\Mozilla
DeleteKey: HKLM\SOFTWARE\Wow6432Node\mozilla.org
DeleteKey: HKLM\SOFTWARE\Wow6432Node\MozillaPlugins
C:\Users\mkesk\AppData\Local\Mozilla
C:\Users\mkesk\AppData\Roaming\Mozilla
C:\Users\mkesk\AppData\Roaming\Profiles
Powershell: wevtutil el | Foreach-Object {wevtutil cl "$_"}
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Z klawiatury CTRL+S, by zapisać zmiany. Następnie w oknie FRST klik w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 

 

2. Całościowo przeskanuj system za pomocą Malwarebytes AntiMalware. Jeśli coś wykryje to niczego nie usuwaj, a dostarcz raport. 

 

3. Zrób nowy log FRST z opcji Skanuj (Scan) wraz z Addition i koniecznie brakującym Shortcut. Dołącz też plik fixlog.txt.

[genius95]

Jesteś wielki!

 

CMD się odpala, w najbliższym czasie zrobię o co mi poradziłeś, teraz wracam do Swoich zadań.

 

Nię będę dziękował, mogę co najwyżej wielbić na klęczkach ;-)

[Miszel03]

Genius, czy temat będzie kontynuowany?