Skocz do zawartości

Wirus włączający przeglądarkę


Rekomendowane odpowiedzi

Pomoc jest darmowa, ale proszę rozważ przekazanie dotacji na utrzymanie serwisu: klik.

Podane raporty FRST pochodzą z archiwum logów C:\FRST\Logs. Bieżące raporty są tworzone w katalogu z którego jest uruchamiany FRST, czyli w tym przypadku C:\Users\Krystrian\Downloads. Zakładam, że FRST został uruchomiony tylko raz, gdyż tylko w tym scenariuszu logi z archiwum są "bieżące".

W raportach brak oznak aktywnej infekcji, po infekcji zostało tylko wyszczerbione zadanie "\Krystrian" w Harmonogramie. Czyli do usunięcia tylko szczątki + inne kosmetyczne akcje.

1. Ustaw w opcjach Windows jako domyślną przeglądarkę Google Chrome. Obecnie figuruje odinstalowana Opera.

2. Uruchom FRST. Z klawiatury CTRL+Y, zostanie otworzony plik tekstowy. Wklej do pliku następującą treść:

CloseProcesses:
CreateRestorePoint:
Task: {0A3F8111-7534-4C22-BE84-A570C65F5CEF} - \Krystrian -> Brak pliku Task: {C63C8B64-14D0-4A91-AE52-0D0A97E30A4E} - \Microsoft\Windows\UNP\RunCampaignManager -> Brak pliku ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> Brak pliku
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> Brak pliku
CHR HKLM\...\Chrome\Extension: [cjabmdjcfcfdmffimndhafhblfmpjdpe] - C:\Program Files\Norton Security\Engine\22.12.1.15\Exts\Chrome.crx
CHR HKLM-x32\...\Chrome\Extension: [cjabmdjcfcfdmffimndhafhblfmpjdpe] - C:\Program Files\Norton Security\Engine\22.12.1.15\Exts\Chrome.crx
DeleteKey: HKLM\SOFTWARE\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Wow6432Node\MozillaPlugins
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Przeglądarka Opera.lnk
C:\Users\Krystrian\AppData\Local\Opera Software
C:\Users\Krystrian\AppData\Roaming\Opera Software
C:\Users\Krystrian\AppData\Roaming\Microsoft\Word\pytanie306308990056472741\pytanie.docx.lnk
Powershell: wevtutil el | Foreach-Object {wevtutil cl "$_"}
EmptyTemp:


Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.


Z klawiatury CTRL+S, by zapisać zmiany. Następnie w oknie FRST klik w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. Przedstaw go. Nowe skany FRST nie są potrzebne.

Odnośnik do komentarza

Na przyszłość: jak mówiłam, nie wyciągaj logów z katalogu C:\FRST\Logs. Jeśli chodzi o Fix, to niektóre klucze nie zostały usunięte. Poprawki:

 

Uruchom FRST. Z klawiatury CTRL+Y, zostanie otworzony plik tekstowy. Wklej do pliku następującą treść:

 

DeleteKey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Krystrian
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Microsoft\Windows\UNP\RunCampaignManager

 

Z klawiatury CTRL+S, by zapisać zmiany. Następnie w oknie FRST klik w Napraw (Fix). Przedstaw wynikowy fixlog.txt.

Odnośnik do komentarza

Bez zmian, te dwa klucze nie chcą się usunąć. Nie jest to zbyt duży problem, ale dla porządku wypada dokończyć sprawę. Dostarcz uprawnienia tych kluczy:

 

Uruchom FRST. Z klawiatury CTRL+Y, zostanie otworzony plik tekstowy. Wklej do pliku następującą treść:

 

ListPermissions: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Krystrian
ListPermissions: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Microsoft\Windows\UNP\RunCampaignManager

 

Z klawiatury CTRL+S, by zapisać zmiany. Następnie w oknie FRST klik w Napraw (Fix). Przedstaw wynikowy fixlog.txt.

Odnośnik do komentarza
Gość
Ten temat został zamknięty. Brak możliwości dodania odpowiedzi.
  • Ostatnio przeglądający   0 użytkowników

    • Brak zarejestrowanych użytkowników przeglądających tę stronę.
×
×
  • Dodaj nową pozycję...