Skocz do zawartości
WAŻNE - Użytkownicy uprawnieni do pomocy
WAŻNE - Zakładanie tematu: obowiązkowe logi
Nadchodzące zmiany w logowaniu

wirusy occamy.C + cloxer.D!d >>> ComboFix

miszaa

Przez miszaa
w Dział pomocy doraźnej

Rekomendowane odpowiedzi

Pomoc jest darmowa, ale proszę rozważ przekazanie dotacji na utrzymanie serwisu: klik.
jessica

jessica

Opublikowano
Opublikowano

FRST powinien zrobić trzy logi, a nie jeden.

 

Uruchom FRST. Na klawiaturze naciśnij jednocześnie CTRL+Y.
Otworzy się Notatnik - wklej do niego:

Spoiler

FF ExtraCheck: C:\Program Files\mozilla firefox\defaults\pref\kl_prefs_62fbb8f7_c917_4cf7_957a_aad2b8fa768c.js [2019-01-05] <==== UWAGA (Linkuje do pliku *.cfg)
FF ExtraCheck: C:\Program Files\mozilla firefox\kl_config_62fbb8f7_c917_4cf7_957a_aad2b8fa768c.cfg [2019-01-05] <==== UWAGA
GroupPolicy: Ograniczenia - Windows Defender <==== UWAGA
CHR HKLM\SOFTWARE\Policies\Google: Ograniczenia <==== UWAGA
BHO: Google Toolbar Helper -> {AA58ED58-01DD-4d91-8333-CF10577473F7} -> C:\Program Files (x86)\Google\Google Toolbar\GoogleToolbar_64.dll => Brak pliku
Toolbar: HKLM - Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Program Files (x86)\Google\Google Toolbar\GoogleToolbar_64.dll Brak pliku
S3 gusvc; "C:\Program Files (x86)\Google\Common\Google Updater\GoogleUpdaterService.exe" [X]
S3 catchme; \??\C:\ComboFix\catchme.sys [X]
2019-01-05 14:15 - 2019-01-05 14:15 - 000000004 _____ () C:\ProgramData\ext.dat
2019-01-05 14:10 - 2019-01-05 14:30 - 000000004 _____ () C:\ProgramData\lock.dat
2019-01-05 14:10 - 2019-01-05 14:10 - 000000008 _____ () C:\ProgramData\ts.dat
1601-01-03 21:26 - 1601-01-03 21:26 - 000073216 _____ (Microsoft Corporation) C:\Program Files (x86)\Common Files\RloUowYZYABT.exe.vir
C:\Users\m.szafarz\AppData\Roaming\zquZWENY.exe
C:\Users\m.szafarz\AppData\Local\installer.dat
EmptyTemp:

Na klawiaturze naciśnij jednocześnie CTRL+S.

W FRST kliknij na Fix (NAPRAW).

 

Zrób nowe logi FRST.

 

jessi

 

 

Odnośnik do komentarza
jessica

jessica

Opublikowano
Opublikowano

Uruchom FRST. Na klawiaturze naciśnij jednocześnie CTRL+Y.
Otworzy się Notatnik - wklej do niego:

Spoiler

MSCONFIG\startupreg: lkNJyPss55.exe => C:\Program Files\Common Files\FAAQWR3D\lkNJyPss55.exe
RemoveDirectory: C:\Program Files\Common Files\FAAQWR3D
C:\Windows\Minidump\*.dmp
2019-01-05 14:15 - 2019-01-05 14:15 - 000000004 _____ () C:\ProgramData\ext.dat
2019-01-05 14:10 - 2019-01-05 14:30 - 000000004 _____ () C:\ProgramData\lock.dat
2019-01-05 14:10 - 2019-01-05 14:10 - 000000008 _____ () C:\ProgramData\ts.dat
1601-01-03 21:26 - 1601-01-03 21:26 - 000186368 ____N (Microsoft Corporation) C:\Users\m.szafarz\ynSFrui.exe
1601-01-03 21:26 - 1601-01-03 21:26 - 000073216 _____ (Microsoft Corporation) C:\Program Files (x86)\Common Files\RloUowYZYABT.exe.vir
1601-01-03 21:26 - 1601-01-03 21:26 - 000073216 ____N (Microsoft Corporation) C:\Users\m.szafarz\AppData\Roaming\zquZWENY.exe
2019-01-05 14:04 - 2019-01-05 14:04 - 000140800 _____ () C:\Users\m.szafarz\AppData\Local\installer.dat
VirusTotal: C:\Windows\System32\LF2GRPJL.DLL; C:\Windows\system32\LF2GRPOW.exe
EmptyTemp:

Na klawiaturze naciśnij jednocześnie CTRL+S.

W FRST kliknij na Fix (NAPRAW).

Daj z tego "fixlog".

 

Zrób nowe logi FRST

 

jessi

(zajrzę tu nie wcześniej nić o 23:05)

Odnośnik do komentarza
miszaa

miszaa

Opublikowano
  • Autor
Opublikowano

Zrobione :)

Logi w załącznikach.

 

Może być jutro na spokojnie.

I tak "pożar" został już "opanowany" ;-)

 

Thx :)

Mirek

 

P.S.

Mam jeszcze do odzysku HDD po quick format... - ja stosuję do odzysku "dmde.exe", ale robiłem to do pojedyńczych plików... a tutaj mam ok. 500GB w tysiącach plików... a darmowa wersja pozwala na odzysk tylko pojedyńczo... :(

Czy orientujesz sięw temacie innej app do hurtowego odzysku, nalepiej z zachowaniem struktury folderów?

 

 

Fixlog.txt

Addition.txt

FRST.txt

Odnośnik do komentarza
jessica

jessica

Opublikowano
Opublikowano

Nie ma w logach już niczego podejrzanego.

 

Na liście Twoich programów nie ma PC-Doktor, ani Symantec, więc usuniemy pozostałości:

Uruchom FRST. Na klawiaturze naciśnij jednocześnie CTRL+Y.
Otworzy się Notatnik - wklej do niego:

Spoiler

Task: {AC5C820D-7998-4620-B4BA-FDDD5A6152E5} - System32\Tasks\PCDEventLauncher => C:\Program Files\PC-Doctor\sessionchecker.exe [2011-03-31] (PC-Doctor, Inc.)
Task: {06A38C2B-76AF-4B5D-A5B4-1AAEBCBE855F} - System32\Tasks\PCDoctorBackgroundMonitorTask => C:\Program Files\PC-Doctor\uaclauncher.exe [2011-03-31] (PC-Doctor, Inc.)
RemoveDirectory: C:\Program Files\PC-Doctor
HKLM\...\RunOnce: [*WerKernelReporting] => C:\Windows\SYSTEM32\WerFault.exe [415232 2009-07-14] (Microsoft Corporation)
HKLM\...\RunOnce: [*EmptyTemp] => cmd /c rd /q/s C:\FRST\Temp
BHO-x32: Symantec VIP Access Add-On -> {C63CD127-A1CB-4D49-A4F7-D6F88A917BE6} -> C:\Program Files (x86)\Symantec\VIP Access Client\VIPAddOnForIE.dll [2011-04-13] (Symantec Corporation)
Toolbar: HKLM-x32 - Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Program Files (x86)\Google\Google Toolbar\GoogleToolbar_32.dll Brak pliku
S2 VIPAppService; C:\Program Files (x86)\Symantec\VIP Access Client\VIPAppService.exe [84088 2011-04-13] (Symantec Corporation)
C:\Users\m.szafarz\AppData\Local\wbem.ini
EmptyTemp:

Na klawiaturze naciśnij jednocześnie CTRL+S.

W FRST kliknij na Fix (NAPRAW).

 

jessi

 

 

 

Odnośnik do komentarza
jessica

jessica

Opublikowano
Opublikowano
Cytat

FF ExtraCheck: C:\Program Files\mozilla firefox\defaults\pref\kl_prefs_62fbb8f7_c917_4cf7_957a_aad2b8fa768c.js [2019-01-05] <==== UWAGA (Linkuje do pliku *.cfg)
FF ExtraCheck: C:\Program Files\mozilla firefox\kl_config_62fbb8f7_c917_4cf7_957a_aad2b8fa768c.cfg [2019-01-05] <==== UWAGA

to znowu jest!

 

Uruchom FRST. Na klawiaturze naciśnij jednocześnie CTRL+Y.
Otworzy się Notatnik - wklej do niego:

Spoiler

FF ExtraCheck: C:\Program Files\mozilla firefox\defaults\pref\kl_prefs_62fbb8f7_c917_4cf7_957a_aad2b8fa768c.js [2019-01-05] <==== UWAGA (Linkuje do pliku *.cfg)
FF ExtraCheck: C:\Program Files\mozilla firefox\kl_config_62fbb8f7_c917_4cf7_957a_aad2b8fa768c.cfg [2019-01-05] <==== UWAGA
EmptyTemp:

Na klawiaturze naciśnij jednocześnie CTRL+S.

W FRST kliknij na Fix (NAPRAW).

 

Używałeś już różnych skanerów, więc chyba nie ma potrzeba skanowania czymś jeszcze.

 

jessi

Odnośnik do komentarza
miszaa

miszaa

Opublikowano
  • Autor
Opublikowano

jessi

 

Nadal pojawiają się wpisy:

FF ExtraCheck: C:\Program Files\mozilla firefox\defaults\pref\kl_prefs_62fbb8f7_c917_4cf7_957a_aad2b8fa768c.js [2019-01-06] <==== UWAGA (Linkuje do pliku *.cfg)
FF ExtraCheck: C:\Program Files\mozilla firefox\kl_config_62fbb8f7_c917_4cf7_957a_aad2b8fa768c.cfg [2019-01-06] <==== UWAGA

 

Reinstalacja FF nic nie daje...

 

Co to są za wpisy? o czym świadczą?

 

Mam zainstalowany "IBM Security Trusteer Rapport", który monitoruje przeglądarki...

 

Mirek

Addition.txt

Fixlog.txt

FRST.txt

Odnośnik do komentarza
jessica

jessica

Opublikowano
Opublikowano
Cytat

"C:\Program Files\mozilla firefox\defaults\pref\kl_prefs_62fbb8f7_c917_4cf7_957a_aad2b8fa768c.js" => nie znaleziono
"C:\Program Files\mozilla firefox\kl_config_62fbb8f7_c917_4cf7_957a_aad2b8fa768c.cfg" => nie znaleziono

To nie infekcja powraca, tylko u Ciebie FRST nie działa prawidłowo, choć u wszystkich innych użytkowników na całym świecie działa prawidłowo.

Nie wiem, dlaczego tylko u Ciebie źle działa?

 

Użyj  > MBAM
Podczas instalacji usuń zaznaczenie z okienka przy "Uruchom okres testowy Malwarebytes Anti-Malware Premium".
Zaznacz wszystko co wykryje, kliknij na Usuń zaznaczone.

Odnośnik do komentarza
jessica

jessica

Opublikowano
Opublikowano

tak się zastanawiam, czy nie są to przypadkiem pliki Kasperskiego (kl na początku nazw plików)

 

FRST zbada te pliki na VIRUSTOTAL:

Uruchom FRST. Na klawiaturze naciśnij jednocześnie CTRL+Y.
Otworzy się Notatnik - wklej do niego:

Spoiler

VirusTotal: C:\Program Files\mozilla firefox\defaults\pref\kl_prefs_62fbb8f7_c917_4cf7_957a_aad2b8fa768c.js; C:\Program Files\mozilla firefox\kl_config_62fbb8f7_c917_4cf7_957a_aad2b8fa768c.cfg


Na klawiaturze naciśnij jednocześnie CTRL+S.

W FRST kliknij na Fix (NAPRAW).

Pokaż z tego "fixlog".

 

jessi

Odnośnik do komentarza

Jeśli chcesz dodać odpowiedź, zaloguj się lub zarejestruj nowe konto

Jedynie zarejestrowani użytkownicy mogą komentować zawartość tej strony.

Zarejestruj nowe konto

Załóż nowe konto. To bardzo proste!

Zarejestruj się

Zaloguj się

Posiadasz już konto? Zaloguj się poniżej.

Zaloguj się
Tematy

  • Ostatnio przeglądający   0 użytkowników

    • Brak zarejestrowanych użytkowników przeglądających tę stronę.
×
×
  • Dodaj nową pozycję...