Bardzo proszę o sprawdzenie logów po infekcji

[distino 0]

Witam, infekcja po odpaleniu pobranego pliku exe. Przeskanowałem komputer Adwcleanerem, NOD32 i Malwarebytes i pousuwało mi troche plików i folderów, ale zwracam się z prośbą o sprawdzenie logów, żeby mieć pewność że nic nie zostało :

 

FRST: https://pastebin.com/1NXxBTwr

Shortcut: https://pastebin.com/ztSnSMeL

Addition: https://pastebin.com/WKqkV9D8

[filutka78 11]

Infekcja jest dalej widoczna

Uruchom FRST. Na klawiaturze naciśnij jednocześnie CTRL+Y.Otworzy się Notatnik - wklej do niego:

2021-09-04 04:48 - 2021-09-04 04:48 - 003062560 _____ (Realtek Semiconductor Corp.) C:\Users\Sebastian 2\AppData\Roaming\1696297.exe

2021-09-04 04:48 - 2021-09-04 04:48 - 000282112 _____ (hdgrfdgregre) C:\Users\Sebastian 2\AppData\Roaming\4792837.exe
2021-09-04 04:48 - 2021-09-04 04:48 - 000166912 _____ (sdvsdsdvds) C:\Users\Sebastian 2\AppData\Roaming\6052910.exe
2021-09-04 04:48 - 2021-09-04 04:48 - 000282112 _____ (hdgrfdgregre) C:\Users\Sebastian 2\AppData\Roaming\6784667.exe
RemoveDirectory: C:\ProgramData\KSVJ4L5U1DBU3TY4J9QZ3HTLA
S3 GVCIDrv; \??\C:\Program Files (x86)\GIGABYTE\RGBFusion\GVCIDrv64.sys [X]
S2 iocbios2; \??\C:\Program Files (x86)\Intel\Intel(R) Extreme Tuning Utility\Drivers\IocDriver\64bit\iocbios2.sys [X]
S4 RAMDiskVE; System32\Drivers\RAMDiskVE.sys [X]
S3 VGPU; System32\drivers\rdvgkmd.sys [X]
S3 WinRing0_1_2_0; \??\C:\Program Files (x86)\GIGABYTE\RGBFusion\MODAPI.sys [X]
S3 xhunter1; \??\C:\Windows\xhunter1.sys [X]
Task: {181ED6B7-6DBE-4EF9-AD61-5FD4DEFD7BDD} - System32\Tasks\{D1DA9553-5AA9-4A5A-9267-88B6A14F2CE5} => C:\Windows\system32\pcalua.exe -a "H:\Users\Sebastian\Downloads\dotNetFx35setup (1).exe" -d H:\Users\Sebastian\Downloads
Task: {D66374E9-1347-4474-BD9D-A13C995B9886} - System32\Tasks\{2676CEC3-7C92-4DFE-9A0C-E2A05C50C351} => C:\Windows\system32\pcalua.exe -a "C:\Users\Sebastian 2\Downloads\DDU v18.0.2.1\Display Driver Uninstaller.exe" -d "C:\Users\Sebastian 2\Downloads\DDU v18.0.2.1"
GroupPolicy: Ograniczenia ? <==== UWAGA
Policies: C:\ProgramData\NTUSER.pol: Ograniczenia <==== UWAGA
FirewallRules: [{368B294D-A676-42C2-A683-AF180D1526B7}] => (Allow) C:\Steam\steamapps\common\Mordhau\Mordhau.exe => Brak pliku
FirewallRules: [{F75D3DC0-D4FA-42DF-B808-D52D05A47A69}] => (Allow) C:\Steam\steamapps\common\Mordhau\Mordhau.exe => Brak pliku
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MBAMService => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\PAexec => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\PNP_TDI => ""="Driver Group"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Schedule => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\MBAMService => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\PAexec => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Schedule => ""="Service"
HOSTS:
Powershell: wevtutil el | Foreach-Object {wevtutil cl "$_"}
EmptyTemp:

Na klawiaturze naciśnij jednocześnie CTRL+S. W FRST kliknij na Fix (NAPRAW).

 

==========

Error: (09/04/2021 04:50:53 AM) (Source:

WinMgmt) (EventID: 10) (User: )
Description: Event filter with query "SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA "Win32_Processor" AND TargetInstance.LoadPercentage > 99" could not be reactivated in namespace "//./root/CIMV2" because of error 0x80041003. Events cannot be delivered through this filter until the problem is corrected.

Ściągnij MicrosoftFixit50688.msi stąd > http://www.mediafire.com/download/6hwcm6b77098cbb/MicrosoftFixit50688.msi
i go uruchom jako Administator.

 

F.

 

Edytowane 4 Września 2021 przez filutka78

[distino 0]

Bardzo dziękuje za pomoc, wrzucam FixLoga i nowe logi zrobione już po restarcie. 

 

FixLog: https://pastebin.com/vDmZB9u5

 

FRST: https://pastebin.com/4x5gwy7n

Addition: https://pastebin.com/pgUEz1bE

Shortcut: https://pastebin.com/Gs7YQd7m

 

 

[filutka78 11]

Uruchom FRST. Na klawiaturze naciśnij jednocześnie CTRL+Y.Otworzy się Notatnik - wklej do niego:

Cytat

2021-09-04 04:48 - 2021-09-04 04:48 - 001564823 _____ C:\ProgramData\5360

2021-09-04 04:48 - 2021-09-04 04:48 - 001564823 _____ C:\ProgramData\4852
RemoveDirectory: C:\Users\Sebastian 2\AppData\Roaming\WinHost
EmptyTemp:

Na klawiaturze naciśnij jednocześnie CTRL+S. W FRST kliknij na Fix (NAPRAW).

 

F.

Edytowane 4 Września 2021 przez filutka78

[distino 0]

Logi na innej stronie, ponieważ na pastebin wykorzystałem limit 10 linków na 24 godziny bez konta. Konto założyłem, ale e-mail do potwierdzenia konta na razie nie przychodzi. 

FixLog: http://www.wklejto.pl/912673

 

FRST: http://www.wklejto.pl/912675

Shortcut: http://www.wklejto.pl/912676

Addition: http://www.wklejto.pl/912677

[filutka78 11]

W tych logach nie widzę już infekcji.

 

F.

[distino 0]

W takim razie raz jeszcze bardzo dziękuje za pomoc.

Edytowane 4 Września 2021 przez distino