Trojan w svchost.exe

[Czysta z sokiem pomidorowy 1]

Hejka, coś mnie naszło aby przeskanować malwarebytsem komputer, i wyskakuje mi co chwile że zablokowano stronę. Screen wysyłam w załączniku.

 

Edytowane 25 Września 2021 przez ThaZu

[Czysta z sokiem pomidorowy 1]

Co mam z tym zrobić? Bo Malwarebytes tylko i wyłącznie blokuje to, i to co chwile praktycznie. Ciekawe od jak dawno to już się dzieje... Bo windows siedzi cicho cały czas

I jakie szkody mogło ty wyrządzić? 

[AndrzejTrg 5752]

Najpierw zrób logi jak człowiek i je wklej, a później czekaj cierpliwie.

[Czysta z sokiem pomidorowy 1]

chciałem wrzucić logi na wklej.to a tu takie coś mi wyskoczyło :d Więcej plików tutaj wrzucić nie mogę

FRST.txt

Edytowane 24 Września 2021 przez ThaZu

[Czysta z sokiem pomidorowy 1]

i jeszcze jeden plik 

Shortcut.txt

Udało się skompletować logi

[AndrzejTrg 5752]

No to teraz czekaj na kogoś życzliwego, aż Ci pomoże. Ale za avatara dodaje do ignorów.

[Czysta z sokiem pomidorowy 1]

Nie skomentuje tego ostatniego zdania... 

[Czysta z sokiem pomidorowy 1]

Dodam do tematu, że skanowałem już adwcleanerem, malwarebyte'sem, esetem, dr. web cureit oraz tdsskillerem. Jakieś drobnostki 2 pierwsze znalazły a teraz cisza. Tylko i wyłącznie malwarebytes blokuje te IP. 

Zainstalowałem przed chwilą na 2 komputerze (laptopie) Malwarebytes, i również blokuje wyżej wymieniony adres IP.

Edytowane 24 Września 2021 przez ThaZu

[Gość]

Zaraz przejrze logi...

Uruchom FRST a następnie (poprzez skrót klawiszowy CTRL + Y) otwórz notatnik systemowy. Wklej w nim poniższą zawartość:

Cytat

CloseProcesses:
CustomCLSID: HKU\S-1-5-21-1205832287-3246842020-842888677-1001_Classes\CLSID\{CB965DF1-B8EA-49C7-BDAD-5457FDC1BF92}\InprocServer32 -> C:\Users\Krystian\AppData\Local\Microsoft\TeamsMeetingAddin\1.0.20244.4\x64\Microsoft.Teams.AddinLoader.dll => Brak pliku
ShellIconOverlayIdentifiers: [ MEGA (Pending)] -> {056D528D-CE28-4194-9BA3-BA2E9197FF8C} => C:\Users\Krystian\AppData\Local\MEGAsync\ShellExtX64.dll -> Brak pliku
ShellIconOverlayIdentifiers: [ MEGA (Synced)] -> {05B38830-F4E9-4329-978B-1DD28605D202} => C:\Users\Krystian\AppData\Local\MEGAsync\ShellExtX64.dll -> Brak pliku
ShellIconOverlayIdentifiers: [ MEGA (Syncing)] -> {0596C850-7BDD-4C9D-AFDF-873BE6890637} => C:\Users\Krystian\AppData\Local\MEGAsync\ShellExtX64.dll -> Brak pliku
ContextMenuHandlers1: [MEGA (Context menu)] -> {0229E5E7-09E9-45CF-9228-0228EC7D5F17} => C:\Users\Krystian\AppData\Local\MEGAsync\ShellExtX64.dll -> Brak pliku
ContextMenuHandlers2: [MEGA (Context menu)] -> {0229E5E7-09E9-45CF-9228-0228EC7D5F17} => C:\Users\Krystian\AppData\Local\MEGAsync\ShellExtX64.dll -> Brak pliku
ContextMenuHandlers3: [MEGA (Context menu)] -> {0229E5E7-09E9-45CF-9228-0228EC7D5F17} => C:\Users\Krystian\AppData\Local\MEGAsync\ShellExtX64.dll -> Brak pliku
ContextMenuHandlers4: [MEGA (Context menu)] -> {0229E5E7-09E9-45CF-9228-0228EC7D5F17} => C:\Users\Krystian\AppData\Local\MEGAsync\ShellExtX64.dll -> Brak pliku
ShortcutWithArgument: C:\Users\Krystian\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\33851482c281a455\Watch2Gether.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome_proxy.exe (Google LLC) -> --profile-directory=Default --app-id=cimpffimgeipdhnhjohpbehjkcdpjolg
AlternateDataStreams: C:\ProgramData:NT [40]
AlternateDataStreams: C:\ProgramData:NT2 [658]
AlternateDataStreams: C:\Users\All Users:NT [40]
AlternateDataStreams: C:\Users\All Users:NT2 [658]
AlternateDataStreams: C:\ProgramData\Application Data:NT [40]
AlternateDataStreams: C:\ProgramData\Application Data:NT2 [658]
AlternateDataStreams: C:\ProgramData\MTA San Andreas All:NT [40]
AlternateDataStreams: C:\ProgramData\MTA San Andreas All:NT2 [658]
AlternateDataStreams: C:\Users\Krystian\Application Data:00e481b5e22dbe1f649fcddd505d3eb7 [394]
AlternateDataStreams: C:\Users\Krystian\Application Data:6699d3ee8dd9cf775caae782c8f44f03 [394]
AlternateDataStreams: C:\Users\Krystian\Application Data:b2471a6db8deb9681d22d6d26ae65e4b [394]
AlternateDataStreams: C:\Users\Krystian\Application Data:NT [40]
AlternateDataStreams: C:\Users\Krystian\Application Data:NT2 [658]
AlternateDataStreams: C:\Users\Krystian\AppData\Roaming:00e481b5e22dbe1f649fcddd505d3eb7 [394]
AlternateDataStreams: C:\Users\Krystian\AppData\Roaming:6699d3ee8dd9cf775caae782c8f44f03 [394]
AlternateDataStreams: C:\Users\Krystian\AppData\Roaming:b2471a6db8deb9681d22d6d26ae65e4b [394]
AlternateDataStreams: C:\Users\Krystian\AppData\Roaming:NT [40]
AlternateDataStreams: C:\Users\Krystian\AppData\Roaming:NT2 [658]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [488]
HKLM-x32\...\Run: [] => [X]
AppInit_DLLs: prio.dll => Brak pliku
AppInit_DLLs-x32: prio32.dll => Brak pliku
Startup: C:\Users\Krystian\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\IMVU.lnk [2020-05-23]
ShortcutTarget: IMVU.lnk -> C:\Users\Krystian\AppData\Roaming\IMVUClient\IMVUQualityAgent.exe (Brak pliku)
S3 VBAudioVACMME; \SystemRoot\System32\drivers\vbaudio_cable64_win7.sys [X]
S3 VBAudioVMAUXVAIOMME; \SystemRoot\System32\drivers\vbaudio_vmauxvaio64_win10.sys [X]
S3 VBAudioVMVAIOMME; \SystemRoot\System32\drivers\vbaudio_vmvaio64_win10.sys [X]
EmptyTemp:

Poprzez skrót klawiszowy CTRL + S (albo przez Plik -> Zapisz) zapisz zmiany w notatniku a następnie w FRST kliknij na Napraw. Na zakończenie naprawy FRST poprosi o restart systemu.

I tak jak pisał przedmówca, w ustawieniach sieciowych jest ustawiony szkodliwy (mołdawski) serwer DNS tzn. 45.142.212.33. Wejdź w ustawienia karty sieciowej i zmień ten adres na 8.8.4.4 skoro drugi jest 8.8.8.8 (Google Public DNS).

Edytowane 24 Września 2021 przez Gość

[Czysta z sokiem pomidorowy 1]

Ok zrobiłem to co napisałeś, logi zamieszczam niżej. Rzeczywiście w routerze siedział ten DNS, również go zmieniłem chyba pomogło. Wielkie dzięki za pomoc, jesteś wielki! Jeszcze takie małe pytanko, w czym to mogło mi zagrozić? Bo chyba od dłuższego czasu tak siedziało...

 

Edytowane 25 Września 2021 przez ThaZu

[Gość]

11 godzin temu, ThaZu napisał:

Jeszcze takie małe pytanko, w czym to mogło mi zagrozić? Bo chyba od dłuższego czasu tak siedziało...

Szkodliwy DNS  na routerze uniemożliwia normalne korzystanie z sieci (na wszystkich urządzeniach korzystających z tego routera) poprzez blokowanie połączeń wychodzących z tego adresu (jak widać na przykładzie malwarebytes). Więc nie jest to typowa infekcja ingerująca w system, tzn. taka która powoduje nadmierne użycie zasobów komputera, czy w skrajnym przypadku niemożność korzystania z systemu. Czyli to jest taka "infekcja routera" a nie systemowa. Poza tym nieprawidłowym DNS-em w routerze nie było nic szkodliwego w logach, w sensie infekcji.

Edytowane 25 Września 2021 przez Gość

[Czysta z sokiem pomidorowy 1]

Oki, dzięki za pomoc chłopaki!