Prośba o sprawdzenie logów.

[Debik17]

Witam. Prosił bym o sprawdzenie logów OTL, FRST itd. Interesują mnie dwa wpisy.

(Home iT) C:\Users\Public\SysData\sms.exe
(Home iT) C:\Users\Public\SysData\smsa.exe

[NieWiem]

Wrzuć je na VirusTotal albo coś.

[Debik17]

Witaj. Dzięki za odpowiedz. Wrzuciłem na Virustotal o to co wyszło..

https://www.virustotal.com/pl/file/96cdaf810d6a129e5b3ca4eca5d4b1b1426fa580213c7cd8ee62ba0cdd3de9dc/analysis/1398850804/

https://www.virustotal.com/pl/file/81f0fc84e47d1790ef74fb0d55e55078e78894b358beaf599dbd1405c6881d8e/analysis/1398850828/

[NieWiem]

Nie są to jakoś bardzo rozstrzygające rezultaty, to be honest...

W wykrycie MSIL nie wierzę, bo nie ma pozostałych objawów tej infekcji. Cóż, zapuścimy Combo i popatrzymy co pokaże.

Przeczytaj uważnie instrukcję uruchomienia programu ComboFix i zastosuj się do niej.
Załącz raport z działania programu.

[Debik17]

Witaj. Zamieszczam logi z Combofix..

[NieWiem]

Przepraszam za przerwę, weekend majowy mi wypadł z życiorysu kompletnie po drodze

Powiem tak - nie wyglądają mi te pliki na szkodliwe, choć nie potrafię ich jednoznacznie zidentyfikować.

Jeśli chcesz, możemy je usunać.

[Debik17]

Witaj. Ostatnio zauważyłem że te dwa wpisy widnieją w procesach i w Msconfig są automatycznie uruchamiane przy starcie systemu. Nie jestem pewien czy nie uwale systemu po wyłączeniu ich w Msconfig, chociaż wydaje mi się że nie są to wpisy systemowe. Jakim sposobem można je usunąć ?. Pozdrawiam

[NieWiem]

Nie są to na pewno wpisy systemowe, więc systemu nie urąbiesz usuwając je. Ale nie rób tego przez MsConfig, zrobimy to najwyżej inną metodą.

Mam jeszcze pomysł taki:

Otwórz notatnik i wklej do niego zawartość ramki:

Kod: Zaznacz wszystko

FileLook::
C:\Users\Public\SysData\sms.exe
C:\Users\Public\SysData\smsa.exe

DirLook::
C:\Users\Public\SysData



Plik zapisz jako CFScript.txt
Przeciągnij i upuść ten plik na ikonę ComboFixa - to uruchomi proces.
Przeklej wynikowy raport.

[Debik17]

Wygląda na to że jeden wpis się usunął z procesów dziwne to troche

[NieWiem]

Dziwne to jest to, co ja tutaj widzę

Rzuć okiem do tego katalogu:
c:\users\Public\SysData\3\KOMPUTER\04_05_2014
Widzę tam mnóstwo plików jpg. Przejrzyj kilka/kilkanaście z nich i powiedz mi co na nich jest.

[Debik17]

Wiesz że o tym nie wiedziałem Nie wiem co to jest jest kilka folderów od 30 kwietnia.. Podejrzewam że ale nie wiem czy to możliwe ktoś robi mi rzuty ekranowe lub cos. Nie mogę otworzyć tych jpg, a jest tam jeszcze kilka plików o rozszerzeniu enc. Co chwile pojawiają sie jakieś nowe pliki w tym folderze Pozdrawiam

[NieWiem]

Mam dokładnie te same podejrzenia. W związku z tym proponuję na siłę wyrwać rzeczony "towar" z systemu.

Otwórz notatnik i wklej do niego zawartość ramki:

Kod: Zaznacz wszystko

Folder::
C:\Users\Public\SysData


Plik zapisz jako CFScript.txt
Przeciągnij i upuść ten plik na ikonę ComboFixa - to uruchomi proces.
Przeklej wynikowy raport.

[Debik17]

No to sie nieźle porobiło okej spróbuje zrobić tak jak napisałes.

[NieWiem]

Czekam na raport

[Debik17]

Dzięki za zainteresowanie. Zamieszczam logi

[NieWiem]

Interesujące. Naprawdę.
To, co tu jest, jest zbyt idealne jak na jakieś oprogramowanie nielegalnie szpiegujące. Raczej jest to coś, co ktoś celowo złożył i założył na tej maszynie, ponieważ nie mogę się doszukać tutaj niczego patologicznie złego. Czy to jest komputer domowy? Biurowy?

Otwórz notatnik i wklej do niego zawartość ramki:

Kod: Zaznacz wszystko

DirLook::
c:\users\Gracjan\AppData\Local\EmieUserList
c:\users\Gracjan\AppData\Local\EmieSiteList
c:\users\Gracjan\AppData\Local\ms-drivers
c:\users\Gracjan\AppData\Roaming\MPC-HC
c:\users\Public\AppService



Plik zapisz jako CFScript.txt
Przeciągnij i upuść ten plik na ikonę ComboFixa - to uruchomi proces.
Przeklej wynikowy raport.

[Debik17]

W procesach już tego nie widać, więc chyba się udało to wywalić. Chyba ktoś specjalnie mi to zrobił heh . Nie wiem czy jeszcze czegoś dla pewności nie odpalic. Pozdrawiam

Dodano Dzisiaj, 00:56:
Podejrzewam kto mógł zrobić coś tak doskonałego heh . Laptop zwykle służy do celów domowych, przeglądanie internetu itp... Za dużo by tu pisać pewna osoba za dużo wiedziała w szybkim czasie co akurat porabiam na laptopie..

[NieWiem]

Jeszcze nie usunąłem wszystkiego! Potrzebuję tego raportu i jeszcze będę dalej działał. Widzę przynajmniej jeszcze jeden składnik tego "czegoś".

[Debik17]

Zamieszczam

[NieWiem]

Otwórz notatnik i wklej do niego zawartość ramki:

Kod: Zaznacz wszystko

Folder::
c:\users\Public\AppService



Plik zapisz jako CFScript.txt
Przeciągnij i upuść ten plik na ikonę ComboFixa - to uruchomi proces.
Przeklej wynikowy raport.