Prosze o sprawdzenie loga

[bracik1977]

Czekam jeszcze na raport z DDS . Czy anulowac.

[NieWiem]

Wklej, ale i tak potem wykonaj raport z FRST ze środowiska zewnętrznego, bo coś mi się wydaje, że to tak łatwo nie pójdzie.

[bracik1977]

To sa logi z DDS.

[NieWiem]

Dobra. Z tego co widzę, to infekcja ta i tak zmienia swoje parametry po każdym restarcie, więc musimy się jej pozbyć z zewnątrz. Czekam na raport z FRST ze środowiska zewnętrznego.

[bracik1977]

Teraz sie domyslam dlaczego mam takie problemy . Dwa albo trzy dni temu otwarlem wiadomosc ktora dostalem na poczte. Zawartosc przeczytalem i rachunek byl w PDF. I chyba to jest przyczyna tego problemu.
Z tym co mi podales zajmne sie jutro. Na dzisiaj starczy.

[NieWiem]

Dokładnie tak - problemy się zaczęły dwa dni temu, 5 maja.
To nie był PDF, tylko exploit wprowadzający trojana do systemu.

Mam w sumie jeszcze jeden pomysł... O ile masz jeszcze chwilę czasu. Jak nie, to możemy zostawić sprawę do jutra

[bracik1977]

To pisz oco chodzi.

[NieWiem]

DDS w przeciwieństwie do pozostałych powstał kompletny. Mogę spróbować usunąć to co widzę, tak myślę.

Próbujemy?

[bracik1977]

Probujemy. Bo ta metoda co mi podales wczesniej nie wiem czy podolam zadaniowi. Nie robilem takich zeczy jeszcze.I sie boje ze cos spiernicze, a z moim szczesciem to pewne.

[NieWiem]

Przeczytaj uważnie instrukcję uruchomienia programu ComboFix.
Pobierz go, ale nie uruchamiaj. Zapisz na pulpicie.

Otwórz notatnik i wklej do niego zawartość ramki:

Kod: Zaznacz wszystko

KillAll::

DDS::
uRun: [samomomx] C:\Users\ADA\AppData\Roaming\Wipclhqbvc\xrjbikmomx.exe
uRunOnce: [f83r] C:\ProgramData\nreu\kcfg.exe
uRunOnce: [1afh] C:\ProgramData\hcbrhuw\doomi.exe
uRunOnce: [qa52] C:\ProgramData\ofk\hreidmx.exe
uRunOnce: [gskd] C:\ProgramData\fruxhv\cvlisuh.exe
uRunOnce: [idby] C:\ProgramData\afqcuvs\flalpo.exe
dRunOnce: [qa52] C:\ProgramData\ofk\hreidmx.exe
dRunOnce: [1afh] C:\ProgramData\hcbrhuw\doomi.exe
dRunOnce: [f83r] C:\ProgramData\nreu\kcfg.exe


File::
C:\Users\ADA\AppData\Local\Temp\nsm567A.tmp\PEV.DAT
C:\Users\ADA\AppData\Local\Temp\PEVZ.EXE

Folder::
C:\Users\ADA\AppData\Local\Temp\nsm567A.tmp
C:\ProgramData\icrf
C:\Users\ADA\AppData\Roaming\Wipclhqbvc
C:\ProgramData\nreu
C:\ProgramData\hcbrhuw
C:\ProgramData\ofk
C:\ProgramData\fruxhv
C:\ProgramData\afqcuvs
C:\ProgramData\esrmqrp
C:\ProgramData\tatc
C:\ProgramData\xptnsdg
C:\ProgramData\afqcuvs
C:\ProgramData\pkcx
C:\ProgramData\almagsi
C:\Program Files (x86)\SupraSavings
C:\Program Files\suprasavings
C:\ProgramData\IePluginService
C:\Program Files (x86)\SupTab
C:\ProgramData\WPM
C:\ProgramData\bmwpr
C:\ProgramData\cotbpks
C:\ProgramData\rqlf
C:\ProgramData\iug
C:\ProgramData\xtl
C:\ProgramData\bxjkxy
C:\ProgramData\nreu
C:\ProgramData\dcrloep
C:\ProgramData\tpfei
C:\ProgramData\tbm
C:\ProgramData\lcaun

DirLook::
C:\Users\ADA\AppData\Roaming\systweak

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"="explorer.exe"

Reboot::


Plik zapisz jako CFScript.txt
Przeciągnij i upuść ten plik na ikonę ComboFixa - to uruchomi proces.
Przeklej wynikowy raport.

Infekcją ta zmienia parametry po restarcie, więc jeśli przed zaaplikowaniem skryptu zrobiłeś reset, skrypt na nic. Wtedy daj znać.

[bracik1977]

Robilem tak jak napisales jw w poscie. Ale jest kolejny problem jak przeciagam scrypt na ikone Combofixa zaczyna sie uruchamiac. Proces leci ale za pare sekund mam taki komunikat ze PEV.3XE i iexplore.exe nie funkcjonuja. I nie moge wykonc scana.
A mam takie pytanie czy by bie bylo latwiej przywrocic fabryczne ustawienia komputera. Czy by to rozwiazalo moj problem?

[NieWiem]

Przywrócenie fabrycznych ustawień = prawie jak format. Jeśli chcesz to możesz, ale ja ciągle uważam, że możemy sprawę rozwiązać bez tego.

Wybieraj.

[bracik1977]

Tylko sie tak zapytalem. A co twierdzisz o tym problemie z Combofixem. To znaczy zostala mi opcja co wczoraj mi podales.

[NieWiem]

Wygląda mi na to, że niektóre składniki CF są po prostu atakowane przez trojana. Na szczęście ComboFix nie jest jedynym narzędziem, jakie mam w arsenale na takie okazje, więc myślę, że spokojnie możemy sobie też poradzić bez niego.
Problemem jest chyba zmienność infekcji, to znaczy wszystko musi być wykonane podczas jednego kroku. Czytaj - napisz mi kiedy będziesz, o której godzinie i spróbujemy dogadać jakiś taki termin, żeby godzinę posiedzieć przed komputerem i zasadniczą część infekcji usunąć.

[bracik1977]

Witam.
Co do tego terminu pasuje mi w sobote, a godzina to podaj to dostosuje sie od 9.00 jestem dostepny.

[NieWiem]

Wygeneruj i wklej nowy raport z DDS, a potem jak się zjawisz to będziemy do oporu kombinować

[bracik1977]

Nie moge wykonac raportu z DDS bo znowu podczas uruchomienia programu mam takie komunikaty jak PEV.DAT nie funkcjonuje.

[NieWiem]

Nosz...
Dobrze, będziemy gryźć to badziewie ile trzeba.

Pobierz OTS i zapisz na pulpicie.
Uruchom z prawokliku jako administrator.
Zaznacz u góry opcję Scan All Users.
Nic nie zmieniaj w konfiguracji, tylko w oknie po prawej na dole kliknij Extras.

Wciśnij Run Scan i poczekaj. Powatanie raport. Tego raportu nie załączaj, ale wklej go w poście.

[bracik1977]

Wyslalem raport ze scanowania do Ciebie ale nie mam pewnosci czy doszlo. Bo mi tu wszystko tak zamula i szfankuje.

[NieWiem]

ale gdzie go wysłałeś? miałeś mi go w poście wkleić!!