Prośba o sprawdzenie logów.

przez **Debik17** 30 Kwi 2014, 13:22

Witam. Prosił bym o sprawdzenie logów OTL, FRST itd. Interesują mnie dwa wpisy.

(Home iT) C:\Users\Public\SysData\sms.exe
(Home iT) C:\Users\Public\SysData\smsa.exe

**Posty:** 2183 · przez **NieWiem** 30 Kwi 2014, 19:15

Wrzuć je na VirusTotal albo coś.

przez **Debik17** 30 Kwi 2014, 23:23

Witaj. Dzięki za odpowiedz. Wrzuciłem na Virustotal o to co wyszło..

https://www.virustotal.com/pl/file/96cdaf810d6a129e5b3ca4eca5d4b1b1426fa580213c7cd8ee62ba0cdd3de9dc/analysis/1398850804/

https://www.virustotal.com/pl/file/81f0fc84e47d1790ef74fb0d55e55078e78894b358beaf599dbd1405c6881d8e/analysis/1398850828/

**Posty:** 2183 · przez **NieWiem** 01 Maj 2014, 00:55

Nie są to jakoś bardzo rozstrzygające rezultaty, to be honest...

W wykrycie MSIL nie wierzę, bo nie ma pozostałych objawów tej infekcji. Cóż, zapuścimy Combo i popatrzymy co pokaże.

Przeczytaj uważnie instrukcję uruchomienia programu ComboFix i zastosuj się do niej.
Załącz raport z działania programu.

przez **Debik17** 01 Maj 2014, 01:49

Witaj. Zamieszczam logi z Combofix..

**Posty:** 2183 · przez **NieWiem** 05 Maj 2014, 09:48

Przepraszam za przerwę, weekend majowy mi wypadł z życiorysu kompletnie po drodze

Powiem tak - nie wyglądają mi te pliki na szkodliwe, choć nie potrafię ich jednoznacznie zidentyfikować.

Jeśli chcesz, możemy je usunać.

przez **Debik17** 05 Maj 2014, 16:07

Witaj. Ostatnio zauważyłem że te dwa wpisy widnieją w procesach i w Msconfig są automatycznie uruchamiane przy starcie systemu. Nie jestem pewien czy nie uwale systemu po wyłączeniu ich w Msconfig, chociaż wydaje mi się że nie są to wpisy systemowe. Jakim sposobem można je usunąć ?. Pozdrawiam

**Posty:** 2183 · przez **NieWiem** 05 Maj 2014, 16:23

Nie są to na pewno wpisy systemowe, więc systemu nie urąbiesz usuwając je. Ale nie rób tego przez MsConfig, zrobimy to najwyżej inną metodą.

Mam jeszcze pomysł taki:

Otwórz notatnik i wklej do niego zawartość ramki:

Kod: Zaznacz wszystko: FileLook:: C:\Users\Public\SysData\sms.exe C:\Users\Public\SysData\smsa.exe DirLook:: C:\Users\Public\SysData

Plik zapisz jako CFScript.txt
Przeciągnij i upuść ten plik na ikonę ComboFixa - to uruchomi proces.
Przeklej wynikowy raport.

przez **Debik17** 05 Maj 2014, 18:09

Wygląda na to że jeden wpis się usunął z procesów dziwne to troche

**Posty:** 2183 · przez **NieWiem** 05 Maj 2014, 21:56

Dziwne to jest to, co ja tutaj widzę :roll:

Rzuć okiem do tego katalogu:
c:\users\Public\SysData\3\KOMPUTER\04_05_2014
Widzę tam mnóstwo plików jpg. Przejrzyj kilka/kilkanaście z nich i powiedz mi co na nich jest.

przez **Debik17** 05 Maj 2014, 23:15

Wiesz że o tym nie wiedziałem :1:

Nie wiem co to jest jest kilka folderów od 30 kwietnia.. Podejrzewam że ale nie wiem czy to możliwe ktoś robi mi rzuty ekranowe lub cos. Nie mogę otworzyć tych jpg, a jest tam jeszcze kilka plików o rozszerzeniu enc. Co chwile pojawiają sie jakieś nowe pliki w tym folderze

Pozdrawiam

**Posty:** 2183 · przez **NieWiem** 05 Maj 2014, 23:17

Mam dokładnie te same podejrzenia. W związku z tym proponuję na siłę wyrwać rzeczony "towar" z systemu.

Otwórz notatnik i wklej do niego zawartość ramki:

Kod: Zaznacz wszystko: Folder:: C:\Users\Public\SysData

Plik zapisz jako CFScript.txt
Przeciągnij i upuść ten plik na ikonę ComboFixa - to uruchomi proces.
Przeklej wynikowy raport.

przez **Debik17** 05 Maj 2014, 23:33

No to sie nieźle porobiło

okej spróbuje zrobić tak jak napisałes.

**Posty:** 2183 · przez **NieWiem** 05 Maj 2014, 23:38

Czekam na raport

przez **Debik17** 06 Maj 2014, 00:15

Dzięki za zainteresowanie. Zamieszczam logi

**Posty:** 2183 · przez **NieWiem** 06 Maj 2014, 00:48

Interesujące. Naprawdę.
To, co tu jest, jest zbyt idealne jak na jakieś oprogramowanie nielegalnie szpiegujące. Raczej jest to coś, co ktoś celowo złożył i założył na tej maszynie, ponieważ nie mogę się doszukać tutaj niczego patologicznie złego. Czy to jest komputer domowy? Biurowy?

Otwórz notatnik i wklej do niego zawartość ramki:

Kod: Zaznacz wszystko: DirLook:: c:\users\Gracjan\AppData\Local\EmieUserList c:\users\Gracjan\AppData\Local\EmieSiteList c:\users\Gracjan\AppData\Local\ms-drivers c:\users\Gracjan\AppData\Roaming\MPC-HC c:\users\Public\AppService

Plik zapisz jako CFScript.txt
Przeciągnij i upuść ten plik na ikonę ComboFixa - to uruchomi proces.
Przeklej wynikowy raport.

przez **Debik17** 06 Maj 2014, 00:50

W procesach już tego nie widać, więc chyba się udało to wywalić. Chyba ktoś specjalnie mi to zrobił heh

. Nie wiem czy jeszcze czegoś dla pewności nie odpalic. Pozdrawiam

Dodano Dzisiaj, 00:56:
Podejrzewam kto mógł zrobić coś tak doskonałego heh

. Laptop zwykle służy do celów domowych, przeglądanie internetu itp... Za dużo by tu pisać pewna osoba za dużo wiedziała w szybkim czasie co akurat porabiam na laptopie..

**Posty:** 2183 · przez **NieWiem** 06 Maj 2014, 01:06

Jeszcze nie usunąłem wszystkiego! Potrzebuję tego raportu i jeszcze będę dalej działał. Widzę przynajmniej jeszcze jeden składnik tego "czegoś".

przez **Debik17** 06 Maj 2014, 01:50

Zamieszczam

**Posty:** 2183 · przez **NieWiem** 06 Maj 2014, 16:32

Otwórz notatnik i wklej do niego zawartość ramki:

Kod: Zaznacz wszystko: Folder:: c:\users\Public\AppService

Plik zapisz jako CFScript.txt
Przeciągnij i upuść ten plik na ikonę ComboFixa - to uruchomi proces.
Przeklej wynikowy raport.

Kto jest na forum