Regulamin forum
1. Każdy temat powinien odzwierciedlać treść wątku.2. W przypadku wklejania logów; należy je wykonać od razu przynajmniej z dwóch narzędzi: FRST oraz z GMER
3. Wszelkie logi proszę publikować na przeznaczonych do tego stronach a w poście wklejać tylko link.
4. Nie wskazane jest skracanie logów, należy wkleić cały - od początku, do końca.
5. Nie wskazane jest podczepianie się do tematów innych użytkowników - proszę założyć nowy temat w dziale Bezpieczeństwo, ułatwi to pomoc sprawdzającemu.
6. Osoby nie posiadające odpowiedniej wiedzy, nie powinny sprawdzać logów, ponieważ grozi to poważnym uszkodzeniem systemu lub aplikacji zainstalowanych na komputerze.
7. Należy dokładnie opisać problem, występujące objawy oraz wszelkie podjęte działania.
8. Każdy skrypt jest unikatowy, napisany dla każdego przypadku z osobna, więc nie może być stosowany przez innych.
9. W przypadku zamieszczenia zrzutu ekranu (screenshot'a) proszę korzystać z zewnętrznego serwisu oferującego hosting zdjęć.
Podejrzewany keylogger bądź coś innego
24 Maj 2013, 00:26
Witam,
Nie wiem jakim cudem się to stało, bo już od około 10 lat używam komputera i nic takiego nie miało miejsca. A mianowicie ktoś włamał się na moje konto Allegro, co zostało już potwierdzone przez Administrację portalu. Wystawiono w moim imieniu telefon na sprzedaż, dowiedziałem się o tym dzisiaj, bo na GG przyszła wiadomość o zalicytowaniu przez kupującego. Na mailu nie pojawiła się wiadomość o wystawieniu przedmiotu, więc ten ktoś miał też dane do skrzynki pocztowej.
Proszę o pomoc, załączam logi z OTL i GMER'a.
OTL: http://wklej.eu/index.php?id=bd14fca8cf
Extras: http://wklej.eu/index.php?id=edebbff0f6
GMER: http://wklej.eu/index.php?id=47babfb65d
Z góry serdeczne dzięki.
Nie wiem jakim cudem się to stało, bo już od około 10 lat używam komputera i nic takiego nie miało miejsca. A mianowicie ktoś włamał się na moje konto Allegro, co zostało już potwierdzone przez Administrację portalu. Wystawiono w moim imieniu telefon na sprzedaż, dowiedziałem się o tym dzisiaj, bo na GG przyszła wiadomość o zalicytowaniu przez kupującego. Na mailu nie pojawiła się wiadomość o wystawieniu przedmiotu, więc ten ktoś miał też dane do skrzynki pocztowej.
Proszę o pomoc, załączam logi z OTL i GMER'a.
OTL: http://wklej.eu/index.php?id=bd14fca8cf
Extras: http://wklej.eu/index.php?id=edebbff0f6
GMER: http://wklej.eu/index.php?id=47babfb65d
Z góry serdeczne dzięki.
Re: Podejrzewany keylogger bądź coś innego
25 Maj 2013, 20:30
W logach infekcji nie widać, kosmetyka.
Odinstaluj: Claro LTD toolbar, Akamai NetSession Interface. Następnie:
Uruchom OTL
w oknie Własne opcje skanowania/skrypt wklej:
Klikasz Wykonaj skrypt. Podajesz log z usuwania + nowe logi z OTL.
Odinstaluj: Claro LTD toolbar, Akamai NetSession Interface. Następnie:
Uruchom OTL
w oknie Własne opcje skanowania/skrypt wklej::OTL
[2012-12-24 14:03:49 | 000,002,432 | ---- | C] () -- C:\Users\Martin\AppData\Local\TempLm4168.html
[2012-12-24 14:03:49 | 000,002,089 | ---- | C] () -- C:\Users\Martin\AppData\Local\TempQU4168.html
O8:64bit: - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\Windows\system32\GPhotos.scr/200 File not found
O4 - HKU\S-1-5-21-1138582954-4036857483-3078598250-1003..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe File not found
O4 - HKU\S-1-5-21-1138582954-4036857483-3078598250-1000..\Run: [Overwolf] C:\Program Files (x86)\Overwolf\Overwolf.exe -silent File not found
O4 - HKU\S-1-5-21-1138582954-4036857483-3078598250-1000..\Run: [AdobeBridge] File not found
O4:64bit: - HKLM..\Run: [SysTrayApp] C:\Program Files\IDT\WDM\sttray64.exe File not found
[2012-11-04 17:17:50 | 000,006,520 | ---- | M] () -- C:\Program Files (x86)\mozilla firefox\searchplugins\babylon.xml
FF - HKEY_LOCAL_MACHINE\software\mozilla\Thunderbird\Extensions\\[email protected]: C:\Program Files\ESET\ESET Smart Security\Mozilla Thunderbird
FF - prefs.js..keyword.URL: "http://www.claro-search.com/?affID=116198&tt=4412_5&babsrc=KW_ss&mntrId=6002dff1000000000000c01885b7acab&q="
FF - prefs.js..browser.startup.homepage: "http://www.claro-search.com/?affID=116198&tt=4412_5&babsrc=HP_ss&mntrId=6002dff1000000000000c01885b7acab"
FF - prefs.js..browser.search.defaultenginename: "Claro Search"
FF - prefs.js..browser.search.order.1: "Claro Search"
IE - HKU\S-1-5-21-1138582954-4036857483-3078598250-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = localhost:21320
IE - HKU\S-1-5-21-1138582954-4036857483-3078598250-1000\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = http://www.claro-search.com/?q={searchTerms}&affID=116198&tt=4412_5&babsrc=SP_ss&mntrId=6002dff1000000000000c01885b7acab
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Secondary Start Pages = Reg Error: Value error.
:Reg
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"AdobeCS6ServiceManager"=-
"SwitchBoard"=-
"USB3MON"=-
:Commands
[clearallrestorepoints]
[emptytemp]
Klikasz Wykonaj skrypt. Podajesz log z usuwania + nowe logi z OTL.
Re: Podejrzewany keylogger bądź coś innego
26 Maj 2013, 23:09
Re: Podejrzewany keylogger bądź coś innego
28 Maj 2013, 22:20
Wklej w OTL:
Klikasz Wykonaj skrypt, następnie Sprzątanie
Przeczyść dysk oraz rejestr CCleaner
Wykonaj pełne skanowanie Malwarebytes' Anti-Malware - jeśli coś znajdzie usuń i daj raport (po uruchomieniu odrzuć okres testowy)
:OTL
O4 - HKCU..\Run: [Akamai NetSession Interface] "C:\Users\Martin\AppData\Local\Akamai\netsession_win.exe" File not found
Klikasz Wykonaj skrypt, następnie Sprzątanie
Przeczyść dysk oraz rejestr CCleaner
Wykonaj pełne skanowanie Malwarebytes' Anti-Malware - jeśli coś znajdzie usuń i daj raport (po uruchomieniu odrzuć okres testowy)
Re: Podejrzewany keylogger bądź coś innego
29 Maj 2013, 12:27
Skrypt wykonany, przeczyszczone CCleanerem, podaję log ze skanu i usuwania.
Malwarebytes:
http://www.wklej.eu/index.php?id=f3c17a0c5e
Malwarebytes:
http://www.wklej.eu/index.php?id=f3c17a0c5e
Re: Podejrzewany keylogger bądź coś innego
30 Maj 2013, 13:10
OK, to tyle.
Re: Podejrzewany keylogger bądź coś innego
02 Cze 2013, 09:23
Dzięki wielkie 