Proszę o sprawdzenie loga OTL

[chlewickip]

Wkradł mi się CoinMiner i pozera mi 50% CPU. Proszę o pomoc.


Plik OTL: Dostępne tylko dla zarejestrowanych użytkowników

Plik Extras: Dostępne tylko dla zarejestrowanych użytkowników

Z góry dziekuję.

[djarta]

Logi wstawiaj na wklej.org
Dołącz mi raporty z FRST: bezpieczenstwo/korzystanie-z-frst-t28530.html

[chlewickip]

Logi OTL na wklej.org

Plik OTL: Dostępne tylko dla zarejestrowanych użytkowników
Plik Extras: Dostępne tylko dla zarejestrowanych użytkowników

Logi z FRST

Plik FRST: Dostępne tylko dla zarejestrowanych użytkowników
Plik Addition: Dostępne tylko dla zarejestrowanych użytkowników
Plik Shortcut Dostępne tylko dla zarejestrowanych użytkowników

Problem jest z procesem cvtres.exe, gdy go zakończę jest ok, ale po ponownym uruchomieniu laptopa problem powraca.

[djarta]

1. Otwórz notatnik i wklej:

(AutoIt Team) C:\Users\Przemo\32r78au3487\Krgz.exe
(AutoIt Team) C:\Users\Przemo\12i2b1r37777si1\dhhkEGFv.exe
S3 ewusbnet; system32\DRIVERS\ewusbnet.sys [X]
S3 hwdatacard; system32\DRIVERS\ewusbmdm.sys [X]
S3 hwusbdev; system32\DRIVERS\ewusbdev.sys [X]
S3 VGPU; System32\drivers\rdvgkmd.sys [X]
S2 Update webget; "C:\Program Files (x86)\webget\updatewebget.exe" [X]
S2 Util webget; "C:\Program Files (x86)\webget\bin\utilwebget.exe" [X]
HKU\S-1-5-21-1765356249-2237940220-2916009470-1001\...\MountPoints2: F - F:\AutoRun.exe
HKU\S-1-5-21-1765356249-2237940220-2916009470-1001\...\MountPoints2: {7869b62d-8e56-11e3-bd75-001d09d808c0} - F:\AutoRun.exe
HKU\S-1-5-21-1765356249-2237940220-2916009470-1001\...\MountPoints2: {7869b62e-8e56-11e3-bd75-001d09d808c0} - F:\AutoRun.exe
HKU\S-1-5-21-1765356249-2237940220-2916009470-1001\...\MountPoints2: {b478e5e1-cf09-11e3-b464-001d09d808c0} - F:\Setup\Setup.exe
IFEO\AvastSvc.exe: [Debugger] nqij.exe
IFEO\AvastUI.exe: [Debugger] nqij.exe
IFEO\avcenter.exe: [Debugger] nqij.exe
IFEO\avconfig.exe: [Debugger] nqij.exe
IFEO\avgcsrvx.exe: [Debugger] nqij.exe
IFEO\avgidsagent.exe: [Debugger] nqij.exe
IFEO\avgnt.exe: [Debugger] nqij.exe
IFEO\avgrsx.exe: [Debugger] nqij.exe
IFEO\avguard.exe: [Debugger] nqij.exe
IFEO\avgui.exe: [Debugger] nqij.exe
IFEO\avgwdsvc.exe: [Debugger] nqij.exe
IFEO\avp.exe: [Debugger] nqij.exe
IFEO\avscan.exe: [Debugger] nqij.exe
IFEO\bdagent.exe: [Debugger] nqij.exe
IFEO\blindman.exe: [Debugger] nqij.exe
IFEO\ccuac.exe: [Debugger] nqij.exe
IFEO\ComboFix.exe: [Debugger] nqij.exe
IFEO\hijackthis.exe: [Debugger] nqij.exe
IFEO\instup.exe: [Debugger] nqij.exe
IFEO\keyscrambler.exe: [Debugger] nqij.exe
IFEO\mbam.exe: [Debugger] nqij.exe
IFEO\mbamgui.exe: [Debugger] nqij.exe
IFEO\mbampt.exe: [Debugger] nqij.exe
IFEO\mbamscheduler.exe: [Debugger] nqij.exe
IFEO\mbamservice.exe: [Debugger] nqij.exe
IFEO\MpCmdRun.exe: [Debugger] nqij.exe
IFEO\MSASCui.exe: [Debugger] nqij.exe
IFEO\MsMpEng.exe: [Debugger] nqij.exe
IFEO\msseces.exe: [Debugger] nqij.exe
IFEO\rstrui.exe: [Debugger] nqij.exe
IFEO\SDFiles.exe: [Debugger] nqij.exe
IFEO\SDMain.exe: [Debugger] nqij.exe
IFEO\SDWinSec.exe: [Debugger] nqij.exe
IFEO\spybotsd.exe: [Debugger] nqij.exe
IFEO\wireshark.exe: [Debugger] nqij.exe
IFEO\zlclient.exe: [Debugger] nqij.exe
Startup: C:\Users\Przemo\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\start.lnk
ShortcutTarget: start.lnk -> C:\Users\Przemo\32r78au3487\23838.vbs ()
HKU\S-1-5-21-1765356249-2237940220-2916009470-1001\...\RunOnce: [12i2b1r37777si1] - C:\Users\Przemo\12i2b1r37777si1\19171.vbs [136 2014-05-23] ()
HKU\S-1-5-21-1765356249-2237940220-2916009470-1001\...\RunOnce: [32r78au3487] - C:\Users\Przemo\32r78au3487\23838.vbs [132 2014-05-23] ()
C:\Users\Przemo\32r78au3487
C:\Users\Przemo\12i2b1r37777si1
C:\ProgramData\34BE82C4-E596-4e99-A191-52C6199EBF69
C:\Windows\MEMORY.DMP
C:\Users\Przemo\AppData\Roaming\msconfig.ini
C:\Windows\SysWOW64\Windows Server
C:\Users\Przemo\AppData\Local\EmieUserList
C:\Users\Przemo\AppData\Local\EmieSiteList
C:\Windows\Tasks\Adobe Flash Player Updater.job
C:\Program Files (x86)\webget
C:\Users\Przemo\AppData\Local\Temp
C:\Users\Przemo\AppData\Roaming\System5908ConfigCollection.dat
C:\Users\Przemo\AppData\Roaming\1D959CA221C7573.sys
C:\Users\Przemo\AppData\Roaming\e8a54001262a9cd5bc4002225688ef092
Shortcut: C:\Users\Przemo\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\start.lnk -> C:\Users\Przemo\32r78au3487\23838.vbs ()
Reboot:

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. System zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

2. Użyj >Dostępne tylko dla zarejestrowanych użytkowników (aby pobrać kliknij na dużą zieloną strzałkę po prawej).
najpierw kliknij na SZUKAJ, a dopiero po zakończeniu skanowania, gdy uaktywni się przycisk USUŃ, to kliknij na niego.
Pokaż raport z niego C:\AdwCleaner[S1].txt

3. Dołącz nowe logi z FRST. Wstaw mi też dodatkowo raport z Dostępne tylko dla zarejestrowanych użytkowników.

[chlewickip]

Plik fixlog.txt: Dostępne tylko dla zarejestrowanych użytkowników
Plik AdwCleaner[S0].txt: Dostępne tylko dla zarejestrowanych użytkowników
Plik FRST: Dostępne tylko dla zarejestrowanych użytkowników
Plik Additions: Dostępne tylko dla zarejestrowanych użytkowników
Plik Shortcut: Dostępne tylko dla zarejestrowanych użytkowników

Raport z programu TDSSKiller: Dostępne tylko dla zarejestrowanych użytkowników

[djarta]

Wszystko się pięknie skasowało i w logach już niczego nie widzę.
Czy dalej są jakieś problemy / procesy?

[chlewickip]

Nie teraz po uruchomieniu wszystko wróciło do normy. Dziękuję bardzo za szybką pomoc. Należy się

[djarta]

Czyli kończymy.

1. Otwórz notatnik i wklej:

C:\ProgramData\Windows Server
C:\Users\Przemo\AppData\Local\EmieUserList
C:\Users\Przemo\AppData\Local\EmieSiteList
DeleteQuarantine:

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Raportu już nie musisz dawać.

2. Wykonaj wszystko z tego tematu: Kroki kończące temat.
Końcowo pokazujesz: raport z DelFix oraz raport z pełnego skanowania Malwarebytes.

[chlewickip]

Wykonane, oraz raporty


Raport z Delfix: Dostępne tylko dla zarejestrowanych użytkowników
Raport z Malwarebytes: Dostępne tylko dla zarejestrowanych użytkowników

[djarta]

Jednym słowem - jest czysto.

[chlewickip]

Jeszcze raz dzięki.