Log OTL do sprawdzenia

[lucyfer07]

Hej daje Logi OTL do sprawdzenia bo podejrzanie mi sie komp zachowuje.

OLTlogi.zip

[Fr3shMak3r]

Z kolei ja widzę prawdopodobnie keyloggera .

Widać tu jakiś dziwny moduł ładujący się z folderu TEMP

MOD - [2013-03-16 19:24:48 | 000,087,830 | ---- | M] () -- C:\Users\TYMEK\AppData\Local\Temp\file.exe

 

Jak możesz wrzuć na virustotal.com

[lucyfer07]

Na pewno to wszystko?

 

Tutaj masz link

https://www.virustotal.com/pl/file/86a27e7f80bc9814bed22a9009cdf406bacdc1a9b70804e2fd63dbf4f0c4616b/analysis/

[Fr3shMak3r]

Uruchom OTL i w Oknie własne Opcje skanowania

 

:OTL
MOD - [2013-03-16 19:24:48 | 000,087,830 | ---- | M] () -- C:\Users\TYMEK\AppData\Local\Temp\file.exe
O3:64bit: - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O4:64bit: - HKLM..\Run: []  File not found
O8:64bit: - Extra context menu item: E&ksportuj do programu Microsoft Excel - res://C:\PROGRA~2\MICROS~1\Office14\EXCEL.EXE/3000 File not found
O8:64bit: - Extra context menu item: Wyślij &do programu OneNote - res://C:\PROGRA~2\MICROS~1\Office14\ONBttnIE.dll/105 File not found
O8 - Extra context menu item: E&ksportuj do programu Microsoft Excel - res://C:\PROGRA~2\MICROS~1\Office14\EXCEL.EXE/3000 File not found
O8 - Extra context menu item: Wyślij &do programu OneNote - res://C:\PROGRA~2\MICROS~1\Office14\ONBttnIE.dll/105 File not found
O13 - gopher Prefix: missing
O15 - HKCU\..Trusted Domains: aeriagames.com ([]http in Trusted sites)
O15 - HKCU\..Trusted Domains: aeriagames.com ([]https in Trusted sites)
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jinstall-1_6_0_30-windows-i586.cab (Java Plug-in 1.6.0_30)
O16 - DPF: {CAFEEFAC-0016-0000-0030-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_30-windows-i586.cab (Java Plug-in 1.6.0_30)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_30-windows-i586.cab (Java Plug-in 1.6.0_30)

O18:64bit: - Protocol\Handler\livecall - No CLSID value found
O18:64bit: - Protocol\Handler\ms-help - No CLSID value found
O18:64bit: - Protocol\Handler\msnim - No CLSID value found
O18:64bit: - Protocol\Handler\skype4com - No CLSID value found
O18:64bit: - Protocol\Handler\viprotocol - No CLSID value found
O18:64bit: - Protocol\Handler\wlmailhtml - No CLSID value found
O18:64bit: - Protocol\Handler\wlpg - No CLSID value found
:Files
C:\windows\tasks\*job
:Commands
[emptytemp]

 

I klik na wykonaj skrypt zatwierdź restart i pokazujesz log z usuwania .

Kolejna lista delikwentów do sprawdzenia na vt :

 

C:\Users\TYMEK\AppData\Roaming\bat.bat
C:\Users\TYMEK\AppData\Roaming\invis.vbs
C:\windows\SysWow64\bat.exe
(Microsoft Corporation) -- C:\Users\TYMEK\AppData\Roaming\Microsoft\Windows\Templates\vmnethcp.exe

 

[lucyfer07]

Bat.exe - https://www.virustotal.com/pl/file/c2ef3c2372342c334b46de8ec3452f3d2e707571855972c4d8dd1dc57ca18cb7/analysis/

invis.vbs - https://www.virustotal.com/pl/file/20a98a7e6e137bb1b9bd5ef6911a479cb8eac925b80d6db4e70b19f62a40cce2/analysis/

bat.bat - https://www.virustotal.com/pl/file/ba3ab0da7b73577e2bc1b2b4172025c157af246f707f4e7141a0ca95fc45f90d/analysis/1364420439/

 

(Microsoft Corporation) -- C:\Users\TYMEK\AppData\Roaming\Microsoft\Windows\Templates\vmnethcp.exe

tego nie moge znalesc

[CODER_BEST]

Może jest ukryte, w opcjach folderów włącz pokazywania ukrytych plików i folderów, może wtedy znajdziesz.

[lucyfer07]

@up Miałem włączone jak szukałem