Bitcoin Miner w procesie explorer.exe

Dla specjalistów Bezpieczeństwo
#1

Witam.

 

Od jakiegoś czasu mam problem, gdyż jeden z procesów explorer.exe zajmuje średnio 30% procesora i powoli zabiera coraz więcej pamięci podręcznej. Sprawdziłem ten proces w programie Process Explorer i jeden z dodatkowych procesów explorer.exe ma w sobie w Command Line taki oko kod:

explorer -o stratum+tcp://uswest.wafflepool.com:3333 -O 1MA2k9AEkkd8GXrXev2GeKN1DogXbQHeiq:d=16 -t 1 -R 1

Więc pewnie zostałem zaatakowany przez Bitcoin Minera, lecz w żaden sposób nie mogę go usunąć. Gdy usunę ten proces, po chwili pojawia się on znów.

 

Poniżej daje linki z loga OTL:

OTL.txt: http://www.wklej.org/id/1408482/

Extras.txt: http://www.wklej.org/id/1408480/

 

Pozdrawiam.

 

#2

W panelu sterowania odinstaluj FilesFrog Update Checker i FLV Player.

Pobierz i uruchom AdwCleaner Kliknij Szukaj i później Usuń.

Pobierz Farbar Recovery Scan Tool 64-Bit Version

Uruchom FRST i kliknij Scan. Pokaż raport FRST i Addition.

#3

 

Usuniecie zrobione i logi:

FRST.txt: http://www.wklej.org/id/1408496/

Addtion.txt: http://www.wklej.org/id/1408497/

#4

Wklej do systemowego notatnika i zapisz jako plik tekstowy o nazwie fixlist :

HKU\S-1-5-21-319284746-2775237458-1110393171-1000\...\Run: [Opos] => [X]
HKU\S-1-5-21-319284746-2775237458-1110393171-1000\...\Run: [AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA] => 1
HKU\S-1-5-21-319284746-2775237458-1110393171-1000\...\Run: [svchost] => regsvr32 /s "C:\Temp:007FA288.dat"
S2 Sentinel; \SystemRoot\System32\Drivers\SENTINEL.SYS [X]
C:\IExp1.tmp
C:\IExp0.tmp
C:\Users\Piotrbov\AppData\Local\Temp\*.dll
C:\Users\Piotrbov\AppData\Local\Temp\*.exe
C:\temp
Reboot:

Uruchom FRST i kliknij Fix. Pokaż raport z usuwania Fixlog.

Kliknij Scan i pokaż nowy raport z FRST bez Addition.

#5

 

Zrobione:

FRST.txt: http://www.wklej.org/id/1408512/

Fixlog.txt: http://www.wklej.org/id/1408514/

#6

Nie cytuj moich odpowiedzi.

Napisałem żebyś użył AdwCleaner.

Wklej do systemowego notatnika i zapisz jako plik tekstowy o nazwie fixlist :

HKU\S-1-5-21-319284746-2775237458-1110393171-1000\...\Run: [AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA] => 1
HKU\S-1-5-21-319284746-2775237458-1110393171-1000\...\Run: [svchost] => regsvr32 /s "C:\Temp:007FA288.dat"
C:\Temp

Uruchom FRST i kliknij Fix. Pokaż raport z usuwania Fixlog.

Kliknij Scan i pokaż nowy raport z FRST bez Addition.

#7

Co do cytatów, to przepraszam. Przyzwyczajenie z innych forów internetowych. A co do AdwCleaner, to po prostu go przeoczyłem.

 

Fixlog.txt: http://www.wklej.org/id/1408560/

FRST.txt: http://www.wklej.org/id/1408564/

#8

Skasuj folder C:\FRST i C:\AdwCleaner

Pobierz TFC - Temp File Cleaner Uruchom TFC i kliknij Start.

Usuń stare punkty przywracania: Aby usunąć wszystkie punkty przywracania

Dysk przeskanuj Malwarebytes Anti-Malware

Podczas instalacji usuń zaznaczenie przy Uruchom okres testowy Malwarebytes Anti-Malware Premium.

http://wstaw.org/m/2014/03/25/2014-03-25_123039.png

Język PL > Settings > General Settings > Language > Polish

Odinstaluj Adobe Shockwave Player 12.0, Java 7 Update 55, Microsoft Silverlight.

Zainstaluj Java 7 Update 60 i Silverlight 5.1.30214.0

#9

Ok. Dzięki wielkie :wink:

 

Już po skasowaniu tego z AAAAAAAAAAAAAAAAAAAAAAAA itd. było już dobrze. Dzięki za dodatkową pomoc w wyczyszczeniu reszty.