Na początek proszę nie bagatelizujcie sprawy, bo to co mnie spotkało to raczej jest poziom hard który mnie wykańcza od ponad tygodnia i rwe włosy z głowy, a jak na amatora jestem raczej zaawansowany w komputerach i czegoś takiego jeszcze nie widziałem, ale musicie posłuchać wszystkiego od początku.
Akcja zaczęła się jakoś półtora tygodnia temu, chociaż zapewne miałem to w systemie już dłużej, tylko włam nie dawał objawów. Zorientowałem się przypadkiem, raz gdy oglądałem materiał z youtuba okienko z samym filmem zaczynało czasem robić się czarne kompletnie i za chwile obraz wracał, mrygało po prostu. Potem zmieniłem platforme i puscilem filmik z czego innego i działo się to samo. To wzbudziło mój niepokój. Zacząłem sprawdzać procesy, potem usługi i w usługach zobaczyłem mnóstwo dziwacznych usług, pracowała wtedy jakaś usługa z zewnętrznym dostępem sieciowym która jak sprawdziłem miała dostęp do wyświetlania mojego pulpitu, to samo z usługami do odczytywania klawiatury i innych rzeczy. Gdy sprawdziłem zaawansowane właściwości tych usług, w miejscu gdzie można zobaczyć kto ma do nich uprawnienia, okazało się, że widnieje tam konto nieznane z prawami administratora. Potem to już była masakra. Bo uświadomiłem sobie, że musiałem być podglądany, a moje dane wykradane przynajmniej od 2 miesiecy.
Wtedy jak pamiętam, była pierwsza dziwna rzecz i zaczęła się od Sklepu Windows. Dostałem komunikat, że moj whatsup jest nieaktualny i nie mogłem go uruchomić, więc w sklepie zainstalowałem whatsupa kolejny raz (to było dziwne, że mogłem go zainstalować równorzędnie, a drugi ciągle współistniał razem z tym nowym). Zalogowałem się tam oddając prawdopodobnie przestępcy dane, bo w jakiś sposób podmienił cały sklep i podstawił lewe aplikacje, które przekazywały mu dane.
W moim koncie zostały odebrane prawa administratora, a drugi użytkownik stworzył sobie nowe i teraz ono miało prawa admina. Walczyłem z tym do 5 rano tak byłem wk*** potem godzine tylko spałem i dzieci musiałem zawieźć do przedszkola.
Przez polecenia w CMD w końcu dokopałem się, że można z poziomu usera dać wrocić sobie prawa admina (albo to jemu odebrac) nie pamietam, w każdym razie dostałem się do jego profilu który stworzył i to też było dziwne. Bo wyglądało jak jakaś miniaturowa okrojona wersja windowsa w której nawet pasek zadań windows nie funkcjonował, język był po angielsku mimo, że windowsa miałem PL od początku, była tylko ikonka do CMD i dane ustawienia można było wywoływać jedynie skrótami na klawiaturze. W zaporze windows poznajdywałem mase wyjątków do nieznanych mi programów, adresów IP i stron.
Nawet usunięcie tych wyjątków, wszystkie te standardowe skany jak SFC /scannow , DISM do spójności, to wszystko nic nie dawało. Programy takie jak Bitdefender, malwarebytes, ADW nic nie dawały i praktycznie nic poważnego nie znajdywały, znalazł jakiś sposób na ukrywanie tego wszystkiego.
A TERAZ NAJWAŻNIEJSZE: utworzyłem bootowalny windows, zabootowałem, usunąłem każdą partycję jaka była połączyłem w jeden dysk, utworzyłem jedną partycję , sformatowałem ją i postawiłem nowego windowsa i najgorsze jest to, że nawet to nie pomogło.
Znowu poinstalowały się po załadowaniu jakieś stertowniki w menadżerze urządzeń, do urządzeń których nie mam. Niby mają legitne nazwy, niby jak sie je wyszukuje to pokazuje, że to poprawne sterowniki, ale ich wcześniej nie było.
Nie wiem jak to zrobił, ale jestem pewien, że albo podmienił bios, albo klucz systemu, albo wbudował się w jakąś ukrytą partycje (nie wiem aż tak sie nie znam, ale to takie moje strzały na tyle na ile się znam) a z tego co wiem, moja wersja systemu z wirtualnym kluczem (bo nie dostałem go fizycznie) pobiera sobie klucz na podstawie odczytu z bios (?) , że po instalacji systemu po podlaczeniu do neta gdy system instaluje aktualizacje to instaluje z aktualizacjami trojana, blokuje defendera i pobiera mu lewe bazy danych.
Aha, mam drugi komputer w pracy podłączony do tego samego konta microsoft (bo oba komputery są moje i tylko ja ich używam) i tam też to było. Wszedłem na konto microsoft i zdębiałem jak zobaczyłem logi w których praktycznie każdego dnia co 30min jest jedna nieudana próba logowania z różnych lokazlizacji (pekin, rosja, srilanka itd) i ta lista prób była na wiele stron. Musiał się dostać przez konto microsoft, skoro rozlazł się na dwa komputery.
Nie wiem już co robić jak format z usuwaniem partycji nie pomaga.
wklejam logi FARBAR zaznaczam, że system jest praktycznie po formacie świeży, jakies 5 dni temu formatowany:
FRST.txt (88,8 KB)
Addition.txt (42,5 KB)
