Jakiś robak czy coś prośba o pomoc

Dla specjalistów Bezpieczeństwo
#1

Witam,

Ostatnio w poszukiwaniu lutów do adobe złapałem gdzieś jakieś świństwo. Ogólnie z problemów to zaraz po włączeniu kompa uruchamia się cmd.exe i coś pobiera wygląda to tak jak nagrałem:

Drugi problem to samo otwierające się karty w przeglądarce.
Zrobiłem skan defenderem usunąłem co znalazł, ale problem dalej jest.

Tutaj skany z FRST
http://www.wklej.org/id/3276212/
http://www.wklej.org/id/3276219/
http://www.wklej.org/id/3276221/

Dzięki za pomoc. Tyle lat z kompem i mi się zachciało grzebać gdzie nie powinienem.

#2

Wklej do systemowego notatnika i zapisz jako plik tekstowy o nazwie fixlist:

HKLM-x32\...\Run: [] => [X]
IFEO\SppExtComObj.exe: [Debugger] C:\Windows\SECOH-QAD.exe
GroupPolicy: Ograniczenia <==== UWAGA
GroupPolicy\User: Ograniczenia <==== UWAGA
HKU\S-1-5-21-1394693776-3926166910-1313429652-1001\Software\Microsoft\Internet Explorer\Main,Start Page = 
SearchScopes: HKU\S-1-5-21-1394693776-3926166910-1313429652-1001 -> DefaultScope {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={searchTerms}&fr=ntg&product_id=%7B7D834334-515E-41DE-B3E5-7249E46E469A%7D&gp=811142
SearchScopes: HKU\S-1-5-21-1394693776-3926166910-1313429652-1001 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={searchTerms}&fr=ntg&product_id=%7B7D834334-515E-41DE-B3E5-7249E46E469A%7D&gp=811142
FF DefaultSearchEngine: Mozilla\Firefox\Profiles\a1iob1dc.default -> Поиск@Mail.Ru
FF SelectedSearchEngine: Mozilla\Firefox\Profiles\a1iob1dc.default -> Поиск@Mail.Ru
FF Homepage: Mozilla\Firefox\Profiles\a1iob1dc.default -> hxxp://mail.ru/cnt/10445?gp=811141
CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj] - hxxps://clients2.google.com/service/update2/crx
R3 ALSysIO; C:\Users\arkad\AppData\Local\Temp\ALSysIO64.sys [46384 2017-10-23] (Arthur Liberman) <==== UWAGA
2017-10-22 02:41 - 2017-10-22 13:11 - 000000000 ____D C:\AdwCleaner
2017-10-22 02:39 - 2017-10-22 02:41 - 000000244 _____ C:\DelFix.txt
2017-10-21 03:19 - 2017-10-21 03:19 - 000000000 ____D C:\Users\arkad\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Aplikacje Amigo
2017-10-21 03:19 - 2017-03-18 22:58 - 000174592 _____ (Microsoft Corporation) C:\Windows\SysWOW64\4399724.exe
C:\Users\arkad\AppData\Local\*.cmd
CustomCLSID: HKU\S-1-5-21-1394693776-3926166910-1313429652-1001_Classes\CLSID\{0E270DAA-1BE6-48F2-AC49-AE8592A77C93}\InprocServer32 -> %%systemroot%%\system32\shell32.dll => Brak pliku
Task: {3FA5E2EC-C960-4A8C-9F0D-2216D9E1CD98} - System32\Tasks\24socialnewsnetroudnsa => "C:\Program Files (x86)\Google\Chrome\Application\chrome.exe" 24socialnews.net/roudnsa <==== UWAGA
Task: {4799560E-B093-4151-9BD4-A0D0834E94D9} - System32\Tasks\7678B82E6A3 => "C:\Users\arkad\AppData\Local\4E900BD.cmd" 
Task: {6D4A4ED6-3A89-4233-B971-AA009A7CDD69} - System32\Tasks\klcp_update => d:\programy\k-lite codec pack\tools\codectweaktool.exe [2017-09-01] ()
Task: {9B7D1161-1DAE-40ED-A7C5-D19A68F1B7D0} - System32\Tasks\6DF1969AC7B9 => "C:\Users\arkad\AppData\Local\4EB19EE.cmd" 
C:\Users\arkad\AppData\Local\Amigo
Shortcut: C:\Users\arkad\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Aplikacje Amigo\Амиго.Музыка.lnk -> C:\Users\arkad\AppData\Local\Amigo\Application\amigo.exe (Brak pliku) <==== Cyrillic
Shortcut: C:\Users\arkad\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Aplikacje Amigo\ВКонтакте.lnk -> C:\Users\arkad\AppData\Local\Amigo\Application\amigo.exe (Brak pliku) <==== Cyrillic
Shortcut: C:\Users\arkad\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Aplikacje Amigo\Мини-игры Mail.Ru.lnk -> C:\Users\arkad\AppData\Local\Amigo\Application\amigo.exe (Brak pliku) <==== Cyrillic
Shortcut: C:\Users\arkad\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Aplikacje Amigo\Мой Мир.lnk -> C:\Users\arkad\AppData\Local\Amigo\Application\amigo.exe (Brak pliku) <==== Cyrillic
Shortcut: C:\Users\arkad\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Aplikacje Amigo\Одноклассники.lnk -> C:\Users\arkad\AppData\Local\Amigo\Application\amigo.exe (Brak pliku) <==== Cyrillic
Shortcut: C:\Users\arkad\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Aplikacje Amigo\Почта Mail.Ru.lnk -> C:\Users\arkad\AppData\Local\Amigo\Application\amigo.exe (Brak pliku) <==== Cyrillic
EmptyTemp:

Uruchom FRST i kliknij Napraw (Fix). Pokaż raport z usuwania Fixlog.
Kliknij Skanuj (Scan) i pokaż nowy raport z FRST bez Addition i Shortcut.

#3

http://www.wklej.org/id/3276235/

nowy skan
http://www.wklej.org/id/3276236/

Dzięki jak nie wiem co :slight_smile:

Teraz po ponownym uruchomieniu już nie było cmd. Idę spać jak coś potrzeba jeszcze to jutro jestem. Jeszcze raz dzięki. Jakbym mógł to piwko masz gwarantowane.

#4

Skasuj folder C:\FRST
Czyszczenie folderów Przywracania systemu