Pozdrav kolege,

imam jedan egzotični problem sa kojim se do sada nisam susretao u svojih 30-ak godina korištenja računala pa možda ima netko ideju kako se riješiti ove napasti.

Svakih 10-ak minuta mi iskače Security alert prozorčić iz privitka sa porukom da neki program/skripta/neznamšto želi instalirati certifikat. Što god da pritisnem ništa se ne dogodi i upozorenje i dalje iskače. Obrisao sam Brave i Firefox naizmjenično (to su jedina dva preglednika koja imam na laptopu), ali upozorenje i dalje iskače tako da se certifikat ne poziva iz njih. Pregledao sam cert manager u windowsima i (logično) nema ga tamo jer mu ne dozvoljavam instalaciju. Ne pronalazim da se instalirao neki bezvezni softwer na računalu ili nešto slično. Ne mogu utvrditi odakle se poziva ovaj certifikat.

Inače se ne bih puno razmišljao i reinstalirao bih windowse ali laptop mi je poslovni i treba hrpu podešavanja i spajanja na razne printere, skenere i sl. pa mi to nije tek tako za napraviti. Probao sam izguglati ovaj certifikat i web stranicu na koju se referira ali nudi mi se instalacija nekog sumnjivog programa za čišćenje malwarea tako je vjerojatno to i svrha ovog sranja koji iskače.

Windowsi su 11 pro 25H2.

Moze biti svasta mozda Man in the middle attack.

Skini malwarebytes pa skeniraj isto neki spyware sacnner .

Zaboravio napisati, proskenirano sa Windows defenderom i Malwarebytesom, ništa ne pronalaze.

 Onda osim format C: neznam šta može pomoći jer si očito pokupio neko sranje i sad je samo pitanje dali imaš vremena tražit pravi antivirus sw koji to može pomaknit, ili si skratit muku pa opalit reinstal winsa. Ne šteti pokušat sa free verzijama još par drugih anitvirusa ala Bitdefender, Eset....

A pod "certification path" ne vidiš gdje je trenutno certifikat da ga izbrišeš?

pa pogledaj u Regeditu pod:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 

imaš  RunOnce ispod da li se kaj sumnjivo vidi

te isto ali pod 

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

znači nešto što ima mutavo ime ili neko "logično" ali s greškom u upisu, te čudne putanje (najčešće su u nekim TEMP mapama)

Nemam path za certifikat, ne mogu ga locirati. Proskenirao sam i sa esetom, ništa nije pronašao, samo svakih 10-ak min izbaci poruku da je blokirao spajanje stranicu my-smart-house1.com

U Registryju ima samo ovaj jedan unos, ne da se brisati.

Vjerojatno malware, kao što i sken sa virus totala pokazuje:

 

Samo pogledaš domenu za koju traže "renewal" i jasno ti je što je. Uskoro će i ostali antivirusi pokupiti potpis da je malware. Prijavljeno je tek prije 8 dana.

to je OK, to je na vrhu svakog ključa u Registryu

p.s. - nemaš ništa ni pod run, ni po Current User ključevima Run i RunOnce?

Nema, pod run je Eset, outlook i program od skenera, ničeg drugog nema.

Ovo lagano eskalira...

Dakle, sad imam iste pop-upove i na privatnom laptopu koji nije bio u nikakvom kontaktu sa poslovnim niti sam prenosio nešto preko USB stickova ili nešto slično.

Utvrdio sam da malware koristi aplikaciju mshta.exe koja se nalazi u mapi C:/windows/system32 i koja je microsoftova aplikacija povezana sa internet explorerom koliko mi se čini. Sama aplikacija se ne da brisati jer je full control zaključan na TrustedInstaller.

Obzirom da je kolega postavio screenshot sa Virustotala gdje se vidi da je Bitdefender provalio signature od ovog malwarea, instalirao sam free verziju Bitdefendera i imao je 6 detekcija te je sve pobrisao nakon restarta. Sad već nekih pola sata ništa ne iskače, ali ostavit ću laptop da radi do ujutro pa ćemo vidjeti kakvo je stanje. Ako ne bude problema do sutra, pokušat ću očistiti i poslovni laptop sa Bitdefenderom. 

Jedino što vidim kao poveznicu između ova dva laptopa je što na oba koristim Brave kao browser pa mi se zasad čini da je nešto proletilo preko njega. 

Privatni laptop je izgleda ok, nije više ništa iskakalo, pokušavam očistiti poslovni jutros. Na slici je detekcija od prije par minuta.