picasso

Trzymaj się konfiguracji FRST przedstawionej w przyklejonym - sekcja "Drivers MD5" nie miała być zaznaczona. GMER robiony w złych warunkach - przy czynnym sterowniku emulacji SPTD: KLIK. Temat przenoszę do działu Windows. Nic tu nie wskazuje na problem infekcji. Aczkolwiek logi FRST dostarczone z konta Bracia, a jest tu jeszcze jedno: ==================== Accounts: ============================= Bracia (S-1-5-21-1957994488-706699826-725345543-1008 - Administrator - Enabled) => %SystemDrive%\Documents and Settings\Bracia Daniel (S-1-5-21-1957994488-706699826-725345543-1006 - Administrator - Enabled) => %SystemDrive%\Documents and Settings\Daniel Sugestie: 1. W spoilerze doczyszczanie szczątków adware i wpisów pustych. To tylko poboczna akcja nie związana z głównymi problemami. 2. Był uruchamiany GMER. Do sprawdzenia transfer dysku. Skutki uboczne skanu GMER (dyski w trybie IDE, głównie system XP): KLIK. 3. Tragiczny stan aktualizacji systemu: Platform: Microsoft Windows XP Home Edition Dodatek Service Pack 2 (X86) OS Language: Polski Internet Explorer Version 6 (Default browser: FF) Do wykonania pełna aktualizacja Windows: KLIK. Przy okazji odinstaluj też starą niebezpieczną Java™ 6 Update 22. 4. Jedna z ostatnich instalacji to Avast - nie jest wykluczone, iż ma jakiś wpływ. Do przeprowadzenia testowa deinstalacja. 5. Wszystko jest stare, w tym sterowniki, co może być nie bez znaczenia pod kątem zawieszeń. Tu niestety prawdopodobnie nie będzie możliwości aktualizacji ze względu na archaiczną platfomę XP.

Dostarczony raport z ComboFix nie przedstawia wykonywanych operacji. ComboFix był uruchamiany wiele razy, nigdy nie został poprawnie odinstalowany, skoro widać tu raporty z zeszłego roku: Czas ukończenia: 2015-03-02 19:42:08 ComboFix-quarantined-files.txt 2015-03-02 18:42 ComboFix2.txt 2015-03-02 17:08 ComboFix3.txt 2014-12-13 00:50 ComboFix4.txt 2014-11-16 22:55 ComboFix5.txt 2015-03-02 18:25 System nie jest czysty, nadal uruchamiają się niepożądane obiekty (SpeedBit). Przy okazji skoryguję też te błędy z Dziennika zarzeń: System errors: ============= Error: (03/02/2015 08:56:25 PM) (Source: Service Control Manager) (EventID: 7026) (User: ) Description: Nie można załadować następujących sterowników startu rozruchowego lub systemowego: StarOpen Error: (03/02/2015 08:55:26 PM) (Source: Service Control Manager) (EventID: 7000) (User: ) Description: Nie można uruchomić usługi Internet Manager. OUC z powodu następującego błędu: %%1053 Działania do przeprowadzenia: 1. Przez Panel sterowania odinstaluj stare wersje, adware i wątpliwy skaner: Adobe Reader X (10.1.13) MUI, Java 7 Update 55 (64-bit), Java 7 Update 55, Java™ 6 Update 22, Java™ 6 Update 27 (64-bit), Java™ 6 Update 27, OpenOffice.org 3.3, Qtrax Player, Snap.Do Engine, SpyHunter, Yahoo Community Smartbar Engine. Obiekty adware wyglądają na uszkodzone niepoprawnym usuwaniem (AdwCleaner lub podobne działania), ale Windows powinien zapytać czy usuwać puste wpisy. 2. Otwórz Notatnik i wklej w nim: CloseProcesses: CreateRestorePoint: U5 AppMgmt; C:\Windows\system32\svchost.exe [27136 2009-07-14] (Microsoft Corporation) S3 McComponentHostServiceSony; C:\Program Files (x86)\Sony\MSS\3.0.271\McCHSvc.exe [237328 2012-03-30] (McAfee, Inc.) R2 SBUpd; C:\Program Files\Common Files\SpeedBit\SBUpdate\sbu.exe [2545272 2014-04-15] (Speedbit Ltd.) R3 SBUpdd; C:\Program Files\Common Files\SpeedBit\SBUpdate\sbw.sys [41368 2014-04-15] () S1 StarOpen; C:\Windows\SysWow64\Drivers\StarOpen.sys [5632 2006-07-24] () S3 catchme; \??\C:\ComboFix\catchme.sys [X] S3 cpuz137; \??\C:\Windows\TEMP\cpuz137\cpuz137_x64.sys [X] S3 esgiguard; \??\C:\Program Files\Enigma Software Group\SpyHunter\esgiguard.sys [X] S3 GPUZ; \??\C:\Windows\TEMP\GPUZ.sys [X] S3 Prot6Flt; system32\DRIVERS\Prot6Flt.sys [X] Task: {14119881-CAE4-4746-8B5B-4D910D3B7C99} - \eca61ba3-5531-467a-8413-3b9591cfa348-6 No Task File Task: {1A7FB0F0-799F-452B-A644-FB1BA77F29F0} - \eca61ba3-5531-467a-8413-3b9591cfa348-4 No Task File Task: {21E435C9-BFE7-4324-8668-D972AA170B73} - System32\Tasks\SBWUpdateTask_Time_48ee573c-88532ED1A8DB => C:\Program Files (x86)\Common Files\SpeedBit\SBUpdate\SBUpdate.exe [2013-07-08] (Speedbit Ltd.) Task: {395A7119-5FEA-41C6-929D-E8F7AF886DD2} - System32\Tasks\SBWUpdateTask_Logon_48ee573c-88532ED1A8DB => C:\Program Files (x86)\Common Files\SpeedBit\SBUpdate\SBUpdate.exe [2013-07-08] (Speedbit Ltd.) Task: {49D385B6-B7C1-4B60-89E4-D12FFA10268F} - System32\Tasks\Safer-Networking\Spybot - Search and Destroy\Scan the system => C:\Program Files (x86)\Spybot - Search & Destroy 2\SDScan.exe Task: {5312CE24-DBFD-4ACD-AAEE-AFFB6DBEB942} - \eca61ba3-5531-467a-8413-3b9591cfa348-3 No Task File Task: {58E18587-C13A-48B7-BB2F-486739846FE9} - System32\Tasks\{02F3870F-C468-413B-B599-75814F8E2953} => pcalua.exe -a C:\Users\SigmaAZ\Desktop\mmd2\dotnetfx.exe -d C:\Users\SigmaAZ\Desktop\mmd2 Task: {79E8E717-BCB1-4575-9B6D-F793E3584FA2} - System32\Tasks\Safer-Networking\Spybot - Search and Destroy\Check for updates => C:\Program Files (x86)\Spybot - Search & Destroy 2\SDUpdate.exe Task: {99CB00E7-5810-4283-9834-3568741A7251} - System32\Tasks\Safer-Networking\Spybot - Search and Destroy\Refresh immunization => C:\Program Files (x86)\Spybot - Search & Destroy 2\SDImmunize.exe Task: {B0227567-A7C9-420A-8C2E-5058CDB3C2C7} - \eca61ba3-5531-467a-8413-3b9591cfa348-5 No Task File Task: {BD885330-7895-4921-B4F6-34A87729A8D3} - \eca61ba3-5531-467a-8413-3b9591cfa348-2 No Task File Task: {C21AAFF8-D305-421A-8AF2-62CE51C10C19} - \eca61ba3-5531-467a-8413-3b9591cfa348-1 No Task File Task: {DAA0CB9E-A9D1-48A9-98B7-55E11790DD9E} - System32\Tasks\{B14B059F-F3B4-4D26-88E7-559448B90D36} => pcalua.exe -a C:\Users\SigmaAZ\AppData\Local\Temp\IS1890~1\QtraxInstaller.exe -d C:\Users\SigmaAZ\Downloads -c /runafter /startDate=04/02/2013 /endDate=04/09/2013 Task: {F0A600BD-F0D9-4A5C-B14F-A3BDA150A446} - \eca61ba3-5531-467a-8413-3b9591cfa348-7 No Task File HKLM-x32\...\Run: [] => [X] BootExecute: autocheck autochk * sh4native Sh4Removal CHR HKLM\SOFTWARE\Policies\Google: Policy restriction HKU\S-1-5-21-2923207680-1866319440-329310848-1000\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.com HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = http://www.google.com HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = http://www.google.com HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.com HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.google.com HKU\S-1-5-21-2923207680-1866319440-329310848-1000\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch BHO: No Name -> {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} -> No File BHO: No Name -> {9030D464-4C02-4ABF-8ECC-5164760863C6} -> No File Toolbar: HKU\S-1-5-21-2923207680-1866319440-329310848-1000 -> No Name - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - No File FF HKLM-x32\...\Firefox\Extensions: [istart_ffnt@gmail.com] - C:\Users\SigmaAZ\AppData\Roaming\Mozilla\Firefox\Profiles\zjsab6kg.default\extensions\istart_ffnt@gmail.com C:\Program Files\Common Files\SpeedBit C:\Program Files (x86)\GUM9E22.tmp C:\Program Files (x86)\GUT9E42.tmp C:\Program Files (x86)\0b76189a-953f-4ebb-991c-603b62e9f60e C:\ProgramData\iolo C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Haali Media Splitter C:\ProgramData\TEMP C:\Users\SigmaAZ\AppData\Roaming\iolo C:\Users\SigmaAZ\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Spybot - Search & Destroy.lnk C:\Users\SigmaAZ\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\4bdad96a5f04829\Google Chrome.lnk C:\Users\SigmaAZ\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Handlowiec iBiznes.lnk C:\Users\SigmaAZ\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Serwis iBiznes.lnk C:\Users\SigmaAZ\AppData\Roaming\Microsoft\Windows\Start Menu\Video Converter Uninstall Video Converter.lnk C:\Users\SigmaAZ\AppData\Roaming\Microsoft\Windows\Start Menu\Video Converter Video Converter.lnk C:\Users\SigmaAZ\Downloads\AdwCleaner*.exe C:\Users\SigmaAZ\Downloads\ChromeSetup*.exe C:\Windows\pss\Facebook Messenger.lnk.Startup C:\Windows\pss\OpenOffice.org 3.3.lnk.Startup C:\Windows\pss\Sony MSS.lnk.CommonStartup C:\Windows\pss\TMMonitor.lnk.CommonStartup C:\Windows\SysWow64\Drivers\StarOpen.sys Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\services\BBSvc" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\services\BBUpdate" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^Sony MSS.lnk" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^TMMonitor.lnk" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\C:^Users^SigmaAZ^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^Facebook Messenger.lnk" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\C:^Users^SigmaAZ^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^OpenOffice.org 3.3.lnk" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Adobe Reader Speed Launcher" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\AllShareAgent" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ArcSoft Connection Service" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\AVP" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Browser Infrastructure Helper" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\genesis" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Google Update" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Iminent" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\IminentMessenger" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\iTunesHelper" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\NTRedirect" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ROC_ROC_NT" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SDTray" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Softonic for Windows" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Spybot-S&D Cleaning" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SpybotSD TeaTimer" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SunJavaUpdateSched" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\UpdateChecker" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\vProt" /f Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\Main" /f Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\Main" /f Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\Main" /f Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f CMD: sc config "Internet Manager. RunOuc" start= disabled EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 3. Wyczyść Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj / Odśwież program Firefox. Zakładki i hasła nie zostaną naruszone, ale Adblock Plus trzeba będzie przeinstalować. 4. Napraw uszkodzony specjalny skrót IE. W pasku eksploratora wklej poniższą ścieżkę i ENTER: C:\Users\SigmaAZ\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools Prawoklik na zlokalizowany tam skrót Internet explorer (bez dodatków) > Właściwości > w polu Element docelowy po ścieżce "C:\Program Files\Internet Explorer\iexplore.exe" dopisz dwie spacje i -extoff 5. Zrób nowy log FRST z opcji Scan, zaznacz ponownie pole Addition, by powstały dwa logi. Dołącz też plik fixlog.txt oraz logi z folderu C:\AdwCleaner i C:\Qoobox (tu chodzi o wcześniejsze z 2 marca, ComboFix2.txt + ComboFix5.txt). Opisz na czym stoimy, czy występują jeszcze jakieś problemy.

Używałeś ComboFix i na ten temat: KLIK. Problem fałszywego svchost tworzy miner uruchamiany via Harmonogram zadań: Task: {ADE7191D-943D-4981-99E4-BE360D47964F} - System32\Tasks\Origin => C:\ProgramData\Origin\update.vbe [2015-02-09] () Działania do przeprowadzenia: 1. Przez Panel sterowania odinstaluj stare wersje, zbędniki i adware: Adobe Shockwave Player 11.6, Akamai NetSession Interface, Contextual Tool Extrafind, DAEMON Tools Toolbar. 2. Otwórz Notatnik i wklej w nim: CloseProcesses: CreateRestorePoint: Task: {00F596DE-8858-4578-A666-53D3F058D0BA} - System32\Tasks\{4ECD2C92-4F63-4432-895A-DA110296F044} => I:\DETAL\STAT.EXE Task: {07F328CE-4896-4C2D-88C7-4C96372FD3A8} - System32\Tasks\{C8D36067-A8B8-4DC1-939A-7336144578F1} => pcalua.exe -a G:\km\SetupReg.exe -d G:\km Task: {3972AD2E-4084-43F7-AF01-ECD8937498F1} - System32\Tasks\{C37D8FE6-5417-4F12-B202-DE93C2D1599C} => I:\DETAL\STAT.EXE Task: {3A1FD880-F9DC-4E5F-92E7-5B4F8FF61B8B} - System32\Tasks\{B9B6D70E-6FEB-4E3A-9A7C-3A6A061F0F8E} => C:\Users\Rubo\Desktop\offlineserver-v0.3\server.exe Task: {46FBB31E-5E14-4227-BC7D-5F6BF5EF80F4} - System32\Tasks\{032EBD05-2F49-40A9-B2C7-C1EA96AF33A6} => F:\setup.EXE Task: {57BD623F-74CF-4A85-BCD9-5A74677149F3} - System32\Tasks\{20C2449F-D802-4E60-9840-E0C8D7BB20C5} => Firefox.exe http://www.skype.com/go/downloading?source=lightinstaller&ver=4.1.0.136.217&LastError=404 Task: {5CF447CF-F92F-4CEE-938A-0919F464A362} - System32\Tasks\{BED9D773-D895-4627-AB3B-7F0F9B7634B1} => I:\DETAL\STAT.EXE Task: {66D84767-77D8-44E4-9E38-4DBCB570E4E0} - System32\Tasks\{084E488C-C294-48DC-BBE0-106B5BFE50A2} => F:\setup.EXE Task: {6B0A0B92-5B58-4391-AD81-ED8DD6FB2708} - System32\Tasks\IHSelfDeleteTASK => CMD Task: {70631BE2-3C11-4B61-AF6D-A7854B32275E} - System32\Tasks\IHUninstallTrackingTASK => CMD Task: {7875ABFA-F017-408B-8E2C-8E3FEF79E22F} - System32\Tasks\{1EB09537-0193-4E46-9DB9-D25647495CBC} => pcalua.exe -a "E:\Euro truck\Euro Truck Simulator\Uninstal_EuroTruckSimulator1_1.exe" -d "E:\Euro truck\Euro Truck Simulator" Task: {850BB267-242D-4FC7-BCB1-C6B0A6651FF4} - System32\Tasks\{E7943A98-9A0D-482B-BC01-16B23AC37F42} => pcalua.exe -a C:\Users\Rubo\AppData\Roaming\webssearches\UninstallManager.exe -c -ptid=exp Task: {94892494-FC2F-4AE1-B6DC-81BAAFE9650A} - System32\Tasks\{FA6A18D2-AECF-4C37-BE4E-C7503A19A32F} => I:\DETAL\STAT.EXE Task: {9B123C3B-59E0-4A70-B29B-1533D57993A1} - System32\Tasks\{9B72ECF9-8E3B-4650-9112-9356EE9B8A82} => pcalua.exe -a "C:\Program Files (x86)\SubEdit-Player\unins000.exe" -d "C:\Program Files (x86)\SubEdit-Player" Task: {ADE7191D-943D-4981-99E4-BE360D47964F} - System32\Tasks\Origin => C:\ProgramData\Origin\update.vbe [2015-02-09] () Task: {B4C38346-C8DD-486B-A04B-983DD529651B} - System32\Tasks\{762230D4-240B-4A33-BFE7-4A12539BEA2C} => I:\DETAL\STAT.EXE Task: {B984E326-C7DF-44AE-B241-1C2E2F8E9380} - System32\Tasks\{6FE8422C-C661-48A5-B60C-92E55500DDA2} => F:\setup.EXE Task: {BA10D6A3-5C79-4B6E-85FF-A9B7E7F3D857} - System32\Tasks\{E2545DF7-EBBA-42A9-8D46-C4B6E1024BE1} => E:\yug\yugi_pc.exe Task: {BF96CD39-2EDA-4197-A0DC-EDA3F5D13278} - System32\Tasks\{D4814C25-8A85-4809-9976-AAD6ADEF5715} => I:\DETAL\STAT.EXE Task: {D1A17F98-3C82-46B6-9738-D7B099623BB5} - System32\Tasks\{C4958F69-6939-4928-9EAA-BAB6AA802CC6} => E:\yug\yugi_pc.exe Task: {DC3C1F55-C721-4997-A699-DCE0CFC98F20} - System32\Tasks\{938CC7AD-E58C-48D8-A08F-043F6E641B99} => E:\APB Reloaded\Binaries\APB.exe Task: {E2C40FEB-D934-483B-921F-DB66FE9ADA11} - System32\Tasks\{1018981B-6DDA-4C5B-9B02-ED4598012FAD} => I:\DETAL\STAT.EXE Task: {E8D377C2-6AA4-4701-9BEE-F6306B4D00A1} - System32\Tasks\{7A2988C0-3258-408D-A736-82149EEAE59B} => pcalua.exe -a F:\setup.EXE -d F:\ Task: {FE469393-BD68-4736-A269-4A2BB7950BFB} - System32\Tasks\{2F4068B6-3681-4C73-BFF6-E05F5252C35A} => msiexec.exe /package "C:\Users\Rubo\Desktop\setup.msi" S2 Akamai; c:\program files (x86)\common files\akamai/netsession_win_6c825ce.dll [X] S3 catchme; \??\C:\ComboFix\catchme.sys [X] S3 cpuz130; \??\C:\Users\Rubo\AppData\Local\Temp\cpuz130\cpuz_x64.sys [X] S3 EagleX64; \??\C:\Windows\system32\drivers\EagleX64.sys [X] S3 esihdrv; \??\C:\Users\Rubo\AppData\Local\Temp\esihdrv.sys [X] S3 ew_usbenumfilter; system32\DRIVERS\ew_usbenumfilter.sys [X] S3 huawei_cdcacm; system32\DRIVERS\ew_jucdcacm.sys [X] S3 huawei_enumerator; system32\DRIVERS\ew_jubusenum.sys [X] S3 huawei_ext_ctrl; system32\DRIVERS\ew_juextctrl.sys [X] S3 huawei_wwanecm; system32\DRIVERS\ew_juwwanecm.sys [X] S3 MREMP50; \??\C:\PROGRA~2\COMMON~1\Motive\MREMP50.SYS [X] S3 MREMP50a64; \??\C:\PROGRA~1\COMMON~1\Motive\MREMP50a64.SYS [X] S3 MREMPR5; \??\C:\PROGRA~1\COMMON~1\Motive\MREMPR5.SYS [X] S3 MRENDIS5; \??\C:\PROGRA~1\COMMON~1\Motive\MRENDIS5.SYS [X] S3 MRESP50; \??\C:\PROGRA~2\COMMON~1\Motive\MRESP50.SYS [X] S3 MRESP50a64; \??\C:\PROGRA~1\COMMON~1\Motive\MRESP50a64.SYS [X] S1 prodrv06; \SystemRoot\System32\drivers\prodrv06.sys [X] S3 SANDRA; \??\C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2010c\WNt500x64\Sandra.sys [X] S3 xhunter1; \??\C:\Windows\xhunter1.sys [X] HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction HKU\S-1-5-21-1671621278-90422489-2177884435-1001\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.com HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = www.google.com HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = www.google.com HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = www.google.com HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = www.google.com HKU\S-1-5-21-1671621278-90422489-2177884435-1001\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch SearchScopes: HKLM-x32 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = http://startsear.ch/?aff=1&src=sp&cf=100eb9df-9c62-11e1-bd05-001fd08ea264&q={searchTerms} SearchScopes: HKLM-x32 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = http://startsear.ch/?aff=1&src=sp&cf=100eb9df-9c62-11e1-bd05-001fd08ea264&q={searchTerms} SearchScopes: HKLM-x32 -> {42168F92-DA71-42E6-BC7F-132EAC1F1899} URL = http://www.google.com/cse?cx=partner-pub-5462406484424654%3A8q0sn8-w2ss&ie=ISO-8859-1&q={searchTerms}&sa=Search&siteurl=qooqlle.com%2F SearchScopes: HKU\S-1-5-21-1671621278-90422489-2177884435-1001 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = http://startsear.ch/?aff=1&src=sp&cf=100eb9df-9c62-11e1-bd05-001fd08ea264&q={searchTerms} SearchScopes: HKU\S-1-5-21-1671621278-90422489-2177884435-1001 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = http://startsear.ch/?aff=1&src=sp&cf=100eb9df-9c62-11e1-bd05-001fd08ea264&q={searchTerms} SearchScopes: HKU\S-1-5-21-1671621278-90422489-2177884435-1001 -> {42168F92-DA71-42E6-BC7F-132EAC1F1899} URL = http://www.google.com/cse?cx=partner-pub-5462406484424654%3A8q0sn8-w2ss&ie=ISO-8859-1&q={searchTerms}&sa=Search&siteurl=qooqlle.com%2F ShellExecuteHooks: - {AEB6717E-7E19-11d0-97EE-00C04FD91972} - No File [ ] ShellExecuteHooks-x32: - {AEB6717E-7E19-11d0-97EE-00C04FD91972} - No File [ ] CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{0215A4C0-5431-4FD0-9B06-46589B5C4939}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{048ED0E0-12CF-4C0F-9FFA-947C2FBE8C8E}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{071339A1-1946-44B2-B63E-50459B15DB86}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{08A60FF7-BB37-44F4-9759-0ADA6C7B9CC9}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{0B38CACA-3D3C-48EA-BEB5-7D95F4F6EE15}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{0C3393F8-94F5-4B79-8C01-49A2D0CC0FE9}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{0D555CE0-304A-47A6-858B-B145209A3982}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{12545889-6D32-4424-9967-1E1D7BD1F809}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{14679E3B-C952-4998-8E13-4B1286E6DD99}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{1481B385-759A-4B00-9257-E96357563999}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{162EF0A1-5A33-46F2-ACCF-CA388B084A09}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{1D625598-C876-4C51-8EF5-F9D8F96F62AA}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{1D6DFD6A-9E16-435A-9327-6FFEC6BA372F}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{1E5724EA-3423-4BD3-ABD6-46E650D2DC66}\InprocServer32 -> AcETransmit.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{1E8A29BA-827D-4031-A4A3-AE7999B402F6}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{1EA072EE-57FD-495E-889C-8243C3BDBDBC}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{1FD7F53F-7ED5-439C-9A77-A3821CD09E98}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{20E47D5B-529A-45BD-8E77-BF1A3064A008}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{2709544A-5B24-4F9F-A5DA-CEC7297D3A4E}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{2BCA857B-A18B-4AFA-B183-CC0E49C12058}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{2C74F89E-7421-46B4-BA54-F86F1BD9F237}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{2C7D1157-7D50-4A88-9777-5EBBA3189AB8}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{3497C2EC-5684-4B21-AF74-F6760E0221DC}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{38C8B14E-7879-4DA9-8C3F-8CAAC359293A}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{3FCEB42C-9B98-486A-BED7-FD7F3ADB7291}\InprocServer32 -> AcETransmit.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{40770568-0D5E-49D4-BE47-BC47A4F0B0A4}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{44A52280-AE56-490D-890C-89FB7279ED6B}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{46C56738-39C6-4240-8B9B-008CCD769A84}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{47179DDE-10AC-4737-97C9-8CE5379343EA}\InprocServer32 -> AcETransmit.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{475C7B4A-6964-4F9E-9708-05A16EAC31D0}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{48270F9E-CCF6-4C79-B6FF-267C960E6425}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{48FEFCD7-5D7C-4E4A-9F11-60E69A31D4B1}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{49998808-648A-4A9C-A7A5-B1672775D9AB}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{4A756F5F-CBA4-428B-B17F-AF80C0C8502D}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{4B40437B-8972-4444-BBE3-1588FF55F203}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{4BD03680-3C0F-4501-AFF7-3D008586917F}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{5544903C-2CCC-487C-91BB-F310B72A8E9B}\InprocServer32 -> AcETransmit.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{59A224A2-BEF8-4C89-96E0-83A5411ABB6C}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{622F6193-E4DD-46E6-BC66-2ED88E9FD28D}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{6451051B-AD22-4C6A-ACCE-013A0E1DDBC3}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{64B99FDB-1D85-447F-98C7-569DBDA723DB}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{6BCE6F6E-C050-4F39-BD98-E2743949F724}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{6F56D7C9-18DD-4C15-9FA8-C54E3610EC40}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{70DBCAE8-8C2B-450C-9E1D-43E4686C6512}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{713C0E8A-5AE8-4695-B442-5ED6C4FE5C42}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{7293E009-3015-4AD3-96EC-D42C36B5FCE3}\InprocServer32 -> AcETransmit.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{72EFC580-D085-4B81-8C55-26A79E445338}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{750AEC19-2E4C-4ED9-9B9F-F9CAFCD060F3}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{794199C5-827C-41C8-8CB2-3A1EA056AF5E}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{798391FE-4AF2-4851-9DDA-1F0D70C02A9E}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{7BA16B3F-1AB3-4BD7-B959-52C4B8504EE9}\InprocServer32 -> AcInetUI.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{7C239DAB-BC87-45F3-B7B1-FCC1541A235B}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{834CE679-2E47-49DE-9E41-FEC87E9192EB}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{849AFB5B-D6C9-4924-A712-F7118FF9611F}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{85452F88-5071-492E-B850-2E3C586DCBD8}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{87F5CF8F-A06D-498F-A05F-E520E6B570DB}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{89F0FC31-3B1D-494B-A75B-6BD4FA527B8A}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{8AA16DFC-DFC6-4B51-8FA2-A5D812BE33BF}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{8ED07FEF-E1B0-4CC3-B2BA-D354828AB952}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{988F4102-E6E3-4282-ACAC-55270827F2A8}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{9906CDFC-DB2C-4126-9422-13139B148495}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{9A21C6C5-27FC-4442-8590-575E7AFD73BB}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{9ECF83FB-23C5-43B6-83DE-93CFBDD74D4A}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{A58F47CC-FF65-4152-B0B1-666C643A5BFC}\InprocServer32 -> AcETransmit.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{A6A3D586-44CF-44C2-A92C-620BB713B4F2}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{ABBE3F83-D585-4A50-9B69-198B0F566F2E}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{AC5CECFA-F03A-41D2-A89C-704C44935941}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{B1560245-190E-4BBD-81DF-9B642D0E5325}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{B2A579E0-A797-40B1-8AEE-A8F6404719F8}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{B47196BC-D4AB-41BB-A771-543D67CFC9F5}\InprocServer32 -> AcETransmit.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{B53CEF4B-1A13-49DE-BBC5-A7100FB2F38C}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{B5EE2B68-9A23-4BCD-BB77-FEA6DFB24DD6}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{B80687F9-FA4C-4735-9DC4-E5715F2BC698}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{BAE5802A-CF21-4F9C-AE04-D98F4036AC31}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{BBF6A206-CB04-479D-96AE-349E1E83319A}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{BC71DEA1-D6FB-48B8-AB06-D151C81BBCDD}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{BF224DC3-B602-4EEE-BFE9-9E4E0AED6837}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{BF4CC07E-E9BB-40D6-873F-855B211033B9}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{C061C82C-D041-4214-BB07-B608107CEFCB}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{C2D4ACCC-A3D1-4A0A-AD59-0DD8BA3D5EE1}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{C8C18F89-794D-466B-8B97-95634D9890EF}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{C8EC7647-1E79-4F13-81D7-2EED803D0D22}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{CC23CA32-9892-4FBA-A108-FE31CA0F35A6}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{CD865713-70D6-4E15-BB7B-9B99AD9DEB85}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{D56F5AB3-9C4D-4F1A-A851-A671D9FE8C22}\InprocServer32 -> AcETransmit.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{D66873EA-AAE5-41CC-8DD2-8CE3228E9F89}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{D86B6C47-11F2-4D95-B635-EA575F0892FC}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{DB207560-8449-4FAF-BDC2-61676EB012D4}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{DE74F5AD-DA2F-429F-BAF9-850A2808D585}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{DF6525C2-6358-4B07-813D-708120C5FE1A}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{E177A457-9EAA-43C3-A3CE-84874A28F6CA}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{E29F6C45-6927-4508-8F3F-34105FD3FC5F}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{E4222C78-3670-4BB1-9AD4-7D8F3E581F2D}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{E70DE962-842A-4488-9481-1D0FD72A020F}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{E9C07CEC-7B82-49E4-BBA2-7533B88E9D64}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{EA34A0C0-5CE7-4701-A6FA-117D25CD5EBB}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{EF01D98A-747B-4522-AD70-991B90855DBF}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{F196F03F-651A-43AF-BE34-D11942F24445}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{F2DB0EE3-7137-4CB0-8349-483C4FF2143A}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{F40E2FF0-4D77-40B2-9A44-A3AEECCE8EFF}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{F5522F0C-962A-48AC-9992-E81B07628F1F}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{F78DCF7C-043D-45FC-9D21-676FC307BA3F}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{F868EAEC-1B73-4F5E-BA73-90EBA94E75BE}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{FA97F7A7-FD19-4D55-ABF2-CFEFFF777426}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{FD51ED8A-D518-4554-B236-B6E9D234FD03}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{FE054BB2-AF94-40AC-88AA-2F59F7018B1D}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{FE317223-8EDE-4684-B424-E48B9EA90220}\InprocServer32 -> axdb.dll No File CustomCLSID: HKU\S-1-5-21-1671621278-90422489-2177884435-1001_Classes\CLSID\{FE718E8F-C3AA-4F30-9103-432450CF1DA1}\InprocServer32 -> axdb.dll No File FF Plugin-x32: @gamersfirst.com/LiveLauncher -> C:\Program Files (x86)\GamersFirst\LIVE!\nplivelauncher.dll No File FF Plugin-x32: @pandonetworks.com/PandoWebPlugin -> C:\Program Files (x86)\Pando Networks\Media Booster\npPandoWebPlugin.dll No File FF Plugin HKU\S-1-5-21-1671621278-90422489-2177884435-1001: ubisoft.com/uplaypc -> C:\Program Files (x86)\Ubisoft\Ubisoft Game Launcher\npuplaypc.dll No File AlternateDataStreams: C:\ProgramData\Microsoft:t3dmLT7Gh619NnB0loj AlternateDataStreams: C:\ProgramData\Microsoft:VZz26AaRPy2hfFtJkp0snnV AlternateDataStreams: C:\ProgramData\Microsoft:ZJOsokunQRXMuBnUlOiOQWqIY2 C:\Program Files (x86)\Mozilla Firefox\extensions C:\ProgramData\Microsoft\Windows\GameExplorer\{8FD9E9FF-B0B1-435E-A04E-87AD654CF3CF} C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Microsoft Games for Windows Marketplace C:\ProgramData\Microsoft\Windows\Start Menu\Programs\O22y Inc C:\ProgramData\Origin C:\Users\Rubo\AppData\Local\Microsoft\Windows\GameExplorer\{128CFC5D-D647-4EBE-8D27-FF7208214792} C:\Users\Rubo\AppData\Local\Microsoft\Windows\GameExplorer\{28A59C1F-AF0D-4925-87D5-730D8C0B00EB} C:\Users\Rubo\AppData\Local\Microsoft\Windows\GameExplorer\{93098CD0-106A-43C3-ACDC-07DCC2609B43} C:\Users\Rubo\AppData\Local\Microsoft\Windows\GameExplorer\{EBC15CD0-EE3C-4FC1-AD53-5991F131437B} C:\Users\Rubo\AppData\Roaming\Thinstall C:\Users\Rubo\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\337 GAMES.lnk C:\Users\Rubo\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Autodesk C:\Users\Rubo\Documents\Inventor\Default.lnk Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\Main" /f Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\Main" /f Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\Main" /f EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 3. Wyczyść Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj / Odśwież program Firefox. Zakładki i hasła nie zostaną naruszone, ale Adblock Plus trzeba będzie przeinstalować. 4. Napraw uszkodzony specjalny skrót IE. W pasku eksploratora wklej poniższą ścieżkę i ENTER: C:\Users\Rubo\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools Prawoklik na zlokalizowany tam skrót Internet explorer (bez dodatków) > Właściwości > w polu Element docelowy po ścieżce "C:\Program Files\Internet Explorer\iexplore.exe" dopisz dwie spacje i -extoff 5. Zrób nowy log FRST z opcji Scan, zaznacz ponownie pole Addition, by powstały dwa logi. Dołącz też plik fixlog.txt oraz plik C:\ComboFix.txt.

DelFix wykonał zadanie. Skasuj z dysku plik C:\Delfix.txt. Temat rozwiązany. Zamykam.

Czy jest jakiś konkretny powód, że przeglądarki muszą być otwierane przy starcie? Reset Firefox nie jest związany z usunięciem omni.ja, tylko z adware wstawionym do Firefox. To nadal aktualne.

Fix wykonany. Skasuj D:\skan\frst, popraw za pomocą DelFix oraz wyczyść foldery Przywracania systemu: KLIK.

Coś jest nie tak z przetwarzaniem proxy. Poproszę o jeszcze jeden odczyt. Otwórz Notatnik i wklej w nim: Reg: reg query "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings" /s Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Przedstaw wynikowy fixlog.txt.

Do wdrożenia tylko drobne korekty. Otwórz Notatnik i wklej w nim: CloseProcesses: HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.interia.pl/#utm_source=instalki&utm_medium=installer&utm_campaign=instalki HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = http://www.interia.pl/#utm_source=instalki&utm_medium=installer&utm_campaign=instalki HKU\S-1-5-21-1712186617-1565352879-3468796479-1001\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.interia.pl/#utm_source=instalki&utm_medium=installer&utm_campaign=instalki HKLM\...\Policies\Explorer: [NoControlPanel] 0 S0 mfeelamk; system32\drivers\mfeelamk.sys [X] S4 sptd; \SystemRoot\System32\Drivers\sptd.sys [X] C:\Program Files\mcafee C:\Program Files\Common Files\mcafee C:\Program Files (x86)\Alcohol Soft C:\ProgramData\DAEMON Tools Lite C:\ProgramData\F-Secure C:\ProgramData\McAfee C:\Users\Paweł Ola\AppData\Roaming\sp_data.sys C:\Users\Paweł Ola\AppData\Roaming\WebStorage C:\Users\Paweł Ola\Documents\ax_files.xml Reg: reg delete HKLM\SOFTWARE\Wow6432Node\MozillaPlugins /f EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. Przedstaw go.

Wszystko wykonane. Na koniec zastosuj DelFix oraz wyczyść foldery Przywracania systemu: KLIK.

1. Do deinstalacji mierny Spybot Search and Destroy doinstalowany w międzyczasie. 2. Nie widzę zmian w Google Chrome, wygląda identycznie jak przed operacją (i wpisy adware otwierane przy starcie). Miałeś wykonać to: 3. Fix w FRST nadal w ogóle nie wykonany: Ale co Ty robisz po zapisaniu pliku fixlist.txt w katalogu C:\Users\dell\Downloads? Masz uruchomić FRST i kliknąć w Fix (a nie Scan). Po tym ma nastąpić restart, a w katalogu C:\Users\dell\Downloads powstanie plik fixlog.txt. 4. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt.

Uszkodziłeś Firefox. To poprawny plik: KLIK. Występuje w następujących lokalizacjach: C:\Program Files (x86)\Mozilla Firefox\omni.ja C:\Program Files (x86)\Mozilla Firefox\browser\omni.ja C:\Program Files (x86)\Mozilla Firefox\webapprt\omni.ja Nadal w tle uruchomione szkodniki. Będę usuwać też skróty przeglądarek z folderu Autostart, niezależnie od tego czy samodzielnie je utworzyłeś. 1. Odinstaluj zbędny Norton Security Scan. 2. Otwórz Notatnik i wklej w nim: CloseProcesses: CreateRestorePoint: S2 globalUpdate; C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe [68608 2015-02-27] (globalUpdate) [File not signed] S3 globalUpdatem; C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe [68608 2015-02-27] (globalUpdate) [File not signed] R2 hebeceku; C:\Users\Fabian\AppData\Roaming\4C4C4544-1425040579-5010-8053-C7C04F503032\jnsc2839.tmp [175104 2015-02-27] () [File not signed] R2 wyrigeqi; C:\Users\Fabian\AppData\Roaming\4C4C4544-1425040579-5010-8053-C7C04F503032\nsfFB86.tmpfs [X] S1 qrnfd_1_10_0_9; system32\drivers\qrnfd_1_10_0_9.sys [X] HKLM-x32\...\Run: [gmsd_pl_58] => [X] HKU\S-1-5-21-4113954769-2473987496-1411739572-1001\...\Run: [Mobile Partner] => C:\Program Files (x86)\MobileWiFi\MobileWiFi Task: {1D4FBAAD-8A64-4CD0-B916-EF7FB4FDFE03} - System32\Tasks\APSnotifierPP3 => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe Task: {37FBDD6F-D687-4DA2-8445-CA401E66340E} - System32\Tasks\globalUpdateUpdateTaskMachineCore => C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe [2015-02-27] (globalUpdate) Task: {4F052835-6C30-41B9-8B20-6CC953BD45B2} - System32\Tasks\Microsoft OneDrive Auto Update Task-S-1-5-21-4113954769-2473987496-1411739572-1001 => %localappdata%\Microsoft\OneDrive\OneDrive.exe Task: {593876E1-80F2-414C-809E-F40D6CA2F563} - System32\Tasks\APSnotifierPP2 => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe Task: {7E25837D-0B5D-4BFE-B85B-DD0DDE78F7D0} - System32\Tasks\MTVFGYSJ => C:\Users\Fabian\AppData\Roaming\MTVFGYSJ.exe [2015-02-27] (HQ CinemaV27.02) Task: {C8A561F8-2ED1-4A62-ACE8-6AC20AB05DB8} - System32\Tasks\{82075278-5D85-4ED1-A424-639032E88963} => pcalua.exe -a C:\Users\Fabian\AppData\Roaming\mystartsearch\UninstallManager.exe -c -ptid=cmi Task: {D60CB752-68A3-4A05-83BD-FA29A44218EB} - System32\Tasks\globalUpdateUpdateTaskMachineUA => C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe [2015-02-27] (globalUpdate) Task: {DAE54074-2B1F-401D-944C-45CFE6F97141} - System32\Tasks\{2CB5ECCD-3AF4-43E8-80CE-4C973C616AD0} => pcalua.exe -a C:\Users\Fabian\Downloads\PDA-Net.exe -d C:\Users\Fabian\Downloads Task: {E3A921ED-759B-477A-BE00-CCE0E49F5787} - System32\Tasks\APSnotifierPP1 => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe Task: {EE077D51-B098-48F4-BEB6-5AAB1DED665F} - System32\Tasks\SmartWeb Upgrade Trigger Task => C:\Users\Fabian\AppData\Local\SmartWeb\SmartWebHelper.exe Task: {F19918E6-C1B5-46FB-9216-818FB0079218} - System32\Tasks\Norton Security Scan for Fabian => C:\Program Files (x86)\Norton Security Scan\Engine\4.1.0.28\Nss.exe [2014-01-27] (Symantec Corporation) Task: {F4831012-3C6D-432F-AC90-86987BA3D745} - System32\Tasks\MQCGS => C:\Users\Fabian\AppData\Roaming\MQCGS.exe [2015-02-27] (HQ CinemaV27.02) Task: C:\WINDOWS\Tasks\APSnotifierPP1.job => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe Task: C:\WINDOWS\Tasks\APSnotifierPP2.job => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe Task: C:\WINDOWS\Tasks\APSnotifierPP3.job => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe Task: C:\WINDOWS\Tasks\globalUpdateUpdateTaskMachineCore.job => C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe Task: C:\WINDOWS\Tasks\globalUpdateUpdateTaskMachineUA.job => C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe Task: C:\WINDOWS\Tasks\MQCGS.job => C:\Users\Fabian\AppData\Roaming\MQCGS.exe Task: C:\WINDOWS\Tasks\MTVFGYSJ.job => C:\Users\Fabian\AppData\Roaming\MTVFGYSJ.exe Task: C:\WINDOWS\Tasks\Norton Security Scan for Fabian.job => C:\PROGRA~2\NORTON~2\Engine\410~1.28\Nss.exe Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\iexplore.exe — skrót.lnk Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Mozilla Firefox.lnk HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.com/ HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = http://www.google.com/ HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.mystartsearch.com/web/?type=ds&ts=1425041227&from=cmi&uid=WDCXWD10EZEX-75M2NA0_WD-WCC3F286953769537&q={searchTerms} HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = http://www.mystartsearch.com/web/?type=ds&ts=1425041227&from=cmi&uid=WDCXWD10EZEX-75M2NA0_WD-WCC3F286953769537&q={searchTerms} HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.com/ HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.com/ HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.mystartsearch.com/web/?type=ds&ts=1425041227&from=cmi&uid=WDCXWD10EZEX-75M2NA0_WD-WCC3F286953769537&q={searchTerms} HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.mystartsearch.com/web/?type=ds&ts=1425041227&from=cmi&uid=WDCXWD10EZEX-75M2NA0_WD-WCC3F286953769537&q={searchTerms} SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.mystartsearch.com/web/?type=ds&ts=1425041227&from=cmi&uid=WDCXWD10EZEX-75M2NA0_WD-WCC3F286953769537&q={searchTerms} SearchScopes: HKLM-x32 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.mystartsearch.com/web/?type=ds&ts=1425041227&from=cmi&uid=WDCXWD10EZEX-75M2NA0_WD-WCC3F286953769537&q={searchTerms} SearchScopes: HKLM-x32 -> {632F07F3-19A1-4d16-A23F-E6CE9486BAB5} URL = http://www.bing.com/search?q={searchTerms}&FORM=AVASDF&PC=AV01 SearchScopes: HKU\S-1-5-21-4113954769-2473987496-1411739572-1001 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = http://www.mystartsearch.com/web/?utm_source=b&utm_medium=cmi&utm_campaign=install_ie&utm_content=ds&from=cmi&uid=WDCXWD10EZEX-75M2NA0_WD-WCC3F286953769537&ts=1425041305&type=default&q={searchTerms} SearchScopes: HKU\S-1-5-21-4113954769-2473987496-1411739572-1001 -> {1A95DC8F-4A6D-4938-B715-50B59B516306} URL = http://www.mystartsearch.com/web/?utm_source=b&utm_medium=cmi&utm_campaign=install_ie&utm_content=ds&from=cmi&uid=WDCXWD10EZEX-75M2NA0_WD-WCC3F286953769537&ts=1425041305&type=default&q={searchTerms} SearchScopes: HKU\S-1-5-21-4113954769-2473987496-1411739572-1001 -> {2023ECEC-E06A-4372-A1C7-0B49F9E0FFF0} URL = http://www.mystartsearch.com/web/?utm_source=b&utm_medium=cmi&utm_campaign=install_ie&utm_content=ds&from=cmi&uid=WDCXWD10EZEX-75M2NA0_WD-WCC3F286953769537&ts=1425041305&type=default&q={searchTerms} SearchScopes: HKU\S-1-5-21-4113954769-2473987496-1411739572-1001 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.mystartsearch.com/web/?type=dspp&ts=1425041286&from=cmi&uid=WDCXWD10EZEX-75M2NA0_WD-WCC3F286953769537&q={searchTerms} SearchScopes: HKU\S-1-5-21-4113954769-2473987496-1411739572-1001 -> {632F07F3-19A1-4d16-A23F-E6CE9486BAB5} URL = http://www.mystartsearch.com/web/?utm_source=b&utm_medium=cmi&utm_campaign=install_ie&utm_content=ds&from=cmi&uid=WDCXWD10EZEX-75M2NA0_WD-WCC3F286953769537&ts=1425041305&type=default&q={searchTerms} SearchScopes: HKU\S-1-5-21-4113954769-2473987496-1411739572-1001 -> {E733165D-CBCF-4FDA-883E-ADEF965B476C} URL = http://www.mystartsearch.com/web/?utm_source=b&utm_medium=cmi&utm_campaign=install_ie&utm_content=ds&from=cmi&uid=WDCXWD10EZEX-75M2NA0_WD-WCC3F286953769537&ts=1425041305&type=default&q={searchTerms} StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe http://www.omniboxes.com/?type=sc&ts=1425037189&from=obw&uid=WDCXWD10EZEX-75M2NA0_WD-WCC3F286953769537 FF DefaultSearchEngine: mystartsearch FF SelectedSearchEngine: mystartsearch FF Plugin-x32: @staging.google.com/globalUpdate Update;version=10 -> C:\Program Files (x86)\globalUpdate\Update\1.3.25.0\npGoogleUpdate4.dll (globalUpdate) FF Plugin-x32: @staging.google.com/globalUpdate Update;version=4 -> C:\Program Files (x86)\globalUpdate\Update\1.3.25.0\npGoogleUpdate4.dll (globalUpdate) FF SearchPlugin: C:\Users\Fabian\AppData\Roaming\Mozilla\Firefox\Profiles\6odyhuug.default\searchplugins\bing-avast.xml FF SearchPlugin: C:\Users\Fabian\AppData\Roaming\Mozilla\Firefox\Profiles\6odyhuug.default\searchplugins\mystartsearch.xml FF SearchPlugin: C:\Users\Fabian\AppData\Roaming\Mozilla\Firefox\Profiles\6odyhuug.default\searchplugins\yahoo-avast.xml FF Extension: FF Toolbar - C:\Users\Fabian\AppData\Roaming\Mozilla\Firefox\Profiles\6odyhuug.default\Extensions\fftoolbar2014@etech.com [2015-02-27] FF HKLM-x32\...\Firefox\Extensions: [searchengine@gmail.com] - C:\Users\Fabian\AppData\Roaming\Mozilla\Firefox\Profiles\6odyhuug.default\extensions\searchengine@gmail.com FF HKLM-x32\...\Firefox\Extensions: [faststartff@gmail.com] - C:\Users\Fabian\AppData\Roaming\Mozilla\Firefox\Profiles\6odyhuug.default\extensions\faststartff@gmail.com FF HKLM-x32\...\Firefox\Extensions: [fftoolbar2014@etech.com] - C:\Users\Fabian\AppData\Roaming\Mozilla\Firefox\Profiles\6odyhuug.default\extensions\fftoolbar2014@etech.com C:\Program Files (x86)\globalUpdate C:\Program Files (x86)\predm C:\Program Files (x86)\XTab C:\ProgramData\IHProtectUpDate C:\ProgramData\WindowsMangerProtect C:\Users\Fabian\AppData\Local\nsh5F45.tmp C:\Users\Fabian\AppData\Local\nsk8217.tmp C:\Users\Fabian\AppData\Local\nsy9618.tmp C:\Users\Fabian\AppData\Local\4C4C4544-1425040623-5010-8053-C7C04F503032 C:\Users\Fabian\AppData\Local\globalUpdate C:\Users\Fabian\AppData\Local\SmartWeb C:\Users\Fabian\AppData\Roaming\MQCGS C:\Users\Fabian\AppData\Roaming\MQCGS.exe C:\Users\Fabian\AppData\Roaming\MTVFGYSJ C:\Users\Fabian\AppData\Roaming\MTVFGYSJ.exe C:\Users\Fabian\AppData\Roaming\4C4C4544-1425040579-5010-8053-C7C04F503032 C:\Users\Fabian\AppData\Roaming\AnyProtectEx C:\Users\Fabian\AppData\Roaming\omniboxes C:\Users\Fabian\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\AnyProtect PC Backup C:\WINDOWS\patsearch.bin C:\WINDOWS\system32\Drivers\Msft_Kernel_webTinstMK_01009.Wdf C:\WINDOWS\SysWOW64\029B560A371F4E00AB32838EBC01B9E7 Reg: reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2 /f EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 3. Zainstaluj nakładkowo Firefox, by odtworzyć omyłkowo skasowane pliki. Następnie uruchom Firefox i menu Pomoc > Informacje dla pomocy technicznej > Zresetuj / Odśwież program Firefox. Zakładki i hasła nie zostaną naruszone, ale używane rozszerzenia trzeba będzie przeinstalować (DownThemAll!, Adblock Plus, NoScript, ReminderFox). 4. Są tu dwa konta: ==================== Accounts: ============================= Fabian (S-1-5-21-4113954769-2473987496-1411739572-1001 - Administrator - Enabled) => C:\Users\Fabian Jarosław (S-1-5-21-4113954769-2473987496-1411739572-1007 - Limited - Enabled) => C:\Users\Jarosław Na każdym (logując się poprzez pełny restart systemu a nie Wyloguj / Przełącz użytkownika) zrób nowy log FRST z opcji Scan, zaznacz ponownie pole Addition, by powstały dwa logi. Na limitowanym Jarosławie uruchom FRST przez dwuklik a nie "Uruchom jako Administrator" (co zmieni kontekst konta na Fabiana). Dołącz też plik fixlog.txt.

Infekcja nabyta prawdopodobnie z serwisu dobreprogramy.pl i jego "Asystenta pobierania" (na dysku u Ciebie pliki tego śmiecia w Pobranych): KLIK. Próbując rozwiązać problem zainstalowałaś skaner-naciągacz z czarnej listy SpyHunter. Jest tu też za dużo antywirusów zainstalowanych, Avast na spółkę z ogromnym pakietem McAfee. Operacje do przeprowadzenia: 1. Przez Panel sterowania odinstaluj McAfee LiveSafe – Internet Security, McAfee Security Scan Plus, SpyHunter4 oraz firmowe aplikacje "Pokki" Host App Service, Lenovo Web Start, Start Menu. 2. Wyczyść Firefox z adware Strong Signal: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj / Odśwież program Firefox. Zakładki i hasła nie zostaną naruszone. 3. Otwórz Notatnik i wklej w nim: CloseProcesses: CreateRestorePoint: HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\VDWFP => ""="Driver" HKLM\...\Policies\Explorer: [NoFolderOptions] 0 HKLM\...\Policies\Explorer: [NoControlPanel] 0 HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = about:blank C:\Users\Joanna\Downloads\*(*)-dp*.exe Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Google /f EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 4. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt.

Zestaw obowiązkowych logów FRST niekompletny - brak pliku Shortcut. A SpyHunter to wątpliwy program z czarnej listy, z daleka od tego "produktu". Podobnie jest z YAC (Yet Another Cleaner), który widać w Pobranych. Do wdrożenia: 1. Przez Panel sterowania odinstaluj SpyHunter 4. 2. Otwórz Notatnik i wklej w nim: CloseProcesses: CreateRestorePoint: CMD: type C:\Windows\system32\GroupPolicy\Machine\Registry.pol GroupPolicy: Group Policy on Chrome detected CHR HKLM\SOFTWARE\Policies\Google: Policy restriction HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = www.wp.pl/?src01=dp220150218 HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = www.wp.pl/?src01=dp220150218 HKU\S-1-5-21-1738048982-2740039737-1474707277-1000\Software\Microsoft\Internet Explorer\Main,Start Page = www.wp.pl/?src01=dp220150218 SearchScopes: HKU\S-1-5-21-1738048982-2740039737-1474707277-1001 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = C:\Users\lenovo\AppData\Local\Google\Chrome\User Data\Default\Preferences C:\Users\lenovo\Downloads\*(*)-dp*.exe C:\Users\lenovo\Downloads\Niepotwierdzony*.crdownload C:\Users\lenovo\Downloads\yet_another_cleaner_mmac.exe Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 3. W Google Chrome: Ustawienia > karta Rozszerzenia > odinstaluj Round World Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Zresetuj ustawienia przeglądarki. Zakładki i hasła nie zostaną naruszone. Zresetuj cache wtyczek. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie Włącz. 4. Zrób nowy log FRST z opcji Scan, zaznacz pole Shortcut, by powstał brakujący log. Dołącz też plik fixlog.txt. Logi proszę wstaw jako załączniki forum, a nie na serwisach zewnętrznych. Podsumuj czy problem nadal występuje.

Dwie rzeczy nie zostały przetworzone: adresy startowe adware oraz wpisy proxy. Poprawki: 1. W Google Chrome: Ustawienia > karta Ustawienia > Po uruchomieniu > Otwórz konkretną stronę lub zestaw stron > usuń adresy start.qone8.com + nationzoom.com, przestaw na "Otwórz stronę nowej karty". 2. Otwórz Notatnik i wklej w nim: Reg: reg delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL /f Reg: reg query "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Connections" /s Reboot: Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Nastąpi restart i powstanie kolejny fixlog.txt. 3. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt.

Nie zrestartowało, bo w ogóle zadania nie wykonałeś. Katalog Logs to archiwum starych logów, tam się ani nie zagląda, ani nie uruchamia stamtąd FRST. Umieszczanie tam Fixlist bez sensu, bo tam nie ma FRST i nie znajdzie tego skryptu. Podany raport rzekomo wynikowy "Fixlog.txt" to żaden Fixlog tylko stara kopia głównego raportu FRST (usuwam). Napisałam wyraźnie: FRST działa ze ścieżki: Running from C:\Users\dell\Downloads I to tu masz zapisać plik fixlist.txt. Do powtórzenia punkt 3 + 4.

Fix wykonany. Skasuj z Pulpitu folder FRST, następnie zastosuj DelFix oraz wyczyść foldery Przywracania systemu: KLIK.

"Obok" = w tym samym folderze skąd uruchamiasz FRST, czyli tu katalog Pobrane. Uruchomienie opcji Fix w FRST przetworzy plik fixlist.txt.

DelFix wykonał zadanie. Usuń z dysku plik C:\Delfix.txt.

Na przyszłość: przed użyciem AdwCleaner staraj się deinstalować poprawnie programy adware poprzez Panel sterowania i menedżery dodatków przeglądarek. Siłowe usuwanie AdwCleaner bez poprawej deinstalacji ma skutki uboczne. W Firefox jest nadal adware Term Tutor. W Google Chrome ostał się wpis startowy adware key-find.com. Do wykonania też inne drobne działania kosmetyczne. 1. Odinstaluj zbędnik Samsunga MyFreeCodec. AdwCleaner i tak go uszkodził. 2. Otwórz Notatnik i wklej w nim: CloseProcesses: CreateRestorePoint: CHR StartupUrls: Default -> "hxxp://www.key-find.com/?type=hp&ts=1423678108&from=cor&uid=3219913727_198339_FC4977EE" FF Extension: Term Tutor - C:\Program Files (x86)\Mozilla Firefox\extensions\termtutor@termtutor.com [2014-09-30] FF Extension: No Name - C:\Program Files (x86)\Mozilla Firefox\browser\extensions\{82AF8DCA-6DE9-405D-BD5E-43525BDAD38A}.xpi [2014-07-14] FF Plugin-x32: adobe.com/AdobeExManDetect -> C:\Program Files (x86)\Adobe\Adobe Extension Manager CS6\npAdobeExManDetectX86.dll No File HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.com HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = http://www.google.com HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.com HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = http://www.google.com HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.com HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.com HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.google.com HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.google.com HKLM\...\Run: [Nvtmru] => "C:\Program Files (x86)\NVIDIA Corporation\NVIDIA Update Core\nvtmru.exe" HKLM-x32\...\Run: [] => [X] HKU\S-1-5-21-791816818-133641517-823863757-1001\...\Run: [AdobeBridge] => [X] BootExecute: autocheck autochk * sdnclean64.exe Task: {1CD21A6C-C660-41A6-9BC1-51A3A25C9DD9} - System32\Tasks\{38FD681C-6ACE-4BDC-80FE-A1303C6F9BEB} => pcalua.exe -a C:\Users\Agata\Desktop\SAMSUNG_USB_Driver_for_Mobile_Phones.exe -d C:\Users\Agata\Desktop Task: {5132234E-FADF-4241-9132-EB1BBA664E00} - System32\Tasks\{6D77A065-5190-423B-BA37-63FA7C259E82} => pcalua.exe -a "C:\Program Files (x86)\Common Files\Adobe\OOBE\PDApp\core\PDApp.exe" -c --appletID="DWA_UI" --appletVersion="2.0" --mode="Uninstall" --mediaSignature="{CFB770D7-8D43-1014-922B-CC2715FADE3F}" Task: {6A5C9C52-7047-4450-BD98-C3B0667AB843} - System32\Tasks\{6F01AF8D-3374-46FA-B84A-6ECA61E9A8C1} => pcalua.exe -a "C:\Program Files (x86)\Adobe\Adobe Creative Cloud\Utils\Creative Cloud Uninstaller.exe" Task: {C4D4522E-9E8F-4745-90A0-491F88D6AD3B} - System32\Tasks\SmartShare => C:\Program Files (x86)\LG Software\LG Smart Share\SmartShareStart.exe AlternateDataStreams: C:\Users\Agata\Cookies:p7k0wbJ18B9nXI9KWldc1adb5 AlternateDataStreams: C:\Users\Agata\SkyDrive:ms-properties AlternateDataStreams: C:\Users\Agata\Ustawienia lokalne:u5FqsshdATzZdRYlrmKEt40pv AlternateDataStreams: C:\Users\Agata\AppData\Local:u5FqsshdATzZdRYlrmKEt40pv AlternateDataStreams: C:\Users\Agata\AppData\Local\Dane aplikacji:u5FqsshdATzZdRYlrmKEt40pv AlternateDataStreams: C:\Users\Agata\AppData\Local\PcpwOKxg:Ge17ll5YDZcwcmyNnd4cDg3g7S AlternateDataStreams: C:\Users\Agata\AppData\Local\Temporary Internet Files:F8YWWekuAL2NJBDE9idjjRBft C:\Program Files (x86)\Spybot - Search & Destroy 2 C:\ProgramData\mntemp C:\ProgramData\DAEMON Tools Lite C:\ProgramData\Microsoft\Windows\Start Menu\Programs\MiP Data Recovery Tool C:\ProgramData\Spybot - Search & Destroy C:\ProgramData\TEMP C:\Users\Agata\AppData\Roaming\ORAWZU C:\Users\Administrator C:\Users\Gość C:\Users\HomeGroupUser$ C:\Windows\System32\Tasks\Safer-Networking DeleteKey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Safer-Networking Reg: reg delete HKCU\Software\Mozilla\SeaMonkey /f Reg: reg delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\key-find uninstall" /f Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f Reg: reg query HKLM\SOFTWARE\Wow6432Node\Google\Chrome\Extensions\lpoimibckejjdjcfbdnajaicnklhfplh /s EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 3. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt.

Na koniec: 1. Skasuj FRST z folderu "FixitPC prosba o skan". Popraw jeszcze DelFix oraz wyczyść foldery Przywracania systemu: KLIK. 2. Cały system do aktualizaji. Stan obecny to brak SP1, IE11 i reszty łat: Platform: Windows 7 Home Premium (X64) OS Language: Polski (Polska) Internet Explorer Version 8 (Default browser: Chrome)

Niestety, tak jak już mówiłam, z zaszyfrowanymi plikami nic nie jestem w stanie zrobić. Pliki HELP_DECRYPT z dysku D dokasuję. I prowadzono tu zadania w inny sposób niż zadałam. Fix FRST wygląda jak przetwarzany kilka razy lub coś na własną rękę usuwano przed jego użyciem. Nie wszystkie też zadania zostały wykonane. Kolejna porcja działań: 1. McAfee w ogóle nie usunięty. Jak mówiłam, w Trybie awaryjnym Windows (a nie normalnym) zastosuj McAfee Consumer Product Removal Tool. 2. Wystąpiły kolejne zmiany i na liście zainstalowanych odtworzył się YAC(Yet Another Cleaner!). Odinstaluj go via Panel sterowania, a nie za pomocą Revo. 3. Uruchom narzędzie Microsoftu: KLIK. Zaakceptuj > Wykryj problemy i pozwól mi wybrać poprawki do zastosowania > Odinstalowywanie > zaznacz na liście ukryty wpis Vipre > Dalej. 4. Otwórz Notatnik i wklej w nim: CloseProcesses: CreateRestorePoint: HKLM\...\Run: [sBRegRebootCleaner] => C:\Users\NOWAK-LP\AppData\Local\Temp\RemoveVIPRE\sbrc.exe [200560 2012-05-23] (GFI Software) ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => No File HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction HKU\S-1-5-21-84699557-792703091-1178954015-1004\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction HKU\S-1-5-21-84699557-792703091-1178954015-1004\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch S3 EsgScanner; C:\Windows\System32\DRIVERS\EsgScanner.sys [19984 2015-02-26] () S3 catchme; \??\C:\Users\NOWAK-LP\AppData\Local\Temp\catchme.sys [X] S1 SBRE; \SystemRoot\system32\drivers\SBREDrv.sys [X] C:\sh4_service.log C:\sh4ldr C:\shldr C:\shldr.mbr C:\spyhunter.log C:\Program Files\Enigma Software Group C:\ProgramData\AVAST Software C:\ProgramData\Spybot - Search & Destroy C:\Windows\system32\sbrc.dat C:\Windows\system32\CartSdkTestLog.csv C:\Windows\System32\DRIVERS\EsgScanner.sys C:\Windows\system32\Drivers\SbFw.sys C:\Windows\system32\Drivers\sbhips.sys C:\Windows\system32\vbox CMD: del /q /s D:\HELP_DECRYPT.* Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\Main" /f Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\Main" /f Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\Main" /f Reg: reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\ConvertAd" /f Reg: reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\gmsd_pl_55_is1" /f Reg: reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\IGS" /f Reg: reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\igsc" /f Reg: reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\iSafe" /f Reg: reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\SmartWeb" /f Reg: reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\VOPackage" /f Reg: reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\WindowsMangerProtect" /f Reg: reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\winzipper" /f Reg: reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\WordProser_1.10.0.6" /f EmptyTemp: Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Nastąpi restart i powstanie kolejny fixlog.txt. 5. Zrób nowy log FRST z opcji Scan, zaznacz ponownie pole Addition, by powstały dwa logi. Dołącz też plik fixlog.txt. Wypowiedz się dokładnie czy problemy z połączeniem sieciowym nadal mają miejsce.

Kolejna porcja zadań: 1. Otwórz Notatnik i wklej w nim: HKU\S-1-5-21-3839221274-3043303846-3843884880-1000\...\Run: [Vidalia] => "C:\Program Files (x86)\Vidalia Bundle\Vidalia\vidalia.exe" Tcpip\..\Interfaces\{0DE42E25-054D-425F-BC86-59392B66E805}: [NameServer] 8.8.8.8,8.8.8.8,8.8.8.8,8.8.8.8 Tcpip\..\Interfaces\{3C6BEDAC-295D-4CCA-B7C0-D29B9025112B}: [NameServer] 8.8.8.8,8.8.8.8,8.8.8.8,8.8.8.8,192.168.1.1 Tcpip\..\Interfaces\{CB5D6BA0-94D2-4A97-8CF9-B104A9ECE634}: [NameServer] 8.8.8.8,8.8.8.8,8.8.8.8,8.8.8.8 Tcpip\..\Interfaces\{FEAE69A1-3628-4C7C-A8F7-4A9567B1A7A2}: [NameServer] 8.8.8.8,8.8.8.8,8.8.8.8,8.8.8.8 CMD: netsh winsock reset EmptyTemp: Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Nastąpi restart, powstanie kolejny fixlog.txt - przedstaw go. 2. Ustaw DNS Windows (dla każdego z połączeń z osobna): KLIK. Wybierz opcję "Uzyskaj automatycznie". 3. Uruchom Malwarebytes Anti-Malware (przy instalacji odznacz trial) i wykonaj pełne skanowanie systemu. Jeśli coś znajdzie, dostarcz raport.

Tym razem wszystko wykonane. Na koniec: Zastosuj DelFix oraz wyczyść foldery Przywracania systemu: KLIK.

Zadania wykonane. Na koniec zastosuj DelFix oraz wyczyść foldery Przywracania systemu: KLIK. To zadaję zawsze na końcu po czyszczeniu systemu. W w/w przyklejonym temacie są linki do najnowszych wersji: KLIK.

DelFix wykonał co należy. Skasuj z dysku plik C:\Delfix.txt. To tyle z mojej strony.