Problem z internetem

[deepack321]

Witam

 

Piszę na tym portalu, ponieważ raz udzielono mi tutaj bardzo profesjonalnej pomocy i mam nadzieję, że poraz kolejny sie nie zawiodę, otóż problemem, z którym dzisiaj do Was przychodzę jest dziwnie wolny internet. Bardziej szczegółowo internet nagle przestał chodzić tak jak do tej pory, od razu zaznaczam, że jest to wina komputera, bo na laptopie jest wszystko ok, wiec domyslam się, ze to jakiś błąd lub wirus. Owy problem powstał po ściągnięciu MMORPG, lecz nie sądzę, żeby to było przyczyną, ponieważ ściągnąłem ze strony głównej, w dodatku to dział pomocy technicznej mi to doradził (wcześniej zgłaszałem pewien problem, który chyba nie ma znaczenia). Być może jest to po prostu zbieg okoliczności, kiedyś również miałem podobne problemy, ale zawsze formatowałem komputer, natomiast teraz chciałem rozwiązać problem, a nie zamiatać go pod dywan.

 

Mam nadzieję, że pomoc zostanie mi udzielona.

 

Serdecznie pozdrawiam

[picasso]

Temat założyłeś w dziale diagnostyki infekcji. Dział ten ma zasady: KLIK. I nie zostały tu dostarczone obowiązkowe raporty.

 

 

 

.

[deepack321]

Nie wkleiłem, bo nie wiedziałem jakie, ale teraz to wykonałem i mam raporty OTL, mam nadzieje, że to wystarczy, w innym wypadku proszę powiedziec o jakie raporty chodzi.

 

OTL: http://wklej.org/id/891868/

Extras: http://wklej.org/id/891869/

[picasso]

Zasady działu rozwiewają wątpliwości "jakie". Jeśli temat zakładasz w dziale diagnostyki infekcji, jest oczywistym, że masz wdrożyć zasady. To samo dotyczy każdego innego działu, który ma odrębne zasady. Co mówią zasady tego działu? Obowiązkowe logi OTL + GMER. GMER nie dałeś...

 

W systemie jest infekcja, czyli keylogger z Tibia:

 

O20 - Winlogon\Notify\LogonInit: DllName - (logonInit.dll) - C:\Program Files\Common Files\logonInit.dll ()
 
[2011-05-01 11:51:02 | 000,000,603 | ---- | C] () -- C:\Program Files\Common Files\userInit.dll
[2011-05-01 08:53:22 | 000,027,958 | ---- | C] () -- C:\Program Files\Common Files\logonInit.dll

 

Ponadto plik windate.exe w Autostarcie. Instalowałeś lewe paczki do Tibia, które są nośnikiem trojanów. No i system zaśmiecony adware. Będę też usuwać szczątki po odinstalowanym Google Chrome.

 

 

1. Przez Panel sterowania odinstaluj adware DVDVideoSoftTB Toolbar, SweetIM for Messenger 3.6, SweetPacks Toolbar for Internet Explorer 4.5, YTD Video Downloader. Tak, YTD Video Downloader instaluje adware.

 

2. Firefox: wyczyść z adware za pomocą menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox.

 

3. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\Documents and Settings\Konrad\Menu Start\Programy\Autostart\windate.exe
C:\Program Files\Common Files\logonInit.dll
C:\Program Files\Common Files\userInit.dll
C:\WINDOWS\windate.exe
C:\WINDOWS\os4.exe
C:\WINDOWS\zlib1.dll
C:\WINDOWS\Last.dat
C:\WINDOWS\memlist.dat
C:\WINDOWS\Language.dat
C:\WINDOWS\test.dat
@C:\WINDOWS:9F3DA86D9758AD4C
C:\Documents and Settings\All Users\Dane aplikacji\zdhvmnqp.xgw
C:\Documents and Settings\Konrad\Dane aplikacji\PriceGong
C:\Documents and Settings\Konrad\Dane aplikacji\Toolbar4
C:\Documents and Settings\Seba\Dane aplikacji\PriceGong
C:\Documents and Settings\Seba\Dane aplikacji\Toolbar4
C:\Documents and Settings\Zbyszek\Dane aplikacji\PriceGong
C:\Documents and Settings\Zbyszek\Dane aplikacji\Toolbar4
C:\Documents and Settings\Konrad\Ustawienia lokalne\Dane aplikacji\Google
C:\scu.dat
netsh firewall reset /C
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\LogonInit]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{A92DAB39-4E2C-4304-9AB6-BC44E68B55E2}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Google]
[-HKEY_CURRENT_USER\Software\Google]
 
:OTL
IE - HKLM\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = "http://search.sweetim.com/search.asp?src=6&q={searchTerms}&barid={5BB58A33-AE15-4534-89E1-DF3254611D63}"
IE - HKU\S-1-5-21-1547161642-1677128483-725345543-1004\..\URLSearchHook: {CA3EB689-8F09-4026-AA10-B9534C691CE0} - No CLSID value found
FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=3: C:\Program Files\Google\Update\1.3.21.123\npGoogleUpdate3.dll File not found
FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=9: C:\Program Files\Google\Update\1.3.21.123\npGoogleUpdate3.dll File not found
O2 - BHO: (no name) - {D2C5E510-BE6D-42CC-9F61-E4F939078474} - No CLSID value found.
O3 - HKU\S-1-5-21-1547161642-1677128483-725345543-1004\..\Toolbar\WebBrowser: (no name) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No CLSID value found.
O3 - HKU\S-1-5-21-1547161642-1677128483-725345543-1004\..\Toolbar\WebBrowser: (no name) - {338B4DFE-2E2C-4338-9E41-E176D497299E} - No CLSID value found.
O8 - Extra context menu item: Search the Web - C:\Program Files\SweetIM\Toolbars\Internet Explorer\resources\MenuExt.html ()
O4 - HKLM..\Run: []  File not found
O4 - HKU\.DEFAULT..\Run: []  File not found
O4 - HKU\S-1-5-18..\Run: []  File not found
O16 - DPF: {62789780-B744-11D0-986B-00609731A21D} "http://mapa.lodz.pl/VIEWERS/mgaxctrl.cab" (Reg Error: Key error.)
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} "http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab" (Reg Error: Key error.)
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\nlndis.sys -- (NLNdisPT)
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\nlndis.sys -- (NLNdisMP)
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\ewusbmdm.sys -- (hwdatacard)
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. Zatwierdź restart systemu.

 

4. Uruchom AdwCleaner i zastosuj Delete. Na dysku C powstanie log z usuwania.

 

5. Zrób nowy log OTL z opcji Skanuj (już bez Extras) + zaległy GMER. Dołącz log utworzony przez AdwCleaner.

 

 

 

.

[deepack321]

1. AdwCleaner: http://wklej.org/id/891955/

2. OTL: http://wklej.org/id/891964/

 

Log z GMER obecnie się wykonuje, więc póki co dałem te dwa, jak skończy się proces GMER to zedytuję swój post.

 

@edit

 

Wystąpił problem z logiem GMER, otóż w pewnym momencie komputer nagle się zresetował, po ponownym włączeniu od nowa włączyłem wykonywanie log'u GMER i ponownie reset, próbę powtórzyłem raz jeszcze, lecz to samo.

[picasso]

Dobra, to zostaw tego GMERa, a zamiennie sprawdź czy coś widzi Kaspersky TDSSKiller. Gdyby coś wykrył, to przyznaj Skip i tylko log przedstaw.

 

Nic się nie wypowiadasz czy jest jakiś pozytywny skutek czyszczenia, czy objawy ustąpiły? Zadania usuwające pomyślnie wykonane. Tylko mini poprawki. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]
"{88C7F2AA-F93F-432C-8F0E-B7D85967A527}"=-
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[-HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes]

 

Klik w Wykonaj skrypt. Do oceny wystarczy log z wynikami usuwania, nowy skan OTL zbędny.

 

 

 

.

[deepack321]

1. Log z ostatniego skryptu:

========== REGISTRY ==========

Registry value HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{88C7F2AA-F93F-432C-8F0E-B7D85967A527} deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{88C7F2AA-F93F-432C-8F0E-B7D85967A527}\ not found.

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\\"DefaultScope"|"{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" /E : value set successfully!

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\"DefaultScope"|"{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" /E : value set successfully!

Registry key HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\SearchScopes\ deleted successfully.

Registry key HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes\ not found.

Registry key HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes\ deleted successfully.

Registry key HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes\ deleted successfully.

 

OTL by OldTimer - Version 3.2.69.0 log created on 12092012_140950

 

 

2. Owszem problemy ustąpiły, nie pisałem o tym do końca procesu, za pomoc bardzo dziękuje, to był drugi raz, więc na pewno głęboko rozważę darowiznę.

3. Mam pytanie, czemu skutki keylogera ukazały się teraz skoro on już istniał na moim komputerze dosyc długo?

4. Kolejne pytanie, ostatnio rozważałem zakup komputera i pytanie brzmi, czy w granicach 1200-1500 zł kupię w miarę dobry komputer, czy są jakieś tanie części, ale za to sprawdzone i dobre?

 

Jeszcze raz za pomoc serdecznie dziękuje, aż dziwie się, że ludzie pomagają w zasadzie bezinteresowanie.

[picasso]

Rozumiem, że Kaspersky TDSSKiller nic nie wykrył? Kolejne czynności:

 

1. Porządki po narzędziach: w AdwCleaner uruchom Uninstall, w OTL uruchom Sprzątanie.

 

2. Wyczyść foldery Przywracania systemu: KLIK.

 

3. Zainstaluj Malwarebytes Anti-Malware. Zrób pełne skanowanie. Jeżeli coś zostanie wykryte, przedstaw raport.

 

 

 

3. Mam pytanie, czemu skutki keylogera ukazały się teraz skoro on już istniał na moim komputerze dosyc długo?

 

Nie wiadomo od kiedy ta infekcja jest w systemie. Daty utworzenia plików w raporcie nie są dowodem, bo daty da się sfałszować cofając je "w tył".

 

 

4. Kolejne pytanie, ostatnio rozważałem zakup komputera i pytanie brzmi, czy w granicach 1200-1500 zł kupię w miarę dobry komputer, czy są jakieś tanie części, ale za to sprawdzone i dobre?

 

Jesteś w dziale diagnostyki infekcji. To pytanie do działu Hardware. Załóż tam nowy temat przedstawiając dokładnie jaki komputer potrzebujesz i jakie jego przeznaczenie ma być (wymagające gry etc. czy proste czynności).

 

 

 

.

[deepack321]

Ani w Kasperskim, ani w Malwarebytes Anti-Malware nic nie wykryto.

[picasso]

Na zakończenie:

 

1. Były trojany logujące Tibia, toteż zmień hasła.

 

2. Zaktualizuj wyliczone poniżej programy: KLIK. Wg raportu masz zainstalowane:

 

========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{17026F9A-0826-4F3B-AF90-BA59C8B12435}" = ESET NOD32 Antivirus
"{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}" = Microsoft Silverlight
"{AC76BA86-7AD7-1045-7B44-AA1000000001}" = Adobe Reader X (10.1.4) - Polish
"Adobe Flash Player ActiveX" = Adobe Flash Player 11 ActiveX (wtyczka dla IE)
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin (wtyczka dla Firefox)
"Adobe Shockwave Player" = Adobe Shockwave Player 11.6
"Eset NOD32 v3.0.642 FiX1.2 by TemDono_is1" = NOD32 v3.0.642 FiX1.2 by TemDono (31 days remaining forever up
 
FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\WINDOWS\system32\Macromed\Flash\NPSWF32_11_5_502_110.dll ()
FF - HKLM\Software\MozillaPlugins\@Microsoft.com/NpCtrl,version=1.0: C:\Program Files\Microsoft Silverlight\5.0.61118.0\npctrl.dll ( Microsoft Corporation)

 

Antywirus stary (z roku 2008 komponenty) i scrackowany. Do całkowitej wymiany czymś nowoczesnym.

 

 

 

.