Legal software departament

[Shaaki]

Witam.

Spotkała mnie dość przykra sprawa. Pobierając jakiś plik dostałem w gratisie wirusa.

Przejrzałem kompa antyvirusem, ale nic nie załapał (AVG i Avast - darmowe wersje)

Proszę o pomoc.

Extras.Txt

OTL.Txt

[picasso]

Zanim przejdę dalej muszę wiedzieć czy na pewno dane są wierne. Log jest zrobiony z poziomu konta Magdalena:

Computer Name: MAGDA | User Name: Magdalena | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: Current user

W logu widać adware, nie ma oznak infekcji "Legal software departament" w znanym mi wydaniu, aczkolwiek ten wpis budzi niezdrowe skojarzenia, tzn. atypowy plik w Autostarcie (ale on nie odpowiada specyfice tej infekcji):

O4 - Startup: C:\Documents and Settings\Magdalena\Menu Start\Programy\Autostart\PACZKA HASEŁ DO HACKÓW.exe ()

Folder Magdalena zdaje się być świeżo wygenerowany, co sugeruje conajmniej proces zakładania nowego konta. Zresztą dużo plików Windows jest odświeżonych. Proszę sprecyzować: czy logi są z właściwego konta (jeśli nie, są bezużyteczne), czy były tu jakieś radykalne kroki (świeża reinstalacja Windows)?

 

Przejrzałem kompa antyvirusem, ale nic nie załapał (AVG i Avast - darmowe wersje)

Przesadziłeś. Tu są zainstalowane czynne dwa bardzo rozbudowane antywirusy (AVG + Avast), co jest prostą drogą na szubiennicę (włącznie z zablokowaniem startu Windows). Jeden z nich musi zostać odinstalowany.

.

[Shaaki]

system był właściwie nowo wgrany.

To co znalazłeś to jest to.

Po pobraniu tego pliku |Paczka ~~! złapałem ten napis Legal software ~~

 

Log jest z jedynego konta na tym kompie.

 

Oto ten plik

[picasso]

Ad "znalazłeś" = jestem kobietą. Gdy chcesz uzupełnić post, a nikt jeszcze nie odpisał, proszę używaj opcję Edytuj, zamiast post pod postem. Skleiłam oby posty razem.

W takim razie przechodzę do czyszczenia:

1. Na początek poprawne deinstalacje:
- Przez Panel sterowania odinstaluj adware hola Chrome Toolbar, Yontoo 2.053, Update for Codec Pack. Od razu także Norton Security Scan oraz jeden z głównych antywirusów.
- Otwórz Google Chrome i wejdź do ustawień. W zarządzaniu wyszukiwarkami ustaw Google jako domyślną (aktualnie uszkodzone preferencje). W Rozszerzeniach odinstaluj hola Toolbar (o ile nie zniknie po wcześniejszych akcjach).

2. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

:Files
C:\Documents and Settings\Magdalena\Menu Start\Programy\Autostart\PACZKA HASEŁ DO HACKÓW.exe
C:\Documents and Settings\All Users\Dane aplikacji\Babylon
C:\Documents and Settings\All Users\Dane aplikacji\IBUpdaterService
C:\Documents and Settings\All Users\Dane aplikacji\Tarma Installer
C:\Documents and Settings\Magdalena\Dane aplikacji\BabSolution
C:\Documents and Settings\Magdalena\Dane aplikacji\Babylon
C:\Documents and Settings\Magdalena\Dane aplikacji\DSite
C:\Documents and Settings\Magdalena\Dane aplikacji\PerformerSoft
C:\Documents and Settings\Magdalena\Pulpit\pcpholasetup.exe
C:\WINDOWS\System32\roboot.exe
C:\FOUND.000

:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"bProtector Start Page"=-
"Start Page"="about:blank"

:Services
vcdrom

:Commands
[emptytemp]

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

Klik w Wykonaj skrypt. Zatwierdź restart systemu.

3. Uruchom AdwCleaner i zastosuj Usuń. Na dysku C powstanie log z usuwania.

4. Zrób nowy log OTL z opcji Skanuj, zaznacz opcję Pomiń pliki Microsoftu, a plik Extras po raz kolejny zbędny. Dołącz log utworzony przez AdwCleaner.



.

[Shaaki]

Yontoo 2.053 nie chce się usunąć.. ;/

[picasso]

Nie podałeś jaki błąd. Ale Yontoo możesz ostatecznie opuścić. AdwCleaner tego śmiecia i tak załatwi brutalną metodą.

[Shaaki]

po resecie kompa udało się to usunąć, a nękający mnie problem nie powrócił

 

Dziękuje za pomoc.

[picasso]

Ale zaraz, tu nie koniec. Należy potwierdzi wykonanie zadań, załadować określone poprawki i w prawidłowy sposób zakończyć temat. Ucieczka z tematu to nie jest prawidłowe zakończenie. Prosiłam wyraźnie:
 

4. Zrób nowy log OTL z opcji Skanuj, zaznacz opcję Pomiń pliki Microsoftu, a plik Extras po raz kolejny zbędny. Dołącz log utworzony przez AdwCleaner.

 

.

[Shaaki]

hahaha.. pamiętam, ze spokojem

 

coś jeszcze musze zrobić?

czy teraz już tylko sprzątanie?

AdwCleanerS1.txt

OTL1.Txt

[picasso]

Prosiłam i znów posty połączyłam:

 

Gdy chcesz uzupełnić post, a nikt jeszcze nie odpisał, proszę używaj opcję Edytuj, zamiast post pod postem. Skleiłam oby posty razem.

 

Prawie wszystko zrobione. Teraz poprawki:

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}]
[-HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes]

:Files
C:\$AVG
C:\Program Files\AVG
C:\Program Files\Common Files\Symantec Shared
C:\Documents and Settings\All Users\Dane aplikacji\AVG2013
C:\Documents and Settings\All Users\Dane aplikacji\MFAData
C:\Documents and Settings\All Users\Dane aplikacji\Common Files
C:\Documents and Settings\All Users\Dane aplikacji\Norton
C:\Documents and Settings\All Users\Dane aplikacji\NortonInstaller
C:\Documents and Settings\NetworkService\Ustawienia lokalne\Dane aplikacji\Avg2013
C:\Documents and Settings\Magdalena\Dane aplikacji\AVG2013
C:\Documents and Settings\LocalService\Ustawienia lokalne\Dane aplikacji\Avg2013
C:\Documents and Settings\Magdalena\Ustawienia lokalne\Dane aplikacji\Avg2013
C:\Documents and Settings\Magdalena\Ustawienia lokalne\Dane aplikacji\MFAData

Klik w Wykonaj skrypt. Tym razem nie ędzie restartu.

2. Preferencje Google Chrome nadal nie wyglądają dobrze (jak uszkodzone + szczątki adware Delta i hola):

========== Chrome ==========

CHR - default_search_provider: ()
CHR - default_search_provider: search_url =
CHR - default_search_provider: suggest_url =
CHR - homepage: http://www1.delta-search.com/?affID=119357&tt=gc_150213_alt&babsrc=HP_ss&mntrId=18D7000FEA2B8AEF
CHR - Extension: No name found = C:\Documents and Settings\Magdalena\Ustawienia lokalne\Dane aplikacji\Google\Chrome\User Data\Default\Extensions\fagpjgjmoaccgkkpjeoinehnoaimnbla\1.0\

Powtórz to:

 

- Otwórz Google Chrome i wejdź do ustawień. W zarządzaniu wyszukiwarkami ustaw Google jako domyślną (aktualnie uszkodzone preferencje). W Rozszerzeniach odinstaluj hola Toolbar.

 

Dodatkowo, z listy stron startowych usuń Delta. Jeśli jednak tego w opcjach nie będzie widać, zamknij Google Chrome (nie może być w procesach podczas poniższej operacji) i otwórz w Notatniku plik preferencji:

C:\Documents and Settings\Magdalena\Ustawienia lokalne\Dane aplikacji\Google\Chrome\User Data\Default\Preferences

Wyszukaj frazę homepage i zastąp adresy.

3. Po wszystkim zrób jeszcze jeden log OTL, ale zawężony do: tylko opcję Rejestr (nie pomyl z "Rejestr - skan dodatkowy") ustaw na Użyj filtrowania, wszystkie inne opcje na Brak + szukanie plików na Żadne i klik w Skanuj.



.

[Shaaki]

Wydaje się być zrobione

OTL2.Txt

[picasso]

Wprawdzie skrypt OTL wykonany i preferencje Google Chrome już prezentują się poprawnie, ale nie zostało wykonane zadanie ze stroną startową adware Delta w Google Chrome i nadal widać:

========== Chrome ==========

CHR - homepage: http://www1.delta-search.com/?affID=119357&tt=gc_150213_alt&babsrc=HP_ss&mntrId=18D7000FEA2B8AEF

1. Przeprowadź to co mówiłam:

 

Dodatkowo, z listy stron startowych usuń Delta. Jeśli jednak tego w opcjach nie będzie widać, zamknij Google Chrome (nie może być w procesach podczas poniższej operacji) i otwórz w Notatniku plik preferencji:

C:\Documents and Settings\Magdalena\Ustawienia lokalne\Dane aplikacji\Google\Chrome\User Data\Default\Preferences

Wyszukaj frazę homepage i zastąp adresy.

 

2. Porządki po narzędziach: w AdwCleaner uruchom Odinstaluj, w OTL uruchom Sprzątanie.

3. Wyczyść foldery Przywracania systemu: KLIK.

4. Masz zainstalowaną dziurawą starą Java™ 6 Update 7. Odinstaluj i zastąp najnowszą (o ile potrzebne): KLIK.

Uwaga poboczna: widzę zainstalowane stare Gadu-Gadu 10. Skąd ten pomysł na świeżo instalowanym systemie? Program stary i wiele serwisów w nim nie działa (wyłączone), a reklam tam więcej niż czego innego. Lepsze jest najnowsze GG11 (mniej reklam, nowe funkcje). Poza tym, zastanów się nad mniej zasobożernymi alternatywami z obsługą sieci Gadu: WTW, Kadu, Miranda NG, AQQ. Wszystko opisane tu: KLIK.

I to już koniec.


.