Powracające trojany po usunięciu przez Malwarebytes

[kowalik1]

Mój brat na wakacje dał komputer swoim dzieciom na wyłączny użytek 
Niestety sprzęt działał w Internecie przy wygasłej licencji ESET security (!!)
Nagle zaczął wolno się włączać zabrakło miejsca na dysku C.  Przegladarki IE  Opera i Firefox
włączają się nawet   2-5 minut mimo wyczyszczenia pamięci,  ciasteczek i cache.Po kliknięciu na linki
szczególnie na:      https://www.fixitpc.pl           np:  GMER ,OTL - reset komputera - choć nie zawsze
Zamiast ESET zainstalowałem darmowy Microsoft Security Essential i Malwerebytes Anti-Malware.
Po skanowaniu obiema programami wykryto ponad 50 zagrożeń wszystkie pomyślnie  usunięto .

Niestety kilkakrotne skanowania  Malwarebytes czy MSEssential  pokazują ponownie wykryte  i do usunięcia te same trojany

 np TrojanDownloader Java/Toniper  , TrojanJS/Reveton.E ,Trojan BHO, Trojan Agent.BFG .

Komputer chodz już i trochę szybciej resety tylko raz na 2-3 godziny ale
przegladarki dalej BARDZO wolno działają a ponowne skanowania i usuwanie nie przynosza już efektów.
Podjałem walkę wyinstaowałem zgodnie info na stronie wirtualne napędy a usunięcie programów typu
 "Super przyspieszacz komputera , "extra przyspieszenie gier" oraz " Cracki  i  usprawnienia do programów
poza zwolnieniem miejsca na dysku nic  nie dały.

FRST.txt

Addition.txt

OTL.Txt

Extras.Txt

GMER skan.txt

[picasso]

Niestety kilkakrotne skanowania Malwarebytes czy MSEssential pokazują ponownie wykryte i do usunięcia te same trojany

np TrojanDownloader Java/Toniper , TrojanJS/Reveton.E ,Trojan BHO, Trojan Agent.BFG .

Nie podałeś raportów ze skanerów, skąd mam wiedzieć w czym to jest wykrywane. Potrzebne precyzyjne ścieżki dostępu.

 

Widzę adware w przeglądarkach. Po braku wejścia Google Chrome wnioskuję, że przeglądarka jest odinstalowana. Będę więc usuwać jej komponeny.Na teraz przeprowadź następujące działania:

 

1. Otwórz Notatnik i wklej w nim:

 

HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.v9.com/?utm_source=b&utm_medium=idg&from=idg&uid=ST3808110AS_5LS23XBM____5LS23XBM&ts=1357050581
URLSearchHook: (No Name) - {83821C2B-32A8-4DD7-B6D4-44309A78E668} - No File
SearchScopes: HKLM - DefaultScope {9BB47C17-9C68-4BB3-B188-DD9AF0FD2417} URL = http://dts.search-results.com/sr?src=ieb&appid=0&systemid=417&sr=0&q={searchTerms}
SearchScopes: HKLM - {9BB47C17-9C68-4BB3-B188-DD9AF0FD2417} URL = http://dts.search-results.com/sr?src=ieb&appid=0&systemid=417&sr=0&q={searchTerms}
SearchScopes: HKLM - {EEE6C360-6118-11DC-9C72-001320C79847} URL = http://search.sweetim.com/search.asp?src=6&q={searchTerms}&crg=3.1010000.10011&barid={E6AC97AF-400F-4CEC-B534-08E952C9C5FF}
SearchScopes: HKCU - ToolbarSearchProviderProgress {96bd48dd-741b-41ae-ac4a-aff96ba00f7e}
SearchScopes: HKCU - {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = http://search.v9.com/web/?q={searchTerms}
SearchScopes: HKCU - {0D7562AE-8EF6-416d-A838-AB665251703A} URL = http://start.funmoods.com/?a=nv1&s={searchTerms}&f=4
SearchScopes: HKCU - {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} URL = http://search.babylon.com/?q={searchTerms}&affID=112555&tt=100512_4_&babsrc=SP_ss&mntrId=70dc199a000000000000001485cdbb26
SearchScopes: HKCU - {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://search.v9.com/web/?q={searchTerms}
SearchScopes: HKCU - {96bd48dd-741b-41ae-ac4a-aff96ba00f7e} URL = http://www.bigseekpro.com/search/browser/cheatengine/{3AA81E45-291C-4F60-B1D6-76074C19EAFB}?q={searchTerms}
SearchScopes: HKCU - {9BB47C17-9C68-4BB3-B188-DD9AF0FD2417} URL = http://dts.search-results.com/sr?src=ieb&appid=0&systemid=417&sr=0&q={searchTerms}
SearchScopes: HKCU - {afdbddaa-5d3f-42ee-b79c-185a7020515b} URL = http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT3220468
SearchScopes: HKCU - {CFF4DB9B-135F-47c0-9269-B4C6572FD61A} URL = http://mystart.incredibar.com/mb139/?search={searchTerms}&loc=IB_DS&a=6OysRQdGOP&i=26
SearchScopes: HKCU - {E88E0043-C9D4-4e33-8555-FEE4F5B63060} URL = http://go.mail.ru/search?q={searchTerms}&utf8in=1&fr=ietb
SearchScopes: HKCU - {EEE6C360-6118-11DC-9C72-001320C79847} URL = http://search.sweetim.com/search.asp?src=6&q={searchTerms}&crg=3.1010000.10011&barid={E6AC97AF-400F-4CEC-B534-08E952C9C5FF}
BHO: Plugin for Media Finder - {AD4DF010-E2FD-43CE-864A-6BD1EDC59AC2} - No File
BHO: IEPluginBHO Class - {F5CC7F02-6F4E-4462-B5B1-394A57FD3E0D} - No File
Toolbar: HKCU -No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} - No File
Toolbar: HKCU -No Name - {EEE6C35B-6118-11DC-9C72-001320C79847} - No File
Toolbar: HKCU -No Name - {E7DF6BFF-55A5-4EB7-A673-4ED3E9456D39} - No File
FF Plugin: @nexon.net/NxGame - \NGM\npNxGameUS.dll No File
FF Plugin: @tools.google.com/Google Update;version=3 - C:\Program Files\Google\Update\1.3.21.111\npGoogleUpdate3.dll No File
FF Plugin: @tools.google.com/Google Update;version=9 - C:\Program Files\Google\Update\1.3.21.111\npGoogleUpdate3.dll No File
FF SearchPlugin: C:\Program Files\mozilla firefox\searchplugins\babylon.xml
FF SearchPlugin: C:\Program Files\mozilla firefox\searchplugins\mailru.xml
FF SearchPlugin: C:\Program Files\mozilla firefox\searchplugins\Search_Results.xml
FF SearchPlugin: C:\Program Files\mozilla firefox\searchplugins\v9.xml
FF Extension: No Name - C:\Program Files\Mozilla Firefox\extensions\{1FD91A9C-410C-4090-BBCC-55D3450EF433}
FF HKLM\...\Firefox\Extensions: [fbphotozoom@installdaddy.com] C:\Program Files\fbphotozoom\fbphotozoom13.xpi
FF Extension: No Name - C:\Program Files\fbphotozoom\fbphotozoom13.xpi
FF HKLM\...\Firefox\Extensions: [4faaf285f03f9@4faaf285f03fa.info] C:\Documents and Settings\Admin\Dane aplikacji\Mozilla\Firefox\Profiles\w9yazsoh.default\extensions\4faaf285f03f9@4faaf285f03fa.info
FF HKLM\...\Firefox\Extensions: [{336D0C35-8A85-403a-B9D2-65C292C39087}] C:\Program Files\Web Assistant\Firefox
FF HKLM\...\Firefox\Extensions: [4faaf22b91f4c@4faaf22b91f4d.info] C:\Documents and Settings\Admin\Dane aplikacji\Mozilla\Firefox\Profiles\w9yazsoh.default\extensions\4faaf22b91f4c@4faaf22b91f4d.info
HKU\Gość\...\Run: [Gadu-Gadu] - "D:\Gadu-Gadu\gg.exe" /tray [x]
HKU\Gość\...\Run: [ares] - "C:\Program Files\Ares\Ares.exe" -h [x]
HKU\Gość\...\Run: [Rubin] - C:\Documents and Settings\Gość\Ustawienia lokalne\Dane aplikacji\Rubin\rubin.exe [ 2010-09-03] ()
HKU\Gość\...\Run: [TQO Start] - C:\WINDOWS\system32\HTXDPJ\TQO.exe [x]
Winlogon\Notify\AtiExtEvent:
Unlock: HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg
Unlock: HKLM\SYSTEM\CurrentControlSet\Services\sptd
S0 bkeekeyn; System32\drivers\ltipk.sys [x]
S0 BootDefragDriver; System32\drivers\BootDefragDriver.sys [x]
S3 EagleNT; \??\C:\WINDOWS\system32\drivers\EagleNT.sys [x]
S3 EagleXNt; \??\C:\WINDOWS\system32\drivers\EagleXNt.sys [x]
S0 rseb; No ImagePath
S0 sfsync02; System32\drivers\sfsync02.sys [x]
S4 sptd; System32\Drivers\sptd.sys [x]
S3 Video3D; System32\Drivers\Video3D32.sys [x]
C:\Program Files\TornTV.com
C:\Documents and Settings\Admin\pxdl.exe
C:\Documents and Settings\Admin\Dane aplikacji\25Assist
C:\Documents and Settings\Admin\Dane aplikacji\Media Finder
C:\Documents and Settings\All Users\Dane aplikacji\9lojea9.dat
C:\Documents and Settings\All Users\Dane aplikacji\100
C:\Documents and Settings\All Users\Dane aplikacji\ADDICT-THING
C:\Documents and Settings\All Users\Dane aplikacji\Babylon
C:\Documents and Settings\All Users\Dane aplikacji\boost_interprocess
C:\Documents and Settings\All Users\Dane aplikacji\Common Files
C:\Documents and Settings\All Users\Dane aplikacji\InstallMate
C:\Documents and Settings\All Users\Dane aplikacji\Premium
C:\Documents and Settings\Gość\Dane aplikacji\Incredibar.com
C:\Documents and Settings\Gość\Dane aplikacji\searchqutoolbar
C:\Documents and Settings\Tadek\Dane aplikacji\BabylonToolbar
C:\Documents and Settings\Tadek\Dane aplikacji\Incredibar.com
C:\Documents and Settings\Tadek\Dane aplikacji\searchquband
C:\Documents and Settings\Tadek\Dane aplikacji\searchqutoolbar
C:\Documents and Settings\Tadek\Dane aplikacji\Toolbar4
C:\Documents and Settings\Gość\Ustawienia lokalne\Dane aplikacji\Rubin\rubin.exe
C:\Documents and Settings\Admin\Ustawienia lokalne\Dane aplikacji\Google\Chrome
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Internet Explorer\Search" /f
Reg: reg delete HKLM\SOFTWARE\Google\Chrome /f
CMD: netsh firewall reset

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt.

 

2. Wyczyść Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox.

 

3. Uruchom AdwCleaner. Zastosuj Szukaj, a po tym Usuń. Powstanie folder C:\AdwCleaner z raportem z usuwania.

 

4. Uruchom TFC - Temp Cleaner.

 

5. Zrób nowy skan FRST (bez Addition). Dołącz plik fixlog.txt, log z AdwCleaner oraz zaległe raporty ze skanerów.

 

 

 

.

[kowalik1]

Wykonałem wszystkie czynności zgodnie z prosbą. Niestety logi Adw Cleaner i MSEessential nie mogę dołaczyć- pisze nie masz uprawnień do wysyłania tego typu plików.Coś robię źle ale nie udało mi się dojść do tego

Fixlog.txt

FRST.txt

AdwCleanerR0.txt

mbam-log-2013-08-23 (17-32-09).txt

mbam-log-2013-08-24 (09-56-36).txt

mbam-log-2013-08-28 (14-42-14).txt

[picasso]

Niestety logi Adw Cleaner i MSEessential nie mogę dołaczyć- pisze nie masz uprawnień do wysyłania tego typu plików.Coś robię źle ale nie udało mi się dojść do tego

Log z AdwCleaner: nie rozumiem, to format TXT. Masz załączyć plik AdwCleanerS0.txt

Log z MSSE: to format *.LOG a nie *.TXT. W załącznikach nie pozwalam na takie pliki. Albo zmień nazwę pliku ręcznie na .TXT albo przeklej do nowego pliku wyniki.

 

 

 

.

[kowalik1]

Przy ponownej próbie podłączyłem bez problemów dodatkowe pliki.

MSELOG1.txt

MSE LOG2.txt

AdwCleanerR0.txt

[picasso]

Hmmm, gdzie są te wyniki:

 

Niestety kilkakrotne skanowania Malwarebytes czy MSEssential pokazują ponownie wykryte i do usunięcia te same trojany

np TrojanDownloader Java/Toniper , TrojanJS/Reveton.E ,Trojan BHO, Trojan Agent.BFG .

Podane tu raporty MBAM i MSSE w ogóle nie pokazują takiego czegoś. Czy te detekcje nadal występują? A co do tego wyniku:

 

Boot Time Removal Tool started

Error 0xc0000034 opening (\??\C:\Documents and Settings\Tadek\Menu Start\Programy\Autostart\bpgirhcddrcbnihebso.lnk) for reparse check.

Unable to strip attributes from \??\C:\Documents and Settings\Tadek\Menu Start\Programy\Autostart\bpgirhcddrcbnihebso.lnk with error 0xc0000034

Error 0xc0000034 removing: \??\C:\Documents and Settings\Tadek\Menu Start\Programy\Autostart\bpgirhcddrcbnihebso.lnk

BTR Completed Successfully

 

Pochodzi z konta Tadek, a wszystkie podane tu logi OTL/FRST są z konta Admin. Tak więc: czy konto Tadek jest w użyciu? Jeśli tak, należy zrobić logi będąc zalogowanym na tym koncie.

 

 

 

.