ADWARE/InstallCore.Gen7 w System Volume Information

[Azatoth]

Witam

 

W punktach:

 

0. Mój system to Windows XP SP3 (32 bity)

 

1. Jakiś czas temu program AntyVirusowy Avira znalazł infekcję w System Volume Information.
Zrzut z kwarantanny poniżej.

2. Wyłączyłem Przywracanie Systemu na dyskach, po czym ponownie je włączyłem

3. Przeskanowałem Avirą i program nie znalazł zainfekowanych plików.

4. Później zainstalowałem program do fotoksiazek który doinstalował komponent z DirectX

5. W między czasie przyszła aktualizacja bibliotek .NET
- ten proces nie przechodzi od kilku lat i zawsze się kończy niepowodzenie)
- tak samo jak aktualizacja Internet Explorera 8 (w którego nei korzystam)
 

6.Obecnie podczas skanowania Avirą komputer podczas skonowania (po dłuższym skanowaniu) się restartuje. 

 

7. Zachowanie komputera jest niecodzienne.
- podczas uruchomienia dłużej o kilka minut jest widoczny tło pulpitu po czym pojawiają się wszystkie ikony,
- zajętość procesora często sięga wyższych wartości niż zwykle,

- następuje odświeżenie ekranu w momentach, w których nie występowało np. w oknie Dodaj załącznik kliknięcie na plik powoduje odświeżenie ekranu lub wręcz białą zawartości gdzie powinny być widoczne pliki ...po kilku sekundach pliki są widoczne.

- wyłączenie komputera czasem się nie kończy i zostaje przez kilka godzin komunikat "zamykanie systemu"

W związku z tym proszę o sprawdzenie czy logi są czyste.

W załączniku logi.
Podczas skanowania OTL pojawił się dymek (być może dlatego, że była otwarta przeglądarka Firefox) - zrzut dymka w załączniku .

pozdrawiam Azatoth

Addition.txt

Extras.Txt

FRST.txt

OTL.Txt

[picasso]

Oznak infekcji brak. Tylko kosmetyczny skrypt na wpisy szczątkowe:

 

 

 

Otwórz Notatnik i wklej w nim:

 

HKLM\...\Run: [] - [x]
Winlogon\Notify\avgrsstarter: C:\Windows\system32\avgrsstx.dll (AVG Technologies CZ, s.r.o.)
URLSearchHook: ATTENTION ==> Default URLSearchHook is missing.
SearchScopes: HKLM - {CCC7A320-B3CA-4199-B1A6-9F516DD69829} URL = http://us.yhs.search.yahoo.com/avg/search?fr=yhs-avg-chrome&type=yahoo_avg_hs2-tb-web_chrome_us&p={searchTerms}
SearchScopes: HKCU - DefaultScope {CCC7A320-B3CA-4199-B1A6-9F516DD69829} URL = http://us.yhs.search.yahoo.com/avg/search?fr=yhs-avg-chrome&type=yahoo_avg_hs2-tb-web_chrome_us&p={searchTerms}
SearchScopes: HKCU - {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKCU - {6a1806cd-94d4-4689-ba73-e35ea1ea9990} URL =
SearchScopes: HKCU - {CCC7A320-B3CA-4199-B1A6-9F516DD69829} URL = http://us.yhs.search.yahoo.com/avg/search?fr=yhs-avg-chrome&type=yahoo_avg_hs2-tb-web_chrome_us&p={searchTerms}
DPF: {5A09E43F-A0A7-4ABF-AF80-11367CF1DC8F} http://mks.com.pl/skaner/SkanerOnline.cab
DPF: {68282C51-9459-467B-95BF-3C0E89627E55} http://www.mks.com.pl/skaner/SkanerOnline.cab
DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} http://fpdownload.macromedia.com/get/flashplayer/current/ultrashim.cab
DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
Handler: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - No File
FF Homepage: user_pref("browser.startup.homepage", "");
FF Keyword.URL: hxxp://us.yhs.search.yahoo.com/avg/search?fr=yhs-avgb&type=yahoo_avg_hs2-tb-web_us&p=
FF Plugin: yaxmpb@yahoo.com/YahooActiveXPluginBridge;version=1.0.0.1 - C:\Program Files\Yahoo!\Common\npyaxmpb.dll (Yahoo! Inc.)
FF Plugin: @nosltd.com/getPlus+®,version=1.6.2.91 - C:\Program Files\NOS\bin\np_gp.dll No File
FF SearchPlugin: C:\Program Files\mozilla firefox\searchplugins\avg_igeared.xml
S3 getPlusHelper; C:\Program Files\NOS\bin\getPlus_Helper.dll [x]
S3 esihdrv; \??\C:\DOCUME~1\Raster\USTAWI~1\Temp\esihdrv.sys [x]
S3 pccsmcfd; system32\DRIVERS\pccsmcfd.sys [x]
S3 PORTMON; \??\E:\Installe\_z_CHIPa\SysinternalsSuite\PORTMSYS.SYS [x]
U4 RemoteRegistry;
S4 vsdatant; [x]
C:\Program Files\Yahoo!
C:\Documents and Settings\All Users\Dane aplikacji\T23J7
C:\Documents and Settings\All Users\Dane aplikacji\V93GE
C:\Documents and Settings\All Users\Dane aplikacji\T09F8
C:\Documents and Settings\All Users\Dane aplikacji\AutoUpdate
C:\Documents and Settings\All Users\Dane aplikacji\AVG Security Toolbar
C:\Documents and Settings\All Users\Dane aplikacji\F-Secure
C:\Documents and Settings\Raster\Dane aplikacji\WinPatrol
C:\Documents and Settings\Raster\Ustawienia lokalne\Dane aplikacji\Google\Chrome

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Przedstaw wynikowy fixlog.txt.

 

 

 

 

 

Jakiś czas temu program AntyVirusowy Avira znalazł infekcję w System Volume Information.

Wpływ na system żadny. Izolowany magazyn Przywracania systemu, nieczynny dopóki nie zostanie uruchomione Przywracanie systemu do punktu posiadającego te obiekty w nagraniu. Obiekty w Przywracaniu systemu mają zmienione nazwy, więc nie można powiedzieć z czego zostały utworzone, ale nazwa ADWARE/InstallCore.Gen7 sugeruje zwykłe adware.

 

 

Obecnie podczas skanowania Avirą komputer po dłuższym skanowaniu się restartuje.

Czy to występuje podczas skanowania określonego i tego samego obszaru?

 

 

Podczas skanowania OTL pojawił się dymek (być może dlatego, że była otwarta przeglądarka Firefox) - zrzut dymka w załacnziku.

Otwarty Firefox nie ma wpływu na ten komunikat. OTL skanuje określone ścieżki. Komunikat mówi wyraźnie, że są uszkodzenia w strukturze plików, więc od tego rozpocznij: Start > Uruchom > cmd, wpisz komendę chkdsk /f /r i zresetuj system.

 

 

Zachowanie komputera jest niecodzienne.

- podczas uruchomienia dłużej o kilka minut jest widoczny tło pulpitu po czym pojawiają się wszystkie ikony,

- zajętość procesora często sięga wyższych wartości niż zwykle,

- następuje odświeżenie ekranu w moemntach, w których nie występowało np. w oknie Dodaj załącznik kliknięcie na plik powoduje odwieżenie ekranu lub wręcz białą zawartości gdzie powinny być widoczne pliki ...po kilku sekundach pliki są widoczne.

- wyłączenie komputera czasem się nie kończy i zostaje przez kilka godzin komunikat "zamykanie systemu"

- Po pierwsze: sprawdzanie dysku do wykonania.

- Po drugie: widzę tu aktywne szczątki niepoprawnie usuniętego AVG. Z poziomu Trubu awaryjnego zastosuj AVG Remover.

- Po trzecie: jeśli żadna z powyższych czynności nie będzie mieć skutków, to podejrzenia budzą Avira + Online Armor. Kontekst Online Armor występował w poprzednim Twoim temacie (KLIK).

 

 

W między czasie przyszła aktualizacja bibliotek .NET

- ten proces nie przechodzi od kilku lat i zawsze się kończy niepowodzenie)

- tak samo jak aktualizacja Internet Explorera 8 (w którego nei korzystam)

Podaj więcej konkretów o jakie błędy chodzi. Powyciągaj z Dziennika zdarzeń dane.

 

 

 

.

[Azatoth]

Oznak infekcji brak. Tylko kosmetyczny skrypt na wpisy szczątkowe:

 

Bardzo się cieszę.

 

(...) Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Przedstaw wynikowy fixlog.txt.

 

 

Zrobione - fixlog w załączniku.

 

Obecnie podczas skanowania Avirą komputer po dłuższym skanowaniu się restartuje.

 

Czy to występuje podczas skanowania określonego i tego samego obszaru?

 

Nie wiem bo dzieje się to po 30-40 minutach od początku skanowania.

 

Otwarty Firefox nie ma wpływu na ten komunikat. OTL skanuje określone ścieżki. Komunikat mówi wyraźnie, że są uszkodzenia w strukturze plików, więc od tego rozpocznij: Start > Uruchom > cmd, wpisz komendę chkdsk /f /r i zresetuj system.

 

Boje były z tym restartem. Pierwszy restart i nic... tzn. nie włączył się skan dysk wyświetlając komunikat, że nie może wykonać tego kroku..(nie zapisałem komunikatu)  ale... nie poddałem się i walczyłem dalej łącząc to z punktem kolejnym, który pomógł odpalając chekdsk ale o tym dalej...

 

- Po pierwsze: sprawdzanie dysku do wykonania.

- Po drugie: widzę tu aktywne szczątki niepoprawnie usuniętego AVG. Z poziomu Trubu awaryjnego zastosuj AVG Remover.

 

Po wejściu w tryb awaryjny był czarny ekran przez jakieś 20 minut... po kolejnym restarcie znowu....czarno...

Omijając ten punkt jak prosiłaś uruchomiłem AVG Remover podczas normalnego uruchomienia i po chwili nastąpił restart, który uruchomił wcześniejszego chkdsk ...

 

Było wykonywane 5 kroków.

Podczas jednego z kroków pojawiały się takie komunikatu z stylu

 

Odzyskiwanie oddzielonego pliku i nazwy plików

goog-phish-shavar.cache

test-malware-simple.pset

test.malware-simple.cache

test.malware-simple.sbstor

itp.

Tyle zapisałem. Nie było tych plików dużo może z 10..20. .

 

chkdsk przeszedł do końca z błędami, uruchomił się komputer ponownie i znowu wszedł do chckdsk i ponowił proces z tym, że tym razem niektórych komunikatów już nie było. Zakończył resartem i już do chkdsk nie wrócił tylko uruchomił się komp normalnie.

 

 

- Po trzecie: jeśli żadna z powyższych czynności nie będzie mieć skutków, to podejrzenia budzą Avira + Online Armor. Kontekst Online Armor występował w poprzednim Twoim temacie (KLIK).

 

 

Avira i Online Armor to mój zestaw "startowy" dla moich komputerów. Jeżeli sugerujesz zamiane tych programów na inne jestem otwarty na sugestię. Wystarczy słowo, a na wszystkich komputerach zmienie ten zestaw na sugerowany przez Ciebie.

 

W między czasie przyszła aktualizacja bibliotek .NET

- ten proces nie przechodzi od kilku lat i zawsze się kończy niepowodzenie)

- tak samo jak aktualizacja Internet Explorera 8 (w którego nei korzystam)

Podaj więcej konkretów o jakie błędy chodzi. Powyciągaj z Dziennika zdarzeń dane.

 

Myślę, że ten temat zostawimy na kolejny wątek bo kilka wpisów w jednym poście to może być za dużo. Wymieniłem je, żebyś miała lepszy obraz tego co się tutaj dzieje poza logami.

 

Dziękuje Azatoth

 

 

 

 

Fixlog.txt