Koń trojański generic_r, podejrzana strona

[kkk123]

Witam, niedawno otworzyłem strone która była prawdopodobnie niebezpieczna(nie pamietam teraz jaka to strona). W tamtym czasie niestety nie mialem aktualnej javy. Internet chodzi trochę wolniej niz przedtem. Apropos sptd, usunąłem daemona i uzyłem programu SPTD, ale nie udało mi się tego sterownika usunac z rejestru. Sprobowałem uzyć RegASSASIN ale wyskoczyl komunikat ze to moze byc wazny skladnik systemu i nie da sie go usunac. Ponizej logi. Z gory dziekuje za pomoc.

Addition.txt

FRST.txt

gmer.txt

Extras2.Txt

OTL2.Txt

[picasso]

W czym konkretnie / jakiej ścieżce dostępu został wykryty "Koń trojański generic_r"? W raportach nie ma żadnych oznak infekcji. Tylko drobna kosmetyka, w większości na wpisy puste oraz szczątki programów:

 

1. Przez Dodaj/Usuń programy odinstaluj adware LiveVDO. To wygląda zresztą na szczątek.

 

2. Zresetuj cache wtyczek Google Chrome. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie włącz.

 

3. Uruchom TFC - Temp Cleaner.

 

4. Otwórz Notatnik i wklej w nim:

 

Task: C:\WINDOWS\Tasks\Express FilesUpdate.job => C:\Program Files\ExpressFiles\EFUpdater.exe
SearchScopes: HKLM - DefaultScope value is missing.
SearchScopes: HKLM - URL ${SEARCH_URL}{searchTerms}
SearchScopes: HKCU - URL http://startsear.ch/?src=sp&aff=51&cf=9b0f3952-17c4-11e2-9a7a-0016e665e7d5&q={searchTerms}
BHO: Rich Media Downloader - {A7DF592F-6E2A-45C4-9A87-4BD217D714ED} - C:\Documents and Settings\pawel\Ustawienia lokalne\Dane aplikacji\Rich Media Player\BrowserExtensions\IE\RichMediaDownloader.dll No File
BHO: IEPluginBHO Class - {F5CC7F02-6F4E-4462-B5B1-394A57FD3E0D} - C:\Documents and Settings\pawel\Dane aplikacji\Nowe Gadu-Gadu\_userdata\ggbho.1.dll No File
HKLM\...\Run: [Onet.pl AutoUpdate] - C:\Program Files\Common Files\Onet.pl\AutoUpdate.exe [260096 2005-07-27] (Onet.pl)
HKCU\...\Run: [DAEMON Tools] - "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
HKCU\...\Run: [AVG-Secure-Search-Update_0913b] - C:\Documents and Settings\pawel\Dane aplikacji\AVG 0913b Campaign\AVG-Secure-Search-Update-0913b.exe /PROMPT --mid 04678a1ccd9d47d3b864d15fa0810e26-06ce4fc639803a2e3563922518183d8e94088cb9 --CMPID 0913b
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\13954475.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\13954475.sys => ""="Driver"
Unlock: HKLM\SYSTEM\CurrentControlSet\Services\sptd
S3 PCANDIS5; \??\C:\WINDOWS\system32\PCANDIS5.SYS [x]
S3 RkPavproc1; \??\C:\WINDOWS\system32\drivers\RkPavproc1.sys [x]
S3 SliceDisk5; \??\C:\DOCUME~1\pawel\USTAWI~1\Temp\HBCD\PartitionFindAndMount\slicedisk.sys [x]
S4 sptd; \SystemRoot\System32\Drivers\sptd.sys [x]
U3 TlntSvr;
S3 ZDCndis5; \??\C:\WINDOWS\system32\ZDCndis5.SYS [x]
S3 ZDPSp50; System32\Drivers\ZDPSp50.sys [x]
C:\Documents and Settings\All Users\SPL326.tmp
C:\Documents and Settings\All Users\Dane aplikacji\AVAST Software
C:\Documents and Settings\All Users\Dane aplikacji\AVG2013
C:\Documents and Settings\pawel\Dane aplikacji\AutoUpdate
C:\Program Files\mozilla firefox\plugins\npfflivevdoplg.dll
C:\Program Files\Common Files\Onet.pl
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions\{A7DF592F-6E2A-45C4-9A87-4BD217D714ED}" /f
Reg: reg delete "HKCU\Software\Microsoft\Internet Explorer\Extensions\{A7DF592F-6E2A-45C4-9A87-4BD217D714ED}" /f
Reg: reg delete "HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}" /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt. Przedstaw go.

 

 

Apropos sptd, usunąłem daemona i uzyłem programu SPTD, ale nie udało mi się tego sterownika usunac z rejestru. Sprobowałem uzyć RegASSASIN ale wyskoczyl komunikat ze to moze byc wazny skladnik systemu i nie da sie go usunac.

Szczątkiem SPTD zajmie się mój powyższy skrypt do FRST.

 

 

Internet chodzi trochę wolniej niz przedtem.

Nie jest wykluczone, iż ma to związek z AVG 2014 i jego osłonami Web.

 

 

 

.

[kkk123]

Akcje wykonane. Czy teraz mogę od nowa zainstalować daemona ?

Fixlog.txt

[picasso]

Nie odpowiedziałeś mi na pytanie w czym był wykryty tytułowy koń trojański. Skrypt poprawnie wykonany i przez SHIFT+DEL możesz skasować folder C:\FRST + w OTL uruchomić Sprzątanie. DAEMON Tools możesz przywrócić na miejsce.

 

 

 

.