Podejrzenie infekcji - Trojan

[paweldiabel]

Witam

Prosze o sprawdzenie logów, praca systemu spowolniona, eset wyswieta komunikaty o infekcji

http://www.fotosik.pl/pokaz_obrazek/073cd27c6dbf4f94.html

 Results of screen317's Security Check version 0.99.79  
 Windows XP Service Pack 3 x86   
 Internet Explorer 8  
``````````````Antivirus/Firewall Check:``````````````
ESET NOD32 Antivirus 7.0   
 Antivirus up to date!  
`````````Anti-malware/Other Utilities Check:`````````
 Java 6 Update 24  
 Java 7 Update 6  
 Java 2 Runtime Environment, SE v1.4.0_03
 Java version out of Date!
 Adobe Flash Player     11.8.800.168  
 Mozilla Firefox 13.0.1 Firefox out of Date!  
 Google Chrome 27.0.1453.116  
````````Process Check: objlist.exe by Laurent````````  
 ESET NOD32 Antivirus egui.exe  
 ESET NOD32 Antivirus ekrn.exe  
`````````````````System Health check`````````````````
 Total Fragmentation on Drive C::  
````````````````````End of Log``````````````````````
 

OTL.Txt

FSS.txt

Extras.Txt

[picasso]

Na przyszłość: proszę dostarczaj formy tekstowe raportów ESET, te obrazki się źle czyta, niektóre informacje też obcięte. Poza tym co dopiero tu byłeś z czym innym i mówiłam jakie są nowe zasady działu. Teraz logi FRST są obowiązkowe. Proszę dodaj.

 

 

 

.

[paweldiabel]

przepraszam! zaraz się biore za zasady działu, widzeże od mojej ostatniej wizyty dużo się zmieniło..

 

Dodaje logi z eset oraz FRST

Addition.txt

nod32 log.txt

FRST.txt

[picasso]

W systemie jest multum instalacji adware. Akcja:

 

1. Otwórz Notatnik i wklej w nim:

 

(ClickMeIn Limited) C:\Program Files\VuuPC\Connectivity.exe
HKCU\...\Run: [NextLive] - C:\Documents and Settings\Robert\Dane aplikacji\newnext.me\nengine.dll [1283584 2014-01-06] (NewNextDotMe)
HKCU\...\Policies\Explorer: [HideSCAHealth] 1
Winlogon\Notify\WgaLogon: WgaLogon.dll [X]
MountPoints2: {c9e94e04-899f-11e3-af0a-001fe2656671} - J:\cdstart.exe
ProxyServer: www.facebook.pl
HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.v9.com/?utm_source=b&utm_medium=idg&from=idg&uid=SAMSUNG_HD502IJ_S13TJ90QB21856&ts=1355671989
SearchScopes: HKLM - {006ee092-9658-4fd6-bd8e-a21a348e59f5} URL = http://feed.helperbar.com/?publisher=OC&dpid=OC&co=PL&userid=aa684a77-8344-459b-a777-6cc241c978fe&affid=111583&searchtype=ds&babsrc=lnkry&q={searchTerms}&installDate={installDate}
SearchScopes: HKLM - {BB74DE59-BC4C-4172-9AC4-73315F71CFFE} URL = http://websearch.searchrocket.info/?l=1&q={searchTerms}&pid=700&r=2013/05/28&hid=2570990793&lg=EN&cc=PL&unqvl=16
SearchScopes: HKCU - DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKCU - {006ee092-9658-4fd6-bd8e-a21a348e59f5} URL = http://feed.helperbar.com/?publisher=OC&dpid=OC&co=PL&userid=aa684a77-8344-459b-a777-6cc241c978fe&affid=111583&searchtype=ds&babsrc=lnkry&q={searchTerms}&installDate={installDate}
SearchScopes: HKCU - {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKCU - {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} URL = http://www1.delta-search.com/?q={searchTerms}&babsrc=SP_ss&mntrId=4C8E001FE2656671&affID=119357&tsp=4983
SearchScopes: HKCU - {171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E} URL = http://websearch.ask.com/redirect?client=ie&tb=ORJ&o=100000027&src=crm&q={searchTerms}&locale=en_US&apn_ptnrs=U3&apn_dtid=OSJ000YYPL&apn_uid=23C2E87D-3350-40F1-AEE1-39983D6B799F&apn_sauid=6C6520A8-ECEB-4137-ACCA-B3DA8427F7F0
BHO: DataMngr - {B939CF93-F2CB-443d-956C-DC523D85C9DB} - No File
BHO: Wincore Mediabar - {c2d64ff7-0ab8-4263-89c9-ea3b0f8f050c} - No File
BHO: Softonic Helper Object - {E87806B5-E908-45FD-AF5E-957D83E58E68} - C:\Program Files\Softonic\softonic\1.5.11.5\bh\softonic.dll (Softonic.com)
BHO: Yontoo - {FD72061E-9FDE-484D-A58A-0BAB4151CAD8} - No File
Toolbar: HKLM - Wincore Mediabar - {c2d64ff7-0ab8-4263-89c9-ea3b0f8f050c} - No File
Toolbar: HKLM - Softonic Toolbar - {5018CFD2-804D-4C99-9F81-25EAEA2769DE} - C:\Program Files\Softonic\softonic\1.5.11.5\softonicTlbr.dll (Softonic.com)
Toolbar: HKLM - Linkury Smartbar - {ae07101b-46d4-4a98-af68-0333ea26e113} - C:\WINDOWS\system32\mscoree.dll (Microsoft Corporation)
Toolbar: HKCU - No Name - {D4027C7F-154A-4066-A1AD-4243D8127440} - No File
Toolbar: HKCU - No Name - {E7DF6BFF-55A5-4EB7-A673-4ED3E9456D39} - No File
CHR HKLM\...\Chrome\Extension: [jifflliplgeajjdhmkcfnngfpgbjonjg] - C:\Program Files\Perion\NewTab\newTab.crx [2012-11-23]
CHR HKLM\...\Chrome\Extension: [niogeckbkdcabhnapjbkeiklablhjoca] - C:\Program Files\Perion\ChromeInfoBar\ChromeInfoBar.crx [2012-11-23]
CHR HKCU\...\Chrome\Extension: [amfclgbdpgndipgoegfpkkgobahigbcl] - C:\Documents and Settings\Robert\Ustawienia lokalne\Dane aplikacji\Smartbar/Application\1Extension.crx [2013-05-06]
Task: C:\WINDOWS\Tasks\Lyrmix Update.job => C:\Program Files\Lyrmix\LyricsmixUpdate.exe 
S2 RemoteEngineService; C:\Program Files\VuuPC\remoteengine.exe [2967568 2013-05-22] (ClickMeIn Limited)
R2 VuuPCConnectivity; C:\Program Files\VuuPC\Connectivity.exe [4746768 2013-05-22] (ClickMeIn Limited)
S2 BrowserDefendert; C:\Documents and Settings\All Users\Dane aplikacji\BrowserDefender\2.6.1562.220\{c16c1ccb-1111-4e5c-a2f3-533ad2fec8e8}\BrowserDefender.exe [x]
S0 ddqdjmt; System32\drivers\otsno.sys [x]
U1 luafv;
S3 PCAMPR5; \??\C:\WINDOWS\System32\PCAMPR5.SYS [x]
S3 rt2870; system32\DRIVERS\rt2870.sys [x]
C:\Documents and Settings\All Users\Dane aplikacji\AVAST Software
C:\Documents and Settings\All Users\Dane aplikacji\BearShare
C:\Documents and Settings\All Users\Dane aplikacji\boost_interprocess
C:\Documents and Settings\All Users\Dane aplikacji\BrowserDefender
C:\Documents and Settings\All Users\Dane aplikacji\Common Files
C:\Documents and Settings\All Users\Dane aplikacji\conttiinuoeetOssaVe
C:\Documents and Settings\All Users\Dane aplikacji\F4D55F17000485B2006E0D8A8DB91C90
C:\Documents and Settings\All Users\Dane aplikacji\InstallMate
C:\Documents and Settings\All Users\Dane aplikacji\StarApp
C:\Documents and Settings\All Users\Dane aplikacji\TEMP
C:\Documents and Settings\All Users\Dane aplikacji\Wru
C:\Documents and Settings\All Users\Dane aplikacji\{E6A6CE03-6563-45AB-89FB-CAA10E4E1475}
C:\Documents and Settings\Gość\Ustawienia lokalne\Dane aplikacji\AskToolbar
C:\Documents and Settings\Gośka\Ustawienia lokalne\Dane aplikacji\AskToolbar
C:\Documents and Settings\Robert\.android
C:\Documents and Settings\Robert\.plugin140_03.trace
C:\Documents and Settings\Robert\daemonprocess.txt
C:\Documents and Settings\Robert\Dane aplikacji\BabMaint.exe
C:\Documents and Settings\Robert\Dane aplikacji\0C1I1L1R1J0M1P0I1G
C:\Documents and Settings\Robert\Dane aplikacji\BrowserCompanion
C:\Documents and Settings\Robert\Dane aplikacji\defaulttab
C:\Documents and Settings\Robert\Dane aplikacji\DSite
C:\Documents and Settings\Robert\Dane aplikacji\Incredibar.com
C:\Documents and Settings\Robert\Dane aplikacji\mediabarbs
C:\Documents and Settings\Robert\Dane aplikacji\newnext.me
C:\Documents and Settings\Robert\Dane aplikacji\Se Analyzer Tool SA
C:\Documents and Settings\Robert\Dane aplikacji\Systweak
C:\Documents and Settings\Robert\Dane aplikacji\wincorebsband
C:\Documents and Settings\Robert\Menu Start\FoxTab FLV Player
C:\Documents and Settings\Robert\Moje dokumenty\Mobogenie
C:\Documents and Settings\Robert\Ustawienia lokalne\Dane aplikacji\cache
C:\Documents and Settings\Robert\Ustawienia lokalne\Dane aplikacji\genienext
C:\Documents and Settings\Robert\Ustawienia lokalne\Dane aplikacji\Mobogenie
C:\Program Files\AVAST Software
C:\Program Files\FoxTabFLVPlayer
C:\Program Files\Mobogenie
C:\Program Files\maucampo
C:\Program Files\VuuPC
C:\WINDOWS\System32\ImHttpComm.dll
Reg: reg delete HKCU\Software\Classes\.exe /f
Reg: reg delete "HKCU\Software\Microsoft\Internet Explorer\MenuExt\Search the Web" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Internet Explorer\MenuExt\Search the Web" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Internet Explorer\Search" /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\SOFTWARE\Microsoft\Internet Explorer\Main" /v "Search Bar" /f
Reg: reg delete "HKU\S-1-5-19\SOFTWARE\Microsoft\Internet Explorer\Main" /v "Search Page" /f
Reg: reg delete "HKU\S-1-5-19\SOFTWARE\Microsoft\Internet Explorer\Main" /v "Start Page" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\Search" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\SOFTWARE\Microsoft\Internet Explorer\Main" /v "Search Bar" /f
Reg: reg delete "HKU\S-1-5-20\SOFTWARE\Microsoft\Internet Explorer\Main" /v "Search Page" /f
Reg: reg delete "HKU\S-1-5-20\SOFTWARE\Microsoft\Internet Explorer\Main" /v "Start Page" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\Search" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\DirectAnimation Java Classes" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\Microsoft XML Parser for Java" /f

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt.

 

2. Przez Dodaj/Usuń programy odinstaluj adware: Linkury Smartbar, Linkury Smartbar Engine, Softonic toolbar on IE and Chrome, SweetIM for Messenger 3.6, SweetPacks Toolbar for Internet Explorer 4.4, TornTV, Ultimate Codec Packages.

 

3. Firefox zabrudzony adware mocno, ale czyszczenie nieopłacalne, to zdezelowany stary Firefox 13.0.1. Za pomocą MozBackup skopiuj tylko zakładki i hasła (nic więcej), o ile potrzebne. Następnie odinstaluj Firefox, przy pytaniu o usuwanie danych użytkownika potwierdź.

 

4. Wyczyść Google Chrome z adware:

• Ustawienia > karta Rozszerzenia > odinstaluj IncrediBar for Chrome™, New tab for Chrome™
• Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Zresetuj ustawienia przeglądarki. Zakładki i hasła nie zostaną naruszone.
• Ustawienia > karta Ustawienia > sekcja Wyszukiwanie > klik w Zarządzanie wyszukiwarkami > skasuj z listy niedomylne śmieci (o ile będą).
• Zresetuj cache wtyczek. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie Włącz.

5. Uruchom AdwCleaner. Zastosuj Szukaj, a po tym Usuń. Powstanie folder C:\AdwCleaner z raportem z usuwania.

 

6. Uruchom TFC - Temp Cleaner.

 

7. Zrób nowy skan FRST (bez Addition) + OTL (bez Extras). Dołącz plik fixlog.txt i log utworzony przez AdwCleaner.

 

 

 

.

[paweldiabel]

Pkt.1 Wykonany

Pkt.2  nie można odinstalować Linkury Smartbar, Linkury Smartbar Engine, SweetIM for Messenger 3.6, SweetPacks Toolbar for Internet Explorer 4.4 wyskakuje komunikat

http://www.fotosik.pl/pokaz_obrazek/e2a8cf8251f9db54.html

 

TornTV - nie widać tego w dodaj usuń programy

 

Pkt.3 Firefox został całkowicie odinstalowany wraz z dodatkami

 

Pkt.4 wykonany oprócz "odinstaluj IncrediBar for Chrome™, New tab for Chrome™" nie ma tego w tej zakładce

 

Pkt.5 Wykonany

 

Pkt.6 wykonany

 

Pkt.7 dodaje logi

Fixlog.txt

AdwCleanerR0.txt

AdwCleanerS0.txt

FRST.txt

OTL.Txt

[picasso]

Drobne zastrzeżenia:

- Log z FRST zrobiony na zbyt szerokich ustawieniach. Opcja Drivers MD5 nie ma być domyślnie zaznaczona.

- Dlaczego AdwCleaner został pobrany z Instalek a nie strony domowej? Przypominam: tylko na stronie domowej jest gwarancja najnowszej wersji, żaden portal zewnętrzny nie ma też autoryzycji do hostowania tego rodzaju programów. I na Instalkach można się też nadziać na downloader z adware: KLIK.

 

Programy, których nie można było odinstalować: AdwCleaner usunął wpisy SweetPacks Toolbar for Internet Explorer 4.4, SweetIM for Messenger 3.6, TornTV. Te rozszerzenia Google Chrome nie są już widzialne (jedno z nich także dokasował AdwCleaner). Zostały poprawki:

 

1. Uruchom to narzędzie Microsoftu: KLIK. Zaakceptuj > Wykryj problemy i pozwól mi wybrać poprawki do zastosowania > Odinstalowywanie > wyszukaj wpisy Linkury do usunięcia > Dalej.

 

2. Otwórz Notatnik i wklej w nim:

 

C:\Documents and Settings\Robert\Dane aplikacji\newnext.me
SearchScopes: HKLM - DefaultScope value is missing.
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Przedstaw wynikowy fixlog.txt.

 

 

.

[paweldiabel]

1. Uruchom to narzędzie Microsoftu: KLIK. Zaakceptuj > Wykryj problemy i pozwól mi wybrać poprawki do zastosowania > Odinstalowywanie > wyszukaj wpisy Linkury do usunięcia > Dalej.

Nie można wyszukać Linkury program przekierowuje do głównej strony

 

Pkt.2 wykonany

Fixlog.txt

[picasso]

Podałeś mi skan główny FRST (nie prosiłam o niego) i to jeszcze przeterminowany sprzed uruchomienia skryptu (bo zmian brak). Miałeś podać plik fixlog.txt. Podmień załączniki w poprzednim poście.

 

 

Nie można wyszukać Linkury program przekierowuje do głównej strony

Nie za bardzo rozumiem co widzisz. Czy program w ogóle uruchomił się?

 

 

 

.

[paweldiabel]

Fixlog podmieniony.

 

Program się uruchomił ale po "Wykryj problemy i pozwól mi wybrać poprawki do zastosowania" wyskakuje komunikat: Narzędzie do rozwiązywania problemów wykryło nieoczekiwany bład i nie może kontynuować