Sweet Page

[ruter321]

Witam. Posiadam laptopa o 64-bitowym systemie operacyjnym - Windows 7 Home Premium. Jeśli chodzi problem, a mianowicie Sweet page, to zablokował on wszelki dostęp do Internetu - nie wgrywają się strony internetowe w przeglądarkach. Pojawiło się to w czasie pobierania programu niezbędnego do uzyskania odpowiedniego pliku. Wraz z tym programem oczywiście przyszedł i wirus, który zwolnił także pracę systemu. Wcześniej nie zawiodłem się na waszej pomocy, więc wierzę że znów ją okażecie. Z góry dziękuję.

OTL.Txt

Extras.Txt

FRST.txt

Addition.txt

[picasso]

Log z OTL jest mało przydatny, podałeś log z archaicznej wersji OTL 3.2.17.3. Nie wiem skąd pobierałeś, ale na pewno nie ze stron autoryzowanych wyliczonych w przyklejonym: KLIK.

 

Adware sweet-page.com nie powinno blokować wgrywania stron, to nie ten rodzaj modyfikacji. Chyba stało się tu coś innego, nie jest wykluczony COMODO Internet Securitry jako przyczyna problemów sieci. Prócz swest-page, jest więcej adware (m.in. w Google Chrome). Przyczya załadowania adware to ten felerny instalator:

 

2014-02-11 21:25 - 2014-02-11 21:25 - 00330432 _____ (Beware) C:\Users\Beata\Downloads\face2face Upper Intermediate Workbook with Key.exe

 

Na razie nie koncentruję się na problemach sieci. Zacznijmy od czyszczenia adware:

 

1. Otwórz Notatnik i wklej w nim:

 

CMD: md C:\Users\Beata\Desktop\Upload
CMD: md C:\Users\Beata\Desktop\Upload\Extensions
CMD: copy "C:\Users\Beata\AppData\Local\Google\Chrome\User Data\Default\Preferences" C:\Users\Beata\Desktop\Upload
CMD: xcopy /e "C:\Users\Beata\AppData\Local\Google\Chrome\User Data\Default\Extensions" C:\Users\Beata\Desktop\Upload\Extensions
(Cherished Technololgy LIMITED) C:\ProgramData\WPM\wprotectmanager.exe
HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.sweet-page.com/web/?type=ds&ts=1392150960&from=wpc&uid=HitachiXHTS547575A9E384_J2540059EHYNWEEHYNWEX&q={searchTerms}
HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.sweet-page.com/?type=hp&ts=1392150960&from=wpc&uid=HitachiXHTS547575A9E384_J2540059EHYNWEEHYNWEX
HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.sweet-page.com/?type=hp&ts=1392150960&from=wpc&uid=HitachiXHTS547575A9E384_J2540059EHYNWEEHYNWEX
HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.com/ie
HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.sweet-page.com/web/?type=ds&ts=1392150960&from=wpc&uid=HitachiXHTS547575A9E384_J2540059EHYNWEEHYNWEX&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.sweet-page.com/web/?type=ds&ts=1392150960&from=wpc&uid=HitachiXHTS547575A9E384_J2540059EHYNWEEHYNWEX&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.sweet-page.com/?type=hp&ts=1392150960&from=wpc&uid=HitachiXHTS547575A9E384_J2540059EHYNWEEHYNWEX
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.sweet-page.com/?type=hp&ts=1392150960&from=wpc&uid=HitachiXHTS547575A9E384_J2540059EHYNWEEHYNWEX
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.sweet-page.com/web/?type=ds&ts=1392150960&from=wpc&uid=HitachiXHTS547575A9E384_J2540059EHYNWEEHYNWEX&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.sweet-page.com/web/?type=ds&ts=1392150960&from=wpc&uid=HitachiXHTS547575A9E384_J2540059EHYNWEEHYNWEX&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.sweet-page.com/?type=hp&ts=1392150960&from=wpc&uid=HitachiXHTS547575A9E384_J2540059EHYNWEEHYNWEX
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = http://www.sweet-page.com/?type=hp&ts=1392150960&from=wpc&uid=HitachiXHTS547575A9E384_J2540059EHYNWEEHYNWEX
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = http://www.sweet-page.com/web/?type=ds&ts=1392150960&from=wpc&uid=HitachiXHTS547575A9E384_J2540059EHYNWEEHYNWEX&q={searchTerms}
StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe http://www.sweet-page.com/?type=sc&ts=1392150960&from=wpc&uid=HitachiXHTS547575A9E384_J2540059EHYNWEEHYNWEX
SearchScopes: HKLM - DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.sweet-page.com/web/?type=ds&ts=1392150960&from=wpc&uid=HitachiXHTS547575A9E384_J2540059EHYNWEEHYNWEX&q={searchTerms}
SearchScopes: HKLM - {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.sweet-page.com/web/?type=ds&ts=1392150960&from=wpc&uid=HitachiXHTS547575A9E384_J2540059EHYNWEEHYNWEX&q={searchTerms}
SearchScopes: HKLM-x32 - DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.sweet-page.com/web/?type=ds&ts=1392150960&from=wpc&uid=HitachiXHTS547575A9E384_J2540059EHYNWEEHYNWEX&q={searchTerms}
SearchScopes: HKLM-x32 - {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.sweet-page.com/web/?type=ds&ts=1392150960&from=wpc&uid=HitachiXHTS547575A9E384_J2540059EHYNWEEHYNWEX&q={searchTerms}
SearchScopes: HKCU - DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.sweet-page.com/web/?type=ds&ts=1392150960&from=wpc&uid=HitachiXHTS547575A9E384_J2540059EHYNWEEHYNWEX&q={searchTerms}
SearchScopes: HKCU - {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} URL = http://search.babylon.com/?q={searchTerms}&affID=121845&babsrc=SP_ss_bad2g&mntrId=F240001E101F02FC
SearchScopes: HKCU - {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.sweet-page.com/web/?type=ds&ts=1392150960&from=wpc&uid=HitachiXHTS547575A9E384_J2540059EHYNWEEHYNWEX&q={searchTerms}
SearchScopes: HKCU - {6A1806CD-94D4-4689-BA73-E35EA1EA9990} URL = http://www.google.com/search?q={sear
SearchScopes: HKCU - {8EEAC88A-079B-4b2c-80C1-7836F79EB40A} URL = http://pl.search.yahoo.com/search?p={searchTerms}&fr=chr-comodo
GroupPolicy: Group Policy on Chrome detected 
FF StartMenuInternet: FIREFOX.EXE - C:\Program Files (x86)\Mozilla Firefox\firefox.exe http://www.sweet-page.com/?type=sc&ts=1392150960&from=wpc&uid=HitachiXHTS547575A9E384_J2540059EHYNWEEHYNWEX
CHR StartMenuInternet: Google Chrome - C:\Program Files (x86)\Google\Chrome\Application\chrome.exe http://www.sweet-page.com/?type=sc&ts=1392150960&from=wpc&uid=HitachiXHTS547575A9E384_J2540059EHYNWEEHYNWEX
HKU\S-1-5-21-496714606-4136082608-2005631783-1002\...\Run: [LiveSupport] - "C:\Program Files (x86)\LiveSupport\LiveSupport.exe" /noshow /log
R2 Wpm; C:\ProgramData\WPM\wprotectmanager.exe [493568 2014-02-11] (Cherished Technololgy LIMITED)
S2 Sentinel; \SystemRoot\System32\Drivers\SENTINEL.SYS [X]
Task: {3BE676FD-966C-40C2-8CCB-35D974432CD0} - System32\Tasks\{12B0DEF2-7FCF-4C5E-91FF-CF526E846BC2} => E:\setup.exe [2008-08-21] ()
Task: {59A0BC63-12B4-4BDE-869A-DCC2A160DAD9} - System32\Tasks\{3849CEF9-104D-4877-A298-40DA549656D4} => E:\setup.exe [2008-08-21] ()
Task: {5EDD735D-385C-42FD-8B13-850BA4708B27} - System32\Tasks\{359B5AB5-AAC1-422E-83A0-6BDBA547029F} => E:\setup.exe [2008-08-21] ()
Task: {6B3639E5-DAAE-4CC1-AE47-D16AC868D47D} - System32\Tasks\{7B9666B1-9129-40D6-A33C-6B3D876CB029} => E:\setup.exe [2008-08-21] ()
Task: {6B520F8C-022C-4646-A5EE-971A7051D784} - System32\Tasks\{1F7282C3-AC04-4832-A4FF-D21C8E656630} => E:\setup.exe [2008-08-21] ()
Task: {9381A22B-880B-434D-9C33-EB82428644FE} - System32\Tasks\{8CFF935F-CB17-4529-AE3A-AA665188327A} => Firefox.exe http://ui.skype.com/ui/0/6.0.11.126/pl/abandoninstall?page=tsProgressBar
Task: {C5DDBE9E-DBC3-4EB3-BC77-1E64ACEC0F66} - System32\Tasks\{3880D5C0-BA31-4B7C-B472-253F5DB4C28A} => Firefox.exe http://ui.skype.com/ui/0/6.6.11.106/pl/abandoninstall?page=tsMain
C:\Users\Beata\AppData\Local\Torch
C:\Users\Beata\AppData\Roaming\sp_data.sys
C:\Users\Beata\Downloads\face2face Upper Intermediate Workbook with Key.exe
C:\Users\Beata\Documents\OTL_3.2.17.3.exe
C:\Users\Public\OTL_3.2.17.3.exe
C:\Users\UpdatusUser\AppData\Local\Comodo
C:\Users\UpdatusUser\AppData\Local\Google
C:\Users\UpdatusUser\AppData\Local\Torch
C:\Users\Administrator
C:\Users\Gość
Folder: C:\Users\Beata\AppData\Local\Comodo\Dragon\User Data\Default\Extensions

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt.

 

2. Przez Panel sterowania odinstaluj adware weabsaave, WPM17.8.0.3325, YoutubeAdblocker (2 pozycje).

 

3. Wyczyść Firefox z adware: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox. Zakładki i hasła nie zostaną naruszone.

 

4. Wyczyść Google Chrome z adware:

• Ustawienia > karta Rozszerzenia > odinstaluj Save Best, YTBookMoark, YoutubeAdblocker, websAve (prawdopodobnie części już nie będzie po w/w deinstalacjach)
• Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Zresetuj ustawienia przeglądarki. Zakładki i hasła nie zostaną naruszone.
• Ustawienia > karta Ustawienia > sekcja Wyszukiwanie > klik w Zarządzanie wyszukiwarkami > skasuj z listy sweet-page i niedomyślne śmieci (o ile będą).
• Zresetuj cache wtyczek. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie Włącz.

5. Jest tu też przeglądarka Comodo Dragon. Prawdopodobnie w niej są podobne modyfikacje adware jak w Google Chrome, niestety FRST nie skanuje ustawień tej przeglądarki. Musisz ręcznie przejrzeć opcje.

 

6. Uruchom AdwCleaner. Zastosuj Szukaj, a po tym Usuń. Powstanie folder C:\AdwCleaner z raportem z usuwania.

 

7. Zrób nowy skan FRST (bez Addition) oraz OTL (z najnowszej wersji). Dołącz też pliki fixlog.txt i AdwCleaner. Na Pulpicie powstał też folder Upload, spakuj go do ZIP, shostuj gdzieś i na PW prześlij do niego link.

 

 

 

.

[ruter321]

Proszę. Nie dało rady wcześniej... nie wiem czy z AdwCleaner miałem coś więcej wysłać.

OTL.Txt

AdwCleanerR0.txt

AdwCleanerS0.txt

Fixlog.txt

FRST.txt

[ruter321]

Zobaczysz to?? Bo mi już dobrze nawet dobrze chodzi internet, ale chciałbym być pewny że nie ma już żadnych błędów. Nie chcę popędzać, bo wiem że macie wiele pracy, ale nie wiem czy temat jest do zamknięcie czy jeszcze nie.

[picasso]

Zadania wykonane, ale poprawki wymagane:

 

1. Nadal w Rozszerzeniach Google Chrome widzę adware YTBookMoark, w przeglądarce Comodo Dragon także podejrzane rozszerzenie o nieznanej mi nazwie. Czy na pewno tego nie ma na liście do deinstalacji? Wejdź do opcji Rozszerzeń obu przeglądarek po kolei, zaznacz opcje "Tryb programisty", by było widać identyfikatory rozszerzeń i zrób zrzuty ekranu. Zrzuty podaj przed przejściem do tego zadania, dopóki nie potwierdzę akcji:

 

2. Pobierz najnowszy. Otwórz Notatnik i wklej w nim:

 

C:\Program Files (x86)\weabsaave
C:\Program Files (x86)\YoutubeAdblocker
C:\ProgramData\68b18d7e944da6c7
C:\ProgramData\Beware
C:\ProgramData\InstallMate
C:\ProgramData\WPM
C:\ProgramData\weabsaave
C:\ProgramData\YoutubeAdblocker
C:\Users\Beata\AppData\Local\Google\Chrome\User Data\Default\Extensions\hmadcdclihobdmoknifpifgnodffkpio
C:\Users\Beata\AppData\Local\Google\Chrome\User Data\Default\Extensions\lhkockgldmglcnpgohabgppekfabblpc
C:\Users\Beata\AppData\Local\Comodo\Dragon\User Data\Default\Extensions\abohlcchbejebckjcgopcijoahlaonmg
C:\Users\Beata\AppData\Roaming\sp_data.sys
C:\Windows\SysWOW64\GroupPolicy\GPT.ini
FF HKLM-x32\...\Thunderbird\Extensions: [eplgTb@eset.com] - C:\Program Files\ESET\ESET Smart Security\Mozilla Thunderbird
Task: {3BE676FD-966C-40C2-8CCB-35D974432CD0} - System32\Tasks\{12B0DEF2-7FCF-4C5E-91FF-CF526E846BC2} => E:\setup.exe [2008-08-21] ()
Task: {59A0BC63-12B4-4BDE-869A-DCC2A160DAD9} - System32\Tasks\{3849CEF9-104D-4877-A298-40DA549656D4} => E:\setup.exe [2008-08-21] ()
Task: {5EDD735D-385C-42FD-8B13-850BA4708B27} - System32\Tasks\{359B5AB5-AAC1-422E-83A0-6BDBA547029F} => E:\setup.exe [2008-08-21] ()
Task: {6B3639E5-DAAE-4CC1-AE47-D16AC868D47D} - System32\Tasks\{7B9666B1-9129-40D6-A33C-6B3D876CB029} => E:\setup.exe [2008-08-21] ()
Task: {6B520F8C-022C-4646-A5EE-971A7051D784} - System32\Tasks\{1F7282C3-AC04-4832-A4FF-D21C8E656630} => E:\setup.exe [2008-08-21] ()
Task: {9381A22B-880B-434D-9C33-EB82428644FE} - System32\Tasks\{8CFF935F-CB17-4529-AE3A-AA665188327A} => Firefox.exe http://ui.skype.com/ui/0/6.0.11.126/pl/abandoninstall?page=tsProgressBar
Task: {C5DDBE9E-DBC3-4EB3-BC77-1E64ACEC0F66} - System32\Tasks\{3880D5C0-BA31-4B7C-B472-253F5DB4C28A} => Firefox.exe http://ui.skype.com/ui/0/6.6.11.106/pl/abandoninstall?page=tsMain
Reg: reg add "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes" /v DefaultScope /t REG_SZ /d {0633EE93-D776-472f-A0FF-E1416B8B2E3A} /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Przedstaw wynikowy fixlog.txt.

 

3. Uruchom TFC - Temp Cleaner.

 

 

 

.

[ruter321]

Daje pliki.

[picasso]

Oba rozszerzenia nie są tam widziane, więc możesz przejść do wykonania punktu 2.