Ogólna infekcja

[3MOON]

Witam

 

Win Vista Home Premium 32Bit

 

Dziwny problem bo podpiąłem się do sieci kolegi kabelkiem i dostałem coś w prezencie. Objawem jest jakieś przekierowanie np. ze strony allegro na inną stronę (linkbucks). Nie mogę teraz tego pokazać bo chwilowo nie mogę dostać się do żadnego folderu. Blokowaną mam też główną stronę google. Jest tylko biała plama. Daję na razie tylko log z GMERa przez hosting bo system nie daje mi nigdzie zapisać tego co mam w schowku. Nie wiem czy to objaw czy wynik pracy laptopa przez całą noc... Zobaczę co będzie po restarcie.

 

http://wklej.se/gmer

 

No dobra

Po restarcie mam przewlekły brak pulpitu nawet w awaryjnym więc będę musiał wygrzebać te logi jakimś live CD, który jeszcze nie wiem gdzie zrobię. Jak się uda to doślę.

 

Ok jakoś się udało:

 

http://wklej.se/frst

http://wklej.se/addition

http://wklej.se/otl_

http://wklej.se/extras_

Edytowane 19 Lutego 2014 przez 3MOON

[3MOON]

Okrężnymi drogami udało mi się uruchomić adwcleanera. Zamieszczam wynik z usuwania:

 

http://wklej.se/adw

 

[picasso]

Dziwny problem bo podpiąłem się do sieci kolegi kabelkiem i dostałem coś w prezencie. Objawem jest jakieś przekierowanie np. ze strony allegro na inną stronę (linkbucks). Nie mogę teraz tego pokazać bo chwilowo nie mogę dostać się do żadnego folderu.

To nie jest infekcja po stronie systemu i nie pomoże tu żaden skaner. To infekcja na poziomie ustawień DNS routera. Należy zresetować ustawienia routera.

 

 

Następnym razem proszę użyj innego serwisu wklejkowego (np. wklej.org), bo ten zniekształca rzeczy. I jest tu kuriozalna rozbieżność logów:

- Log z FRST pochodzi z systemu Vista i jest zrobiony na świeżo.

- Logi z OTL to nie wiadomo co to w ogóle ma być: są z dwóch różnych komputerów z systemami XP, każdy log wykonany w innym roku (2011 vs. 2013)...

OTL w ogóle nie biorę pod uwagę. FRST wygląda na log z właściwego systemu.

 

W raportach FRST i GMER nie ma oznak infekcji. Tylko kosmetyka wpisów szczątkowych (w ogóle nie związana z problemem). Otwórz Notatnik i wklej w nim:

 

HKLM\...\Run: [Driver Genius] - [X]
HKU\S-1-5-21-3887173721-64903478-3776245340-1004\...\Run: [fsm] - [X]
HKU\S-1-5-21-3887173721-64903478-3776245340-1004\...\Run: [LG LinkAir] - [X]
SearchScopes: HKLM - DefaultScope value is missing.
SearchScopes: HKCU - {6A1806CD-94D4-4689-BA73-E35EA1EA9990} URL = http://www.google.com/search?q={sear
SearchScopes: HKCU - {94A6CE99-0427-490C-8DBC-AB5A5BBAC8EA} URL = http://search.yahoo.com/search?fr=mcafee&p={SearchTerms}
BHO: No Name - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - No File
Toolbar: HKCU - No Name - {C55BBCD6-41AD-48AD-9953-3609C48EACC7} - No File
Toolbar: HKCU - No Name - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - No File
Toolbar: HKCU - No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No File
DPF: {68282C51-9459-467B-95BF-3C0E89627E55} http://www.mks.com.pl/skaner/SkanerOnline.cab
DPF: {CAFEEFAC-0016-0000-0018-ABCDEFFEDCBA}
FF DefaultSearchEngine: Secure Search
FF Extension: Default Manager - C:\Users\Lenovo\AppData\Roaming\Mozilla\Firefox\Profiles\ajhdho8b.default\Extensions\DefaultManager@Microsoft [2012-12-18]
FF Extension: No Name - C:\Users\Lenovo\AppData\Roaming\Mozilla\Firefox\Profiles\ajhdho8b.default\Extensions\brief@mozdev.org.xpi [2012-08-13]
Unlock: HKLM\SYSTEM\CurrentControlSet\Services\sptd
S3 ewusbnet; system32\DRIVERS\ewusbnet.sys [X]
S3 FTDIBUS; system32\drivers\ftdibus.sys [X]
S3 huawei_enumerator; system32\DRIVERS\ew_jubusenum.sys [X]
S3 hwdatacard; system32\DRIVERS\ewusbmdm.sys [X]
S3 hwusbfake; system32\DRIVERS\ewusbfake.sys [X]
S3 massfilter; system32\drivers\massfilter.sys [X]
S3 PORTMON; \??\D:\Serwis\Do dysków\SysinternalsSuite\PORTMSYS.SYS [X]
S4 sptd; \SystemRoot\System32\Drivers\sptd.sys [X]
S3 ZTEusbmdm6k; system32\DRIVERSTEusbmdm6k.sys [X]
S3 ZTEusbnet; system32\DRIVERSTEusbnet.sys [X]
S3 ZTEusbnmea; system32\DRIVERSTEusbnmea.sys [X]
S3 ZTEusbser6k; system32\DRIVERSTEusbser6k.sys [X]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Przedstaw wynikowy fixlog.txt.

 

 

 

 

.

[3MOON]

Tak racja, to sprawa na poziomie DNS i dziwne, że częsty przypadek w sieciach radiowych.

 

Jeśli chodzi o wykonanie instrukcji frst to mam problem bo nie mogę niczego zapisać. Mogę notatnik otworzyć przez uruchom pod warunkiem jednak, że mam menu ustawione na klasyczne (inaczej pasek start w ogóle się nie rozwija) ale nie mogę nic zapisać. Nie mam dostępu do pulpitu (czarny ekran) i eksplorera. Mogę wejść do Internetu ale tylko przez firefoxa.

 

[3MOON]

Hm miałem zamiar wydobyć te stare logi ale myślę, że nie ma to sensu bo w tym momencie nie chodzi już o sam linkbucks - odkąd jestem na swoim routerze i działam na firefoxie to nie mam tych przekierowań. Problem tkwi w tym, że wygląda na to jakbym dotknął czegoś przy skanowaniu komputera. Tych objawów z czarnym pulpitem i zablokowanym explorerem nie było wcześniej. Jest jednak rozwiązanie. Mogę uruchamiać programy diagnostyczne z poziomu firefoxa zaraz po ściągnięciu ich na dysk. Będę załączał wyniki na bieżąco poprzez edycję posta ponieważ jak już pisałem mam zablokowane zapisywanie w jakimkolwiek programie.

 

FRST: http://www.wklej.org/id/1280559/

Addition: http://www.wklej.org/id/1280560/

OTL: http://www.wklej.org/id/1280561/

Extras: http://www.wklej.org/id/1280562/

[3MOON]

O i historia z cyklu nie wiem o co kaman

 

Wczoraj puściłem dodatkowo skan z avasta przed systemem, który namiętnie przykleił się do wszystkiego co związane z drivergenius. Nie mógł tego usunąć więc zrobiłem to na chama przez reatogo x pe. Rano włączyłem komputer i nadal miałem czarny pulpit więc to raczej nie miało znaczenia. Zrobiłem rano te skany jak napisałem wyżej. Przy skanie GMER zawiesił mi się 2x. Za pierwszym razem wyskoczył mi komunikat, że program nie odpowiada. W GMERZE była ścieżka : Software\Microsoft\Windows\Current Version\Diagnostics\Resolves. Tak więc uruchomiłem go jeszcze raz i tym razem w nieskończoność skanował miejsce: System\Current Control Set\Services\SmartDefragTime\MFTList. Raczej przypadkowa sprawa. Zatrzymałem wiec skanowanie i postanowiłem, że uruchomię może system jeszcze raz i mu przejdzie czkawka.

 

I teraz nie rozumiem. Od kilku dni męczę system różnymi skanerami (tonący brzytwy się chwyta). Zapisywałem wyniki na kartce ale zginęły w czeluściach kreatywności rysowniczej moich małoletnich dzieci. Były to jednak zupełnie przypadkowe wyniki. Coś w folderach - najczęściej Cracki. Miałem też coś w chomik boxie (tutaj niby jakaś wersja back doora wykryta przez malwerbytes w wersji na rotkity), miałem też coś w menadżerze zasilania laptopa - tu nie pamiętam co ale nie mam teraz ikonki baterii (wykryte przez DrCureit Live CD)

 

Mniejsza o większość moich wywodów bo po porannych zawieszkach GMERa i ponownym uruchomieniu systemu odzyskałem dostęp do pulpitu!. Rebootowałem laptopa 4 razy i tak jakby nie było problemu. Czy ktoś mi jest w stanie powiedzieć co się stało?

[picasso]

3MOON, nic dla mnie z tego nie wynika. Ale nie jest wykluczone, że czarny ekran i blokady były z winy oprogramowania zabezpieczającego / skanującego. Skoro teraz już masz dostęp do systemu, to zrób nowy log FRST z tej sytuacji, zaznacz pole Addition, by powstały dwa raporty.

 

 

 

.

[3MOON]

Ok w takim razie jeśli nie widać czynnej infekcji to proszę tylko o kosmetykę. Mam tylko jeszcze małą prośbę. Potrzebuję link do czytanki odnośnie naprawy ie9 Vista. Jak odinstaluje to ie8 działa normalnie a 9 się sypie przy samym starcie.

Szczegóły http://www.wklej.org/id/1283454/

 

FRST http://www.wklej.org/id/1283449/

Addition http://www.wklej.org/id/1283451/

 

 

[3MOON]

Tak trochę odbiegając od tematu obecnego. Ponieważ temat zaczął się u kolegi i skończył na nim bo zresetowałem router i wszystko działało ok, to mam takie pytanie. Czy można stwierdzić jednoznacznie, że problem infekcji routera tkwi po stronie dostawcy Internetu. Napisałem, że działało bo po tygodniu ten sam kolega zadzwonił do mnie i ku mojemu zdziwieniu nie dość, że miał znowu linkbucksa to jeszcze router był całkowicie zresetowany. Wyleciały wszystkie moje ustawienia. Gorzej było o tyle, że tym razem musiałem resetować ustawienia przeglądarek. Jest ok tylko nie wiem znowu na ile czasu. Nie wiem czy to jakiś przypadek? Czy może adres routera był gdzieś zapamiętany? Kazałem go na wszelki wypadek zmienić panom z obsługi technicznej. Oni jednak zapierają się, że na 100% wina jest po stronie mojego kolegi.

 

Tak na marginesie u mnie przeglądarka już też działa. Zmieniłem ustawienia renderowania