Win32: BProtect-D

[krzyszt]

Witam,

Przys skanowaniu program (Avast!) wykrył trojana Win32: BProtect-D. Taki temat już był, ale rozwiązania problemu są indywidualne, stąd moja prośba o pomoc w usunięciu wirusa. Załączam wymagane logi. Niestety nie udało mi się wygenerować raportu GMER - po około godzinie skanowania następuje restart komputera mimo, że wyłączam avasta! i zaporę.

Pozdrawiam,

krzyszt

 

Oto dodatkowo wygenerowany checkup.txt:

 

 Results of screen317's Security Check version 0.99.79  
 Windows 7 Service Pack 1 x64 (UAC is enabled)  
 Internet Explorer 11  
``````````````Antivirus/Firewall Check:``````````````
avast! Internet Security   
 Antivirus up to date!   
`````````Anti-malware/Other Utilities Check:`````````
 Java 6 Update 37  
 Java 7 Update 45  
 Java version out of Date!
  Adobe Flash Player 12.0.0.70 Flash Player out of Date!  
 Adobe Reader XI  
 Mozilla Firefox (27.0.1)
 Mozilla Thunderbird (24.3.0)
 Google Chrome 32.0.1700.107  
 Google Chrome 33.0.1750.117  
````````Process Check: objlist.exe by Laurent````````  
 AVAST Software Avast AvastSvc.exe  
 AVAST Software Avast afwServ.exe  
 AVAST Software Avast AvastUI.exe  
`````````````````System Health check`````````````````
 Total Fragmentation on Drive C:  
````````````````````End of Log``````````````````````

Addition.txt

Extras.Txt

FRST.txt

OTL.Txt

Shortcut.txt

[picasso]

Nie podałeś w czym Avast notuje zagrożenie, chodzi o konkretną ścieżkę dostępu. W kwestii raportów: w systemie jest dużo czynnych obiektów adware. Przeprowadź następujące działania:

 

1. Otwórz Notatnik i wklej w nim:

 

() C:\Users\Krzysztof\AppData\Roaming\defaulttab\defaulttab\dtupdate.exe
(Bandoo Media, inc) C:\Program Files (x86)\SearchCore for Browsers\SearchCore for Browsers\datamngrUI.exe
HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.babylon.com/?affID=121845&babsrc=HP_ss_din2g&mntrId=1088BCAEC5A125A9
SearchScopes: HKLM - DefaultScope {30F5AB16-9F1E-4E99-93F2-ECB9ABB0EC12} URL = http://www.searchya.com/?q={searchTerms}&s=1&a=foxtab&chnl=ft-100&cd=2XzuyEtN2Y1L1Qzu0B0C0A0E0CyD0AtCtByD0Azy0Dzyzy0CtN0D0Tzu0CtBtByEtN1L2XzutBtFtCtFtCtFtAtCtB&cr=502886137
SearchScopes: HKLM - {30F5AB16-9F1E-4E99-93F2-ECB9ABB0EC12} URL = http://www.searchya.com/?q={searchTerms}&s=1&a=foxtab&chnl=ft-100&cd=2XzuyEtN2Y1L1Qzu0B0C0A0E0CyD0AtCtByD0Azy0Dzyzy0CtN0D0Tzu0CtBtByEtN1L2XzutBtFtCtFtCtFtAtCtB&cr=502886137
SearchScopes: HKLM - {9BB47C17-9C68-4BB3-B188-DD9AF0FD2410} URL = http://www.searchqu.com/web?src=ieb&appid=0&systemid=410&sr=0&q={searchTerms}
SearchScopes: HKLM-x32 - DefaultScope {30F5AB16-9F1E-4E99-93F2-ECB9ABB0EC12} URL = http://www.searchya.com/?q={searchTerms}&s=1&a=foxtab&chnl=ft-100&cd=2XzuyEtN2Y1L1Qzu0B0C0A0E0CyD0AtCtByD0Azy0Dzyzy0CtN0D0Tzu0CtBtByEtN1L2XzutBtFtCtFtCtFtAtCtB&cr=502886137
SearchScopes: HKLM-x32 - Backup.Old.DefaultScope {9BB47C17-9C68-4BB3-B188-DD9AF0FD2410}
SearchScopes: HKLM-x32 - {30F5AB16-9F1E-4E99-93F2-ECB9ABB0EC12} URL = http://www.searchya.com/?q={searchTerms}&s=1&a=foxtab&chnl=ft-100&cd=2XzuyEtN2Y1L1Qzu0B0C0A0E0CyD0AtCtByD0Azy0Dzyzy0CtN0D0Tzu0CtBtByEtN1L2XzutBtFtCtFtCtFtAtCtB&cr=502886137
SearchScopes: HKLM-x32 - {9BB47C17-9C68-4BB3-B188-DD9AF0FD2410} URL = http://www.searchqu.com/web?src=ieb&appid=0&systemid=410&sr=0&q={searchTerms}
SearchScopes: HKCU - DefaultScope {30F5AB16-9F1E-4E99-93F2-ECB9ABB0EC12} URL =
SearchScopes: HKCU - {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} URL = http://www.delta-search.com/?q={searchTerms}&affID=121845&babsrc=SP_ss&mntrId=1088BCAEC5A125A9
SearchScopes: HKCU - {30F5AB16-9F1E-4E99-93F2-ECB9ABB0EC12} URL =
SearchScopes: HKCU - {67A2568C-7A0A-4EED-AECC-B5405DE63B64} URL =
SearchScopes: HKCU - {6A1806CD-94D4-4689-BA73-E35EA1EA9990} URL =
BHO: Pageshots for Internet Explorer PRO - {28CF50DA-4A17-4442-BBF9-D916BFDE072C} - C:\ProgramData\PageshotsPro\pageshots_x64.dll (AD ON Multimedia Advertising GmbH)
BHO: SearchCore for Browsers - {9D717F81-9148-4f12-8568-69135F087DB0} - C:\Program Files (x86)\SearchCore for Browsers\SearchCore for Browsers\x64\BrowserConnection.dll (Bandoo Media, inc)
BHO-x32: Pageshots for Internet Explorer PRO - {28CF50DA-4A17-4442-BBF9-D916BFDE072C} - C:\ProgramData\PageshotsPro\pageshots_x86.dll (AD ON Multimedia Advertising GmbH)
BHO-x32: DefaultTab Browser Helper - {7F6AFBF1-E065-4627-A2FD-810366367D01} - C:\Users\Krzysztof\AppData\Roaming\defaulttab\defaulttab\DefaultTabBHO.dll (Search Results LLC.)
BHO-x32: Searchqu Toolbar - {99079a25-328f-4bd4-be04-00955acaa0a7} - C:\Program Files (x86)\Windows Searchqu Toolbar\Datamngr\ToolBar\searchqudtx.dll ()
BHO-x32: SearchCore for Browsers - {9D717F81-9148-4f12-8568-69135F087DB0} - C:\Program Files (x86)\SearchCore for Browsers\SearchCore for Browsers\BrowserConnection.dll (Bandoo Media, inc)
Toolbar: HKLM-x32 - Searchqu Toolbar - {99079a25-328f-4bd4-be04-00955acaa0a7} - C:\Program Files (x86)\Windows Searchqu Toolbar\Datamngr\ToolBar\searchqudtx.dll ()
Toolbar: HKCU - No Name - {D4027C7F-154A-4066-A1AD-4243D8127440} - No File
CHR HKLM\...\Chrome\Extension: [cjpglkicenollcignonpgiafdgfeehoj] - C:\Users\KRZYSZ~1\AppData\Local\speeddial.crx [2012-08-11]
CHR HKLM-x32\...\Chrome\Extension: [kdidombaedgpfiiedeimiebkmbilgmlc] - C:\Program Files (x86)\DefaultTab\DefaultTab.crx [2013-10-07]
AppInit_DLLs: C:\PROGRA~2\SEARCH~1\SEARCH~1\x64\datamngr.dll => C:\Program Files (x86)\SearchCore for Browsers\SearchCore for Browsers\x64\datamngr.dll [1778584 2011-10-02] (Bandoo Media, inc)
AppInit_DLLs: C:\PROGRA~2\SEARCH~1\SEARCH~1\x64\IEBHO.dll => C:\Program Files (x86)\SearchCore for Browsers\SearchCore for Browsers\x64\IEBHO.dll [1790872 2011-10-02] (Bandoo Media, inc)
Task: {2D7C3FA0-D837-437D-97B7-67708575C0AD} - System32\Tasks\DSite => C:\Users\KRZYSZ~1\AppData\Roaming\DSite\UPDATE~1\UPDATE~1.EXE 
Task: {B0B8D9F9-A6B9-4104-B480-0BD543B2EF07} - System32\Tasks\DTReg => C:\Users\Krzysztof\AppData\Roaming\defaulttab\defaulttab\DTReg.exe [2014-02-04] (Search Results, LLC) 
Task: C:\Windows\Tasks\DSite.job => C:\Users\KRZYSZ~1\AppData\Roaming\DSite\UPDATE~1\UPDATE~1.EXE 
HKLM\...\Run: [setwallpaper] - c:\programdata\SetWallpaper.cmd
HKLM-x32\...\Run: [Adobe Reader Speed Launcher] - "C:\Program Files (x86)\Adobe\Reader 10.0\Reader\Reader_sl.exe"
HKLM-x32\...\Run: [KiesHelper] - C:\Program Files (x86)\Samsung\Kies\KiesHelper.exe /s
HKLM-x32\...\Run: [NPSStartup] - [X]
HKLM-x32\...\Run: [DATAMNGR] - C:\Program Files (x86)\SearchCore for Browsers\SearchCore for Browsers\datamngrUI.exe [1700752 2011-10-02] (Bandoo Media, inc)
HKLM-x32\...\Run: [mobilegeni daemon] - C:\Program Files (x86)\Mobogenie\DaemonProcess.exe
HKU\S-1-5-21-1277968845-3085292245-562916251-1000\...\Run: [] - [X]
S2 DefaultTabSearch; C:\Program Files (x86)\DefaultTab\DefaultTabSearch.exe [573952 2013-10-07] ()
R2 DefaultTabUpdate; C:\Users\Krzysztof\AppData\Roaming\defaulttab\defaulttab\dtupdate.exe [107520 2013-11-12] ()
S2 KbdLockService; "C:\Windows\SysWOW64\KbdLockService.exe" [X]
S3 ipswuio; System32\DRIVERS\ipswuio.sys [X]
U3 tmlwf;
U3 tmwfp;
S0 TS4nt; system32\Drivers\TS4nt.sys [X]
C:\Program Files (x86)\Mobogenie
C:\Users\Krzysztof\AppData\Local\genienext
C:\Users\Krzysztof\AppData\Roaming\Babylon
C:\Users\Krzysztof\AppData\Roaming\Mipony
C:\Users\Krzysztof\AppData\Roaming\newnext.me
Reg: reg delete "HKCU\Software\Microsoft\Internet Explorer\MenuExt\Ściągaj z Mipony" /f
Reg: reg delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\MenuExt\Ściągaj z Mipony" /f

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt.

 

2. Przez Panel sterowania odinstaluj adware DefaultTab, PageshotsPro 1.0.0, SearchCore for Browsers, VuuPC Packages, Windows Searchqu Toolbar. Od razu odinstaluj też MyFreeCodec od Samsung Kies, bo on i tak zostanie uszkodzony przez AdwCleaner.

 

3. Wyczyść Firefox z adware: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox. Zakładki i hasła nie zostaną naruszone.

 

4. Wyczyść Google Chrome z adware:

• Ustawienia > karta Rozszerzenia > odinstaluj DefaultTab (o ile nadal będzie po w/w ogólnych deinstalacjach)
• Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Zresetuj ustawienia przeglądarki. Zakładki i hasła nie zostaną naruszone.
• Ustawienia > karta Ustawienia > sekcja Wyszukiwanie > klik w Zarządzanie wyszukiwarkami > skasuj z listy search here i inne niedomyślne śmieci (o ile będą).
• Zresetuj cache wtyczek. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie Włącz.

5. Uruchom AdwCleaner. Zastosuj Szukaj, a po tym Usuń. Powstanie folder C:\AdwCleaner z raportem z usuwania.

 

6. Uruchom TFC - Temp Cleaner.

 

7. Zrób nowy skan FRST (bez Addition i Shortcut). Dołącz też plik fixlog.txt i log z AdwCleaner.

 

 

 

.

[krzyszt]

Dzięki, wykonałem polecenia, załączam pliki.

 

Nie jestem pewien czy posłużyłem się właściwą formą odpowiedzi - jestem całkiem "zielony" jeśli chodzi o pisanie na forach.

Fixlog.txt

FRST.txt

AdwCleanerR0.txt

AdwCleanerS0.txt

[picasso]

Posty koryguję, nadwyżkę logów usuwam. Zadania pomyślnie wykonane. Drobna poprawka. Otwórz Notatnik i wklej w nim:

 

FF Extension: Pageshots Pro - C:\Program Files (x86)\Mozilla Firefox\extensions\jid0-2rURdEv0oBelly8OSpHSRMwx9OI@jetpack [2014-02-15]
Reg: reg delete "HKCU\Software\Microsoft\Internet Explorer\MenuExt\Ściągaj z Mipony" /f
Reg: reg delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\MenuExt\Ściągaj z Mipony" /f

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Przedstaw wynikowy fixlog.txt.

 

 

 

.

[krzyszt]

Zrobione.

Fixlog.txt

[krzyszt]

Witam,

mam wrażenie, że mój system powinien być już OK, ale sądząc z innych postów w podobnych sprawach, powinienem jeszcze zakończyć poprzez usuwanie niepotrzebnych już programów i rekordów. Więc, dziękując za pomoc, nieśmiało się przypominam .

[picasso]

Skrypt wykonany. Upłynęło sporo czasu, więc prawdopodobnie się tu coś zmieniło, ale końcowe zalecenia miałby wyglądać w taki sposób (nanieś poprawki na to co jest obecnie różne):

 

1. Usuięcie używanych narzędzi za pomocą DelFix i dokasowanie ręcznie z Pulpitu folderu Stare dane programu Firefox.

 

2. Czyszczenie folderów Przywracania systemu: KLIK.

 

3. Deinstalacja poniżej wymienionych i zastąpienie najnowszymi wersjami: KLIK.

 

==================== Installed Programs ======================
 

Adobe Flash Player 12 ActiveX (HKLM-x32\...\Adobe Flash Player ActiveX) (Version: 12.0.0.70 - Adobe Systems Incorporated) ----> wtyczka dla IE

Adobe Flash Player 12 Plugin (HKLM-x32\...\Adobe Flash Player Plugin) (Version: 12.0.0.70 - Adobe Systems Incorporated) ----> wtyczka dla FF

Java 7 Update 51 (64-bit) (HKLM\...\{26A24AE4-039D-4CA4-87B4-2F86417051FF}) (Version: 7.0.510 - Oracle)

Java™ 6 Update 37 (HKLM-x32\...\{26A24AE4-039D-4CA4-87B4-2F83216035FF}) (Version: 6.0.370 - Oracle)

 

 

 

.