Skocz do zawartości
WAŻNE - Użytkownicy uprawnieni do pomocy
WAŻNE - Zakładanie tematu: obowiązkowe logi
Nadchodzące zmiany w logowaniu

Atak malware

kertagg22

Przez kertagg22
w Dział pomocy doraźnej

Rekomendowane odpowiedzi

kertagg22

kertagg22

Opublikowano
Opublikowano

Witam,
 
Od wczoraj mam problem z przeglądaniem niektórych stron internetowych typu google, facebook, youtube i innych znanych stron. Inne strony działają bez problemu. Tylko na tych stronach które wymieniłem wyświetla się komunikat o aktualizacji programu flash player w wersji PRO. Zdziwiło mnie, że tylko na takich stronach taki komunikat się wyświetla więc domyślam się, że jest to jakaś marna podrobiona strona od oficjalnego autora tego programu i próba uszkodzenia mi komputera przez cyberprzestępców. Już raz tak miałem, wszedłem w pewną strone pobrałem program tylko dlatego, że wyglądała niemalże identycznie od oficjalnej i prawdziwej strony na która wchodzę  i jak sie okazało komputera już nie włączyłem. Dlatego piszę właśnie tutaj, kilka miesięcy temu także komputer wolno chodził, pobrałem program do tego typu oprogramowania aby się przed tym uchronić i wyszło mi dosyć sporo takich szkodliwych plików. Poddałem je kwarantannie jak zalecał program, po chwili trzeba było zresetować komputer i zrobiłem tak. Przy włączaniu system włączył się w trybie DOS i prosiło o ręczne przerzucenie plików do kwarantanny. Zrobiłem tak i możliwe nawet a raczej bardzo prawdopodobne, że usunąłem pliki systemowe i komputera już nie włączyłem. Dlatego dziś ściągnałem program Malwarebytes Anti-Malware (trial, 2.0.1.1004)  i przeskanowałem komputer. Wykryło mi około 140 zagrożeń i pytanie jest takie. Które pliki mam poddać kwarantannie, tak aby sytuacja się nie powtórzyła ? Słono za ta naprawe zapłaciłem więc chciałbym tego uniknąć więc licze na waszą pomoc. W dodatku udało mi się wyczytać, że nie tylko ja tak miałem ale i inne osoby za granicą także miały podobny problem z wyskakującą stroną z prośbą o pobranie pliku Flash Player PRO wchodząc na różne znane strony. Tutaj zamieszcze wam screen z tej strony która się wyświetla.  Dodam jeszcze, że próbowałem aktualizować tego Flash Player'a z innej strony i zaaktualizowałem niby tak jak być powinno a komunikat dalej się pojawia. W dodatku próbowałem jeszcze pobrać ten plik z tamtej strony co się pojawia jednakże antywirus wykrył jakieś zagrożenie i przerwało wysył danych na mój komputer. 
 
 

 

mmvhbo.jpg

 

 

 Pierwsza wiadomość odnośnie starej wersji Flash Player (jest on w języku angielskim co mnie także zdziwiło), po kliknięciu OK pojawia się powyższa strona.
 
2hgcugh.jpg
 
 
Zamieszczam wynik skanowania powyżej wymienionym programem w trybie NORMALNYM, nie awaryjnym itp. Dodam tylko, że skanowałem komputer antywirusem avast i nic nie wykryło takze w trybie normalnym.

czekam na waszą pomoc, Pozdrawiam kertagg22

 

 

EDYTOWANO:

 

najmocniej przepraszam i już poprawiam. System 32-bit (x86) windows Vista service pack 2 

 

// Wynik z GMER znajdzie się niedługo w załączniku. Trwa skanowanie.

 

EDYCJA 2:

 

Podczas skanowania program GMER przestał działać. Spróbuję ponowić skanowanie, zobaczymy co z tego będzie. Podaje zdjęcie błędu:

 

2zg7mgy.jpg

mbam.txt

Shortcut.txt

Addition.txt

FRST.txt

OTL.txt

Extras.txt

GMER.txt

GMER.txt

Odnośnik do komentarza
Pomoc jest darmowa, ale proszę rozważ przekazanie dotacji na utrzymanie serwisu: klik.
picasso

picasso

Opublikowano
Opublikowano

Dlatego piszę właśnie tutaj, kilka miesięcy temu także komputer wolno chodził, pobrałem program do tego typu oprogramowania aby się przed tym uchronić i wyszło mi dosyć sporo takich szkodliwych plików.

Jeśli chodzi o wolny komputer, to problemem jest tu nie tylko adware, ale katastrofalne zderzenie monstrualnych instalacji avast! Premier + Kaspersky Internet Security. Taki układ może nawet zablokować rozruch systemu. Jeden z nich musi zostać usunięty.

 

 

Wyniki skanu MBAM pokazują po prostu adware, które wg raportów ogólnych jest czynne. W pierwszej kolejności odbędzie się tu inny rodzaj usuwania, nie przez MBAM, gdyż należy zacząć od poprawnych deinstalacji. Wyjątkiem będzie adware Search Protect. Zostanie usunięte ręcznie, nie przez deinstalację, gdyż masz tylko jedną partycję i pliki startowe leżą na C, a to grozi tym: KLIK.

 

 

Do przeprowadzenia następujące działania:

 

1. Otwórz Notatnik i wklej w nim:

 

() C:\Program Files\Jump Flip\updateJumpFlip.exe
() C:\Program Files\Jump Flip\bin\utilJumpFlip.exe
R2 Update Jump Flip; C:\Program Files\Jump Flip\updateJumpFlip.exe [350496 2014-04-03] ()
R2 Util Jump Flip; C:\Program Files\Jump Flip\bin\utilJumpFlip.exe [350496 2014-04-03] ()
S2 CltMngSvc; C:\PROGRA~1\SearchProtect\Main\bin\CltMngSvc.exe [X]
S2 savesenselive; C:\Program Files\SaveSenseLive\Update\SaveSenseLive.exe /svc [X]
S3 savesenselivem; C:\Program Files\SaveSenseLive\Update\SaveSenseLive.exe /medsvc [X]
AppInit_DLLs: C:\PROGRA~1\SearchProtect\SearchProtect\bin\SPVC32Loader.dll => C:\PROGRA~1\SearchProtect\SearchProtect\bin\SPVC32Loader.dll File Not Found
Task: {447DF066-487B-4CD4-8237-D937324FB4F1} - System32\Tasks\Norton Identity Safe\Norton Error Processor => C:\Program Files\Norton Identity Safe\Engine\2014.6.0.27\SymErr.exe
Task: {5ADA26F2-D8AD-49AC-9929-8E1E14544A67} - System32\Tasks\DiscountFrenzy-codedownloader => C:\Program Files\DiscountFrenzy\DiscountFrenzy-codedownloader.exe [2014-01-31] (DiscountFrenzy)
Task: {7C6B9F25-8DFD-4FFF-B3F2-8F71FD464B61} - System32\Tasks\DiscountFrenzy-firefoxinstaller => C:\Program Files\DiscountFrenzy\DiscountFrenzy-firefoxinstaller.exe
Task: {90241381-0AD0-41DF-9783-FC659B285A40} - System32\Tasks\FoxTab => C:\Users\ADMIN\AppData\Roaming\FoxTab\UpdateProc\UpdateTask.exe [2013-04-12] () 
Task: {C6140120-19C1-413F-B1B6-83F3140DACF2} - System32\Tasks\SaveSenseLiveUpdateTaskMachineCore => C:\Program Files\SaveSenseLive\Update\SaveSenseLive.exe 
Task: {D3BDD795-301A-4460-8B73-BEBE2FE70ADE} - System32\Tasks\SaveSenseLiveUpdateTaskMachineUA => C:\Program Files\SaveSenseLive\Update\SaveSenseLive.exe 
Task: {D65F9388-B516-4EC6-A99C-9B1F8B0F1512} - System32\Tasks\Norton Identity Safe\Norton Error Analyzer => C:\Program Files\Norton Identity Safe\Engine\2014.6.0.27\SymErr.exe
Task: C:\Windows\Tasks\DiscountFrenzy-codedownloader.job => C:\Program Files\DiscountFrenzy\DiscountFrenzy-codedownloader.exe
Task: C:\Windows\Tasks\DiscountFrenzy-firefoxinstaller.job => C:\Program Files\DiscountFrenzy\DiscountFrenzy-firefoxinstaller.exe
Task: C:\Windows\Tasks\FoxTab.job => C:\Users\ADMIN\AppData\Roaming\FoxTab\UPDATE~1\UPDATE~1.EXE 
Task: C:\Windows\Tasks\SaveSenseLiveUpdateTaskMachineCore.job => C:\Program Files\SaveSenseLive\Update\SaveSenseLive.exe 
Task: C:\Windows\Tasks\SaveSenseLiveUpdateTaskMachineUA.job => C:\Program Files\SaveSenseLive\Update\SaveSenseLive.exe 
HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.conduit.com/?ctid=CT3321459&octid=EB_ORIGINAL_CTID&SearchSource=55&CUI=&UM=4&UP=SPF3F6CD5E-1770-4852-8988-1A4931B9D625&SSPV=
StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe http://www.dosearches.com/?utm_source=b&utm_medium=cor&utm_campaign=rg&utm_content=sc&from=cor&uid=3219913727_67190_C01EBD9B&ts=1384016199
SearchScopes: HKLM - DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://search.dosearches.com/web/?utm_source=b&utm_medium=cor&utm_campaign=rg&utm_content=ds&from=cor&uid=3219913727_67190_C01EBD9B&ts=1384016199&type=default&q={searchTerms}
SearchScopes: HKLM - {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://search.dosearches.com/web/?utm_source=b&utm_medium=cor&utm_campaign=rg&utm_content=ds&from=cor&uid=3219913727_67190_C01EBD9B&ts=1384016199&type=default&q={searchTerms}
SearchScopes: HKCU - DefaultScope {014DB5FA-EAFB-4592-A95B-F44D3EE87FA9} URL = http://search.conduit.com/Results.aspx?ctid=CT3321459&octid=EB_ORIGINAL_CTID&SearchSource=58&CUI=&UM=4&UP=SPF3F6CD5E-1770-4852-8988-1A4931B9D625&q={searchTerms}&SSPV=
SearchScopes: HKCU - {014DB5FA-EAFB-4592-A95B-F44D3EE87FA9} URL = http://search.conduit.com/Results.aspx?ctid=CT3321459&octid=EB_ORIGINAL_CTID&SearchSource=58&CUI=&UM=4&UP=SPF3F6CD5E-1770-4852-8988-1A4931B9D625&q={searchTerms}&SSPV=
SearchScopes: HKCU - {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://search.dosearches.com/web/?utm_source=b&utm_medium=cor&utm_campaign=rg&utm_content=ds&from=cor&uid=3219913727_67190_C01EBD9B&ts=1384016199&type=default&q={searchTerms}
CHR HKLM\...\Chrome\Extension: [dchmpbaclbiioedakpcldenooikekokm] - C:\Users\ADMIN\AppData\Local\foxtab_speeddial.crx [2013-11-09]
CHR HKLM\...\Chrome\Extension: [debmkdhphjfcbaomiknnceliiclnpmfg] - C:\Program Files\Jump Flip\debmkdhphjfcbaomiknnceliiclnpmfg.crx [2014-02-27]
CHR HKLM\...\Chrome\Extension: [ifohbjbgfchkkfhphahclmkpgejiplfo] - C:\Users\ADMIN\AppData\Local\Google\Chrome\User Data\Default\Extensions\newtab.crx [2013-11-09]
CHR HKCU\...\Chrome\Extension: [dchmpbaclbiioedakpcldenooikekokm] - C:\Users\ADMIN\AppData\Local\foxtab_speeddial.crx [2013-11-09]
ShortcutWithArgument: C:\Users\ADMIN\Desktop\Google Chrome.lnk -> C:\Program Files\Google\Chrome\Application\chrome.exe (Google Inc.) -> hxxp://www.dosearches.com/?utm_source=b&utm_medium=cor&utm_campaign=rg&utm_content=sc&from=cor&uid=3219913727_67190_C01EBD9B&ts=1384016199
ShortcutWithArgument: C:\Users\ADMIN\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://www.dosearches.com/?utm_source=b&utm_medium=cor&utm_campaign=rg&utm_content=sc&from=cor&uid=3219913727_67190_C01EBD9B&ts=1384016199
ShortcutWithArgument: C:\Users\ADMIN\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://www.dosearches.com/?utm_source=b&utm_medium=cor&utm_campaign=rg&utm_content=sc&from=cor&uid=3219913727_67190_C01EBD9B&ts=1384016199
ShortcutWithArgument: C:\Users\ADMIN\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://www.dosearches.com/?utm_source=b&utm_medium=cor&utm_campaign=rg&utm_content=sc&from=cor&uid=3219913727_67190_C01EBD9B&ts=1384016199
ShortcutWithArgument: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome\Google Chrome.lnk -> C:\Program Files\Google\Chrome\Application\chrome.exe (Google Inc.) -> hxxp://www.dosearches.com/?utm_source=b&utm_medium=cor&utm_campaign=rg&utm_content=sc&from=cor&uid=3219913727_67190_C01EBD9B&ts=1384016199
C:\Program Files\SearchProtect1259255
C:\Windows\system32\SearchProtect
C:\Users\ADMIN\AppData\Roaming\OpenCandy
C:\Users\ADMIN\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\SaveSense
C:\Users\ADMIN\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Mobogenie
C:\Users\ADMIN\Desktop\programy\Kontynuuj instalację Steam.lnk
C:\Users\ADMIN\Downloads\Samsung-Kies(24418).exe
C:\Users\ADMIN\Downloads\SAMSUNG GALAXY-ACE-2-GT-I8160 driver provided through paweldrivers.com.exe
Reg: reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SearchProtect /f
Reg: reg delete "HKLM\Software\MozillaPlugins\@tools.updaterss.com/SaveSenseLive Update;version=3" /f
Reg: reg delete "HKLM\Software\MozillaPlugins\@tools.updaterss.com/SaveSenseLive Update;version=9" /f
Reg: reg delete "HKU\S-1-5-19\SOFTWARE\Microsoft\Internet Explorer\Main" /v "Start Page" /f
Reg: reg delete "HKU\S-1-5-20\SOFTWARE\Microsoft\Internet Explorer\Main" /v "Start Page" /f
Reg: reg delete "HKU\S-1-5-21-2378528702-529034937-1684982878-1002\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /f
Reboot:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. System zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Przez Panel sterowania odinstaluj adware DiscountFrenzy, dosearches Browser Protecter, FoxTab (dwie pozycje), Jump Flip, Mobogenie, SaveSense oraz McAfee Security Scan Plus (prawdopodobnie instalacja sponsorowana). Od razu także usuń jeden z antywirusów.

 

3. Wyczyść Google Chrome z adware:

  • Ustawienia > karta Rozszerzenia > odinstaluj adware Foxtab Speed Dial, Jump Flip (o ile nadal będą po w/w deinstalacjach)
  • Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Zresetuj ustawienia przeglądarki. Zakładki i hasła nie zostaną naruszone.
  • Ustawienia > karta Ustawienia > sekcja Wyszukiwanie > klik w Zarządzanie wyszukiwarkami > skasuj z listy dosearches oraz inne niedomyślne śmieci (o ile będą).
  • Zresetuj cache wtyczek. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie Włącz.
4. Uruchom AdwCleaner. Zastosuj Szukaj, a po tym Usuń. Powstanie folder C:\AdwCleaner z raportem z usuwania.

 

5. Uruchom TFC - Temp Cleaner.

 

6. Zrób nowy log FRST (bez Addition i Shortcut). Dołącz też plik fixlog.txt i log z AdwCleaner.

 

 

 

.

Odnośnik do komentarza
kertagg22

kertagg22

Opublikowano
  • Autor
Opublikowano

Przy próbie odinstalowania DiscountFrenzy nic się nie pojawiło, natomiast gdy chciałem odinstalować doeserches Browser Protecter pojawił się taki komunikat:

 

9jhpxj.jpg

 

 

Również przy odinstalowaniu dugiej pozycji FoxTab pojawił się komunikat lecz usunięto program przynajmniej z panelu sterowania i wyswietlila sie strona z odinstalacja danego oprogramowania UWAGA ! hxxxxp://www.foxtab.com/uninstall-completed/?a=fxtb103:

 

a0aw74.jpg

 

Pozwolę sobie już wysłać ten post i zedytować za kilka minut, ponieważ przy odinstalowywaniu  Jump Flip zamknęła mi się przeglądarka i musze na nowo pisac post

 

Edycja:

 

Znów pojawił sie komunikat, tym razem plik mobogenie nie został odnaleziony

 

xc0toi.jpg

 

SaveSense także j/w. Przy wszystkich komunikatach kliknąłem "nie" z tego względu aby podzielić się z wami tą informacją i zapytać co mam dalej zrobić.

 

 

 

W dodatku mam jeszcze kilka takich plikow i nie wiem do czego one są a mają taka sama ikonke jak te ktore mialem usunac:

 

-Haali Media Splitter

-PowerISO

-RELATEK Wireless LAN driver and Utility

 

Oto jakie miałem rozszerzenia:

 

9upwdf.jpg

 

 

Usunięte: 

 

-Bezpieczne pieniądze

-Kapersky advisor

 

~Reszta chyba od antywirusa avast pochodza i jedno rozszerzenie anty reklamowe więc zostawiam jak jest, chyba ze się mylę to możecie mnie wyprowadzić z błedu.

Fixlog.txt

adwcleaner.txt

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Podałeś log z opcji Szukaj w AdwCleaner. Czy na pewno zastosowałeś Usuń? Ponadto, brakuje głównego raportu FRST zrobionego po przeprowadzeniu wszystkich działań. A w związku z tym, że były błędy deinstalacyjne, poproszę jednak o zaznaczenie też opcji Addition, by powstały dwa logi FRST.

 

 

SaveSense także j/w. Przy wszystkich komunikatach kliknąłem "nie" z tego względu aby podzielić się z wami tą informacją i zapytać co mam dalej zrobić.

Należało potwierdzić... AdwCleaner zresztą i tak by to zrobił to za Ciebie (nie jest jasnym czy program użyłeś z opcji Usuń):

 

Klucz Znaleziono : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\DiscountFrenzy

Klucz Znaleziono : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\dosearches Browser Protecter

Klucz Znaleziono : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Mobogenie

 

 

Oto jakie miałem rozszerzenia

FRST skanuje Google Chrome bardzo dokładnie i ja będę mieć w końcowym logu spis wszystkich rozszerzeń obecnie zainstalowanych. Pokazane rozszerzenia w stanie Wyłączonym są od Avast i Kasperskiego. Usuwasz wszystkie od tego programu antywirusowego, który wybrałeś do deinstalacji.

 

 

W dodatku mam jeszcze kilka takich plikow i nie wiem do czego one są a mają taka sama ikonke jak te ktore mialem usunac:

-Haali Media Splitter

-PowerISO

-RELATEK Wireless LAN driver and Utility

To są poprawne programy: pierwszy od kodeków zainstalowanych kiedyś ręcznie, drugi do wypalania ISO, trzeci związany ze sterownikami Windows. Taka sama ikonka nie świadczy o tym, że programy są z tej samej grupy, ona raczej wskazuje na to, że nie ma ikony indywidualnej z jednego z następujących powodów:

- Program nie posiada ikony lub Windows nie umie pobrać tych danych

- Program odinstalowany i to jakieś szczątki

 

 

 

.

Odnośnik do komentarza
kertagg22

kertagg22

Opublikowano
  • Autor
Opublikowano

Nic nie usuwałem, jedynie co to podałem logi aby później nie było jakiś nieprzyjemnych niespodzianek odnośnie usunięcia niepotrzebnych plików. Własnie skanuje przez FRST i załącze załącznik do plików.

 

 

EDIT:

 

Niedoczytałem, przepraszam. Już szybko robię ponownie skanowanie w adwCleaner i usunę to co wyszło w programie

 

 

EDIT 2:

 

Skanuje ponownie programem FRST po ukonczeniu usuwania szkodliwego oprogramowania adwCleaner znajdą się załączniki do logów - dodane.

 

 

Ps. Wszystkie problemy zostały naprawione, już moge wejść na strony na które nie mogłem wchodzić przez wyskakujący komunikat i zmuszenie do pobrania złośliwego oprogramowania z podrobionej strony producenta. Serdecznie dziękuję i czekam na ostateczną opinie na temat logów. Napewno jak dostanę wypłatę wyśle datek za pomoc. Naprawde wykonujecie dobra robote i podziwiam was, ze jestescie tacy obszerni i poruszacie wszystkie tematy gdzie ma ktos watpliwosci. Nie dosc, ze pomagacie usunac zlosliwe oprogramowanie to wyprowadzacie z bledu czlowieka i uczycie go choc troszke w tej dziedzinie aby mial jakies pojecie na ten temat.Oby wiecej takich ludzi Dziekuje!

AdwCleanerS0.txt

FRST.txt

Addition.txt

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Na przyszłość: trzymaj się wytycznych skanu FRST w przyklejonym, sekcje Drivers MD5 i List BCD nie mają być zaznaczone. W kwestii przeprowadzonych akcji: wszystko wykonane w zakresie adware. Kolejna porcja czynności:

 

1. Drobne poprawki. Otwórz Notatnik i wklej w nim:

 

C:\ProgramData\McAfee
SearchScopes: HKLM - DefaultScope value is missing.
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie kolejny fixlog.txt.

 

2. Następnie usunięcie infekcji DNS:

 

Tcpip\Parameters: [DhcpNameServer] 68.168.98.196 8.8.8.8

 

To jest infekcja na poziomie routera a nie systemu. Dokładnie ten sam adres IP jest także w tym temacie: KLIK. Tak więc należy zresetować ustawienia routera (DNS + hasło dostępu). Po resecie ustawień routera zresetuj Windows, by "przejął" nowe ustawienia.

 

3. Po wykonaniu zaleceń zrób nowy log FRST (bez Addition i Shortcut). Dołącz też fixlog.txt.

 

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Skrypt FRST wykonany. Log z FRST natomiast masz zrobić dopiero po zrekonfigurowaniu routera:

 

 

Może zabrzmi to głupio i dziwnie ale nie wiem jak mam zresetować te ustawnienia. Można byłoby prosić o jakaś wskazówkę w jakim kroku pójść aby się dostać do panelu zarządzania i zmienić te ustawienia ?

Czy w ogóle masz dostęp do routera? Jeśli tak, to w przeglądarce wklepujesz adres IP routera i się logujesz do interfejsu ustawień. W ustawieniach szukasz ustawień DNS podobnych do tych: KLIK. Dodatkowo, hasło dostępu do routera trzeba zmienić.

 

 

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Możesz także od razu zresetować router do ustawień fabrycznych przez ten taki otworek. Po takim resecie ustawienia DNS powinny zostać wyzerowane oraz login zostanie ustawiony na domyślny dla tego producenta (to musisz wyszukać w papierach lub na Google co jest defaultowym loginem). Ten login użyjesz, by się zalogować i od razu zmienić go, bo fabryczne loginy to jedna z dróg infekcji.

 

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Mam pytanie odnosnie danych osobowych itp. skoro jest to zle oprogramowanie na routerze to czy moge sie bezpiecznie logowac do bankow itp. czy jest to w tej sytuacji zakazane aby miec pewnosc ze nic sie nie stanie?

Nie radzę wykonywać żadnych operacji związanych z wprowadzaniem wrażliwych danych. W pierwszej kolejności kompletnie zlikwiduj tę infekcję.

 

 

 

.

Odnośnik do komentarza
  • 2 tygodnie później...
kertagg22

kertagg22

Opublikowano
  • Autor
Opublikowano

witam po raz kolejny.

 

Niestety nie zastosowalem sie do tego co Pani mi napisala powyzej, wszystko dzialalo a nastepnego dnia wyjezdzalem za granice. Ogolnie rzecz biorac po powrocie wszedlem na komputer stacjonarny wszystko dzialalo a po chwili znow ten sam atak nastapil.. W domu byly pod moja nieobecnosc uzytkowane 2 laptopy. Samsung i Asus oboje z win 7. Stacjonarny z win vista nie byl uruchamiany i niby dzialalo wszystko dobrze na tych laptopach. Dopiero po uruchomieniu stacjonarnego automatycznie przenioslo sie to na wszystkie komputery.. Wlasnie trwa skanowanie komputera stacjonarnego i jednego laptopa, skany na laptopie marki Samsung ukonczyly sie. Zamieszczam tutaj pierwsze skany z w/w laptopa. Dodam, ze probowalem naprawic komputer stacjonarny tak samo jak poprzednio tymi samymi krokami lecz niestety to nie pomoglo. Tych szkodliwych programow nie mialem w panelu sterowania ani nic. Okaże sie gdy pokaze logi z pozostalych PC. Dodam jeszcze pod spodem dwa posty tylko dlatego aby nie pomylic sie przy sprawdzaniu logow,  kazdy z postow bede dodawal z innego komputera/laptopa. Pozdrawiam i licze na ostatnia pomoc po raz kolejny o tym samym problemie. Wiem, ze to jest moja wina ze nie zastosowalem sie do tych polecen no ale mowie, nie mialem kiedy tego zrobic wszystko dzialalo i myslalem ze bedzie wszystko w porzadku. Z wyrazami szacunku kertagg22

Shortcut.txt

Extras.Txt

FRST.txt

GMER.txt

OTL.Txt1.txt

Addition.txt

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Dopiero po uruchomieniu stacjonarnego automatycznie przenioslo sie to na wszystkie komputery.. (...) Dodam, ze probowalem naprawic komputer stacjonarny tak samo jak poprzednio tymi samymi krokami lecz niestety to nie pomoglo. Tych szkodliwych programow nie mialem w panelu sterowania ani nic.

Poprzednie były jednorazowe pod konkretną sytuację i nie do powtarzania. Na stacjonarnym systemie były dwa zupełnie odrębne problemy: adware oraz infekcja DNS. Adware zostało usunięte, infekcja DNS nie. Stacjonarny per se nie ma nic do rzeczy, to nie jest infekcja po stronie systemu tylko po stronie routera. Miałeś resetować router, bo to jedyna droga rozwiązania tego, DNS się nie oczyści samodzielnie. Dopóki on nie jest zresetowany, wszystkie komputery przechodzące przezeń otrzymują zainfekowany DNS. Obecnie wszystkie Twoje komputery dziedziczą z routera poniższe DNS i 173.234.241.50 jest wadliwym (zastąpiło poprzednie infekcyjne 68.168.98.196), wg Whois to: KLIK:

 

Tcpip\Parameters: [DhcpNameServer] 173.234.241.50 8.8.8.8

 

Jeśli chodzi o laptopy, to na nich występuje też drugi osobny problem, czyli śmietnisko adware. Ale jak mówię, to inny problem.

 

 

ROUTER

 

Pierwszy krok to wyczyszczenie infekcji DNS. Router należy zresetować (zmienić DNS i ustawić nowe hasła). Gdy router zostanie wyczyszczony, wszystkie komputery odziedziczą poprawne czyste DNS. Dopiero po tej akcji bierz się za czyszczenie dodatkowych problemów:

 

 

PIERWSZY LAPTOP (SAMSUNG)

 

Adware oraz obciążenie zbyt dużą ilością antywirusów (działa wspólnie Avast z Norton Internet Security!). Akcja:

 

1. Otwórz Notatnik i wklej w nim:

 

(Cherished Technololgy LIMITED) C:\ProgramData\IePluginService\PluginService.exe
(Taiwan Shui Mu Chih Ching Technology Limited.) C:\Program Files (x86)\WinZipper\winzipersvc.exe
(Cherished Technololgy LIMITED) C:\ProgramData\WPM\wprotectmanager.exe
(TODO: ) C:\Users\Samsung\AppData\Local\ConvertAd\ConvertAd.exe
(Microsoft Corporation) C:\windows\SysWOW64\cmd.exe
(ClientConnect Ltd.) C:\Users\Samsung\AppData\Local\NativeMessaging\CT3289075\1_0_1_6\TBMessagingHost.exe
R2 IePluginService; C:\ProgramData\IePluginService\PluginService.exe [705136 2014-04-11] (Cherished Technololgy LIMITED)
R2 winzipersvc; C:\Program Files (x86)\WinZipper\winzipersvc.exe [425104 2014-02-26] (Taiwan Shui Mu Chih Ching Technology Limited.)
R2 Wpm; C:\ProgramData\WPM\wprotectmanager.exe [501904 2014-02-26] (Cherished Technololgy LIMITED)
HKLM-x32\...\Run: [ConvertAd] => C:\Users\Samsung\AppData\Local\ConvertAd\ConvertAd.exe [1784832 2013-08-10] (TODO: )
HKLM-x32\...\Run: [tuto4pc_pl_17] => [X]
HKLM-x32\...\Run: [AnyProtect Tray] => C:\Program Files (x86)\AnyProtectEx\AnyProtectTray.exe /scanner
HKLM-x32\...\Run: [AnyProtect] => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe
HKU\S-1-5-21-392818877-1939927122-1532879338-1001\...\Run: [TBHostSupport] => "C:\windows\SysWOW64\Rundll32.exe" "C:\Users\Samsung\AppData\Local\TBHostSupport\TBHostSupport_0.dll",DLLRunTBHostSupportPlugin 
HKU\S-1-5-21-392818877-1939927122-1532879338-1001\...\RunOnce: [Application Restart #2] - C:\Users\Samsung\AppData\Local\Google\Chrome\Application\chrome.exe [841032 2014-04-02] (Google Inc.)
AppInit_DLLs: c:\progra~3\bitguard\271769~1.27\{c16c1~1\loader.dll => c:\progra~3\bitguard\271769~1.27\{c16c1~1\loader.dll File Not Found
Task: {2EC66455-34D3-4026-BED0-8FEAB2F09106} - System32\Tasks\Object Browser-codedownloader => C:\Program Files (x86)\Object Browser\Object Browser-codedownloader.exe [2013-10-26] (Object Browser)
Task: {70163464-E8A0-4377-A5AE-8F18643E008D} - System32\Tasks\RegClean Pro_UPDATES => C:\Program Files (x86)\RegClean Pro\RegCleanPro.exe [2012-01-20] (Systweak Inc) 
Task: {7875CFEB-B36C-4BCB-A008-5BF237D74CEA} - System32\Tasks\BitGuard => Sc.exe start BitGuard 
Task: {A9EF0ED1-CCA9-43CE-8E6B-7D5C0A384068} - System32\Tasks\RegClean Pro => C:\Program Files (x86)\RegClean Pro\RegCleanPro.exe [2012-01-20] (Systweak Inc) 
Task: {BB61C0C2-B5F8-4171-8597-EB4931831CA6} - System32\Tasks\RegClean Pro_DEFAULT => C:\Program Files (x86)\RegClean Pro\RegCleanPro.exe [2012-01-20] (Systweak Inc) 
Task: {F08157F2-9DAF-4585-8687-6ACF13F9BF0F} - System32\Tasks\Object Browser-enabler => C:\Program Files (x86)\Object Browser\Object Browser-enabler.exe [2013-10-26] (Object Browser) 
Task: {F1BDA446-8524-406A-B4E5-4CEAAB182C67} - System32\Tasks\Object Browser-chromeinstaller => C:\Program Files (x86)\Object Browser\Object Browser-chromeinstaller.exe [2013-10-26] (Object Browser)
Task: {FEB23E62-F2EB-4B79-BA3A-943B2B9BAED4} - System32\Tasks\Object Browser-updater => C:\Program Files (x86)\Object Browser\Object Browser-updater.exe [2013-10-26] (Object Browser)
Task: C:\windows\Tasks\Object Browser-chromeinstaller.job => C:\Program Files (x86)\Object Browser\Object Browser-chromeinstaller.exe
Task: C:\windows\Tasks\Object Browser-codedownloader.job => C:\Program Files (x86)\Object Browser\Object Browser-codedownloader.exe
Task: C:\windows\Tasks\Object Browser-enabler.job => C:\Program Files (x86)\Object Browser\Object Browser-enabler.exe 
Task: C:\windows\Tasks\Object Browser-updater.job => C:\Program Files (x86)\Object Browser\Object Browser-updater.exe
Task: C:\windows\Tasks\RegClean Pro_DEFAULT.job => C:\Program Files (x86)\RegClean Pro\RegCleanPro.exe 
Task: C:\windows\Tasks\RegClean Pro_UPDATES.job => C:\Program Files (x86)\RegClean Pro\RegCleanPro.exe 
ShortcutWithArgument: C:\Users\Samsung\Desktop\Google Chrome.lnk -> C:\Users\Samsung\AppData\Local\Google\Chrome\Application\chrome.exe (Google Inc.) -> hxxp://www.qvo6.com/?utm_source=b&utm_medium=cor&utm_campaign=eXQ&utm_content=sc&from=cor&uid=ST9500325AS_S2WFH410XXXXS2WFH410&ts=1380092485
ShortcutWithArgument: C:\Users\Samsung\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://www.qvo6.com/?utm_source=b&utm_medium=cor&utm_campaign=eXQ&utm_content=sc&from=cor&uid=ST9500325AS_S2WFH410XXXXS2WFH410&ts=1380092485
ShortcutWithArgument: C:\Users\Samsung\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Google Chrome\Google Chrome.lnk -> C:\Users\Samsung\AppData\Local\Google\Chrome\Application\chrome.exe (Google Inc.) -> hxxp://www.qvo6.com/?utm_source=b&utm_medium=cor&utm_campaign=eXQ&utm_content=sc&from=cor&uid=ST9500325AS_S2WFH410XXXXS2WFH410&ts=1380092485
ShortcutWithArgument: C:\Users\Samsung\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://www.qvo6.com/?utm_source=b&utm_medium=cor&utm_campaign=eXQ&utm_content=sc&from=cor&uid=ST9500325AS_S2WFH410XXXXS2WFH410&ts=1380092485
ShortcutWithArgument: C:\Users\Samsung\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk -> C:\Users\Samsung\AppData\Local\Google\Chrome\Application\chrome.exe (Google Inc.) -> hxxp://www.qvo6.com/?utm_source=b&utm_medium=cor&utm_campaign=eXQ&utm_content=sc&from=cor&uid=ST9500325AS_S2WFH410XXXXS2WFH410&ts=1380092485
ShortcutWithArgument: C:\Users\Samsung\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://www.qvo6.com/?utm_source=b&utm_medium=cor&utm_campaign=eXQ&utm_content=sc&from=cor&uid=ST9500325AS_S2WFH410XXXXS2WFH410&ts=1380092485
ShortcutWithArgument: C:\Users\Samsung\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk -> C:\Users\Samsung\AppData\Local\Google\Chrome\Application\chrome.exe (Google Inc.) -> hxxp://www.qvo6.com/?utm_source=b&utm_medium=cor&utm_campaign=eXQ&utm_content=sc&from=cor&uid=ST9500325AS_S2WFH410XXXXS2WFH410&ts=1380092485
HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://search.delta-homes.com/web/?utm_source=b&utm_medium=wpm0226&utm_campaign=installer&utm_content=ds&from=wpm0226&uid=ST9500325AS_S2WFH410XXXXS2WFH410&ts=1393451106&type=default&q={searchTerms}
HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.delta-homes.com/?type=hp&ts=1388689551&from=wpm0102&uid=ST9500325AS_S2WFH410XXXXS2WFH410
HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.delta-homes.com/?type=hp&ts=1388689551&from=wpm0102&uid=ST9500325AS_S2WFH410XXXXS2WFH410
HKCU\Software\Microsoft\Internet Explorer\Main,bProtector Start Page = http://www.searchgol.com/?babsrc=HP_ss&mntrId=04C1B803058059E5&affID=120699&tsp=5016
HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://search.delta-homes.com/web/?utm_source=b&utm_medium=wpm0226&utm_campaign=installer&utm_content=ds&from=wpm0226&uid=ST9500325AS_S2WFH410XXXXS2WFH410&ts=1393451106&type=default&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://search.delta-homes.com/web/?type=ds&ts=1388689551&from=wpm0102&uid=ST9500325AS_S2WFH410XXXXS2WFH410&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.delta-homes.com/?type=hp&ts=1388689551&from=wpm0102&uid=ST9500325AS_S2WFH410XXXXS2WFH410
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.delta-homes.com/?type=hp&ts=1388689551&from=wpm0102&uid=ST9500325AS_S2WFH410XXXXS2WFH410
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://search.delta-homes.com/web/?type=ds&ts=1388689551&from=wpm0102&uid=ST9500325AS_S2WFH410XXXXS2WFH410&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = http://search.delta-homes.com/web/?type=ds&ts=1388689551&from=wpm0102&uid=ST9500325AS_S2WFH410XXXXS2WFH410&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.delta-homes.com/?type=hp&ts=1388689551&from=wpm0102&uid=ST9500325AS_S2WFH410XXXXS2WFH410
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = http://www.delta-homes.com/?type=hp&ts=1388689551&from=wpm0102&uid=ST9500325AS_S2WFH410XXXXS2WFH410
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = http://search.delta-homes.com/web/?type=ds&ts=1388689551&from=wpm0102&uid=ST9500325AS_S2WFH410XXXXS2WFH410&q={searchTerms}
StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe http://www.qvo6.com/?utm_source=b&utm_medium=cor&utm_campaign=eXQ&utm_content=sc&from=cor&uid=ST9500325AS_S2WFH410XXXXS2WFH410&ts=1380092485
SearchScopes: HKLM - DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://search.delta-homes.com/web/?type=ds&ts=1388689551&from=wpm0102&uid=ST9500325AS_S2WFH410XXXXS2WFH410&q={searchTerms}
SearchScopes: HKLM - {02B2B8AA-A41A-5793-940F-24F8F5C81BC0} URL = http://search.qvo6.com/web/?utm_source=b&utm_medium=cor&utm_campaign=eXQ&utm_content=ds&from=cor&uid=ST9500325AS_S2WFH410XXXXS2WFH410&ts=1380092485&type=default&q={searchTerms}
SearchScopes: HKLM - {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://search.delta-homes.com/web/?type=ds&ts=1388689551&from=wpm0102&uid=ST9500325AS_S2WFH410XXXXS2WFH410&q={searchTerms}
SearchScopes: HKLM-x32 - DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://search.delta-homes.com/web/?type=ds&ts=1388689551&from=wpm0102&uid=ST9500325AS_S2WFH410XXXXS2WFH410&q={searchTerms}
SearchScopes: HKLM-x32 - {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://search.delta-homes.com/web/?type=ds&ts=1388689551&from=wpm0102&uid=ST9500325AS_S2WFH410XXXXS2WFH410&q={searchTerms}
SearchScopes: HKLM-x32 - {7308AAA3-588F-7A74-F51F-2F6006B16BC7} URL = http://search.qvo6.com/web/?utm_source=b&utm_medium=cor&utm_campaign=eXQ&utm_content=ds&from=cor&uid=ST9500325AS_S2WFH410XXXXS2WFH410&ts=1380092485&type=default&q={searchTerms}
SearchScopes: HKCU - DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://search.delta-homes.com/web/?utm_source=b&utm_medium=wpm0226&utm_campaign=installer&utm_content=ds&from=wpm0226&uid=ST9500325AS_S2WFH410XXXXS2WFH410&ts=1393451106&type=default&q={searchTerms}
SearchScopes: HKCU - bProtectorDefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86}
SearchScopes: HKCU - {02B2B8AA-A41A-5793-940F-24F8F5C81BC0} URL = http://search.qvo6.com/web/?utm_source=b&utm_medium=cor&utm_campaign=eXQ&utm_content=ds&from=cor&uid=ST9500325AS_S2WFH410XXXXS2WFH410&ts=1380092485&type=default&q={searchTerms}
SearchScopes: HKCU - {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} URL = http://www.searchgol.com/?q={searchTerms}&babsrc=SP_ss&mntrId=04C1B803058059E5&affID=120699&tsp=5016
SearchScopes: HKCU - {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://search.delta-homes.com/web/?utm_source=b&utm_medium=wpm0226&utm_campaign=installer&utm_content=ds&from=wpm0226&uid=ST9500325AS_S2WFH410XXXXS2WFH410&ts=1393451106&type=default&q={searchTerms}
BHO: Object Browser - {11111111-1111-1111-1111-110311281150} - C:\Program Files (x86)\Object Browser\Object Browser-bho64.dll (Object Browser)
BHO-x32: Object Browser - {11111111-1111-1111-1111-110311281150} - C:\Program Files (x86)\Object Browser\Object Browser-bho.dll (Object Browser)
BHO-x32: IETabPage Class - {3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C} - C:\Program Files (x86)\SupTab\SupTab.dll (Thinknice Co. Limited)
BHO-x32: mysearchdial Helper Object - {EF5625A3-37AB-4BDB-9875-2A3D91CD0DFD} - C:\Program Files (x86)\Mysearchdial\1.8.21.0\bh\mysearchdial.dll (Ironsource Israel (2011) LTD)
Toolbar: HKLM-x32 - mysearchdial Toolbar - {3004627E-F8E9-4E8B-909D-316753CBA923} - C:\Program Files (x86)\Mysearchdial\1.8.21.0\mysearchdialTlbr.dll (Ironsource Israel (2011) LTD)
Toolbar: HKCU - No Name - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - No File
CHR HKLM\...\Chrome\Extension: [pflphaooapbgpeakohlggbpidpppgdff] - C:\Users\Samsung\AppData\Local\mysearchdial-speeddial.crx [2013-10-26]
CHR HKCU\...\Chrome\Extension: [cflheckfmhopnialghigdlggahiomebp] - C:\Users\Samsung\AppData\Local\CRE\cflheckfmhopnialghigdlggahiomebp.crx [2013-10-21]
CHR HKCU\...\Chrome\Extension: [pflphaooapbgpeakohlggbpidpppgdff] - C:\Users\Samsung\AppData\Local\mysearchdial-speeddial.crx [2013-10-26]
CHR HKLM-x32\...\Chrome\Extension: [cflheckfmhopnialghigdlggahiomebp] - C:\Users\Samsung\AppData\Local\CRE\cflheckfmhopnialghigdlggahiomebp.crx [2013-10-21]
CHR HKLM-x32\...\Chrome\Extension: [ifohbjbgfchkkfhphahclmkpgejiplfo] - C:\Users\Samsung\AppData\Local\Google\Chrome\User Data\Default\Extensions\newtab.crx [2013-09-25]
CHR HKLM-x32\...\Chrome\Extension: [ogfjmhfnldnajmfaofeiaepghjenbgjo] - C:\Users\Samsung\AppData\Local\Google\Chrome\User Data\Default\Extensions\ep.crx [2014-02-26]
CHR HKLM-x32\...\Chrome\Extension: [pflphaooapbgpeakohlggbpidpppgdff] - C:\Users\Samsung\AppData\Local\mysearchdial-speeddial.crx [2013-10-26]
AlternateDataStreams: C:\ProgramData\Temp:56E2E879
C:\Program Files (x86)\mozilla firefox
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\WinZipper
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\RegClean Pro
C:\Users\Public\Desktop\RegClean Pro.lnk
C:\Users\Samsung\AppData\Local\AnyProtectScannerSetup.exe
C:\Users\Samsung\AppData\Local\CRE
C:\Users\Samsung\AppData\Local\NativeMessaging
C:\Users\Samsung\AppData\Local\TBHostSupport
C:\Users\Samsung\AppData\Roaming\Babylon
C:\Users\Samsung\AppData\Roaming\eUpdate
C:\Users\Samsung\AppData\Roaming\mozilla
C:\Users\Samsung\Desktop\MySearchDial.url
C:\Users\Samsung\Desktop\Wyczyść rejestr za darmo!.lnk
CMD: for /d %f in (C:\Users\Samsung\AppData\Local\{*}) do rd /s /q "%f"
CMD: netsh advfirewall reset
CMD: ipconfig /flushdns
Reg: reg delete HKCU\Software\Mozilla /f
Reg: reg delete HKCU\Software\MozillaPlugins /f
Reg: reg delete HKLM\SOFTWARE\MozillaPlugins /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Mozilla /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\mozilla.org /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\MozillaPlugins /f
Reboot:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. System zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Przez Panel sterowania odinstaluj adware ConvertAd, IePluginService12.27.0.3326, Mysearchdial, Object Browser, RegClean Pro, SupTab, VuuPC Packages, WinZipper oraz wszystkie produkty Norton (są stare z 2011).

 

3. Wyczyść Google Chrome:

  • Ustawienia > karta Rozszerzenia > odinstaluj Extended Protection, Lightning Newtab, Object Browser, MySearchDial, uTorrentControl_v6 (o ile nadal będą widoczne)
  • Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Zresetuj ustawienia przeglądarki. Zakładki i hasła nie zostaną naruszone.
  • Ustawienia > karta Ustawienia > Po uruchomieniu > usuń adres delta-homes.com, przestaw na "Otwórz stronę nowej karty"
  • Ustawienia > karta Ustawienia > Wygląd i zaznacz "Pokaż przycisk strony startowej" > klik w Zmień i usuń adres delta-homes.com
  • Ustawienia > karta Ustawienia > sekcja Wyszukiwanie > klik w Zarządzanie wyszukiwarkami > skasuj z listy delta-homes i niedomyślne śmieci (o ile będą).
  • Ustawienia > karta Historia > wyczyść
  • Zresetuj cache wtyczek. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie Włącz.
4. Uruchom AdwCleaner. Zastosuj Szukaj, a po tym Usuń. Powstanie folder C:\AdwCleaner z raportem z usuwania.

 

5. Zrób nowy log FRST z opcji Scan (zaznacz ponownie pole Addition, ale Shortcut zbędny). Dołącz też plik fixlog.txt i log z AdwCleaner.

 

 

 

DRUGI LAPTOP (ASUS)

 

Również adware. Akcja:

 

1. Otwórz Notatnik i wklej w nim:

 

(Systweak Inc) C:\Program Files (x86)\RegClean Pro\RegCleanPro.exe



S2 WajamUpdater; C:\Program Files (x86)\Wajam\Updater\WajamUpdater.exe [109064 2012-04-24] (Wajam)



AppInit_DLLs: C:\PROGRA~2\SEARCH~1\Datamngr\x64\datamngr.dll => C:\Program Files (x86)\Searchcore Toolbar\Datamngr\x64\datamngr.dll [2032568 2012-06-06] (Discordia, LTD)



AppInit_DLLs: C:\PROGRA~2\SEARCH~1\Datamngr\x64\IEBHO.dll => C:\Program Files (x86)\Searchcore Toolbar\Datamngr\x64\IEBHO.dll [1528760 2012-06-06] (Discordia, LTD)



Task: {B7BA6433-ECAD-478A-A865-5A91EA698624} - System32\Tasks\RegClean Pro => C:\Program Files (x86)\RegClean Pro\RegCleanPro.exe [2012-12-10] (Systweak Inc) 



Task: {BAC5428A-A79B-4330-B6F5-FC09F0D1B8BB} - System32\Tasks\{872F07B0-E760-4342-9DAF-C9CD4F0CCC84} => Chrome.exe http://ui.skype.com/ui/0/6.6.0.106/pl/abandoninstall?page=tsMain



Task: {CDABEFDF-F810-49DB-92C8-A7C0D924E954} - System32\Tasks\{3A01C73D-C39A-444E-9F93-D0703929E411} => Iexplore.exe http://ui.skype.com/ui/0/5.6.0.105/pl/abandoninstall?page=tsMain&installinfo=google-toolbar:notoffered;userdeclined,google-chrome:notoffered;userlevelpresent



Task: {E706D911-49D5-4886-8A53-8E5168952146} - System32\Tasks\RegClean Pro_UPDATES => C:\Program Files (x86)\RegClean Pro\RegCleanPro.exe [2012-12-10] (Systweak Inc) 



Task: {ED5213A4-DD2C-4D11-BDA1-73218F01BAEB} - System32\Tasks\RegClean Pro_DEFAULT => C:\Program Files (x86)\RegClean Pro\RegCleanPro.exe [2012-12-10] (Systweak Inc) 



Task: C:\Windows\Tasks\RegClean Pro_DEFAULT.job => C:\Program Files (x86)\RegClean Pro\RegCleanPro.exe 



Task: C:\Windows\Tasks\RegClean Pro_UPDATES.job => C:\Program Files (x86)\RegClean Pro\RegCleanPro.exe 



HKCU\Software\Microsoft\Internet Explorer\Main,bProtector Start Page =



HKCU\Software\Microsoft\Internet Explorer\Main,Backup.Old.Start Page = http://search.babylon.com/?babsrc=HP_Prot



SearchScopes: HKLM - DefaultScope {9BB47C17-9C68-4BB3-B188-DD9AF0FD2426} URL = http://start.funmoods.com/results.php?f=4&q={searchTerms}&a=iron2&chnl=iron2&cd=2XzutAtN2Y1L1QzuyByEtB0FyCzzyB0AzyyDtByD0CzyyC0AtN0D0TzutBtDtCtBtDyBtDtA&cr=700064849



SearchScopes: HKLM - {9BB47C17-9C68-4BB3-B188-DD9AF0FD2426} URL = http://start.funmoods.com/results.php?f=4&q={searchTerms}&a=iron2&chnl=iron2&cd=2XzutAtN2Y1L1QzuyByEtB0FyCzzyB0AzyyDtByD0CzyyC0AtN0D0TzutBtDtCtBtDyBtDtA&cr=700064849



SearchScopes: HKLM-x32 - DefaultScope {9BB47C17-9C68-4BB3-B188-DD9AF0FD2426} URL = http://start.funmoods.com/results.php?f=4&q={searchTerms}&a=iron2&chnl=iron2&cd=2XzutAtN2Y1L1QzuyByEtB0FyCzzyB0AzyyDtByD0CzyyC0AtN0D0TzutBtDtCtBtDyBtDtA&cr=700064849



SearchScopes: HKLM-x32 - Backup.Old.DefaultScope {9BB47C17-9C68-4BB3-B188-DD9AF0FD2426}



SearchScopes: HKLM-x32 - {7C0E241A-5F78-E361-63F4-7FE542381ECF} URL = http://dts.search-results.com/sr?src=ieb&appid=331121&systemid=426&sr=0&q={searchTerms}



SearchScopes: HKLM-x32 - {9BB47C17-9C68-4BB3-B188-DD9AF0FD2426} URL = http://start.funmoods.com/results.php?f=4&q={searchTerms}&a=iron2&chnl=iron2&cd=2XzutAtN2Y1L1QzuyByEtB0FyCzzyB0AzyyDtByD0CzyyC0AtN0D0TzutBtDtCtBtDyBtDtA&cr=700064849



SearchScopes: HKCU - DefaultScope {0ECDF796-C2DC-4D79-A620-CCE0C0A66CC9} URL = http://start.funmoods.com/results.php?f=4&q={searchTerms}&a=iron2&chnl=iron2&cd=2XzutAtN2Y1L1QzuyByEtB0FyCzzyB0AzyyDtByD0CzyyC0AtN0D0TzutBtDtCtBtDyBtDtA&cr=700064849



SearchScopes: HKCU - bProtectorDefaultScope {0ECDF796-C2DC-4D79-A620-CCE0C0A66CC9}



SearchScopes: HKCU - Backup.Old.DefaultScope {0ECDF796-C2DC-4D79-A620-CCE0C0A66CC9}



SearchScopes: HKCU - {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} URL = http://start.funmoods.com/results.php?f=4&q={searchTerms}&a=iron2&chnl=iron2&cd=2XzutAtN2Y1L1QzuyByEtB0FyCzzyB0AzyyDtByD0CzyyC0AtN0D0TzutBtDtCtBtDyBtDtA&cr=700064849



SearchScopes: HKCU - {483830EE-A4CD-4b71-B0A3-3D82E62A6909} URL =



SearchScopes: HKCU - {7C0E241A-5F78-E361-63F4-7FE542381ECF} URL = http://search.babylon.com/?q={searchTerms}&AF=111916&babsrc=SP_ss&mntrId=72b4c96a000000000000742f687a9525



SearchScopes: HKCU - {9BB47C17-9C68-4BB3-B188-DD9AF0FD2426} URL = http://dts.search-results.com/sr?src=ieb&appid=331121&systemid=426&sr=0&q={searchTerms}



SearchScopes: HKCU - {E918643A-4457-4B33-81F3-1AC6470B5F72} URL = http://websearch.ask.com/redirect?client=ie&tb=ORJ&o=100000027&src=kw&q={searchTerms}&locale=en_US&apn_ptnrs=U3&apn_dtid=OSJ000YYPL&apn_uid=1D6D3D76-64C5-414A-ABE4-34C79A00E6EF&apn_sauid=90D7B4E0-BAD0-4846-ACA8-1447B781380E



SearchScopes: HKCU - ŰźĆîZ§’2ąŢpv¨IÍá*X(Ž2s(ŰÎŔJşÔÓµť± vË°!×—(äĽ48иpatm6ęo^Mp`Ëő÷_iŁwľ!„Áű†x˘8€ŮjŔ˙ţ ´Ń;áa´[¦†8 ş~ŹRŮxśňÜ8'Ł-)x­ä­ URL =



BHO: DataMngr - {7DA17D5A-5718-4130-A605-FC316C827836} - C:\Program Files (x86)\Searchcore Toolbar\Datamngr\x64\BrowserConnection.dll (Discordia , LTD)



BHO-x32: Babylon toolbar helper - {2EECD738-5844-4a99-B4B6-146BF802613B} - No File



BHO-x32: Winamp Toolbar Loader - {4accc990-3dc7-4456-a734-5cb4b610a7f5} - C:\Program Files (x86)\Winamp Toolbar\winamppltb.dll (AOL Inc.)



BHO-x32: DataMngr - {7DA17D5A-5718-4130-A605-FC316C827836} - C:\Program Files (x86)\Searchcore Toolbar\Datamngr\BrowserConnection.dll (Discordia , LTD)



BHO-x32: Wajam - {A7A6995D-6EE1-4FD1-A258-49395D5BF99C} - C:\Program Files (x86)\Wajam\IE\priam_bho.dll (Wajam)



BHO-x32: Searchcore Toolbar - {af6ac4f2-9825-4fb6-a600-92bc5361f209} - C:\Program Files (x86)\Searchcore Toolbar\Datamngr\ToolBar\searchcoredtx.dll ()



Toolbar: HKLM-x32 - Searchcore Toolbar - {af6ac4f2-9825-4fb6-a600-92bc5361f209} - C:\Program Files (x86)\Searchcore Toolbar\Datamngr\ToolBar\searchcoredtx.dll ()



Toolbar: HKLM-x32 - Winamp Toolbar - {a0b1221c-a3ff-4f7c-a393-dc63af5301e9} - C:\Program Files (x86)\Winamp Toolbar\winamppltb.dll (AOL Inc.)



Toolbar: HKCU - No Name - {D4027C7F-154A-4066-A1AD-4243D8127440} - No File



Toolbar: HKCU - No Name - {A0B1221C-A3FF-4F7C-A393-DC63AF5301E9} - No File



Handler: skype-ie-addon-data - {91774881-D725-4E58-B298-07617B9B86A8} - No File



CHR HKLM\...\Chrome\Extension: [cjpglkicenollcignonpgiafdgfeehoj] - C:\Users\ASUS\AppData\Local\funmoods-speeddial.crx [2012-07-03]



CHR HKLM\...\Chrome\Extension: [fdloijijlkoblmigdofommgnheckmaki] - C:\Users\ASUS\AppData\Local\funmoods.crx [2012-07-03]



CHR HKCU\...\Chrome\Extension: [cjpglkicenollcignonpgiafdgfeehoj] - C:\Users\ASUS\AppData\Local\funmoods-speeddial.crx [2012-07-03]



CHR HKCU\...\Chrome\Extension: [fdloijijlkoblmigdofommgnheckmaki] - C:\Users\ASUS\AppData\Local\funmoods.crx [2012-07-03]



CHR HKLM-x32\...\Chrome\Extension: [cjpglkicenollcignonpgiafdgfeehoj] - C:\Users\ASUS\AppData\Local\funmoods-speeddial.crx [2012-07-03]



CHR HKLM-x32\...\Chrome\Extension: [jpmbfleldcgkldadpdinhjjopdfpjfjp] - C:\Users\ASUS\AppData\Local\Wajam\Chrome\wajam.crx [2012-05-15]



CHR HKLM-x32\...\Chrome\Extension: [pgmfkblbflahhponhjmkcnpjinenhlnc] - C:\Users\ASUS\AppData\Local\Vid-Saver\Chrome\Vid-Saver.crx [2012-05-09]



C:\end



C:\Program Files (x86)\AskPartnerNetwork



C:\ProgramData\AskPartnerNetwork



C:\ProgramData\APN



C:\Users\ASUS\AppData\Roaming\AutoUpdate



C:\Users\ASUS\AppData\Roaming\Babylon



C:\Users\ASUS\Desktop\Wyczyść rejestr za darmo!.lnk



CMD: netsh advfirewall reset



CMD: ipconfig /flushdns



Reg: reg delete HKCU\Software\Mozilla /f



Reg: reg delete HKCU\Software\MozillaPlugins /f



Reg: reg delete HKLM\SOFTWARE\MozillaPlugins /f



Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Mozilla /f



Reg: reg delete HKLM\SOFTWARE\Wow6432Node\mozilla.org /f



Reg: reg delete HKLM\SOFTWARE\Wow6432Node\MozillaPlugins /f



Reboot:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. System zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Przez Panel sterowania odinstaluj adware Download Updater, RegClean Pro, Searchcore Toolbar, VideoPerformer, Vid-Saver, Wajam, Winamp Toolbar (2 pozycje) oraz zbędnik Pandora Service (instalowany z KMPlayer).

 

3. Wyczyść Google Chrome:

  • Ustawienia > karta Rozszerzenia > odinstaluj Funmoods, Vid-Saver, Wajam (o ile nadal będę widoczne po w/w deinstalacjach)
  • Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Zresetuj ustawienia przeglądarki. Zakładki i hasła nie zostaną naruszone.
  • Ustawienia > karta Ustawienia > sekcja Wyszukiwanie > klik w Zarządzanie wyszukiwarkami > skasuj z listy niedomyślne śmieci (o ile będą).
  • Ustawienia > karta Historia > wyczyść
  • Zresetuj cache wtyczek. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie Włącz.
4. Uruchom AdwCleaner. Zastosuj Szukaj, a po tym Usuń. Powstanie folder C:\AdwCleaner z raportem z usuwania.

 

5. Zrób nowy log FRST z opcji Scan (zaznacz ponownie pole Addition, ale Shortcut zbędny). Dołącz też plik fixlog.txt i log z AdwCleaner.

 

 

STACJONARNY:

 

Nie ma co czyścić. Adware było już wcześniej usuwane. Infekcja DNS jest w routerze.

 

 

 

 

.

Odnośnik do komentarza
kertagg22

kertagg22

Opublikowano
  • Autor
Opublikowano

Można prosić o jakieś bardziej szczegółowe informacje co i jak mam zmienić w ustawieniach routera? Pisze z telefonu, zresetowalem router poprzez te male wejście i zmienilem w ustw. Hasło bo lphinu się nie dało oraz w maintenance/sysrestart Salem na reset ustawien fabrycznych. Teraz dalej nie ma polaczenia z internetem a z tego co widzę w DDNS mam ustawione na Deactivated

Odnośnik do komentarza
kertagg22

kertagg22

Opublikowano
  • Autor
Opublikowano

Witaj,

 

Internet mam z netii ale ze wzgledu ze wyjechalem i nie mialem jak sie tym zajac bo nie potrafilem tego ustawic dzwonilem po informatyka i na drugi dzien przyjechal i poustawial wszystko. Niby usunalem wszystko poprzez restart routera i trzeba bylo wpisywac na nowo kody z netii i musial do nich tam dzwonic po te kody aby podali. Gdybym tylko raz wcisnal to niby by sie nie usunelo wszystko, a ja trzymalem ten przycisk reset przez 10 sekund i sie usunelo. Calosc zrobienia zabralo mu to 15 minut czasu. Na koniec wziął 100zł za te 15 minut roboty. Pewnie przepłaciłem, nie znam się ale jak 100zł w ciągu 15 minut to ładnie się ceni. No ale ustawione mam i wszystko działa więc nie będę narzekał. Mogło być gorzej. Dzieki za pomoc wszystkim tematu jeszcze nie zamykajcie postaram sie dzis oczyscic laptopy z adware i dam wyniki skanu ostatecznego. Pozdrawiam

Odnośnik do komentarza
  • 3 tygodnie później...
kertagg22

kertagg22

Opublikowano
  • Autor
Opublikowano

Witam, mam znow ten sam problem z tymi stronami.. gdzie nie wejdzie na jakas znana strone pojawia sie taki komunikat jak wczesniej..... internet zostal nawet zmieniony i po paru dniach po zmianie znow ten problem.. O co tutaj chodzi? Jak to naprawic raz na zawsze? Zaraz beda logi, dodam ze z internetu (wifi) korzystaja dwa inne urzadzenia - 2 laptopy i telefony.

Addition.txt

FRST.txt

Shortcut.txt

OTL.Txt

Extras.Txt

Odnośnik do komentarza

Jeśli chcesz dodać odpowiedź, zaloguj się lub zarejestruj nowe konto

Jedynie zarejestrowani użytkownicy mogą komentować zawartość tej strony.

Zarejestruj nowe konto

Załóż nowe konto. To bardzo proste!

Zarejestruj się

Zaloguj się

Posiadasz już konto? Zaloguj się poniżej.

Zaloguj się
Tematy

  • Ostatnio przeglądający   0 użytkowników

    • Brak zarejestrowanych użytkowników przeglądających tę stronę.
×
×
  • Dodaj nową pozycję...