win32:BProtect - nieusuwalny przez Avast

[alvaro]

Witam

Podzas skanowania avastem wykryty win32:BProtect,  program antywirusowy sugerował skan przy uruchomieniu, co spowodowało wykrycie 44 zarażonych plików, z których część nie pozwalała się usunąć/przenieść do kwarantanny. Komunikat: "Nie można usunąć plików tego typu" 

 

System windows 7, 64-bitowy, prawdopodobnie SP1.

 

Logi

Addition.txt

Extras.Txt

FRST.txt

OTL.Txt

gmer.txt

[picasso]

Nie podałeś wyników skanu Avast, gdzie konkretnie (precyzyjna ścieżka dostępu) są wykrywane owe zagrożenia. Dodaj te dane. Natomiast w dostarczonych tu raportach są widoczne obiekty adware. Doczyść:

 

1. Otwórz Notatnik i wklej w nim:

 

Task: {2D5577C2-CB1D-4A57-9FE7-4CF799C98D2D} - System32\Tasks\DSite => C:\Users\L750-144\AppData\Roaming\DSite\UpdateProc\UpdateTask.exe [2013-06-13] () 
Task: {526BD9B6-82A3-4377-AE91-434CD0322FF0} - System32\Tasks\EPUpdater => C:\Users\L750-144\AppData\Roaming\BabSolution\Shared\BabMaint.exe [2013-06-06] () 
Task: {D764EA7D-74D0-4ECC-BC56-B739E3D56271} - System32\Tasks\BitGuard => Sc.exe start BitGuard 
Task: C:\Windows\Tasks\DSite.job => C:\Users\L750-144\AppData\Roaming\DSite\UPDATE~1\UPDATE~1.EXE 
HKLM-x32\...\Run: [vdultimate_chrome] => C:\ProgramData\VideoDownloaderUltimate\Chrome\vdultimate.exe [954368 2014-02-18] (Link64 GmbH)
AppInit_DLLs: c:\progra~3\bitguard\271769~1.27\{c16c1~1\loader.dll => c:\progra~3\bitguard\271769~1.27\{c16c1~1\loader.dll File Not Found
HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.babylon.com/?affID=119357&babsrc=HP_ss_din2g&mntrId=EAC0D0DF9A51AED3
HKCU\Software\Microsoft\Internet Explorer\Main,bProtector Start Page = http://search.babylon.com/?affID=119357&babsrc=HP_ss_din2g&mntrId=EAC0D0DF9A51AED3
SearchScopes: HKLM - {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKLM-x32 - {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKCU - DefaultScope {8E47CC13-61D4-463D-902A-8E5BAAAD4231} URL =
SearchScopes: HKCU - bProtectorDefaultScope {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}
SearchScopes: HKCU - {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} URL = http://www.delta-search.com/?q={searchTerms}&affID=119357&babsrc=SP_ss&mntrId=EAC0D0DF9A51AED3
BHO-x32: delta Helper Object - {C1AF5FA5-852C-4C90-812E-A7F75E011D87} - C:\Program Files (x86)\Delta\delta\1.8.21.5\bh\delta.dll (Delta-search.com)
Toolbar: HKLM - avast! Online Security - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} - No File
Toolbar: HKLM - No Name - {CC1A175A-E45B-41ED-A30C-C9B1D7A0C02F} - No File
Toolbar: HKLM-x32 - Delta Toolbar - {82E1477C-B154-48D3-9891-33D83C26BCD3} - C:\Program Files (x86)\Delta\delta\1.8.21.5\deltaTlbr.dll (Delta-search.com)
Handler: skype-ie-addon-data - {91774881-D725-4E58-B298-07617B9B86A8} - No File
CHR HKCU\...\Chrome\Extension: [hknpjpodmmapnfjhnblgmalmaanpajhc] - C:\ProgramData\VideoDownloaderUltimate\Chrome\VideoDownloaderUltimate.crx [2014-02-18]
CHR HKLM-x32\...\Chrome\Extension: [eooncjejnppfjjklapaamhcdmjbilmde] - C:\Users\L750-144\AppData\Roaming\BabSolution\CR\Delta.crx [2013-06-13]
CHR HKLM-x32\...\Chrome\Extension: [hknpjpodmmapnfjhnblgmalmaanpajhc] - C:\ProgramData\VideoDownloaderUltimate\Chrome\VideoDownloaderUltimate.crx [2014-02-18]
Reboot:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. System zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Przez Panel sterowania odinstaluj adware Delta Chrome Toolbar, Delta toolbar, Update for Word Viewer, VideoDownloaderUltimate for Chrome oraz potwornie stary i dziurawy Firefox (wersja 3.6.28!).

 

3. Wyczyść Google Chrome z adware:

• Ustawienia > karta Rozszerzenia > odinstaluj Video Downloader Ultimate
• Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Zresetuj ustawienia przeglądarki. Zakładki i hasła nie zostaną naruszone.
• Ustawienia > karta Ustawienia > Po uruchomieniu > usuń adres delta-search.com
• Ustawienia > karta Ustawienia > Wygląd i zaznacz "Pokaż przycisk strony startowej" > klik w Zmień i usuń adres delta-search.com
• Ustawienia > karta Ustawienia > sekcja Wyszukiwanie > klik w Zarządzanie wyszukiwarkami > skasuj z listy webwebweb.de.
• Ustawienia > karta Historia > wyczyść
• Zresetuj cache wtyczek. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie Włącz.

4. Uruchom AdwCleaner. Zastosuj Szukaj, a po tym Usuń. Powstanie folder C:\AdwCleaner z raportem z usuwania.

 

5. Uruchom TFC - Temp Cleaner.

 

6. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt i log z AdwCleaner.

 

 

 

 

.

[alvaro]

Wykonałem pkt. 1-6 z tym zastrzeżeniem, że nie odinstalowałem  rozszerzenia Video Downloader Ultimate  - wyświetił się komunikat, że nie mam już żadnych rozszerzeń. Zamieszczam żadane pliki:

AdwCleanerR0.txt

AdwCleanerS0.txt

Fixlog.txt

FRST.txt

[alvaro]

Niestety nie potrafię wydobyć raportu skanowania avast w formie pliku tekstowego. Załączam zrzuty ekranu. Był to skan przy uruchomieniu (data - 20.05.2014).

[picasso]

Skan Avast wykazał, że ten obiekt był po prostu w lokalizacjach tymczasowych. Tematem zajął się już TFC - Temp Cleaner. Avast nie powinien już wykrywać tego "protectora". Jeśli rzecz o braku rozszerzenia Video Downloader Ultimate w Google Chrome, to zapewne deinstalacja programu "VideoDownloaderUltimate for Chrome" przeprowadzona w punkcie 2 załatwiła to.

 

Wszystko wykonane. Kończymy temat:

 

1. Otwórz Notatnik i wklej w nim:

 

SearchScopes: HKLM-x32 - {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKLM-x32 - {8E47CC13-61D4-463D-902A-8E5BAAAD4231} URL =
C:\Program Files (x86)\mozilla firefox
Reg: reg delete HKCU\Software\Mozilla /f
Reg: reg delete HKCU\Software\MozillaPlugins /f
Reg: reg delete HKLM\SOFTWARE\MozillaPlugins /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Mozilla /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\mozilla.org /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\MozillaPlugins /f
CMD: del /q C:\Users\L750-144\Downloads\f0no23ku.exe
CMD: del /q C:\Users\L750-144\Downloads\t8h3kznh.exe
CMD: del /q C:\Users\L750-144\Downloads\0yepjvht.exe
CMD: del /q C:\Windows\SysWOW64\sqlite3.dll

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Pokaż wynikowy fixlog.txt. A po tym:

 

2. Zastosuj DelFix. Jeśli jakieś narzędzie lub log nie usunie się, ręcznie dokasuj.

 

3. Wyczyść foldery Przywracania systemu: KLIK.

 

4. Jeszcze te stare programy do deinstalacji i wymiany najnowszymi:

 

==================== Installed Programs ======================
 

Adobe Reader X (10.1.10) MUI (HKLM-x32\...\{AC76BA86-7AD7-FFFF-7B44-AA0000000001}) (Version: 10.1.10 - Adobe Systems Incorporated)

Java 7 Update 21 (HKLM-x32\...\{26A24AE4-039D-4CA4-87B4-2F83217021FF}) (Version: 7.0.210 - Oracle)

Java™ 6 Update 20 (HKLM-x32\...\{26A24AE4-039D-4CA4-87B4-2F83216020FF}) (Version: 6.0.200 - Sun Microsystems, Inc.)

 

 

PS. W pierwszym poście zagaiłeś: "System windows 7, 64-bitowy, prawdopodobnie SP1". Wg FRST jest tu SP1 i IE11:

 

Platform: Windows 7 Home Premium Service Pack 1 (X64) OS Language: Polish

Internet Explorer Version 11

 

 

 

.

[alvaro]

Zrobione. [edit] - niechcący wkleiłem pliki po dwa razy.

 

Przeskanowałem wszystko raz jeszcze avastem. Szybk skan wykrył

C:\Program Files(x86)\SAMSUNG\Samsung ML-2250 Series\Install\data\SSindii.exe (drukarka?)

C:\Temp\ML-2250_Win7_GDI\DATA\SSindii.exe

W obu przypadkach avast usunął Win32:Malware-gen. Następny skan (przy uruchomieniu) nic już nie wykrył.

Fixlog.txt

[picasso]

Posty sklejam, nadwyżkę zbędnych logów usuwam (mogłeś to zresztą samodzielnie skorygować). Te detekcje Avast na pliku Samsung wyglądają na fałszywe alarmy. Fixlog wykonany OK. Możesz przejść dalej.

 

 

.

[alvaro]

Bardzo przepraszam, ale nie do końca zrozumiałem. Coś będę musiał jeszcze zrobić, czy problem został już rozwiązany?

[Rucek]

w poście nr 5 masz zadania do wykonania. wykonałeś wszystkie?

[alvaro]

Oczywiście. Skany avastem zrobiłem już po wykonaniu wszystkich zaleceń.

[picasso]

Bardzo przepraszam, ale nie do końca zrozumiałem. Coś będę musiał jeszcze zrobić, czy problem został już rozwiązany?

Wszystkie zalecenia końcowe już podałam, skoro wykonałeś także punkty 2 (DelFix) do 4 (aktualizacje programów), to koniec tematu i będziemy go zamykać.

 

 

 

.