Infekcja wirusem URL:Mal

Yaur · 5 Listopada 2014

Witam.

Jak w temacie - URL:Mal jest wykrywany przez Avasta, ale nic z nim nie robi. Poszperałem po necie i wszyscy wypisują logi z programów skanujących, więc i ja prosiłbym o pomoc. Wykonałem szybkie i pełne skanowanie Avastem, lecz nic nie wykrył.

Logi z OTL:

OTL - http://wklej.org/hash/7114128be25/

Extras - http://wklej.org/hash/45e8b7e890a/

Logi z FRST:

FRST - http://wklej.org/hash/f4851bc9f7d/

Addition - http://wklej.org/hash/441901821a5/

Shortcut - http://wklej.org/hash/2da6c3546d5/

Skanowałem też programem Kaspersky TDSSKiller, który nic nie wychwycił oraz ponowny skan tym razem zaznaczając wszystkie extra opcje, lecz również nic nie wykazał. Na własną rękę niczego nie robiłem, gdyż po prostu się na tym nie znam. Z góry dziękuję za pomoc i poświęcony dla mnie czas.

picasso · 5 Listopada 2014

W systemie działa adware (globalUpdate i Plus-HD-9.6). Metody nabycia: KLIK. Przeprowadź następujące działania:

1. Przez Panel sterowania odinstaluj adware Plus-HD-9.6 oraz starszą wersję Adobe Reader X (10.1.12) MUI. Jeśli nie będzie się dało (błąd) lub wejście nie będzie widoczne, nie szkodzi, kontynuuj dalej:

2. Otwórz Notatnik i wklej w nim:

CloseProcesses:
HKU\S-1-5-21-2546757417-2285422710-3828388020-1001\...\Run: [Tiny download manager] => "C:\Users\Marcin\AppData\Local\DM\TinyDM.exe" /M
HKU\S-1-5-21-2546757417-2285422710-3828388020-1001\...\MountPoints2: {7c6f41fe-b35c-11e3-8eb5-dc85de2a4d10} - F:\auto.exe
HKLM-x32\...\Run: [mobilegeni daemon] => C:\Program Files (x86)\Mobogenie\DaemonProcess.exe
HKLM\...\Run: [DptfPolicyLpmServiceHelper] => C:\Windows\SysWOW64\DptfPolicyLpmServiceHelper.exe
HKLM\...\Policies\Explorer: [NoControlPanel] 0
IFEO\bitguard.exe: [Debugger] tasklist.exe
IFEO\bprotect.exe: [Debugger] tasklist.exe
IFEO\bpsvc.exe: [Debugger] tasklist.exe
IFEO\browserdefender.exe: [Debugger] tasklist.exe
IFEO\browserprotect.exe: [Debugger] tasklist.exe
IFEO\browsersafeguard.exe: [Debugger] tasklist.exe
IFEO\dprotectsvc.exe: [Debugger] tasklist.exe
IFEO\jumpflip: [Debugger] tasklist.exe
IFEO\protectedsearch.exe: [Debugger] tasklist.exe
IFEO\searchinstaller.exe: [Debugger] tasklist.exe
IFEO\searchprotection.exe: [Debugger] tasklist.exe
IFEO\searchprotector.exe: [Debugger] tasklist.exe
IFEO\searchsettings.exe: [Debugger] tasklist.exe
IFEO\searchsettings64.exe: [Debugger] tasklist.exe
IFEO\snapdo.exe: [Debugger] tasklist.exe
IFEO\stinst32.exe: [Debugger] tasklist.exe
IFEO\stinst64.exe: [Debugger] tasklist.exe
IFEO\umbrella.exe: [Debugger] tasklist.exe
IFEO\utiljumpflip.exe: [Debugger] tasklist.exe
IFEO\volaro: [Debugger] tasklist.exe
IFEO\vonteera: [Debugger] tasklist.exe
IFEO\websteroids.exe: [Debugger] tasklist.exe
IFEO\websteroidsservice.exe: [Debugger] tasklist.exe
ShellIconOverlayIdentifiers: [AsusWSShellExt_B] -> {6D4133E5-0742-4ADC-8A8C-9303440F7190} => No File
ShellIconOverlayIdentifiers: [AsusWSShellExt_O] -> {64174815-8D98-4CE6-8646-4C039977D808} => No File
ShellIconOverlayIdentifiers: [AsusWSShellExt_U] -> {1C5AB7B1-0B38-4EC4-9093-7FD277E2AF4D} => No File
HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.default-search.net?sid=476&aid=175&itype=n&ver=12791&tm=374&src=hmp
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction 
SearchScopes: HKLM - {9BB47C17-9C68-4BB3-B188-DD9AF0FD2476} URL = http://www.default-search.net/search?sid=476&aid=175&itype=n&ver=12791&tm=374&src=ds&p={searchTerms}
SearchScopes: HKLM-x32 - {9BB47C17-9C68-4BB3-B188-DD9AF0FD2476} URL = http://www.default-search.net/search?sid=476&aid=175&itype=n&ver=12791&tm=374&src=ds&p={searchTerms}
SearchScopes: HKCU - DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKCU - {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKCU - {9BB47C17-9C68-4BB3-B188-DD9AF0FD2476} URL = http://www.default-search.net/search?sid=476&aid=175&itype=n&ver=12791&tm=374&src=ds&p={searchTerms}
Toolbar: HKLM - No Name - {CC1A175A-E45B-41ED-A30C-C9B1D7A0C02F} - No File
CHR HomePage: Default -> hxxp://www.default-search.net?sid=476&aid=175&itype=n&ver=12791&tm=374&src=hmp
FF HKLM-x32\...\Thunderbird\Extensions: [msktbird@mcafee.com] - C:\Program Files\McAfee\MSK
FF Plugin-x32: @pandonetworks.com/PandoWebPlugin -> C:\Program Files (x86)\Pando Networks\Media Booster\npPandoWebPlugin.dll No File
FF Plugin-x32: @staging.google.com/globalUpdate Update;version=10 -> C:\Program Files (x86)\globalUpdate\Update\1.3.25.0\npGoogleUpdate4.dll (globalUpdate)
FF Plugin-x32: @staging.google.com/globalUpdate Update;version=4 -> C:\Program Files (x86)\globalUpdate\Update\1.3.25.0\npGoogleUpdate4.dll (globalUpdate)
Task: {1558F514-D74F-47E0-A6D1-E93F9BEC7649} - System32\Tasks\globalUpdateUpdateTaskMachineCore => C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe [2014-06-10] (globalUpdate) 
Task: {1E990F8A-B85D-466B-98C4-BE8A5008B2A9} - System32\Tasks\AsusVibeSchedule => C:\Program Files (x86)\Asus\AsusVibe\AsusVibeLauncher.exe
Task: {75BB9A55-5476-4154-91DB-23A7897B391E} - System32\Tasks\globalUpdateUpdateTaskMachineUA => C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe [2014-06-10] (globalUpdate) 
Task: {C59CDD99-0E01-4E11-BC45-2B323159C826} - System32\Tasks\bd69fe80-f1b1-4f8f-b1a7-9e87900f7877-5 => C:\Program Files (x86)\Plus-HD-9.6\bd69fe80-f1b1-4f8f-b1a7-9e87900f7877-5.exe 
Task: {CD277B04-33A1-4F67-A4CF-D70E260D3EAE} - System32\Tasks\bd69fe80-f1b1-4f8f-b1a7-9e87900f7877-4 => C:\Program Files (x86)\Plus-HD-9.6\bd69fe80-f1b1-4f8f-b1a7-9e87900f7877-4.exe [2014-06-10] (Plus HD) 
Task: C:\Windows\Tasks\bd69fe80-f1b1-4f8f-b1a7-9e87900f7877-4.job => C:\Program Files (x86)\Plus-HD-9.6\bd69fe80-f1b1-4f8f-b1a7-9e87900f7877-4.exe 
Task: C:\Windows\Tasks\bd69fe80-f1b1-4f8f-b1a7-9e87900f7877-5.job => C:\Program Files (x86)\Plus-HD-9.6\bd69fe80-f1b1-4f8f-b1a7-9e87900f7877-5.exe 
Task: C:\Windows\Tasks\globalUpdateUpdateTaskMachineCore.job => C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe 
Task: C:\Windows\Tasks\globalUpdateUpdateTaskMachineUA.job => C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe 
S2 globalUpdate; C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe [68608 2014-06-10] (globalUpdate) [File not signed]
S3 globalUpdatem; C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe [68608 2014-06-10] (globalUpdate) [File not signed]
S3 X6va012; \??\C:\Windows\SysWOW64\Drivers\X6va012 [X]
S3 X6va013; \??\C:\Windows\SysWOW64\Drivers\X6va013 [X]
S3 X6va014; \??\C:\Windows\SysWOW64\Drivers\X6va014 [X]
S3 X6va015; \??\C:\Windows\SysWOW64\Drivers\X6va015 [X]
S3 X6va016; \??\C:\Windows\SysWOW64\Drivers\X6va016 [X]
C:\Program Files (x86)\globalUpdate
C:\Program Files (x86)\Plus-HD-9.6
C:\Users\Marcin\AppData\Local\DM
C:\Users\Marcin\AppData\Local\Google\Chrome\User Data\Default\Preferences
C:\Users\Marcin\AppData\Local\Google\Chrome\User Data\Default\Local Storage\*localstorage*
C:\Users\Marcin\AppData\Local\Mobogenie
C:\Users\Marcin\AppData\Roaming\ASUS WebStorage
C:\Users\Marcin\AppData\Roaming\DSite
C:\Users\Marcin\AppData\Roaming\OpenCandy
C:\Users\Marcin\AppData\Roaming\Opera Software
C:\Users\Marcin\AppData\Roaming\systweak
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\Plus-HD-9.6 /f
CMD: dir /a "C:\Program Files"
CMD: dir /a "C:\Program Files (x86)"
CMD: dir /a C:\ProgramData
CMD: dir /a C:\Users\Marcin\AppData\Local
CMD: dir /a C:\Users\Marcin\AppData\LocalLow
CMD: dir /a C:\Users\Marcin\AppData\Roaming
CMD: netsh advfirewall reset
EmptyTemp:

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

3. Wyczyść Firefox z adware: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox. Zakładki i hasła nie zostaną naruszone.

4. W Google Chrome:

Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Zresetuj ustawienia przeglądarki. Zakładki i hasła nie zostaną naruszone.
Ustawienia > karta Ustawienia > sekcja Wyszukiwanie > klik w Zarządzanie wyszukiwarkami > skasuj z listy niedomyślne śmieci (o ile będą).
Zresetuj cache wtyczek. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie Włącz.

5. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt.

.

Yaur · 7 Listopada 2014

Oto logi:

FRST - http://wklej.org/hash/630bffac89d/

FIxlog - http://wklej.org/hash/98adeef99f5/

picasso · 7 Listopada 2014

Operacje pomyślnie przeprowadzone. Drobne poprawki. Otwórz Notatnik i wklej:

HKLM-x32\...\Run: [Adobe Reader Speed Launcher] => "C:\Program Files (x86)\Adobe\Reader 10.0\Reader\Reader_sl.exe"
HKU\S-1-5-21-2546757417-2285422710-3828388020-1001\...\MountPoints2: {7c6f41fe-b35c-11e3-8eb5-dc85de2a4d10} - F:\auto.exe
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction 
C:\Program Files (x86)\Linkey
C:\Program Files (x86)\Mozilla Firefox.bak
C:\Program Files (x86)\Opera
C:\ProgramData\ASUS WebStorage
C:\ProgramData\McAfee
C:\ProgramData\Temp
C:\Users\Marcin\AppData\Local\globalUpdate
C:\Users\Marcin\AppData\Local\Lollipop
C:\Users\Marcin\AppData\Local\Opera Software
C:\Users\Marcin\AppData\Local\uninst.tmp
RemoveDirectory: C:\FRST\Quarantine
RemoveDirectory: C:\Users\Marcin\Desktop\Stare dane programu Firefox

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Przedstaw wynikowy fixlog.txt.

.

Yaur · 7 Listopada 2014

Gotowe, oto log:

Fixlog - http://wklej.org/hash/6b592b6286f/

picasso · 7 Listopada 2014

Zrobione. Kończymy. Skasuj ręcznie folder C:\Users\Marcin\Desktop\FRST i zastosuj DelFix.

Yaur · 7 Listopada 2014

Dziękuję Ci bardzo za pomoc - jesteś wielka

Ostatni log z DelFix - http://wklej.org/hash/a95ebff0da1/

picasso · 7 Listopada 2014

Możesz skasować plik C:\DelFix.txt z dysku.

Temat rozwiązany. Zamykam.

Zaloguj się

Infekcja wirusem URL:Mal

Rekomendowane odpowiedzi

Yaur

Odnośnik do komentarza

picasso

Odnośnik do komentarza

Yaur

Odnośnik do komentarza

picasso

Odnośnik do komentarza

Yaur

Odnośnik do komentarza

picasso

Odnośnik do komentarza

Yaur

Odnośnik do komentarza

picasso

Odnośnik do komentarza

Ostatnio przeglądający 0 użytkowników

Przeglądaj

Cała aktywność