Infekcja URL:Mal, sweet page

[bulma89]

Witam,

 

drugi komputer zainfekowany jest infekcją URL:Mal, sweet page i podejrzewam, że wieloma innymi bo system strasznie muli. 

 

Załączam logi oraz ponownie proszę o pomoc  

Addition.txt

Extras.Txt

FRST.txt

OTL.Txt

Shortcut.txt

[picasso]

Na początek uwaga, program AdwCleaner nie został pobrany ze strony domowej: C:\Users\JA\Downloads\Adwcleaner_4.102_www.INSTALKI.pl.exe. Tylko na stronie domowej gwarancja szybkości pojawiania się nowych wersji. Tu tylko przypadkowo udało się pobrać aktualną wersję.

 

Przeprowadź następujące działania:

 

1. Odinstaluj problematyczny zbędnik firmowy ASUS WebStorage Sync Agent oraz starsze wersje Adobe Reader X MUI, Adobe Shockwave Player 12.1, Java 7 Update 67.

 

2. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
R2 MaintainerSvc4.07.4104264; C:\ProgramData\398c0b96-ebd3-4f67-a5c7-1899a15c12be\maintainer.exe [123680 2014-11-26] ()
S3 e1edc438-f640-4184-a443-d2a7c37a01dc; \??\C:\Users\Administrator\Desktop\asus-wtp2.3.0-11\bin\690b33e1-0462-4e84-9bea-c7552b45432a.sys [X]
U0 msahci; No ImagePath
S1 ttnfd; system32\drivers\ttnfd.sys [X]
Task: C:\Windows\Tasks\35ad5ac6-37a6-448f-b56e-7dd38ede466b-1.job => C:\Program Files (x86)\CinePlus2V09.10\CinePlus2V09.10-codedownloader.exe 
Task: C:\Windows\Tasks\35ad5ac6-37a6-448f-b56e-7dd38ede466b-11.job => C:\Program Files (x86)\CinePlus2V09.10\35ad5ac6-37a6-448f-b56e-7dd38ede466b-11.exe 
Task: C:\Windows\Tasks\35ad5ac6-37a6-448f-b56e-7dd38ede466b-2.job => C:\Program Files (x86)\CinePlus2V09.10\35ad5ac6-37a6-448f-b56e-7dd38ede466b-2.exe 
Task: C:\Windows\Tasks\35ad5ac6-37a6-448f-b56e-7dd38ede466b-3.job => C:\Program Files (x86)\CinePlus2V09.10\35ad5ac6-37a6-448f-b56e-7dd38ede466b-3.exe 
Task: C:\Windows\Tasks\35ad5ac6-37a6-448f-b56e-7dd38ede466b-4.job => C:\Program Files (x86)\CinePlus2V09.10\35ad5ac6-37a6-448f-b56e-7dd38ede466b-4.exe 
Task: C:\Windows\Tasks\35ad5ac6-37a6-448f-b56e-7dd38ede466b-5.job => C:\Program Files (x86)\CinePlus2V09.10\35ad5ac6-37a6-448f-b56e-7dd38ede466b-5.exe 
Task: C:\Windows\Tasks\35ad5ac6-37a6-448f-b56e-7dd38ede466b-5_user.job => C:\Program Files (x86)\CinePlus2V09.10\35ad5ac6-37a6-448f-b56e-7dd38ede466b-5.exe 
Task: C:\Windows\Tasks\35ad5ac6-37a6-448f-b56e-7dd38ede466b-6.job => C:\Program Files (x86)\CinePlus2V09.10\35ad5ac6-37a6-448f-b56e-7dd38ede466b-6.exe 
Task: C:\Windows\Tasks\35ad5ac6-37a6-448f-b56e-7dd38ede466b-7.job => C:\Program Files (x86)\CinePlus2V09.10\35ad5ac6-37a6-448f-b56e-7dd38ede466b-7.exe 
Task: C:\Windows\Tasks\5a91ef75-1c1c-4628-a059-6e4153aa7b22.job => C:\Program Files (x86)\CinePlus2V09.10\5a91ef75-1c1c-4628-a059-6e4153aa7b22.exe 
Task: C:\Windows\Tasks\610386dd-4883-46eb-af28-0fd34950c8e2.job => C:\Program Files (x86)\CinePlus2V09.10\610386dd-4883-46eb-af28-0fd34950c8e2.exe 
Task: C:\Windows\Tasks\APSnotifierPP1.job => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe 
Task: C:\Windows\Tasks\APSnotifierPP2.job => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe 
Task: C:\Windows\Tasks\APSnotifierPP3.job => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe 
Task: C:\Windows\Tasks\globalUpdateUpdateTaskMachineCore.job => C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe 
Task: C:\Windows\Tasks\globalUpdateUpdateTaskMachineUA.job => C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe 
Task: C:\Windows\Tasks\Price Fountain.job => C:\Users\JA\AppData\Roaming\PRICEF~1\UPDATE~1\UPDATE~1.EXE 
GroupPolicy: Group Policy on Chrome detected 
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction 
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction 
StartMenuInternet: IEXPLORE.EXE - C:\Program Files (x86)\Internet Explorer\iexplore.exe
BHO-x32: PriceFountain -> {b608cc98-54de-4775-96c9-097de398500c} -> C:\Users\JA\AppData\Local\PriceFountain\PriceFountainIE.dll No File
CHR HomePage: Default -> hxxp://www.sweet-page.com/?type=hp&ts=1413912910&from=cor&uid=HitachiXHTS545032A7E380_TE8413480R5GBC0R5GBCX
CHR StartupUrls: Default -> "hxxp://www.sweet-page.com/?type=hp&ts=1413912910&from=cor&uid=HitachiXHTS545032A7E380_TE8413480R5GBC0R5GBCX"
FF HKLM-x32\...\Thunderbird\Extensions: [msktbird@mcafee.com] - C:\Program Files\McAfee\MSK
C:\Program Files (x86)\Opera
C:\ProgramData\398c0b96-ebd3-4f67-a5c7-1899a15c12be
C:\Users\JA\AppData\Local\Google\Chrome\User Data\Default\Extensions\nhgjpfdjhlimkkdgnecbgnefdafbcncc
C:\Users\JA\AppData\Local\Google\Chrome\User Data\Default\Preferences
C:\Users\JA\AppData\Local\Google\Chrome\User Data\Default\Local Storage\*localstorage*
C:\Users\JA\AppData\Roaming\*.exe
C:\Users\JA\AppData\Roaming\sp_data.sys
C:\Users\JA\AppData\Roaming\0I0M0D1F2W1G1I1F1T1Q1P1C
C:\Users\JA\AppData\Roaming\ap_movie
C:\Users\JA\AppData\Roaming\Opera Software
C:\Users\JA\Downloads\yet_another_cleaner_*.exe
C:\Users\JA\Desktop\Wyczyść rejestr za darmo!.lnk
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Adobe Reader Speed Launcher" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ASUSWebStorage" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mcui_exe" /f
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

3. W Google Chrome:

• Ustawienia > karta Rozszerzenia > odinstaluj Allin1Convert, Bing, CinePlus2V09.10, Greener Web, Zwinky
• Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Zresetuj ustawienia przeglądarki. Zakładki i hasła nie zostaną naruszone.
• Ustawienia > karta Ustawienia > sekcja Wyszukiwanie > klik w Zarządzanie wyszukiwarkami > skasuj z listy niedomyślne śmieci (o ile będą).

4. W Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox. Zakładki i hasła nie zostaną naruszone.

 

5. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt oraz logi z folderu C:\AdwCleaner (był używany).

 

 

 

 

.

[bulma89]

Wymagane logi

Fixlog.txt

FRST.txt

AdwCleanerR0.txt

AdwCleanerS0.txt

[picasso]

Apropos AdwCleaner, na przyszłość: zawsze zaczyna się od poprawnej deinstalacji podejrzanych / nieznanych programów via Panel sterowania. a po tym powtórka w menedżerach rozszerzeń przeglądarek, na końcu AdwCleaner i podobne. Odwrotna metoda może mieć skutki uboczne i zostawienie większej ilości wpisów, które mogłyby ulotnić się deinstalacją.

 

Zadania prawie wykonane, z wyjątkiem tego:

 

4. W Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox. Zakładki i hasła nie zostaną naruszone.

Do wdrożenia i po tym zrób nowy log FRST (bez Addition i Shortcut).