Win32/SProtector.D i rundll32.exe

[majster500]

Witam mam problem i nie wiem gdzie szukać pomocy.
Antywirus Wykrywa zagrożenie  rundll32.exe 

 

FRST.txt

Addition.txt

[picasso]

Brakuje trzeciego obowiązkowego raportu FRST Shortcut.

 

Problem tworzy adware LibraryProc startujące za pomocą usługi. Adware nabyte podczas pobierania "VirtualDJ Pro Build" z lewego źródła (zamiast docelowego instalatora, uruchamiał się "downloader" z adware).

 

R2 a227ee20; c:\Program Files\LibraryProc\LibraryProc.dll [1975296 2015-03-18] () [File not signed]

 

 

Przeprowadź następujące działania:

 

1. Przez Dodaj/Usuń programy odinstaluj adware Ads Remover, LibraryProc oraz potwornie stary Mozilla Firefox (3.5.4). Przy deinstalacji Firefox zaznacz usuwanie danych użytkownika.

 

2. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
CreateRestorePoint:
Startup: C:\Documents and Settings\Marcin\Menu Start\Programy\Autostart\VirtualDJ Pro Build 1995.815.lnk
S3 gdrv; \??\C:\WINNT\gdrv.sys [X]
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction 
CHR HomePage: Default -> hxxp://pl.v9.com/idg/idg_1342389078_310092
CHR StartupUrls: Default -> "hxxp://www.google.com/", "hxxp://blekko.com/ws/?source=5f97ddbe&tbp=homepage&u=e0b0929a000000000000001f1f065675", "hxxp://websearch.simplespeedy.info/"
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.key-find.com/web/?type=ds&ts=1423787126&from=cor&uid=ST380211AS_6PS0GQ2QXXXX6PS0GQ2Q&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.key-find.com/web/?type=ds&ts=1423787126&from=cor&uid=ST380211AS_6PS0GQ2QXXXX6PS0GQ2Q&q={searchTerms}
HKU\S-1-5-21-1547161642-1580436667-725345543-1003\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.key-find.com/web/?type=ds&ts=1423787126&from=cor&uid=ST380211AS_6PS0GQ2QXXXX6PS0GQ2Q&q={searchTerms}
HKU\S-1-5-21-1547161642-1580436667-725345543-1003\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.key-find.com/web/?type=ds&ts=1423787126&from=cor&uid=ST380211AS_6PS0GQ2QXXXX6PS0GQ2Q&q={searchTerms}
CustomCLSID: HKU\S-1-5-21-1547161642-1580436667-725345543-1003_Classes\CLSID\{F28C2F70-47DE-4EA5-8F6D-7D1476CD1EF5}\localserver32 -> C:\Documents and Settings\Marcin\Ustawienia lokalne\Temp\EED8\temp\VirtualDJ Pro Build 1995.815.exe ()
C:\Documents and Settings\All Users\Dane aplikacji\{162d5d2d-5bb1-8cf8-162d-d5d2d5bb74b5}
C:\Documents and Settings\All Users\Dane aplikacji\2261315843338188402
C:\Documents and Settings\All Users\Dane aplikacji\Ads Remover
C:\Documents and Settings\All Users\Dane aplikacji\ffgglpimleafmdhciphmidiofldkkdkn
C:\Documents and Settings\Marcin\Dane aplikacji\appdataFr3.bin
C:\Documents and Settings\Marcin\Dane aplikacji\key-find
C:\Program Files\LibraryProc
C:\Program Files\Splashtop
C:\Program Files\UniDeeals
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

3. Zainstaluj IE8: KLIK.

 

4. Zrób nowy log FRST z opcji Scan, zaznacz pola Addition i Shortcut i powstały trzy logi. Dołącz też plik fixlog.txt.

[majster500]

Adware nabyte podczas pobierania "VirtualDJ Pro Build" z lewego źródła (zamiast docelowego instalatora, uruchamiał się "DOWNLOADER" z adware).

 

Zgadza się pobrałem na szybko w celach testowych. Jednak nie jeden program, ale kilka podobnych.

 

Operacja zrobiona.

Shortcut.txt

Addition.txt

Fixlog.txt

[picasso]

Brakuje głównego raportu FRST.txt. Poza tym, w Twoim cytacie jest bardzo niepokojący znak, tzn. takie oto podkreślenie wskazujące na aktywne adware tworzące injekcje na przeglądanych stronach:

 

uruchamiał się "DOWNLOADER" z adware

 

Czy te "podkreślenia" występują tylko gdy korzystasz z Google Chrome?

[majster500]

Korzystam tylko z Google Chrome na IE8 podkreśleń nie ma. Znalazłem przyczynne jest to (ad by supreme adblocker). Program (AdwCleaner) który to usuwa nic nie wykrywa. Co tu zrobić?

[picasso]

Prosiłam Cię, byś dodał główny log FRST.txt, bo o nim zapomniałeś w poprzednim poście.

[majster500]

Przepraszam zapomniałem 

Shortcut.txt

Addition.txt

FRST.txt