Niemożność pobrania programów FRST i GMER

Gryson · 28 Czerwca 2015

Witam.Ja w tytule nie moge pobrać danych programów.Niewiem o co tutaj chodzi...

MoncznyChleb · 29 Czerwca 2015

To może wskazywać na obecność infekcji.

Pobierz FRST na innym komputerze. Spróbuj wykonać skan z poziomu trybu awaryjnego, bądź Napraw komputer (opcja dostępna w tym samym menu).

http://windows.microsoft.com/pl-pl/windows/start-computer-safe-mode#start-computer-safe-mode=windows-7

https://www.fixitpc.pl/topic/61-diagnostyka-ogólne-raporty-systemowe/

Gryson · 29 Czerwca 2015

Dzięki.Udało sie ruszyć.Temat do zamknięcia.

picasso · 29 Czerwca 2015

Ale przecież tu nie koniec. Zrób obowiązujące logi FRST (mają powstać 3) oraz GMER do wglądu na okoliczność infekcji.

Gryson · 29 Czerwca 2015

Czyli mogę tutaj kontynuowac problem?

picasso · 29 Czerwca 2015

Oczywiście. Ponoć pobrać programy się udało, to teraz dostarcz raporty z nich do oceny.

Gryson · 29 Czerwca 2015

To ruszam z tym koksem.Od kilku dni mam kłopoty z reklamami wyskakuja na stronie oraz otwieraja dodatkową.Ruszyłem to programami adw cleaner,spybot,malwarebytes reinstalowałem firefox-a i explorera.Reklamy sygnuja sie pod aps Sata,foxydeal.Malwerebytes wykrył takiego drania(załacznik wirus).Nie moge wkleić GMER za duzy plik(2,25MB).Chyba że cos zle robię...

picasso · 29 Czerwca 2015

Głównym szkodnikiem aktywnie działającym w tle jest poniższy delikwent "Ioidasyphobiolaries". Programów nie mogłeś pobrać, bo jest aktywne proxy nałożone przez szkodnika. MBAM wykrywa tylko proxy, ale nie motor je przywracający.

R2 Ioidasyphobiolaries; C:\Program Files (x86)\Ioidasyphobiolaries\Ioidasyphobiolaries.exe [281088 2015-06-16] () [File not signed]

ProxyEnable: [s-1-5-21-240840061-2717004978-97619909-1000] => Internet Explorer proxy is enabled

ProxyServer: [s-1-5-21-240840061-2717004978-97619909-1000] => http=127.0.0.1:9880

Widać też na dysku ślady uruchamiania lewych skanerów naciągaczy - SpyHunter i YAC (Yet Another Cleaner). Przy okazji będą usuwane też szczątki aplikacji Google Chrome i EasyBits Magic Desktop, wg Addition już odinstalowane.

Nie moge wkleić GMER za duzy plik(2,25MB).Chyba że cos zle robię...

Log jest stanowczo za duży, więc nie wiem czy to kwestia błędu konfiguracji, czy może wysokiej aktywności innych programów (np. BitDefender). Poza tym, GMER uruchamiałeś z lokalizacji tymczasowej, on i tak zniknie podczas przetwarzania jednego z planowanych skryptów FRST:

2015-06-29 16:52 - 2014-01-28 18:36 - 00380416 _____ () C:\Users\Jarek76\AppData\Local\Temp\Rar$EXa0.329\gmer.exe

Do przeprowadzenia następujące akcje:

1. Otwórz Notatnik i wklej w nim:

CloseProcesses:
CreateRestorePoint:
R2 Ioidasyphobiolaries; C:\Program Files (x86)\Ioidasyphobiolaries\Ioidasyphobiolaries.exe [281088 2015-06-16] () [File not signed] 
S3 EsgScanner; C:\Windows\System32\DRIVERS\EsgScanner.sys [22704 2015-06-27] ()
R2 ezSharedSvc; C:\Windows\SysWOW64\ezSharedSvcHost.exe [514232 2010-04-23] (EasyBits Software AS) [File not signed]
S3 btmaux; system32\DRIVERS\btmaux.sys [X]
S3 cpuz136; \??\C:\Windows\TEMP\cpuz136\cpuz136_x64.sys [X]
S3 GPUZ; \??\C:\Windows\TEMP\GPUZ.sys [X]
HKLM-x32\...\Run: [Easybits Recovery] => C:\Program Files (x86)\EasyBits For Kids\ezRecover.exe
HKLM-x32\...\Run: [] => [X]
HKLM\...\Policies\Explorer: [EnableShellExecuteHooks] 1
ShellExecuteHooks-x32: EasyBits ShellExecute Hook - {E54729E8-BB3D-4270-9D49-7389EA579090} - C:\Windows\SysWOW64\ezUPBHook.dll [52920 2011-09-04] (EasyBits Software Corp.)
BootExecute: autocheck autochk * bddel.exe
Task: {030BFFE6-7173-459E-8EBB-42918F3F5224} - System32\Tasks\{23C04970-E7A9-4CE7-BEAC-BBFF697125D2} => c:\program files (x86)\maxthon3\bin\maxthon.exe
Task: {091003FE-1450-426E-AFE4-428B102F2009} - \SpyHunter4Startup No Task File 
Task: {0DB37F82-C1DD-4565-B5CC-B374F68BCBCA} - System32\Tasks\Wise Memory Optimizer Task => C:\Users\Jarek76\AppData\Local\Temp\Rar$EXa0.400\Wise Memory Optimizer\WiseMemoryOptimzer.exe 
Task: {2127B7EE-9239-4052-98F8-DC47FDDEE6F3} - System32\Tasks\{72EDAE04-A376-4983-BA93-49CA71A463FB} => pcalua.exe -a C:\Users\Jarek76\Downloads\sp47552.exe -d C:\Users\Jarek76\Downloads
Task: {5E3E714C-4239-4ED9-9E5F-E5DE8B2463E4} - \Chromium No Task File 
Task: {6B5306A5-C1EA-44EB-9279-AB46E26AA9B7} - System32\Tasks\GoogleUpdateTaskMachineCore => C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
Task: {7A41B7A8-51E1-4981-BD1D-B3A77DC2D838} - System32\Tasks\e-pity2013_styczen => C:\Program Files (x86)\e-file\e-pity2013\signxml.exe
Task: {B67A9373-0F86-436B-8BA1-50A39F61BEC3} - System32\Tasks\Game_Booster_AutoUpdate => C:\Program Files (x86)\IObit\Game Booster 3\AutoUpdate.exe
Task: {DF8E7082-2E6B-4032-A1E5-5C23E7325C21} - System32\Tasks\GoogleUpdateTaskMachineUA => C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
Task: {E0B8F87C-009C-4A13-AFE1-8C081F2DDE13} - System32\Tasks\e-pity2013_kwiecien => C:\Program Files (x86)\e-file\e-pity2013\signxml.exe
Task: C:\Windows\Tasks\GoogleUpdateTaskMachineCore.job => C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
Task: C:\Windows\Tasks\GoogleUpdateTaskMachineUA.job => C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
Task: C:\Windows\Tasks\Wise Memory Optimizer Task.job => C:\Users\Jarek76\AppData\Local\Temp\Rar$EXa0.400\Wise Memory Optimizer\WiseMemoryOptimzer.exe 
ShortcutWithArgument: C:\Users\Jarek76\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://wikibrowser.co/restore.html
ShortcutWithArgument: C:\Users\Jarek76\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://wikibrowser.co/restore.html
ShortcutWithArgument: C:\Users\Jarek76\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://wikibrowser.co/restore.html
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = about:blank
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL =
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL =
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL =
HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Local Page =
URLSearchHook: HKLM-x32 - Default Value = {CCC7B151-1D8C-11E3-B2AD-F3EF3D58318D}
SearchScopes: HKU\S-1-5-21-240840061-2717004978-97619909-1000 -> {AFFC2C80-A706-4A5B-90D8-715E5CB375E0} URL =
Toolbar: HKU\S-1-5-21-240840061-2717004978-97619909-1000 -> No Name - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - No File
StartMenuInternet: IEXPLORE.EXE - iexplore.exe
FF Plugin-x32: @adobe.com/ShockwavePlayer -> C:\Windows\system32\Adobe\Director\np32dsw.dll No File
C:\sh4ldr
C:\Program Files (x86)\Google
C:\Program Files (x86)\Ioidasyphobiolaries
C:\Program Files (x86)\Mozilla Firefox\extensions
C:\Users\Jarek76\Start Menu\Programs\SpyHunter
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Codecs for Windows 7 Pack
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\KalkulatorMB
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Magic Desktop.lnk
C:\Users\Jarek76\AppData\Local\Chromium
C:\Users\Jarek76\AppData\Local\Google
C:\Users\Jarek76\AppData\Local\WorldofTanks
C:\Users\Jarek76\AppData\Roaming\privacy.xml
C:\Users\Jarek76\AppData\Roaming\WorldofTanks
C:\Users\Jarek76\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Chromium
C:\Users\Jarek76\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\WorldofTanks
C:\Users\Jarek76\Downloads\*sterownik*.exe
C:\Users\Jarek76\Downloads\Setup_FileViewPro_[2015].exe
C:\Users\Jarek76\Downloads\sh-remover.exe
C:\Users\Jarek76\Downloads\SpyHunter-Installer.exe
C:\Users\Jarek76\Downloads\yet_another_cleaner_*.exe
C:\Windows\msdownld.tmp
C:\Windows\system32\bddel.dat
C:\Windows\System32\Drivers\EsgScanner.sys
C:\Windows\SysWOW64\ezUPBHook.dll
C:\Windows\SysWOW64\ezSharedSvcHost.exe
C:\Windows\SysWOW64\C2MP
Folder: C:\Spacekace
Reg: reg delete HKCU\Software\Google /f
Reg: reg delete HKLM\SOFTWARE\Google /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Google /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f
CMD: netsh advfirewall reset
DisableService: PLAY ONLINE. RunOuc
RemoveProxy:

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Gdy Fix ukończy pracę, nastąpi restart. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

2. Drobne deinstalacje:

- Przez Panel sterowania pozbądź się przestarzałego Spybot - Search & Destroy.

- Uruchom narzędzie Microsoftu: KLIK. Zaakceptuj > Wykryj problemy i pozwól mi wybrać poprawki do zastosowania > Odinstalowywanie > zaznacz na liście odpadek Google Update Helper.

3. Z katalogu C:\Users\Jarek76\Downloads przez SHIFT+DEL (omija Kosz) pousuwaj powielone instalatory i wszystko co już niepotrzebne.

4. Zrób nowy log FRST z opcji Scan (zaznacz Addition, ale Shortcut już zbędny) oraz GMER (po pobraniu na Pulpit). Dołącz też plik fixlog.txt. Wypowiedz się czy nadal są problemy.

Gryson · 30 Czerwca 2015

Wykonałem co miałem zrobić.Na razie wszystko gra.Znikły reklamy a przeskanowanie Malwarebytes wykazało brak zagrożeń.Jedynie muszę sobie przypomnieć hasło administratora bo prosi przy zainstalowaniu Mozilli... i pewnie przy innych rzeczach będzie podobnie.GMER nadal objętościowo duży.

picasso · 30 Czerwca 2015

Jedynie muszę sobie przypomnieć hasło administratora bo prosi przy zainstalowaniu Mozilli... i pewnie przy innych rzeczach będzie podobnie.

Na początek pytanie: jaki był powód deinstalacji Firefox? W pierwszym logu przeglądarka figuruje jako zainstalowana i skan nie wykazał naruszeń w Firefox.

1. Czy jest włączony UAC? Panel sterowania > Konta użytkowników i filtr rodzinny > Konta użytkowników > Zmień ustawienia funkcji Kontrola konta użytkownika > ustaw poziom Domyślny (trzeci "ząbek" licząc od dołu) i zresetuj system. Podaj czy pytania o hasło nadal występują.

2. Log z FRST notuje także brak domyślnej przeglądarki, co może świadczyć i o tym, że są uszkodzone wpisy globalne HKLM w rejestrze. Pobieram dane o nich w poniższym skrypcie FRST.

Internet Explorer Version 11 (Default browser not detected!)

Infekcja pomyślnie usunięta, będą jeszcze drobne poprawki. Otwórz Notatnik i wklej w nim:

ProxyServer: [s-1-5-21-240840061-2717004978-97619909-1000] => 127.0.0.1:9881
RemoveDirectory: C:\AdwCleaner
RemoveDirectory: C:\FRST\Quarantine
RemoveDirectory: C:\ProgramData\Spybot - Search & Destroy
RemoveDirectory: C:\Program Files (x86)\Spybot - Search & Destroy
RemoveDirectory: C:\Spacekace
RemoveDirectory: C:\Users\Jarek76\Desktop\Stare dane programu Firefox
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\DAEMON Tools Lite" /f
Reg: reg query HKCU\Software\Classes
Reg: reg query HKCU\Software\Classes\.htm /s
Reg: reg query HKCU\Software\Classes\.html /s
Reg: reg query HKCU\Software\Classes\.shtml /s
Reg: reg query HKCU\Software\Classes\.webm /s
Reg: reg query HKCU\Software\Classes\.xht /s
Reg: reg query HKCU\Software\Classes\.xhtml /s
Reg: reg query HKCU\Software\Classes\ftp /s
Reg: reg query HKCU\Software\Classes\http /s
Reg: reg query HKCU\Software\Classes\https /s
Reg: reg query HKCU\Software\Clients\StartMenuInternet /s
Reg: reg query HKLM\SOFTWARE\Classes\.htm /s
Reg: reg query HKLM\SOFTWARE\Classes\.html /s
Reg: reg query HKLM\SOFTWARE\Classes\.shtml /s
Reg: reg query HKLM\SOFTWARE\Classes\.webm /s
Reg: reg query HKLM\SOFTWARE\Classes\.xht /s
Reg: reg query HKLM\SOFTWARE\Classes\.xhtml /s
Reg: reg query HKLM\SOFTWARE\Classes\ftp /s
Reg: reg query HKLM\SOFTWARE\Classes\http /s
Reg: reg query HKLM\SOFTWARE\Classes\https /s
Reg: reg query HKLM\SOFTWARE\Clients\StartMenuInternet /s

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Przedstaw wynikowy fixlog.txt.

Gryson · 30 Czerwca 2015

Powód deinstalacji Firex-a z tej przeglądarki korzystałem chciałem być pewny że żadnych wtyczek i rozszerzeń niema.Może na wyrost ale chciałem poczuć się lepiej.

Punkt 1.Po wykonaniu zalecenia nie woła o administratora.

Punkt 2.Wcześniej jak pisałem domyślna przeglądarką była Mozilla bo resetach nie ustawiałem żadnej jako domyślnej.

Zaczynam poprawki.

picasso · 30 Czerwca 2015

Powód deinstalacji Firex-a z tej przeglądarki korzystałem chciałem być pewny że żadnych wtyczek i rozszerzeń niema.Może na wyrost ale chciałem poczuć się lepiej.

Deinstalacją nic nie zdziałałeś w tej kwestii. Oto pierwszy log FRST pokazujący co było, gdy Firefox był zainstalowany (jak mówiłam: nic zdrożnego):

FireFox:

========

FF ProfilePath: C:\Users\Jarek76\AppData\Roaming\Mozilla\Firefox\Profiles\7cn2uooe.default-1435432536986

FF Plugin: @adobe.com/FlashPlayer -> C:\Windows\system32\Macromed\Flash\NPSWF64_18_0_0_194.dll [2015-06-23] ()

FF Plugin: @java.com/DTPlugin,version=11.45.2 -> C:\Program Files\Java\jre1.8.0_45\bin\dtplugin\npDeployJava1.dll [2015-05-23] (Oracle Corporation)

FF Plugin: @java.com/JavaPlugin,version=11.45.2 -> C:\Program Files\Java\jre1.8.0_45\bin\plugin2\npjp2.dll [2015-05-23] (Oracle Corporation)

FF Plugin: @microsoft.com/GENUINE -> disabled No File

FF Plugin: @Microsoft.com/NpCtrl,version=1.0 -> c:\Program Files\Microsoft Silverlight\5.1.40416.0\npctrl.dll [2015-04-16] ( Microsoft Corporation)

FF Plugin-x32: @adobe.com/FlashPlayer -> C:\Windows\SysWOW64\Macromed\Flash\NPSWF32_18_0_0_194.dll [2015-06-23] ()

FF Plugin-x32: @adobe.com/ShockwavePlayer -> C:\Windows\system32\Adobe\Director\np32dsw.dll No File

FF Plugin-x32: @java.com/DTPlugin,version=11.45.2 -> C:\Windows\SysWOW64\npdeployJava1.dll [2015-05-23] (Oracle Corporation)

FF Plugin-x32: @java.com/JavaPlugin -> C:\Program Files (x86)\Java\jre1.8.0_45\bin\plugin2\npjp2.dll [2015-05-23] (Oracle Corporation)

FF Plugin-x32: @java.com/JavaPlugin,version=11.45.2 -> C:\Program Files (x86)\Java\jre1.8.0_45\bin\plugin2\npjp2.dll [2015-05-23] (Oracle Corporation)

FF Plugin-x32: @microsoft.com/GENUINE -> disabled No File

FF Plugin-x32: @Microsoft.com/NpCtrl,version=1.0 -> c:\Program Files (x86)\Microsoft Silverlight\5.1.40416.0\npctrl.dll [2015-04-15] ( Microsoft Corporation)

FF Plugin-x32: @microsoft.com/SharePoint,version=14.0 -> C:\PROGRA~2\MICROS~1\Office14\NPSPWRAP.DLL [2010-03-24] (Microsoft Corporation)

FF Plugin-x32: @microsoft.com/WLPG,version=15.4.3502.0922 -> C:\Program Files (x86)\Windows Live\Photo Gallery\NPWLPG.dll [2010-11-10] (Microsoft Corporation)

FF Plugin-x32: @microsoft.com/WLPG,version=15.4.3508.1109 -> C:\Program Files (x86)\Windows Live\Photo Gallery\NPWLPG.dll [2010-11-10] (Microsoft Corporation)

FF Plugin-x32: @WildTangent.com/GamesAppPresenceDetector,Version=1.0 -> C:\Program Files (x86)\WildTangent Games\App\BrowserIntegration\Registered\1\NP_wtapp.dll [2013-01-14] ()

FF Plugin-x32: Adobe Reader -> C:\Program Files (x86)\Adobe\Reader 11.0\Reader\AIR\nppdf32.dll [2015-05-01] (Adobe Systems Inc.)

FF Extension: Adblock Plus - C:\Users\Jarek76\AppData\Roaming\Mozilla\Firefox\Profiles\7cn2uooe.default-1435432536986\Extensions\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}.xpi [2015-06-28]

FF Extension: TrueSuite Website Logon - C:\Program Files (x86)\Mozilla Firefox\extensions\websitelogon@truesuite.com [2015-06-05]

FF Extension: Java Console - C:\Program Files (x86)\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0035-ABCDEFFEDCBA} [2015-06-05]

FF HKLM\...\Thunderbird\Extensions: [bdThunderbird@bitdefender.com] - C:\Program Files\Bitdefender\Bitdefender 2012\bdtbext

FF Extension: bdToolbar - C:\Program Files\Bitdefender\Bitdefender 2012\bdtbext [2012-10-08]

FF HKLM-x32\...\Thunderbird\Extensions: [bdThunderbird@bitdefender.com] - C:\Program Files\Bitdefender\Bitdefender 2012\bdtbext

Sytuacja z drugiego raportu po deinstalacji Firefox: