Skocz do zawartości

FraudTool.YAC - PUP.Optional.V9 - spowolniona przeglądarka


Rekomendowane odpowiedzi

Pomoc jest darmowa, ale proszę rozważ przekazanie dotacji na utrzymanie serwisu: klik.

FraudTool.YAC - posiadasz zainstalowanego delikwenta YAC(Yet Another Cleaner!), to niepożądany program: KLIK / KLIK. Może on także obniżać wydajność systemu. PUP.Optional.V9 - powiązany wątek z YAC, masowe przekierowania na adres v9.com.

 

Akcje do przeprowadzenia:

 

1. Przez Dodaj/Usuiń programy odinstaluj: AVG Web TuneUp, McAfee Security Scan Plus, YAC(Yet Another Cleaner!).

 

2. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
CreateRestorePoint:
DisableService: sptd
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.v9.com/?type=hp&ts=1444206649&from=mych123&uid=st980811as_5ly0c6mcxxxx5ly0c6mc&z=d3a9f45db9f98796b458201g2z4z0z2o4ebqcq5w5e
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.google.com
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.v9.com/?type=hp&ts=1444206649&from=mych123&uid=st980811as_5ly0c6mcxxxx5ly0c6mc&z=d3a9f45db9f98796b458201g2z4z0z2o4ebqcq5w5e
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.google.com
HKU\S-1-5-21-1177238915-1580436667-1606980848-1004\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.v9.com/?type=hp&ts=1444206649&from=mych123&uid=st980811as_5ly0c6mcxxxx5ly0c6mc&z=d3a9f45db9f98796b458201g2z4z0z2o4ebqcq5w5e
HKU\S-1-5-21-1177238915-1580436667-1606980848-1004\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.v9.com/?type=hp&ts=1444206649&from=mych123&uid=st980811as_5ly0c6mcxxxx5ly0c6mc&z=d3a9f45db9f98796b458201g2z4z0z2o4ebqcq5w5e
HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURLs,Tabs: "hxxp://www.interia.pl/#utm_source=instalki1&utm_medium=installer&utm_campaign=instalki1&iwa_source=installer_instalki" 
SearchScopes: HKLM -> DefaultScope {425ED333-6083-428a-92C9-0CFC28B9D1BF} URL = hxxp://www.v9.com/web?type=ds&ts=1444206649&from=zzgbkk123&uid=st980811as_5ly0c6mcxxxx5ly0c6mc&z=d3a9f45db9f98796b458201g2z4z0z2o4ebqcq5w5e&q={searchTerms}
SearchScopes: HKLM -> ielnksrch URL =
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL =
SearchScopes: HKLM -> {425ED333-6083-428a-92C9-0CFC28B9D1BF} URL = hxxp://www.v9.com/web?type=ds&ts=1444206649&from=zzgbkk123&uid=st980811as_5ly0c6mcxxxx5ly0c6mc&z=d3a9f45db9f98796b458201g2z4z0z2o4ebqcq5w5e&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1177238915-1580436667-1606980848-1004 -> DefaultScope {425ED333-6083-428a-92C9-0CFC28B9D1BF} URL = hxxp://www.v9.com/web?type=ds&ts=1444206649&from=zzgbkk123&uid=st980811as_5ly0c6mcxxxx5ly0c6mc&z=d3a9f45db9f98796b458201g2z4z0z2o4ebqcq5w5e&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1177238915-1580436667-1606980848-1004 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL =
SearchScopes: HKU\S-1-5-21-1177238915-1580436667-1606980848-1004 -> {425ED333-6083-428a-92C9-0CFC28B9D1BF} URL = hxxp://www.v9.com/web?type=ds&ts=1444206649&from=zzgbkk123&uid=st980811as_5ly0c6mcxxxx5ly0c6mc&z=d3a9f45db9f98796b458201g2z4z0z2o4ebqcq5w5e&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1177238915-1580436667-1606980848-1004 -> {95B7759C-8C7F-4BF1-B163-73684A933233} URL = hxxps://mysearch.avg.com/search?cid={2E8A6E95-28B6-42E7-A156-FD99D6A24E0E}&mid=6b0773b6b9ac47cd8292d15198c03c79-3fc222fb4845601e336d5d1fd8cd02c34f8f4747&lang=pl&ds=AVG&coid=avgtbavg&cmpid=&pr=fr&d=2015-02-21 19:01:45&v=4.1.0.404&pid=wtu&sg=&sap=dsp&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1177238915-1580436667-1606980848-1004 -> {ielnksrch} URL =
FF Plugin: @microsoft.com/WPF,version=3.5 -> C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\NPWPF.dll [2008-07-29] (Microsoft Corporation)
FF HKLM\...\Firefox\Extensions: [{20a82645-c095-46ed-80e3-08825760534b}] - C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension
FF Extension: Microsoft .NET Framework Assistant - C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension [2014-12-19] [brak podpisu cyfrowego]
HKLM\...\Run: [LMgrVolOSD] => "C:\Program Files\Launch Manager\OSD.exe"
HKLM\...\Run: [LMgrOSD] => "C:\Program Files\Launch Manager\OSDCtrl.exe"
HKLM\...\Run: [CtrlVol] => C:\Program Files\Launch Manager\CtrlVol.exe
Winlogon\Notify\RailNotification:
HKU\S-1-5-18\...\Run: [KB976002-v5] => rundll32.exe advpack.dll,LaunchINFSection OPMWXPUP.inf,BrowserChoiceGoo
HKU\S-1-5-19\...\Run: [KB976002-v5] => rundll32.exe advpack.dll,LaunchINFSection OPMWXPUP.inf,BrowserChoiceGoo
HKU\S-1-5-21-1177238915-1580436667-1606980848-1004\...\Run: [AVG-Secure-Search-Update_1015tb] => "C:\Documents and Settings\All Users\Dane aplikacji\Avg_Update_1015tb\AVG-Secure-Search-Update_1015tb.exe" /PROMPT /CMPID=1015tb /mid=6b0773b6b9ac47cd8292d15198c03c79-3fc222fb4845601e336d5d1fd8cd02c34 (dane wartości zawierają 7 znaków więcej).
Task: C:\WINDOWS\Tasks\AVG_SYS_TASK_1015tb_DELETE.job => C:\Documents and Settings\All Users\Dane aplikacji\Avg_Update_1015tb\AVG-Secure-Search-Update_1015tb.exe
S2 vToolbarUpdater40.1.8; "C:\Program Files\Common Files\AVG Secure Search\vToolbarUpdater\40.1.8\ToolbarUpdater.exe" [X]
S3 eapihdrv; C:\Documents and Settings\User\Ustawienia lokalne\Temp\ehdrv.sys [135760 2015-11-27] (ESET)
S1 mailKmd; Brak ImagePath
S3 Tosrfcom; Brak ImagePath
S1 Wbutton; \SystemRoot\system32\drivers\Wbutton.sys [X]
C:\Documents and Settings\All Users\Dane aplikacji\Itstock
C:\Documents and Settings\User\Moje dokumenty\Google Chrome.lnk
C:\Documents and Settings\User\Moje dokumenty\Nowy folder (9)\Obraz.jpg.lnk
C:\Documents and Settings\User\Moje dokumenty\Nowy folder\Nowy folder (9)\Obraz.jpg.lnk
C:\Documents and Settings\User\Pulpit\Pulpit\ALLPlayer V4.6.lnk
C:\Documents and Settings\User\Pulpit\Pulpit\EPSONPlot!.lnk
C:\Documents and Settings\User\Pulpit\Pulpit\IrfanView Thumbnails.lnk
C:\Documents and Settings\User\Ulubione\Autodesk\DesignCenter.lnk
C:\Program Files\Common Files\fyfw1iiw.oll
Reg: reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2 /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

3. Wyczyść Firefox z adware:

  • Odłącz synchronizację (o ile włączona): KLIK.
  • Menu Pomoc > Informacje dla pomocy technicznej > Odśwież program Firefox. Zakładki i hasła nie zostaną naruszone, ale Adblock Pluis trzeba będzie przeinstalować.
  • Menu Historia > Wyczyść całą historię przeglądania.
4. Zrób nowy log FRST z opcji Skanuj (Scan), bez Addition i Shortcut. Dołącz też plik fixlog.txt.
Odnośnik do komentarza

Pomiń na razie te deinstalacje. Zajmę się nimi potem. A w punkcie 2 zastosuj inny skrypt rozszerzony o wyłączanie powiązanych usług, czyli:

 

CloseProcesses:
CreateRestorePoint:
DisableService: iSafeKrnl
DisableService: iSafeKrnlKit
DisableService: iSafeKrnlR3
DisableService: iSafeService
DisableService: sptd
DisableService: WtuSystemSupport
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.v9.com/?type=hp&ts=1444206649&from=mych123&uid=st980811as_5ly0c6mcxxxx5ly0c6mc&z=d3a9f45db9f98796b458201g2z4z0z2o4ebqcq5w5e
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.google.com
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.v9.com/?type=hp&ts=1444206649&from=mych123&uid=st980811as_5ly0c6mcxxxx5ly0c6mc&z=d3a9f45db9f98796b458201g2z4z0z2o4ebqcq5w5e
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.google.com
HKU\S-1-5-21-1177238915-1580436667-1606980848-1004\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.v9.com/?type=hp&ts=1444206649&from=mych123&uid=st980811as_5ly0c6mcxxxx5ly0c6mc&z=d3a9f45db9f98796b458201g2z4z0z2o4ebqcq5w5e
HKU\S-1-5-21-1177238915-1580436667-1606980848-1004\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.v9.com/?type=hp&ts=1444206649&from=mych123&uid=st980811as_5ly0c6mcxxxx5ly0c6mc&z=d3a9f45db9f98796b458201g2z4z0z2o4ebqcq5w5e
HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURLs,Tabs: "hxxp://www.interia.pl/#utm_source=instalki1&utm_medium=installer&utm_campaign=instalki1&iwa_source=installer_instalki" 
SearchScopes: HKLM -> DefaultScope {425ED333-6083-428a-92C9-0CFC28B9D1BF} URL = hxxp://www.v9.com/web?type=ds&ts=1444206649&from=zzgbkk123&uid=st980811as_5ly0c6mcxxxx5ly0c6mc&z=d3a9f45db9f98796b458201g2z4z0z2o4ebqcq5w5e&q={searchTerms}
SearchScopes: HKLM -> ielnksrch URL =
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL =
SearchScopes: HKLM -> {425ED333-6083-428a-92C9-0CFC28B9D1BF} URL = hxxp://www.v9.com/web?type=ds&ts=1444206649&from=zzgbkk123&uid=st980811as_5ly0c6mcxxxx5ly0c6mc&z=d3a9f45db9f98796b458201g2z4z0z2o4ebqcq5w5e&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1177238915-1580436667-1606980848-1004 -> DefaultScope {425ED333-6083-428a-92C9-0CFC28B9D1BF} URL = hxxp://www.v9.com/web?type=ds&ts=1444206649&from=zzgbkk123&uid=st980811as_5ly0c6mcxxxx5ly0c6mc&z=d3a9f45db9f98796b458201g2z4z0z2o4ebqcq5w5e&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1177238915-1580436667-1606980848-1004 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL =
SearchScopes: HKU\S-1-5-21-1177238915-1580436667-1606980848-1004 -> {425ED333-6083-428a-92C9-0CFC28B9D1BF} URL = hxxp://www.v9.com/web?type=ds&ts=1444206649&from=zzgbkk123&uid=st980811as_5ly0c6mcxxxx5ly0c6mc&z=d3a9f45db9f98796b458201g2z4z0z2o4ebqcq5w5e&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1177238915-1580436667-1606980848-1004 -> {95B7759C-8C7F-4BF1-B163-73684A933233} URL = hxxps://mysearch.avg.com/search?cid={2E8A6E95-28B6-42E7-A156-FD99D6A24E0E}&mid=6b0773b6b9ac47cd8292d15198c03c79-3fc222fb4845601e336d5d1fd8cd02c34f8f4747&lang=pl&ds=AVG&coid=avgtbavg&cmpid=&pr=fr&d=2015-02-21 19:01:45&v=4.1.0.404&pid=wtu&sg=&sap=dsp&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1177238915-1580436667-1606980848-1004 -> {ielnksrch} URL =
FF Plugin: @microsoft.com/WPF,version=3.5 -> C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\NPWPF.dll [2008-07-29] (Microsoft Corporation)
FF HKLM\...\Firefox\Extensions: [{20a82645-c095-46ed-80e3-08825760534b}] - C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension
FF Extension: Microsoft .NET Framework Assistant - C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension [2014-12-19] [brak podpisu cyfrowego]
HKLM\...\Run: [LMgrVolOSD] => "C:\Program Files\Launch Manager\OSD.exe"
HKLM\...\Run: [LMgrOSD] => "C:\Program Files\Launch Manager\OSDCtrl.exe"
HKLM\...\Run: [CtrlVol] => C:\Program Files\Launch Manager\CtrlVol.exe
Winlogon\Notify\RailNotification:
HKU\S-1-5-18\...\Run: [KB976002-v5] => rundll32.exe advpack.dll,LaunchINFSection OPMWXPUP.inf,BrowserChoiceGoo
HKU\S-1-5-19\...\Run: [KB976002-v5] => rundll32.exe advpack.dll,LaunchINFSection OPMWXPUP.inf,BrowserChoiceGoo
HKU\S-1-5-21-1177238915-1580436667-1606980848-1004\...\Run: [AVG-Secure-Search-Update_1015tb] => "C:\Documents and Settings\All Users\Dane aplikacji\Avg_Update_1015tb\AVG-Secure-Search-Update_1015tb.exe" /PROMPT /CMPID=1015tb /mid=6b0773b6b9ac47cd8292d15198c03c79-3fc222fb4845601e336d5d1fd8cd02c34 (dane wartości zawierają 7 znaków więcej).
Task: C:\WINDOWS\Tasks\AVG_SYS_TASK_1015tb_DELETE.job => C:\Documents and Settings\All Users\Dane aplikacji\Avg_Update_1015tb\AVG-Secure-Search-Update_1015tb.exe
S2 vToolbarUpdater40.1.8; "C:\Program Files\Common Files\AVG Secure Search\vToolbarUpdater\40.1.8\ToolbarUpdater.exe" [X]
S3 eapihdrv; C:\Documents and Settings\User\Ustawienia lokalne\Temp\ehdrv.sys [135760 2015-11-27] (ESET)
S1 mailKmd; Brak ImagePath
S3 Tosrfcom; Brak ImagePath
S1 Wbutton; \SystemRoot\system32\drivers\Wbutton.sys [X]
C:\Documents and Settings\All Users\Dane aplikacji\Itstock
C:\Documents and Settings\User\Moje dokumenty\Google Chrome.lnk
C:\Documents and Settings\User\Moje dokumenty\Nowy folder (9)\Obraz.jpg.lnk
C:\Documents and Settings\User\Moje dokumenty\Nowy folder\Nowy folder (9)\Obraz.jpg.lnk
C:\Documents and Settings\User\Pulpit\Pulpit\ALLPlayer V4.6.lnk
C:\Documents and Settings\User\Pulpit\Pulpit\EPSONPlot!.lnk
C:\Documents and Settings\User\Pulpit\Pulpit\IrfanView Thumbnails.lnk
C:\Documents and Settings\User\Ulubione\Autodesk\DesignCenter.lnk
C:\Program Files\Common Files\fyfw1iiw.oll
Reg: reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2 /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f
EmptyTemp:

Odnośnik do komentarza

Na wszelki wypadek sprawdź czy teraz po wyłączeniu usług jesteś w stanie odinstalować te dwa programy. Jeśli nie, to usuwanie siłowe:

 

1. Uruchom narzędzie Microsoftu: KLIK. Zaakceptuj > Wykryj problemy i pozwól mi wybrać poprawki do zastosowania > Odinstalowywanie > sprawdź czy któryś z nich jest widoczny na liście > jeśli tak, podświetl > Dalej. W przypadku gdy będą widoczne oba wpisy, narzędzie trzeba uruchomić dwa razy.

 

2. Jeśli powyższe narzędzie nie wykryje ani jednego z podanych wpisów, sprawdź czy da radę odinstalować je Revo Uninstaller Freeware.

 

3. Zrób nowy log FRST z opcji Skanuj (Scan), ponownie z Addition, ale bez Shortcut.

Odnośnik do komentarza

Poprawki. Otwórz Notatnik i wklej w nim:

 

S4 sptd; C:\WINDOWS\System32\Drivers\sptd.sys [329384 2015-11-27] (Duplex Secure Ltd.)
S4 iSafeKrnl; \??\C:\Program Files\Elex-tech\YAC\iSafeKrnl.sys [X]
S3 iSafeKrnlBoot; system32\DRIVERS\iSafeKrnlBoot.sys [X]
S4 iSafeKrnlKit; \??\C:\Program Files\Elex-tech\YAC\iSafeKrnlKit.sys [X]
S4 iSafeKrnlR3; \??\C:\Program Files\Elex-tech\YAC\iSafeKrnlR3.sys [X]
S1 iSafeNetFilter; system32\DRIVERS\iSafeNetFilter.sys [X]
S4 iSafeService; C:\Program Files\Elex-tech\YAC\iSafeSvc.exe [X]
S4 WtuSystemSupport; "C:\Program Files\AVG Web TuneUp\WtuSystemSupport.exe" [X]
HKLM\...\Run: [CtrlVol] => C:\Program Files\Launch Manager\CtrlVol.exe
FF Plugin: @microsoft.com/WPF,version=3.5 -> c:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\NPWPF.dll [brak pliku]
FF HKLM\...\Firefox\Extensions: [{20a82645-c095-46ed-80e3-08825760534b}] - c:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension
RemoveDirectory: C:\AdwCleaner
RemoveDirectory: C:\Documents and Settings\All Users\Dane aplikacji\Itstocks
RemoveDirectory: C:\Documents and Settings\All Users\Dane aplikacji\pWdsManProp
RemoveDirectory: C:\Documents and Settings\User\Dane aplikacji\Elex-tech
RemoveDirectory: C:\Documents and Settings\User\Pulpit\Stare dane programu Firefox
RemoveDirectory: C:\FRST\Quarantine
RemoveDirectory: C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension
CMD: del /q C:\AVScanner.ini
CMD: del /q "C:\Documents and Settings\User\Moje dokumenty\Downloads\yet_another_cleaner_*.exe"
CMD: del /q C:\WINDOWS\system32\Drivers\sptd.sys

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Przedstaw wynikowy fixlog.txt.

Odnośnik do komentarza

Ostatni skrypt do FRST. Otwórz Notatnik i wklej w nim:

 

DeleteKey: HKLM\SOFTWARE\Elex-tech
DeleteKey: HKU\S-1-5-18\Software\Elex-tech
DeleteKey: HKU\S-1-5-18\Software\Avg Secure Update
CMD: del /q "C:\Documents and Settings\All Users\Dane aplikacji\{262E20B8-6E20-4CEF-B1FD-D022AB1085F5}.dat"

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Przedstaw wynikowy fixlog.txt.

Odnośnik do komentarza
Gość
Ten temat został zamknięty. Brak możliwości dodania odpowiedzi.
  • Ostatnio przeglądający   0 użytkowników

    • Brak zarejestrowanych użytkowników przeglądających tę stronę.
×
×
  • Dodaj nową pozycję...