PUP Mobogenie po zainstalowaniu Baidu Spark Browser

Tova · 17 Września 2016

Dzień dobry.

2 dni temu zainstalowałam sobie przeglądarkę Baidu Spark (chciałam coś co będzie szybkie jak Chrome, ale będzie tam działać flash, który w Chrome mi nie działa). Wyczytałam, że ww przeglądarka jest dobra.

Opiszę w punktach co i jak.

1. Do przeglądarki doinstalowały mi się 2 dodatkowe programy (Baidu PC Faster i Mobomarket), które przy instalacji przeglądarki odkliknęłam (więc nie powinny się zainstalować).

2. Jak już się zorientowałam, że przeglądarka działa za wolno i chciałam odinstalować, to się okazało, że wbudowany uninstaler ma tylko opcję "fix it".

3. Użyłam Total Uninstallera, który usunął samą przeglądarkę, a te programy, mimo teoretycznego odinstalowania w "Program Files" nadal są, choć na liście TU i w panelu sterowania ich nie ma.

4. Programy nie chciały się ręcznie usunąć więc użyłam Unlockera i PC Faster się usunął, ale to drugie mimo usuwania po restarcie komputera wraca.

5. Malware Bytes Anti-Malware wykrył mi wczoraj kilkanaście PUP (w tym Mobogenie), które przeniósł do kwarantanny (log w załączniku).

W dodatku miałam do Facebooka dodaną kartę bankową, bo czasem płaciłam za coś w grze i 2 razy w ciągu 2 ostatnich dni dostałam sms, że "Twoja płatność kartą nie powiodła się z powodu niewystarczającego limitu na transakcje internetowe". Dziś w banku mi powiedzieli, że to były próby płacenia na FB na kwotę 11 zł (co nijak nie pasuje do kwot z gry, w którą gram). W sumie nie wiem czy to ma związek z tym co pisałam wyżej, ale może to wina jakiegoś wirusa (avast pokazuje, że jest czysto).

FRST.txt

Addition.txt

GMER.txt

malware bytes log.txt

Shortcut.txt

picasso · 17 Września 2016

2 dni temu zainstalowałam sobie przeglądarkę Baidu Spark (chciałam coś co będzie szybkie jak Chrome, ale będzie tam działać flash, który w Chrome mi nie działa). Wyczytałam, że ww przeglądarka jest dobra.

Nie polecam żadnych chińskich przeglądarek (Baidu, UCBrowser i pochodne). Problem z nimi polega m.in. na instalacjach niepożądanych PUP oraz kwestiach prywatności.

Opisz na czym polega problem z Flash w Chrome, jak wygląda to "niedziałanie" i na jakich stronach. I jeszcze dodam, że Flash to technologia wymierająca (obecnie jest tendencja do przełączania na HTML5) oraz będąca pożywką dla infekcji. Już za niedługo w Chrome zostanie domyślnie zdeaktywowany (będzie się zgłaszał monit na stronach które nie obsługują jeszcze metodologii HTML5, by włączyć wtyczkę).

1. Do przeglądarki doinstalowały mi się 2 dodatkowe programy (Baidu PC Faster i Mobomarket), które przy instalacji przeglądarki odkliknęłam (więc nie powinny się zainstalować).

2. Jak już się zorientowałam, że przeglądarka działa za wolno i chciałam odinstalować, to się okazało, że wbudowany uninstaler ma tylko opcję "fix it".

3. Użyłam Total Uninstallera, który usunął samą przeglądarkę, a te programy, mimo teoretycznego odinstalowania w "Program Files" nadal są, choć na liście TU i w panelu sterowania ich nie ma.

4. Programy nie chciały się ręcznie usunąć więc użyłam Unlockera i PC Faster się usunął, ale to drugie mimo usuwania po restarcie komputera wraca.

5. Malware Bytes Anti-Malware wykrył mi wczoraj kilkanaście PUP (w tym Mobogenie), które przeniósł do kwarantanny (log w załączniku).

Ja nadal widzę Baidu PC Faster na liście zainstalowanych oraz w uruchomionych procesach.

Wstępne działania:

1. Spróbuj ponownie odinstalować Baidu PC Faster. Tu instrukcje jak wyglądają dialogi: KLIK. Nie wiem tylko czy pasuje to do opcji wersji, która zainstalowała się u Ciebie.

2. Do deinstalacji także stare programy i zbędne instalacje: Adobe Download Assistant, Adobe Flash Player ActiveX, Adobe Help Manager, Adobe Media Player, Adobe Shockwave Player 12.2, Apple Software Update, DivX Pro ĘÓĆµ±ŕ˝âÂëĆ÷, Intel Security True Key (prawdopodobnie instalacja sponsorowana, weszła przez nieuważne instalowanie Adobe Flash), Java 8 Update 65, Obsługa programów Apple, QuickTime 7 (cały majdan Apple musi być odinstalowany ze względów bezpieczeństwa), Real Alternative 2.0.2, RealPlayer, SpyHunter 4 (lewy niepożądany skaner), Xvid MPEG-4 Video Codec, Xvid Video Codec.

3. Niezależnie od tego czy powiedzie się deinstalacja SpyHunter, zastosuj po niej także SpyHunterCleaner.

4. Zrób nowe logi FRST z opcji Skanuj (Scan), ponownie z Addition i Shortcut. Na ich poodstawie będzie doczyszczanie tego co pozostanie.

Tova · 17 Września 2016

W Chrome nie działają mi gry na facebooku i filmy na stronach typu player.pl, ipla i vod. Nie wyskakuje żadne powiadomienie, że "nie można załadować wtyczki flash", tylko po prostu gry się nie ładują, a filmy nie odtwarzają. Youtube, vimeo i daily motion działają normalnie. Co dziwne w każdej innej przeglądarce wszystko to działa.

Addition.txt

FRST.txt

Shortcut.txt

picasso · 18 Września 2016

Prawie wszystko pomyślnie odinstalowane, ostał się jednak aktywny sterownik Baidu. Doczyszczanie po deinstalacjach:

1. Kolejne deinstalacje:

- Odinstaluj jeszcze te starocie: K-Lite Codec Pack 6.2.0 (Basic), LAME v3.99.3 (for Windows), Windows Media Player Firefox Plugin, Xvid Video Codec. Jeśli coś będzie później potrzebne, to ewentualnie doinstalujemy nowe wersje.

- Uruchom Program Install and Uninstall Troubleshooter i za jego pomocą usuń ukryty odpadek po Adobe Shockwave swMSM.

2. Otwórz Notatnik i wklej w nim:

CloseProcesses:
R0 Bhbase; C:\Windows\System32\drivers\Bhbase.sys [46440 2015-03-31] (Baidu, Inc.)
U5 AppMgmt; C:\Windows\system32\svchost.exe [20992 2009-07-14] (Microsoft Corporation)
S2 AdobeUpdateService; C:\Program Files\Common Files\Adobe\Adobe Desktop Common\ElevationManager\AdobeUpdateService.exe [X]
S2 BASSVC; "C:\Program Files\Baidu Security\MoboMarket\1.2.8.4379\bassvc.exe" -svc [X]
S3 BprotectEx; \??\C:\Windows\System32\drivers\BprotectEx.sys [X]
S3 PCFApiUtil; \??\C:\Program Files\PC Faster\5.1.0.0\PCFApiUtil.sys [X]
Task: {0E9F1DD4-4F87-4A26-BA7B-9623333CCA2B} - System32\Tasks\Norton Internet Security\Norton Error Processor => C:\Program Files\Norton Internet Security\Engine\21.1.0.18\SymErr.exe
Task: {13B8C185-BEEC-4E21-94C6-27B02F42D1A5} - System32\Tasks\AVAST Software\Avast settings backup => C:\Program Files\Common Files\AV\avast! Antivirus\backup.exe
Task: {251513BC-20DE-4CEB-A01B-F251D4928651} - System32\Tasks\{2FE4EAE7-B719-4DBC-9AD1-47EBD5FAEF8B} => Chrome.exe hxxp://ui.skype.com/ui/0/6.16.0.105/pl/abandoninstall?page=tsProgressBar
Task: {25311AD4-9B42-44C7-9FB8-90BE07111418} - System32\Tasks\{485030A6-13D3-4BAB-BB08-56748BC146E5} => pcalua.exe -a "C:\Program Files\Real\RealPlayer\Update\r1puninst.exe" -c RealNetworks|RealPlayer|15.0
Task: {2A7BE995-3CB8-4CAC-BD35-122E9D077802} - System32\Tasks\{27869052-90F0-4837-BA38-6AFE9830166B} => pcalua.exe -a C:\Users\User\Downloads\podanie.exe -d C:\Users\User\Downloads
Task: {3C7956F2-28CC-40A7-9452-8D6481806BBD} - System32\Tasks\060184C3-9766-46a0-B258-F4518A0B2633 => Cscript.exe "C:\ProgramData\Duplicaterecord.js"
Task: {4A0CD994-8408-4A16-88C6-F337583268A4} - System32\Tasks\Norton Internet Security\Norton Error Analyzer => C:\Program Files\Norton Internet Security\Engine\21.1.0.18\SymErr.exe
Task: {52D05AFA-BB7C-4513-BC08-AB7F2F7ACCD1} - System32\Tasks\{3AD1090E-8F7E-4519-BFC3-0355FEACFD01} => Chrome.exe hxxp://ui.skype.com/ui/0/6.16.0.105/pl/abandoninstall?page=tsProgressBar
Task: {53D5E446-7AA3-4261-9BD9-3A3DF43C0908} - System32\Tasks\{BE95B6E7-88F3-43CE-B5F2-0FA8DDA46A0E} => pcalua.exe -a D:\GRY\HP2\HP2.exe -d D:\GRY\HP2
Task: {B4A20ABC-E0C7-4170-B8A3-53310DF82919} - System32\Tasks\{561301EB-306C-476D-BB00-F205F5119DBC} => pcalua.exe -a F:\SimsPS_inst.exe -d F:\
Task: {D852C01B-1944-4AE0-82EB-8F79297C7E25} - System32\Tasks\{F737C845-BFFD-42B5-AADE-3E56D788FE78} => Chrome.exe hxxp://ui.skype.com/ui/0/6.22.81.104/pl/abandoninstall?source=lightinstaller&page=tsMain
Task: {E6C1CFE2-4746-4E28-A58F-397995476F12} - System32\Tasks\{9F93EB9D-6D4C-4D7F-ADF3-BFF4BEA7756B} => pcalua.exe -a "C:\Program Files\Deluxe Ski Jump 4\Setup.exe" -d "C:\Program Files\Deluxe Ski Jump 4"
Task: {F0EF25E8-338F-481C-AC23-C24552FDAD72} - System32\Tasks\Norton WSC Integration => C:\Program Files\Norton Internet Security\Engine\21.1.0.18\WSCStub.exe
Task: {F842110C-FCA0-429F-BCD7-34E007A18753} - System32\Tasks\{3B0AED1C-E912-4D4A-BC5D-7309489BBC11} => pcalua.exe -a D:\download\Last.fm-1.5.4.27091.exe -d D:\download
Task: {FFAF5642-0684-4A67-B080-C2BBFCCB8E20} - System32\Tasks\{FA920636-A0FC-4C54-A287-8CBAF5695453} => pcalua.exe -a "C:\Program Files\EA GAMES\The Sims 2 University\Sims2EP1_loader.exe" -d "C:\Program Files\EA GAMES\The Sims 2 University"
HKLM\...\Run: [AdobeAAMUpdater-1.0] => "C:\Program Files\Common Files\Adobe\OOBE\PDApp\UWA\UpdaterStartupUtility.exe"
HKLM\...\Run: [Adobe Creative Cloud] => "C:\Program Files\Adobe\Adobe Creative Cloud\ACC\Creative Cloud.exe" --showwindow=false --onOSstartup=true
HKLM\...\Run: [DLLSuite2016] => C:\Program Files\DLL Suite\DLLSuite.exe
HKU\S-1-5-21-1894515312-3285578680-510463183-1000\...\Run: [Xvid] => C:\Program Files\Xvid\CheckUpdate.exe [8192 2011-01-17] ()
HKU\S-1-5-21-1894515312-3285578680-510463183-1000\...\Run: [EA Core] => "C:\Program Files\Electronic Arts\EADM\Core.exe" -silent
HKU\S-1-5-21-1894515312-3285578680-510463183-1000\...\Run: [uTorrent] => "D:\cx7 trial\utorrent\uTorrent.exe" /MINIMIZED
CHR HKLM\SOFTWARE\Policies\Google: Ograniczenia 
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ograniczenia 
HKU\S-1-5-21-1894515312-3285578680-510463183-1000\SOFTWARE\Policies\Microsoft\Internet Explorer: Ograniczenia 
HKU\S-1-5-21-1894515312-3285578680-510463183-1000\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKU\S-1-5-21-1894515312-3285578680-510463183-1000\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.wp.pl/?dp=20160817
BHO: RealPlayer Download and Record Plugin for Internet Explorer -> {3049C3E9-B461-4BC5-8870-4C09146192CA} -> C:\ProgramData\Real\RealPlayer\BrowserRecordPlugin\IE\rpbrowserrecordplugin.dll => Brak pliku
DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} hxxp://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
FF Plugin: @real.com/nprpchromebrowserrecordext;version=15.0.6.14 -> C:\ProgramData\Real\RealPlayer\BrowserRecordPlugin\MozillaPlugins\nprpchromebrowserrecordext.dll [brak pliku]
FF Plugin: @real.com/nprphtml5videoshim;version=15.0.6.14 -> C:\ProgramData\Real\RealPlayer\BrowserRecordPlugin\MozillaPlugins\nprphtml5videoshim.dll [brak pliku]
FF Plugin HKU\S-1-5-21-1894515312-3285578680-510463183-1000: @unity3d.com/UnityPlayer,version=1.0 -> Unity\WebPlayer\loader\npUnity3D32.dll [brak pliku]
FF HKLM\...\Firefox\Extensions: [sp@avast.com] - C:\Program Files\AVAST Software\Avast\SafePrice\FF
DeleteKey: HKLM\SOFTWARE\Google\Chrome\Extensions
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\AVAST Software
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Norton Internet Security
DeleteKey: HKU\S-1-5-18\Software\Microsoft\Internet Explorer\Main
C:\Program Files\GUT6E29.tmp
C:\Program Files\Baidu Security
C:\Program Files\GUM898A.tmp
C:\Program Files\GUMB99E.tmp
C:\Program Files\Java
C:\Program Files\McAfee
C:\Program Files\Real
C:\Program Files\QuickTime
C:\Program Files\Common Files\McAfee
C:\ProgramData\Duplicaterecord.js
C:\ProgramData\Baidu
C:\ProgramData\Baidu Security
C:\ProgramData\McAfee
C:\ProgramData\Temp
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\hao123桌面版
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Winamp3
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\YTD Video Downloader
C:\Users\User\AppData\Local\Adobe *
C:\Users\User\AppData\Roaming\Preferencje *
C:\Users\User\AppData\Roaming\Baidu
C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\360安全浏览器
C:\Users\User\Documents\Corel\Próbki Corel PHOTO-PAINT X6\target.lnk
C:\Users\User\Favorites\常用
C:\Users\User\Favorites\GG dysk.lnk
C:\Users\User\Favorites\Links\1şĹµę-ÍřÉĎł¬ĘĐ1şĹµęŁ¬ĘˇÁ¦ĘˇÇ®ĘˇĘ±Ľä.url
C:\Users\User\Favorites\Links\´óÖÚµăĆŔÍřÍĹąş.url
C:\Users\User\Favorites\Links\ËŐÄţŇ×ąş,ËŐÄţŇ×ąşÍřÉĎÉĚłÇ.url
C:\Users\User\Favorites\Links\ĚÔ±¦ÍřĚŘÂôĆµµŔ - ĂżČŐµÍĽŰÉĚĆ·ÇŔąşÖĐŁˇ.url
C:\Users\User\Favorites\Links\ľ©¶«ÍřÉĎÉĚłÇ-×ŰşĎÍřąşĘ×Ńˇ.url
C:\Users\User\Favorites\Links\ŃÇÂíŃ·-ÍřÉĎąşÎďÉĚłÇ.url
C:\Users\Public\Documents\Baidu
C:\Users\Public\Documents\Baidu Security
C:\Users\wangzhisong
C:\Windows\system32\Adobe
C:\Windows\system32\Drivers\Bhbase.sys
C:\Windows\system32\Tasks\AVAST Software
C:\Windows\system32\Tasks\Norton Internet Security
EmptyTemp:

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

Z menu Notatnika > Plik > Zapisz jako > wprowadź nazwę fixlist.txt > Kodowanie zmień na UTF-8

Plik fixlist.txt umieść w folderze z którego uruchamiasz FRST. Przejdź w tryb awaryjny Windows. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu, opuść tryb awaryjny. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

3. Napraw uszkodzony specjalny skrót IE. W pasku eksploratora wklej poniższą ścieżkę i ENTER:

C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools

Prawoklik na zlokalizowany tam skrót Internet explorer (bez dodatków) > Właściwości > w polu Element docelowy po ścieżce "C:\Program Files\Internet Explorer\iexplore.exe" dopisz dwie spacje i -extoff

4. Zrób nowy log FRST z opcji Skanuj (Scan), z zaznaczonym Addition ale bez Shortcut. Dołącz też plik fixlog.txt.

W Chrome nie działają mi gry na facebooku i filmy na stronach typu player.pl, ipla i vod. Nie wyskakuje żadne powiadomienie, że "nie można załadować wtyczki flash", tylko po prostu gry się nie ładują, a filmy nie odtwarzają. Youtube, vimeo i daily motion działają normalnie. Co dziwne w każdej innej przeglądarce wszystko to działa.

Wyliczone przez Ciebie strony, na których nie ma problemu, domyślnie ładują odtwarzacz HTML5 a nie Flash. W kwestii reszty (o ile na polskich stronach chodzi o Flash, bo niekoniecznie materiały mogą być w tym formacie), to sprawdź czy coś pomoże ustawienie tej opcji w Chrome: Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > Ustawienia treści > Wtyczki > Uruchom całą treść wtyczki. Po rekonfiguracji przeładuj Chrome.

Tova · 18 Września 2016

Niestety flash nie działa mimo uruchomienia całej treści wtyczki. Trudno, będę okazjonalnie korzystać z firefoxa.

Addition.txt

FRST.txt

picasso · 18 Września 2016

Zapomniałaś dołączyć plik Fixlog.txt z wynikami usuwania. Nie uruchamiaj skryptu ponownie, chodzi o plik który już jest na dysku w folderze z którego uruchomiłaś FRST.

Podaj przykładowe linki do stron, które nie działają w Chrome.

Tova · 18 Września 2016

Tak zapomniałam, przepraszam już dołączam.

https://apps.facebook.com/citygirllife/

https://player.pl

żadne inne mi teraz nie przychodzą do głowy.

Fixlog.txt

picasso · 18 Września 2016

Tak, ja wiem że to jest ogólny adres player.pl, mi chodzi o dokładny przykładowy link video z player.pl. Mam jednak limitowane możliwości weryfikacji, mieszkam w Holandii i muszę kombinować z VPN/proxy, by video się otwierało.

Tova · 18 Września 2016

Wszystkie filmy.

Co to jest cmd.exe? Dwa razy mi się pojawiło coś jak wiersz polecenia i na górze było napisane win32 cmd.exe i zaraz zniknęło.

picasso · 20 Września 2016

Co to jest cmd.exe? Dwa razy mi się pojawiło coś jak wiersz polecenia i na górze było napisane win32 cmd.exe i zaraz zniknęło.

Cmd.exe to proces Wiersza poleceń. W ostatnich raportach FRST nie widziałam żadnego obiektu który mógłby to samoczynnie odpalać. Czy w momencie, gdy to się pokazało, odpalałaś jakiś konkretny program?

Niestety flash nie działa mimo uruchomienia całej treści wtyczki. Trudno, będę okazjonalnie korzystać z firefoxa.

Sprawdź jeszcze czy coś pomoże reset przeglądarki: Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Resetowanie ustawień. Zakładki i hasła nie zostaną naruszone.

Jeszcze do wykonania drobny skrypt końcowy. Otwórz Notatnik i wklej w nim:

FF Plugin HKU\S-1-5-21-1894515312-3285578680-510463183-1000: @unity3d.com/UnityPlayer,version=1.0 -> Unity\WebPlayer\loader\npUnity3D32.dll [brak pliku]
RemoveDirectory: C:\FRST\Quarantine
RemoveDirectory: C:\MATS
RemoveDirectory: C:\Program Files\K-Lite Codec Pack
RemoveDirectory: C:\Users\User\AppData\Roaming\Real
RemoveDirectory: C:\Users\Public\Documents\PC Faster
CMD: attrib -s -h C:\ProgramData\KGyGaAvL.sys
CMD: del /q C:\ProgramData\KGyGaAvL.sys
CMD: netsh advfirewall reset

Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix).

PS. Przypadkowo zedytowałam Twój post i wymazało mi link który podałaś.

Edytowane 24 Października 2016 przez picasso
Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso

Zaloguj się

PUP Mobogenie po zainstalowaniu Baidu Spark Browser

Rekomendowane odpowiedzi

Tova

Odnośnik do komentarza

picasso

Odnośnik do komentarza

Tova

Odnośnik do komentarza

picasso

Odnośnik do komentarza

Tova

Odnośnik do komentarza

picasso

Odnośnik do komentarza

Tova

Odnośnik do komentarza

picasso

Odnośnik do komentarza

Tova

Odnośnik do komentarza

picasso

Odnośnik do komentarza

Ostatnio przeglądający 0 użytkowników

Przeglądaj

Cała aktywność