Wirusy to m.in.: Sathurtbot.U, samoistnie włączające się strony IE, zamulony system

[konares]

Witam,

 

ostatnio zauważyłem, że w tle pracy mojego komputera samoistnie włączają się strony IE, które zamulają system. Nie wiem jak sobie z tym poradzić. Zamieszczam logi z prośbą o pomoc.

 

Wirusy to m.in.: Sathurtbot.U, Kryptik.FIYD, Kryptik.EOQS, Fleercivet.AG. ESET wykrywa, ale nie daje rady usunąć.

 

gmer.txt

Addition.txt

FRST.txt

Shortcut.txt

[jessica]

Otwórz Notatnik i wklej w nim:

 

Task: {4494F998-B246-453E-A56C-F39377ED5913} - System32\Tasks\APSnotifierPP2 => C:\Program Files\AnyProtectEx\AnyProtect.exe <==== UWAGA
Task: {65C0576C-D694-46D4-8FBF-8F73806BCEB2} - System32\Tasks\Scheduled Update for Ask Toolbar => C:\Program Files\Ask.com\UpdateTask.exe [2010-05-21] () <==== UWAGA
Task: {C8555432-1BCD-4DA9-9EB9-1B8C82ED0863} - System32\Tasks\APSnotifierPP3 => C:\Program Files\AnyProtectEx\AnyProtect.exe <==== UWAGA
Task: {F7E8DAE7-EB8D-496C-97DE-CD310DA7F682} - System32\Tasks\APSnotifierPP1 => C:\Program Files\AnyProtectEx\AnyProtect.exe <==== UWAGA
HKLM\...\Run: [] => [X]
RemoveDirectory: C:\Users\Kamil Kozak\AppData\Roaming\BrowserMe
RemoveDirectory: C:\Users\Kamil Kozak\AppData\Local\739c
RemoveDirectory: C:\Users\Kamil Kozak\AppData\Local\Imsoft
RemoveDirectory: C:\Users\Kamil Kozak\AppData\Local\YhmPack
RemoveDirectory: C:\Users\Kamil Kozak\AppData\Roaming\0942
HKU\S-1-5-21-1250789083-1527708771-4203453902-1002\...\Run: [Enbtion] => C:\Windows\System32\regsvr32.exe "C:\Users\Kamil Kozak\AppData\Local\Imsoft\xpgpulpb.dll"
HKU\S-1-5-21-1250789083-1527708771-4203453902-1002\...\Run: [YhmPack] => regsvr32.exe "C:\Users\Kamil Kozak\AppData\Local\YhmPack\dsmpedjk.dll" <===== UWAGA
HKU\S-1-5-21-1250789083-1527708771-4203453902-1002\...\Run: [**saslvfb<*>] => "C:\Users\Kamil Kozak\AppData\Local\739c\04fe.lnk" <===== UWAGA (Nazwa wartości zawiera nieprawidłowe znaki)
HKU\S-1-5-21-1250789083-1527708771-4203453902-1002\...\Run: [browserMe] => C:\Users\Kamil Kozak\AppData\Roaming\BrowserMe\ChromeUpdate.exe [47520256 2016-10-31] ()
URLSearchHook: HKLM - uTorrentControl_v6 Toolbar - {96f454ea-9d38-474f-b504-56193e00c1a5} -  Brak pliku
URLSearchHook: HKU\S-1-5-21-1250789083-1527708771-4203453902-1002 - uTorrentControl_v6 Toolbar - {96f454ea-9d38-474f-b504-56193e00c1a5} -  Brak pliku
SearchScopes: HKLM -> DefaultScope {3F18EC94-D2EC-4417-84ED-275594AF30BF} URL = hxxp://startsear.ch/?aff=1&src=sp&cf=56933e90-e939-11e0-8336-643150868987&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1250789083-1527708771-4203453902-1002 -> {3F18EC94-D2EC-4417-84ED-275594AF30BF} URL = hxxp://startsear.ch/?aff=1&src=sp&cf=56933e90-e939-11e0-8336-643150868987&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1250789083-1527708771-4203453902-1002 -> {4EAB2DB0-8462-422C-B420-7E582A435754} URL = hxxp://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT3289075&CUI=&UM=1
SearchScopes: HKU\S-1-5-21-1250789083-1527708771-4203453902-1002 -> {813ABDA0-0A8D-4CFE-A71D-4D01C4FA3EAF} URL = hxxp://startsear.ch/?aff=1&q={searchTerms}
SearchScopes: HKLM -> {3F18EC94-D2EC-4417-84ED-275594AF30BF} URL = hxxp://startsear.ch/?aff=1&src=sp&cf=56933e90-e939-11e0-8336-643150868987&q={searchTerms}
Toolbar: HKLM - uTorrentControl_v6 Toolbar - {96f454ea-9d38-474f-b504-56193e00c1a5} -  Brak pliku
Toolbar: HKU\S-1-5-21-1250789083-1527708771-4203453902-1002 -> Brak nazwy - {759D9886-0C6F-4498-BAB6-4A5F47C6C72F} -  Brak pliku
Toolbar: HKU\S-1-5-21-1250789083-1527708771-4203453902-1002 -> Brak nazwy - {D4027C7F-154A-4066-A1AD-4243D8127440} -  Brak pliku
Toolbar: HKU\S-1-5-21-1250789083-1527708771-4203453902-1002 -> Brak nazwy - {7AC3E13B-3BCA-4158-B330-F66DBB03C1B5} -  Brak pliku
Toolbar: HKU\S-1-5-21-1250789083-1527708771-4203453902-1002 -> Brak nazwy - {EEE6C35B-6118-11DC-9C72-001320C79847} -  Brak pliku
Toolbar: HKU\S-1-5-21-1250789083-1527708771-4203453902-1002 -> uTorrentControl_v6 Toolbar - {96F454EA-9D38-474F-B504-56193E00C1A5} -  Brak pliku
DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_33-windows-i586.cab
DPF: {CAFEEFAC-0016-0000-0033-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_33-windows-i586.cab
DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_33-windows-i586.cab
S3 usbbus; system32\DRIVERS\lgusbbus.sys [X]
S3 UsbDiag; system32\DRIVERS\lgusbdiag.sys [X]
S3 USBModem; system32\DRIVERS\lgusbmodem.sys [X]
C:\Users\Kamil Kozak\AppData\Local\SysHashTable
C:\Users\Kamil Kozak\AppData\Roaming\½Ó
C:\ProgramData\@000001.dat
C:\ProgramData\@system.temp
C:\ProgramData\@system3.att
C:\Users\Kamil Kozak\AppData\Roaming\Microsoft\Office\Niedawny\cennik termostaty.LNK
C:\Users\Kamil Kozak\AppData\Roaming\Microsoft\Office\Niedawny\ct-200E.LNK
C:\Users\Kamil Kozak\AppData\Roaming\Microsoft\Office\Niedawny\Plecy bez bólu.LNK
C:\Users\Kamil Kozak\AppData\Roaming\Microsoft\Office\Niedawny\schur-bezp.LNK
HOSTS:
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix (NAPRAW).

 

Zrób nowe logi FRST.

 

Napisz, czy zmieniła się sytuacja?

 

jessi

[konares]

Wielkie dzięki Jessi za pomoc z logami, wydaję się, że główny problem zażegnany, pozostałości usunięte ESETem i CCleanerem, załączam nowe logi ))

Pozdrawiam ))

FRST.txt

Addition.txt

Shortcut.txt

[jessica]

Otwórz Notatnik i wklej w nim:

 

ShortcutTarget: Smash_Hit_Premium_v1.3.2__Only_Premium_.TROJAN.ONHAX_.apk.lnk -> C:\ProgramData\{2164f388-5ff5-ae6d-2164-4f3885ffce21}\Smash_Hit_Premium_v1.3.2__Only_Premium_.TROJAN.ONHAX_.apk.exe (Brak pliku)
C:\ProgramData\@system.temp
RemoveDirectory: C:\Users\Kamil Kozak\AppData\Roaming\BrowserMe
C:\ProgramData\@000001.dat
Task: C:\windows\Tasks\APSnotifierPP1.job => C:\Program Files\AnyProtectEx\AnyProtect.exe <==== UWAGA
Task: C:\windows\Tasks\APSnotifierPP2.job => C:\Program Files\AnyProtectEx\AnyProtect.exe <==== UWAGA
Task: C:\windows\Tasks\APSnotifierPP3.job => C:\Program Files\AnyProtectEx\AnyProtect.exe <==== UWAGA
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix (NAPRAW).

 

Potem chyba możemy kończyć:

Otwórz Notatnik i wklej w nim:

 

DeleteQuarantine:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST. Uruchom FRST i kliknij w Fix (NAPRAW).
przez SHIFT+DEL usuń pozostały folder C:\FRST.

 

jessi