Problemy z qooqlle

[aku]

Witam serdecznie. Od kilku (może dwóch) dni mam problem z qooqlle, przy każdym włączeniu Firefoxa stroną startową jest hxxp://www.qooqlle.com. Za pierwszym razem zmieniłam po prostu ustawienia, żeby qooqlle nie włączało się jako strona startowa. Myślałam, że to załatwi sprawę ale okazało się, że jest trochę poważniej. Przeglądając forum trafiłam na poradę, aby użyć CCleaner, co zrobiłam i co pomogło - do kolejnego włączenia FF.

Od kiedy pojawiło się qooqlle zauważyłam też, że bez mojego udziału zostały zmienione ustawienia wyświetlania plików ukrytych. Skanowanie antywirusem - NOD32 - nie bardzo pomogło, ponieważ nie zauważył nic szkodliwego.

Jeśli dobrze pamiętam, to w dniu kiedy zaczął się mój problem z qooqlle odebrałam od znajomego jeden plik .odt do wydrukowania, czy możliwe jest że był zainfekowany i przeniósł infekcję w taki sposób?

Załączam logi z OTL i Gmera i z góry dziękuję za pomoc.

OTL.Txt

Extras.Txt

gmer.txt

[picasso]

Przeglądając forum trafiłam na poradę, aby użyć CCleaner, co zrobiłam i co pomogło - do kolejnego włączenia FF.

 

Nie wiem skąd te "tipy". Tego nie usuniesz, jeśli procesów malware nie zdejmiesz, to procesy przywracają konfigurację przeglądarki.

 

 

Jeśli dobrze pamiętam, to w dniu kiedy zaczął się mój problem z qooqlle odebrałam od znajomego jeden plik .odt do wydrukowania, czy możliwe jest że był zainfekowany i przeniósł infekcję w taki sposób?

 

Z tego co wiemy z forum, Qooqlle wchodzi z lewych kodeków z torrentów. Aczkolwiek nie wykluczam, że może być dołączone do innych "projektów". Ale coś musiało być uruchomione ręcznie, to się instaluje na życzenie własnymi rękami użytkownika, który niczego nie podejrzewa.

 

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
IE - HKU\S-1-5-21-1275210071-1409082233-725345543-1003\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = "http://www.qooqlle.com/"
FF - prefs.js..browser.search.selectedEngine: "qooqlle"
FF - prefs.js..browser.startup.homepage: "http://www.qooqlle.com/"
FF - prefs.js..keyword.URL: "http://www.google.com/cse?cx=partner-pub-5462406484424654%3A8q0sn8-w2ss&ie=ISO-8859-1&q="
O4 - HKLM..\Run: [csrs] C:\Documents and Settings\All Users.WINDOWS\csrs.exe (Created with WinAutomation ("http://www.WinAutomation.com"))
O4 - HKLM..\Run: [svhost] C:\Program Files\Common Files\svhost.exe ()
O4 - HKLM..\Run: [winloqon] C:\Documents and Settings\All Users.WINDOWS\winloqon.exe (Created with WinAutomation ("http://www.WinAutomation.com"))
[2011-03-19 09:54:58 | 000,001,860 | ---- | M] () -- C:\Documents and Settings\Aśka.MOKONA-FA3B2BF0\Dane aplikacji\Mozilla\Firefox\Profiles\xy69oxpo.default\searchplugins\search.xml
[2010-05-04 16:13:43 | 000,000,012 | ---- | C] () -- C:\Documents and Settings\Aśka.MOKONA-FA3B2BF0\Dane aplikacji\qvjsge.dat
 
:Reg
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\WINDOWS\TEMP\80461.exe"=-
 
:Commands
[emptyflash]
[emptytemp]

Rozpocznij usuwanie przyciskiem Wykonaj skrypt. Komputer zostanie zresetowany. Po restarcie otrzymasz log.

 

2. Należy zrekonstruować brakujący plik HOSTS:

 

Hosts file not found

Otwórz Notatnik i wklej w nim:

 

# Copyright © 1993-1999 Microsoft Corp.

#
# To jest przykładowy plik HOSTS używany przez Microsoft TCP/IP
# w systemie Windows.
# Ten plik zawiera mapowania adresów IP na nazwy komputerów
# Każdy wpis powinien być w osobnej linii.
# W pierwszej kolumnie powinny być umieszczone adresy IP, a następnie 
# odpowiadające im nazwy komputerów. Adres i nazwa powinny być oddzielone
# co najmniej jedną spacją
#
# Dodatkowo, komentarze (takie jak te) można wstawiać w poszczególnych
# liniach lub po nazwie komputera, oznaczając je symbolem '#'.
#
# Na przykład:
#
#      102.54.94.97     rhino.acme.com          # serwer źródłowy
#       38.25.63.10     x.acme.com              # komputer kliencki x
 
127.0.0.1       localhost

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako HOSTS (bez rozszerzenia)

 

Plik umieść w ścieżce: C:\Windows\System32\drivers\etc.

 

3. Uruchamiasz OTL i tworzysz nowe logi opcją Skanuj. Dołącz i log powstały z usuwania w punkcie 1.

 

 

 

 

 

.

[aku]

Zrobione, dołączam nowe logi z OTL i ten wyświetlony po resecie komputera.

03192011_115947.txt

OTL.Txt

Extras.Txt

[picasso]

Qooqlle usunięte, plik HOSTS odtworzony. Problemu już nie powinno być. Wykonaj czynności końcowe:

 

1. W OTL wywołaj opcję Sprzątanie.

 

2. Wyczyść foldery Przywracania systemu: INSTRUKCJE.

 

3. System ma krytyczny status (braku) aktualizacji:

 

Windows XP Professional Edition Dodatek Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 6.0.2900.2180)

Obowiązkowa aktualizacja do statusu: Service Pack 3 + Internet Explorer 8. Tak, przeglądarka Internet Explorer także, mimo że używasz tylko Firefox. To komponent zintegrowany i zbyt dużo elementów się posługuje nim w trybie cichym, by to zostawić odłogiem. Zaktualizuj także przeglądarkę Firefox.

 

4. Ten Ashampoo i ESET to nieco sfatygowane. Mamy już rok 2011. Może rozważ na przykład darmowe Avast + Online Armor Free. Zaś do skanowania na żądanie Malwarebytes' Anti-Malware.

 

 

 

.

[aku]

Wow, wielkie dzięki za tak szybką pomoc! Wszystko już ładnie działa, dziękuję jeszcze raz

Edytowane 19 Marca 2011 przez picasso
Temat rozwiązany. Zamykam. //picasso