Skocz do zawartości
WAŻNE - Użytkownicy uprawnieni do pomocy
WAŻNE - Zakładanie tematu: obowiązkowe logi
Nadchodzące zmiany w logowaniu

Zainfekowany dysk przenośny WD. "RECYCLER"

matiszu

Przez matiszu
w Dział pomocy doraźnej

Rekomendowane odpowiedzi

matiszu

matiszu

Opublikowano
Opublikowano

Witam, mam problem.Pożyczyłem dla kumpla mój dysk żeby zgrał mi trochę filmów. Gdy mi go oddał mówił ze wszystko ok pozrywał wszystko działa itd.. Dzisiaj chciałem obejrzeć kilka filmów podłączyłem dysk ale wyskoczył mi taki błąd(przy otwieraniu czegokolwiek mam to samo)

http://imgur.com/9GKci

 

Jestem kompletnie zielony nie wiem co robić. Dysk mam od miesiąca ale już zapełniłem ponad 300 gb, wiec format nie wchodzi w grę.

Czy mógłby mi ktoś pomóc i dać wskazówki jak go naprawić smile.gif?

Odnośnik do komentarza
Pomoc jest darmowa, ale proszę rozważ przekazanie dotacji na utrzymanie serwisu: klik.
picasso

picasso

Opublikowano
Opublikowano

Na urządzeniu F są dwa rodzaje infekcji: autorun.inf oraz skróty LNK (a właściwe foldery są ukryte). System także jest zainfekowany, w starcie siedzi ten wpis:

 

O4:64bit: - HKLM..\Run: [Windows Host Service] C:\Users\Matisz\svchost.exe (Microsoft Corporation)

 

Poza tym, zainstalowałeś sobie przez nieuwagę sporą liczbę śmieci sponsoringowych w postaci całkowicie zbędnych pasków narzędziowych. Firefox i Internet Explorer są po prostu zgwałcone szajsem.

 

 

Na czas operacji wyłącz całkowicie rezydenta Avira, by nie przeszkadzał.

 

1. Usuwanie adware:

  • Przejdź do Panelu sterowania do apletu deinstalacji i usuń adware: Ask Toolbar, Babylon Toolbar, ConduitEngine, DAEMON Tools Toolbar, HyperCam Toolbar, MediaBar, Reganam Toolbar. Dodatkowo możesz usunąć zbędny Akamai NetSession Interface.
  • Otwórz Firefox i w menedżerze rozszerzeń powtórz usuwanie powyższych. Dodatkowo, w wyszukiwarkach przestaw domyślną na Google i usuń Seek.
  • Otwórz Google Chrome i w Opcjach przestaw domyślną wyszukiwarkę, całkowicie usuwając DAEMON Search, a w rozszerzeniach odinstaluj Babylon.

2. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
O4:64bit: - HKLM..\Run: [Windows Host Service] C:\Users\Matisz\svchost.exe (Microsoft Corporation)
FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\{6E19037A-12E3-4295-8915-ED48BC341614}: C:\Program Files (x86)\RelevantKnowledge [2011/02/19 21:53:11 | 000,000,000 | ---D | M]
 
:Files
C:\Users\Matisz\AppData\Local\Temp*.html
C:\Program Files (x86)\RelevantKnowledge
F:\$RECYCLE.BIN
F:\RECYCLER
F:\autorun
F:\autorun.inf
F:\EXPLORER.EXE
F:\*.lnk
attrib /d /s -s -h F:\* /C
 
:Commands
[emptytemp]

 

Rozpocznij usuwanie przyciskiem Wykonaj skrypt. System zostanie zrestatowany, po restarcie powinien się automatycznie otworzyć log z wynikami usuwania.

 

3. Do oceny nowe logi: OTL z opcji Skanuj (nie dałeś całego poprzednio, brak Extras = opcja "Rejestr - skan dodatkowy" nie została ustawiona na "Użyj filtrowania"), USBFix z opcji Listing oraz AD-Remover z opcji Scan. Dorzuć też log z wynikami usuwania pozyskanymi w punkcie 2.

 

 

 

 

.

Odnośnik do komentarza
matiszu

matiszu

Opublikowano
  • Autor
Opublikowano

Dziękuje ślicznie za pomoc dysk działa!!

 

Ale mam jeszcze jeden problem jak uruchaniam dysk to wyskakuje mi

http://imgur.com/akh4l

nie wiem czy to wina antyvirusa czy tam czegos.

 

Przy okazji jakby Pani mogła przestudiować mojego całego loga z komputera. Bym był wdzięczny.

 

http://www.wklej.org/id/830963/txt/

 

Pozdrawiam Mateusz

Extras.Txt

Ad-Report-SCAN3.txt

UsbFix.txt

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano
Przy okazji jakby Pani mogła przestudiować mojego całego loga z komputera. Bym był wdzięczny

 

Zupełnie nieprzytomny jesteś :P On już dawno sprawdzony. W przeciwnym wypadku nie wykonałbyś nawet połowy podanych instrukcji (!), które bazują na odczycie z OTL.

 

 

Ale mam jeszcze jeden problem jak uruchaniam dysk to wyskakuje mi (...)

 

To plik infekcji i był adresowany moim skryptem OTL, konkretniej ten fragment:

 

:Files
F:\EXPLORER.EXE

 

Nie podałeś tego:

 

Dorzuć też log z wynikami usuwania pozyskanymi w punkcie 2.

... toteż nie wiadomo co się stało, że plik nie został skasowany. Choć ja przypuszczam, co za błąd tu był.

 

 

Prócz niepełnego usuwania z dysku, również zadania z deinstalacją adware są nieukończone, a wygląda na to że pewne rzeczy ominąłeś (m.in deinstalacja Akamai NetSession Interface). AD-Remover nie zostanie tu użyty do usuwania, gdyż wykrywa również iMesha i zastosowanie go byłoby tautologiczne z dewastacją programu.

Jak poprzednio, wyłącz rezydenta Aviry, by nie kolidował z usuwaniem. Firefox musi być zamknięty podczas poniższych operacji, a zwłaszcza w punkcie 2.

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
[override]
F:\explorer.exe
[stopoverride]
F:\autorun.inf
C:\Program Files (x86)\mozilla firefox\searchplugins\babylon.xml
C:\Program Files (x86)\mozilla firefox\searchplugins\iMeshWebSearch.xml
C:\Users\Matisz\AppData\Roaming\Mozilla\Firefox\Profiles\ub2337zl.default\searchplugins\askcom.xml
C:\Users\Matisz\AppData\Roaming\Mozilla\Firefox\Profiles\ub2337zl.default\searchplugins\conduit.xml
C:\Users\Matisz\AppData\Roaming\Mozilla\Firefox\Profiles\ub2337zl.default\searchplugins\daemon-search.xml
C:\Users\Matisz\AppData\Roaming\Mozilla\Firefox\Profiles\ub2337zl.default\searchplugins\iMeshWebSearch.xml
C:\Users\Matisz\AppData\Roaming\Mozilla\Firefox\Profiles\ub2337zl.default\searchplugins\seek.xml
C:\Users\Matisz\AppData\Roaming\Mozilla\Firefox\Profiles\ub2337zl.default\extensions\{28D35620-51D9-11DE-9D13-2DB156D89593}chrome
C:\Users\Matisz\AppData\Roaming\Mozilla\Firefox\Profiles\ub2337zl.default\conduit
C:\Users\Matisz\AppData\Roaming\Mozilla\Firefox\Profiles\ub2337zl.default\ConduitEngine
C:\Users\Matisz\AppData\LocalLow\Conduit
C:\Users\Matisz\AppData\LocalLow\Toolbar4
C:\Program Files (x86)\Conduit
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\RelevantKnowledge
 
:Services
RelevantKnowledge
 
:OTL
FF - prefs.js..browser.search.defaultenginename: "Seek"
FF - prefs.js..browser.search.defaultthis.engineName: "Reganam Customized Web Search"
FF - prefs.js..browser.search.defaulturl: "http://search.conduit.com/ResultsExt.aspx?ctid=CT1601497&SearchSource=3&q={searchTerms}"
FF - prefs.js..browser.search.order.1: "iMesh Web Search"
FF - prefs.js..browser.search.selectedEngine: "Seek"
FF - prefs.js..extensions.enabledItems: {db9d7a78-a76c-4bf2-97c6-258925ee1542}:2.7.2.0
FF - prefs.js..extensions.enabledItems: {28D35620-51D9-11DE-9D13-2DB156D89593}:3.1
FF - prefs.js..extensions.enabledItems: {6E19037A-12E3-4295-8915-ED48BC341614}:1.3.328.4
FF - prefs.js..extensions.enabledItems: {75656794-AB59-4712-BFBC-5D816D56F3BC}:1.1.7
FF - prefs.js..extensions.enabledItems: DTToolbar@toolbarnet.com:1.1.2.0185
FF - prefs.js..extensions.enabledItems: toolbar@ask.com:3.11.3.15590
FF - prefs.js..keyword.URL: "http://seek.mk/search?Ref=9s=1&q="
FF - user.js..browser.search.defaultenginename: "Seek"
FF - user.js..browser.search.selectedEngine: "Seek"
FF - user.js..keyword.URL: "http://seek.mk/search?Ref=9s=1&q="
CHR - plugin: Babylon Chrome Plugin (Enabled) = C:\Users\Matisz\AppData\Local\Google\Chrome\User Data\Default\Extensions\dhkplhfnhceodhffomolpfigojocbpcb\1.0_0\BabylonChromePI.dll
CHR - Extension: Babylon Chrome OCR = C:\Users\Matisz\AppData\Local\Google\Chrome\User Data\Default\Extensions\dhkplhfnhceodhffomolpfigojocbpcb\1.0_0\
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}]
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{1F096B29-E9DA-4D64-8D63-936BE7762CC5}]
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{75894E4F-B1C0-42a9-AB80-2F02EF897ACD}]
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2A59}]
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2A59}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{F2972dc93-f590-4bca-a42f-64ea7dc2f68d]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{0ABE0FED-50E7-4e42-A125-57C0A11DBCDE}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{628F3201-34D0-49C0-BB9A-82A26AEFB291}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\Toolbar.CT1601497]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Conduit]
[-HKEY_CURRENT_USER\Software\AppDataLow\Software\Conduit]
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{D4027C7F-154A-4066-A1AD-4243D8127440}]
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Mozilla\Firefox\Extensions]
"{6E19037A-12E3-4295-8915-ED48BC341614}"=-
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar]
"{32099AAC-C132-4136-9E9A-4E364A424E17}"=-
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]
"{32099AAC-C132-4136-9E9A-4E364A424E17}"=-
"{D4027C7F-154A-4066-A1AD-4243D8127440}"=-

 

Klik w Wykonaj skrypt. Z tego powstanie log i masz go pokazać.

 

2. Otwórz do edycji w Notatniku plik C:\Users\Matisz\AppData\Roaming\Mozilla\FireFox\Profiles\ub2337zl.default\Prefs.js i ze środka wytnij wszystkie linie mające ciągi CT1601497.*, CommunityToolbar.*, ConduitEngine.*. Zapisz zmiany w pliku.

 

3. Wygeneruj do oceny nowe logi: AD-Remover z opcji Scan + USBFix z opcji Listing. I proszę dodaj tym razem log z wynikami usuwania OTL pozyskany w punkcie 1.

 

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano
Nie zrobiłem drugiego punktu ponieważ nie mogłem znaleść folderu AppData..

 

Folder AppData jest, tylko by go widzieć należy mieć włączone pokazywanie ukrytych. W pasku adresów eksloratora wklej C:\Users\Matisz\AppData\Roaming\Mozilla\FireFox\Profiles\ub2337zl.default i ENTER. Wykonaj edycję pliku (Firefox musi być zamknięty podczas tej operacji!), następnie wygeneruj nowy log z AD-Remover z opcji Scan.

 

 

Mozzila mi się zmieniła na starszą :<.>

 

Nie rozumiem.

 

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Sprawa czyszczenia wygląda na ukończoną.

 

1. Posprzątaj: odinstaluj USBFix i AD-Remover, zaś w OTL uruchom Sprzątanie.

 

2. Wyczyść foldery Przywracania systemu: INSTRUKCJE.

 

3. Krytyczny poziom wolnego miejsca na dysku systemowym:

 

Drive C: | 452.97 Gb Total Space | 2.11 Gb Free Space | 0.46% Space Free | Partition Type: NTFS

 

To musi być naprawione, zanim przejdziesz do:

 

4. System w ogóle nieaktualizowany (brak SP1+IE9), są też inne aplikacje wymagające aktualizacji:

 

64bit- Home Premium Edition  (Version = 6.1.7600) - Type = NTWorkstation
Internet Explorer (Version = 8.0.7600.16385)
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
64bit: [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"Adobe Flash Player ActiveX 64" = Adobe Flash Player 10 ActiveX 64-bit
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{D103C4BA-F905-437A-8049-DB24763BBE36}" = Skype™ 4.2
"Adobe Flash Player ActiveX" = Adobe Flash Player 10 ActiveX
"Adobe Flash Player Plugin" = Adobe Flash Player 10 Plugin
"Adobe Shockwave Player" = Adobe Shockwave Player 11.5

 

Adresują to: INSTRUKCJE. Tylko aktualnie to jest awykonalne, nie masz miejsca na dysku.....

 

 

Chodziło mi o to, że mozzila wróciła do jakiegoś starego prostego wyglądu, ale nie ważne

 

I to dla mnie zagadka, ponieważ nie wiem co rozumiesz pod pojęciem "stary prosty wygląd". Żadna z operacji nie miała w zamiarze nic wykonywać w tym obszarze Firefox. Ostatecznie można podejrzewać to:

 

:OTL
FF - user.js..browser.search.defaultenginename: "Seek"
FF - user.js..browser.search.selectedEngine: "Seek"
FF - user.js..keyword.URL: "http://seek.mk/search?Ref=9s=1&q="

 

Wynik:

 

========== OTL ==========
C:\Users\Matisz\AppData\Roaming\Mozilla\FireFox\Profiles\ub2337zl.default\user.js moved successfully.

 

Czyli OTL zamiast przetworzyć podane dokładnie linie w user.js, usunął cały plik (tak, domyślnie takowego nie ma). Jeśli coś Ci się zmieniło w interfejsie Firefox, to możliwe, że w user.js miałeś jakieś dodatkowe definicje.

 

Zadam więc pytanie czy na własną rękę ustawiłeś już Firefox, czy jest tu z tym jakiś problem?

 

 

 

 

.

Odnośnik do komentarza
  • 4 tygodnie później...
picasso

picasso

Opublikowano
Opublikowano

matiszu proszę przeczytaj zasady działu, które mówią jakie logi się tu dołącza w standardowej prośbie o pomoc i jak się konfiguruje OTL: KLIK. OTL źle wykonałeś, zaznaczyłeś wszędzie Wszystko, a ma być Użyj filtrowania. AD-Remover nie jest logiem wchodzącym w skład obowiązkowych, taka prośba pada tylko wtedy, gdy widzę że są podstawy do jego wykonania. Usuwam go. USBFix już był dostarczony, to po co to samo po raz drugi ładujesz?

 

Następnie, widzę że wcale nie wykonałeś czynności z ostatniego posta poprzedniego wątku. Są na dysku obiekty, których być nie powinno, gdybyś wykonał zadania sprzątające, programy nadal niezaktualizowane.

 

Na teraz: czekam aż zedytujesz powyżej swój post i wstawisz poprawne logi z OTL. Wtedy ja tu zedytuję własny post i podam instrukcje usuwające.

 

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano
Zrobilem wszystko to co w poprzednim wątku jest, od razu posprzątałem..Nie wiem..

 

Log z USBFix pokazuje np. folder C:\_OTL, który to zanika, jeśli zostanie użyte Sprzątanie w OTL. Czyli go tu nie powinno być wcale a jest, więc nie rozumiem jakim sposobem się ostał, jeśli na pewno funkcję użyłeś. Ponadto, ostatni log z OTL Extras (którego już tu nie ma ze względu na zastąpienie raportów), o ile sobie dobrze przypominam, wykazywał nadal starsze wersje programów (może aktualizowałeś opcją wbudowaną w program, co nie zawsze podaje najwyższą dostępną wersję). No dobra, zostawmy to teraz.

 

 

Przechodząc do czyszczenia dysku:

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\Users\Matisz\AppData\Local\Temp*.html
F:\*.lnk
attrib /d /s -s -h F:\* /C
rd /s /q F:\RECYCLER /C
 
:OTL
O2 - BHO: (no name) - {F5CC7F02-6F4E-4462-B5B1-394A57FD3E0D} - No CLSID value found.
O3:64bit: - HKLM\..\Toolbar: (DAEMON Tools Toolbar) - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files (x86)\DAEMON Tools Toolbar\DTToolbar64.dll File not found
O3:64bit: - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
 
:Commands
[emptytemp]

 

Rozpocznij usuwanie przyciskiem Wykonaj skrypt.

 

2. Przedstaw nowy log z USBFix z opcji Listing.

 

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano (edytowane)

Wg loga z USBFix nie ma RECYCLER, jest za to $RECYCLE.BIN (czyli katalog Kosza utworzony przez system). Pokaż gdzie Ty go widzisz i co jest w środku (obrazek).

 

 

PS. A na temat tego:

 

Teraz co nie włączę to mi się automatycznie aktualizuje.

 

Ale co to oznacza, czy pozwalasz ukończyć się procesowi aktualizowania systemu?

 

 

.

Edytowane przez picasso
21.12.2011 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso
Odnośnik do komentarza
Gość
Ten temat został zamknięty. Brak możliwości dodania odpowiedzi.
Tematy

  • Ostatnio przeglądający   0 użytkowników

    • Brak zarejestrowanych użytkowników przeglądających tę stronę.
×
×
  • Dodaj nową pozycję...