SafeGroup › Bezpieczeństwo › Pomoc po zainfekowaniu v
Zainfekowany system - tuto4pc_pl_8

Wątek zamknięty 
Tryby wyświetlania wątku
Zainfekowany system - tuto4pc_pl_8
piotrasta Offline
Nowicjusz
Liczba postów: 50
Liczba wątków: 13
Dołączył: 01.12.2013
Reputacja: 0
#1
07.02.2015, 19:54
Objawy zainfekowania:
tuto4pc_pl_8 nie można usunąć z auto startu
Wykonywane działania:
avast
AdwCleaner
malwarebytes anti-malware

Logi:
FRST

[Aby zobaczyć linki, zarejestruj się tutaj]

Addition

[Aby zobaczyć linki, zarejestruj się tutaj]

Shortcut

[Aby zobaczyć linki, zarejestruj się tutaj]

Szukaj
tachion Offline
Ekipa forum
Liczba postów: 4 766
Liczba wątków: 33
Dołączył: 16.02.2011
Reputacja: 507
#2
08.02.2015, 16:18
Do notatnika wklej i zapisz jako fixlist.txt

Kod:
CloseProcesses:
CreateRestorePoint:
HKLM-x32\...\Run: [tuto4pc_pl_8] => [X]
HKLM-x32\...\Run: [] => [X]
HKU\S-1-5-21-3508492760-1191177628-2857691104-1000\...\Run: [] => [X]
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=56626&homepage=about:blank
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=56626&homepage=about:blank
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.com
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = http://www.google.com
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.google.com
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.google.com
SearchScopes: HKU\.DEFAULT -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKU\.DEFAULT -> {483830EE-A4CD-4b71-B0A3-3D82E62A6909} URL =
SearchScopes: HKU\S-1-5-19 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKU\S-1-5-20 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKU\S-1-5-21-3508492760-1191177628-2857691104-1000 -> {364A55E0-CCA9-4A1D-8A95-54954C30A5AE} URL = http://search.yahoo.com/search?fr=chr-greentree_ie&ei=utf-8&ilc=12&type=888596&p={searchTerms}
SearchScopes: HKU\S-1-5-21-3508492760-1191177628-2857691104-1000 -> {F7FC6B96-E22C-47E8-BFCD-304B1CA9F50C} URL = https://www.google.com/search?q={searchTerms}
BHO-x32: No Name -> {036451d5-97b6-4882-a0cb-0f3b6de4df8d} ->No File
Toolbar: HKLM - avast! WebRep - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} -No File
Toolbar: HKLM - No Name - {CC1A175A-E45B-41ED-A30C-C9B1D7A0C02F} -No File
Toolbar: HKLM-x32 - No Name - {036451d5-97b6-4882-a0cb-0f3b6de4df8d} -No File
CHR HKLM-x32\...\Chrome\Extension: [pbigfkbippnoeffniighecdghnbnmced] - C:\Program Files (x86)\HomeTab\chrome\HomeTab.crx [Not Found]
C:\ProgramData\114A
Task: {064BB6DE-5377-4F94-9F72-19DC8B34910F} - System32\Tasks\{CCBA95B4-94CA-4728-BE66-1AA5FE918002} => pcalua.exe -a C:\Windows\system32\pcwrun.exe -c "C:\Program Files (x86)\Nero\Nero ControlCenter 4\ncc.exe"
Task: {0755EEF6-5FBE-4B6C-8834-53FA939D1C92} - System32\Tasks\{09E95050-36FC-4BF6-A897-12AE4A2E9EA2} => Firefox.exe http://www.skype.com/go/downloading?source=lightinstaller&amp;ver=5.5.0.117&amp;LastError=404
Task: {0FF37C28-006E-44D5-8C65-6C18DC4FBA25} - System32\Tasks\{084D7163-220D-490C-9D1B-30E134D35464} => pcalua.exe -a C:\Users\Piotr\Desktop\Nero-9.4.12.3d_free.exe -d C:\Users\Piotr\Desktop
Task: {101338A8-5C15-47D4-A0FE-7D1370946DC3} - System32\Tasks\{028AAADE-8A6F-4CE3-A4C7-B0C7BBBF9F24} => pcalua.exe -a C:\Users\Piotr\Downloads\e_ead-installer.exe -d C:\Users\Piotr\Downloads
Task: {1D9597C4-FBD9-46C5-999B-092B3CB244BA} - System32\Tasks\Games\UpdateCheck_S-1-5-21-3508492760-1191177628-2857691104-1000
Task: {210D9FFC-BDD8-4F23-A399-43F504E7A201} - System32\Tasks\{9446259E-1EA3-4305-8AF5-64BC6269B4F2} => pcalua.exe -a "C:\Users\Piotr\Downloads\Setup Counter Strike 1.6 v2.exe" -d C:\Users\Piotr\Downloads
Task: {25489E82-7D26-4AFF-AEE4-C729EB4DC566} - System32\Tasks\{A897E765-D502-4CDE-8240-EFD362555E5A} => pcalua.exe -a C:\Users\Piotr\AppData\Local\Temp\IS1890~1\QtraxInstaller.exe -d C:\Users\Piotr\Downloads -c /runafter /startDate=04/06/2013 /endDate=04/13/2013
Task: {2CAECE26-CBE2-43DB-A5EA-707211B46A6B} - System32\Tasks\{8CFB91CD-9FC7-49ED-9717-C6EBD8CD2E98} => C:\Program Files (x86)\Nero\Nero 9\Nero StartSmart\NeroStartSmart.exe [2009-07-20] (Nero AG)
Task: {34338E3A-3828-4933-8735-E2B36C9FC1A8} - System32\Tasks\Adobe Acrobat Update Task => C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe [2014-12-19] (Adobe Systems Incorporated)
Task: {46A16367-0352-4550-9F55-53740344AC48} - System32\Tasks\{215444B9-75F5-4736-A034-49CC7FE9C5AA} => C:\Program Files (x86)\Nero\Nero 9\Nero StartSmart\NeroStartSmart.exe [2009-07-20] (Nero AG)
Task: {477EE658-EC4A-44AF-9094-B1BBFE3A0239} - System32\Tasks\{92B00FF3-7FA6-43C2-B76B-A01073550A95} => C:\Program Files (x86)\Nero\Nero 9\Nero StartSmart\NeroStartSmart.exe [2009-07-20] (Nero AG)
Task: {521A4012-12B0-49C4-887B-B693FDEA9325} - System32\Tasks\{91E10A60-8277-48B9-8DB7-B070B45A85CB} => Firefox.exe http://ui.skype.com/ui/0/5.9.0.123/pl/abandoninstall?source=lightinstaller&amp;page=tsMain
Task: {7FE2B7CB-EDCA-4F16-9505-BB85A1CA45E1} - System32\Tasks\{181510B8-463D-4007-8A46-6A275AB9A526} => pcalua.exe -a "C:\Users\Piotr\Downloads\MeinPack 4.0 Instalacja.exe" -d C:\Users\Piotr\Downloads
Task: {87861AD8-9128-4C28-9A56-041A98D376D9} - System32\Tasks\{927C64D1-5F74-43E0-96E3-243178CA1A4B} => pcalua.exe -a F:\Setup.exe -d F:\
Task: {D9D8C9B4-5144-42BF-A4F5-82805EED3CE4} - System32\Tasks\{B9C161D4-3B7F-41BE-88A4-7018DA5581B4} => pcalua.exe -a "C:\Program Files (x86)\Counter-Strike\uninst.exe" -d "C:\Program Files (x86)\Counter-Strike"
Task: {DEB637B7-6E53-4D74-B426-6547236078C5} - System32\Tasks\{6E6E8354-0E68-47C8-A27F-799DEE3E4471} => C:\Program Files (x86)\Nero\Nero ControlCenter 4\ncc.exe [2009-07-13] (Nero AG)
Task: {E041EF48-989F-4331-98F0-0BE1E5503CAE} - System32\Tasks\{D9A75FBC-0B50-4416-BF5A-35D3B3221AB2} => C:\Program Files (x86)\Nero\Nero 9\Nero StartSmart\NeroStartSmart.exe [2009-07-20] (Nero AG)
Task: {E9D3300A-098F-4E22-8939-90CAB8D2B964} - System32\Tasks\{9836D7BD-34B6-4772-886E-EF5DA5794676} => pcalua.exe -a C:\Users\Piotr\AppData\Roaming\qone8\UninstallManager.exe -c-ptid=smt
Task: {F3CBD34E-9A0E-4089-8CAB-4772736CFD77} - System32\Tasks\{5E4EBB3A-5A81-4E97-8D00-C52920C1534F} => C:\Program Files (x86)\Nero\Nero ControlCenter 4\ncc.exe [2009-07-13] (Nero AG)
AlternateDataStreams: C:\ProgramData\TEMP:56E2E879
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\PEVSystemStart => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\procexp90.Sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\PEVSystemStart => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\procexp90.Sys => ""="Driver"
EmptyTemp:

Zapisany skrypt umieść obok ściągniętego programu FRST
Następnie w programie kliknij Fix,po wykonaniu pokaż raport z tego działania.

Odinstaluj:

Adobe Flash Player 15 ActiveX
Adobe Flash Player 15 Plugin
Java 7 Update 67 (64-bit) (HKLM\...\{26A24AE4-039D-4CA4-87B4-2F06417067FF}) (Version: 7.0.670 - Oracle)
Java 7 Update 67 (HKLM-x32\...\{26A24AE4-039D-4CA4-87B4-2F83217017FF}) (Version: 7.0.670 - Oracle)
Java™ 6 Update 24
Pando Media Booster

W przeglądarce Firefox

Otwórz menu w górnym rogu po prawej stronie > otwórz menu pomoc oznaczone czerwoną ramką.

[Aby zobaczyć linki, zarejestruj się tutaj]


Informacje dla pomocy technicznej > Zresetuj program Firefox. Reset nie naruszy zakładek i haseł.

Następnie zaktualizuj do nowszej wersji.

Wykonaj działania programem adwcleaner który masz ściągnięty,kliknij Szukaj i następnie Usuń i po działanianiach pokaż log z niego.

Zrób nowe logi i przedstaw z FRST.txt > Addition.txt
Szukaj
piotrasta Offline
Nowicjusz
Liczba postów: 50
Liczba wątków: 13
Dołączył: 01.12.2013
Reputacja: 0
#3
15.02.2015, 17:51
Przepraszam że dopiero teraz
Addition

[Aby zobaczyć linki, zarejestruj się tutaj]

FRST

[Aby zobaczyć linki, zarejestruj się tutaj]

Shortcut

[Aby zobaczyć linki, zarejestruj się tutaj]

fixlog

[Aby zobaczyć linki, zarejestruj się tutaj]


Adobe Flash Player mam tylko w wersji 16 (taką wersję pokazuje ccleaner)
Jave zostawiłem 7.76 (64-bit) oraz 8.31
Czy log z adwcleaner jest gdzieś zapisany ponieważ zapomniałem o nim?
Szukaj
tachion Offline
Ekipa forum
Liczba postów: 4 766
Liczba wątków: 33
Dołączył: 16.02.2011
Reputacja: 507
#4
16.02.2015, 12:18
piotrasta napisał(a):Jave zostawiłem 7.76 (64-bit)

Masz ją odinstalować.

Do notatnika wklej i zapisz jako fixlist.txt

Kod:
HKU\S-1-5-21-3508492760-1191177628-2857691104-1000\...\Run: [GoogleChromeAutoLaunch_555C9C84E87400ED348C4CD617569470] => C:\Program Files (x86)\Google\Chrome\Application\chrome.exe [843592 2015-02-04] (Google Inc.)
FF Plugin: @java.com/JavaPlugin -> C:\Program Files\Java\jre7\bin\new_plugin\npjp2.dll No File
FF Plugin-x32: @adobe.com/ShockwavePlayer -> C:\Windows\system32\Adobe\Director\np32dsw.dll No File
FF Plugin-x32: @pandonetworks.com/PandoWebPlugin -> C:\Program Files (x86)\Pando Networks\Media Booster\npPandoWebPlugin.dll No File
FF HKLM-x32\...\Firefox\Extensions: [[email protected]] - C:\Program Files\AVAST Software\Avast\WebRep\FF
FF HKLM-x32\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\HP\Digital Imaging\Smart Web Printing\MozillaAddOn3
FF HKU\S-1-5-21-3508492760-1191177628-2857691104-1000\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\HP\Digital Imaging\Smart Web Printing\MozillaAddOn3
S2 HPSLPSVC; C:\Users\Piotr\AppData\Local\Temp\7zS3601\hpslpsvc64.dll [X]
U4 NMIndexingService; No ImagePath
C:\Users\Piotr\Desktop\AdwCleaner (2).exe
C:\Users\Piotr\Desktop\OTL (1).exe
C:\Temp
RemoveDirectory: C:\AdwCleaner
Task: {75E21904-6169-40C6-BC49-ECCA5E7B21EC} - System32\Tasks\{F013EA69-9508-4AA6-80C7-21A3E17183DF} => pcalua.exe -a "C:\Program Files\AVAST Software\Avast\aswRunDll.exe" -c "C:\Program Files\AVAST Software\Avast\Setup\setiface.dll" RunSetup
Task: {7ACC00A1-3704-4DBB-82F9-DE3394946922} - System32\Tasks\{8481BCDE-9BA8-4199-BB46-D2A4DD47FF7D} => pcalua.exe -a C:\Users\Piotr\Desktop\Vuze_4702_windows.exe -d C:\Users\Piotr\Desktop
Reg: reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2 /f
DeleteKey: HKU\.DEFAULT\Software\Microsoft\Internet Explorer\SearchScopes
DeleteKey: HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes
DeleteKey: HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes
EmptyTemp:

Zapisany skrypt umieść obok ściągniętego programu FRST
Następnie w programie kliknij Fix,po wykonaniu pokaż raport z tego działania.
Szukaj
piotrasta Offline
Nowicjusz
Liczba postów: 50
Liczba wątków: 13
Dołączył: 01.12.2013
Reputacja: 0
#5
26.02.2015, 22:20
Mam nadzieję że o to chodziło

[Aby zobaczyć linki, zarejestruj się tutaj]

Szukaj
tachion Offline
Ekipa forum
Liczba postów: 4 766
Liczba wątków: 33
Dołączył: 16.02.2011
Reputacja: 507
#6
26.02.2015, 22:47
Ok poprawnie się wykonało,myślę że jest wszystko ok ?
Szukaj
piotrasta Offline
Nowicjusz
Liczba postów: 50
Liczba wątków: 13
Dołączył: 01.12.2013
Reputacja: 0
#7
28.02.2015, 18:37
tak wszystko jest ok dzięki myślę że można zamknąć
Szukaj
Wątek zamknięty 


Skocz do:


Użytkownicy przeglądający ten wątek: 1 gości