SafeGroup › Bezpieczeństwo › Pomoc po zainfekowaniu v
Proszę o sprawdzenie logów i pomoc

Tryby wyświetlania wątku
Proszę o sprawdzenie logów i pomoc
kwiatek143 Offline
Nowicjusz
Liczba postów: 5
Liczba wątków: 2
Dołączył: 30.12.2015
Reputacja: 0
#1
30.12.2015, 11:47 (Ten post był ostatnio modyfikowany: 04.01.2016, 14:03 przez nikita.)
Witam i pozdrawiam.
Na moim sprzęcie zaczęły wyskakiwać denerwujące oprogramowania do zainstalowania, których nie można wyłączyć.
I jeszcze bardziej denerwujące reklamy, przekierowania w przeglądarkach internetowych (jest problem nawet żeby odpalić jakikolwiek odcinek serialu, bo jest 1000 reklam i przekierowań).
Parę dni temu postanowiłem przeskanować go Combofixem, instalatory już się nie odpalają, lecz reklamy, itp. zostały, a nawet się nasiliły.

Wysyłam logi i proszę o pomoc.

FRST

[Aby zobaczyć linki, zarejestruj się tutaj]


SHORTCUT

[Aby zobaczyć linki, zarejestruj się tutaj]


ADDITION

[Aby zobaczyć linki, zarejestruj się tutaj]



Z góry dziekuje za pomoc

Notatka od nikita, 04.01.2016 14:00:

Spokojnie, nie krzycz w temacie - to nie przyśpiesza odpowiedzi

Szukaj
Odpowiedz
tachion Offline
Ekipa forum
Liczba postów: 4 766
Liczba wątków: 33
Dołączył: 16.02.2011
Reputacja: 507
#2
01.01.2016, 23:31 (Ten post był ostatnio modyfikowany: 01.01.2016, 23:34 przez tachion.)
Do notatnika wklej i zapisz jako fixlist.txt

Kod:
CloseProcesses:
CreateRestorePoint:
HKLM\...\Run: [gmsd_pl_005010185] => C:\Program Files\gmsd_pl_005010185\gmsd_pl_005010185.exe [3972784 2015-12-23] ()
HKU\S-1-5-21-277916205-3838748793-3997461421-1000\...\Run: [BingSvc] => C:\Users\flower\AppData\Local\Microsoft\BingSvc\BingSvc.exe [144008 2015-12-18] (© 2015 Microsoft Corporation)
HKU\S-1-5-21-277916205-3838748793-3997461421-1000\...\Run: [Interstat] => C:\Users\flower\AppData\Roaming\Interstat\interstat.exe [1207296 2015-12-21] ()
Startup: C:\Users\flower\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\GameRanger.lnk [2015-11-28]
ShortcutTarget: GameRanger.lnk -> C:\Users\flower\AppData\Roaming\GameRanger\GameRanger\GameRanger.exe (GameRanger Technologies)
GroupPolicy: Ograniczenia - Chrome <======= UWAGA
CHR HKLM\SOFTWARE\Policies\Google: Ograniczenia <======= UWAGA
ProxyServer: [S-1-5-21-277916205-3838748793-3997461421-1000] => 127.0.0.1:8118
AutoConfigURL: [S-1-5-21-277916205-3838748793-3997461421-1000] => 127.0.0.1:8118
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ograniczenia <======= UWAGA
HKU\S-1-5-21-277916205-3838748793-3997461421-1000\SOFTWARE\Policies\Microsoft\Internet Explorer: Ograniczenia <======= UWAGA
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = 
HKU\.DEFAULT\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKU\.DEFAULT\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=msnhome
HKU\S-1-5-21-277916205-3838748793-3997461421-1000\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKU\S-1-5-21-277916205-3838748793-3997461421-1000\Software\Microsoft\Internet Explorer\Main,Start Page = hxxps://search.protectedio.com/?u=05a546e78829cabb7d39a162f08f5fb3&c=p1&src=hp&inst=1451328396
SearchScopes: HKLM -> DefaultScope {20B9D1AE-AD1A-38B4-87FE-AF278DA9861D} URL = hxxps://search.protectedio.com/search.php/?q={searchTerms}&u=05a546e78829cabb7d39a162f08f5fb3&c=p1&src=srch&inst=1451328396
SearchScopes: HKLM -> ielnksrch URL = hxxp://www.bing.com/search?q={searchTerms}
SearchScopes: HKLM -> {20B9D1AE-AD1A-38B4-87FE-AF278DA9861D} URL = hxxps://search.protectedio.com/search.php/?q={searchTerms}&u=05a546e78829cabb7d39a162f08f5fb3&c=p1&src=srch&inst=1451328396
SearchScopes: HKU\S-1-5-21-277916205-3838748793-3997461421-1000 -> DefaultScope {20B9D1AE-AD1A-38B4-87FE-AF278DA9861D} URL = hxxps://search.protectedio.com/search.php/?q={searchTerms}&u=05a546e78829cabb7d39a162f08f5fb3&c=p1&src=srch&inst=1451328396
SearchScopes: HKU\S-1-5-21-277916205-3838748793-3997461421-1000 -> {20B9D1AE-AD1A-38B4-87FE-AF278DA9861D} URL = hxxps://search.protectedio.com/search.php/?q={searchTerms}&u=05a546e78829cabb7d39a162f08f5fb3&c=p1&src=srch&inst=1451328396
SearchScopes: HKU\S-1-5-21-277916205-3838748793-3997461421-1000 -> {ielnksrch} URL = hxxp://www.bing.com/search?q={searchTerms}
FF Homepage: hxxp://www.gazeta.pl/0,0.html?p=187
FF SearchPlugin: C:\Users\flower\AppData\Roaming\Mozilla\Firefox\Profiles\0w27leoa.default\searchplugins\findit.xml [2015-11-22]
FF Extension: Discover Treasure - C:\Users\flower\AppData\Roaming\Mozilla\Firefox\Profiles\0w27leoa.default\Extensions\{81112df0-4f09-4d70-8d83-af69c458ff7b}.xpi [2015-10-18] [Brak podpisu cyfrowego]
CHR HomePage: Default -> msn.com/?pc=__PARAM__&ocid=__PARAM__DHP&osmkt=pl-pl
CHR StartupUrls: Default -> "hxxp://www.istartpageing.com/?type=hp&ts=1450880451&z=79a0b2f773d4f8c23d94914g4z0w1ebb8b4e4z7z6b&from=cmi&uid=TOSHIBAXMK2576GSX_61TKT4X5TXX61TKT4X5T"
CHR DefaultSearchURL: Default -> hxxp://www.bing.com/search?FORM=__PARAM__DF&PC=__PARAM__&q={searchTerms}
CHR DefaultSearchKeyword: Default -> bing.com
CHR HKU\S-1-5-21-277916205-3838748793-3997461421-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [fcfenmboojpjinhpgggodefccipikbpd] - hxxps://clients2.google.com/service/update2/crx
StartMenuInternet: Google Chrome - C:\Program Files\Google\Chrome\Application\chrome.exe hxxp://www.piesearch.com/?type=sc&ts=1451227982&pid=etc1221&uid=bfa2b39c-06dd-4889-a743-8a109149e3b5
R2 PrivoxyService; C:\Program Files\Jelbruss Secure Web\privoxy.exe [371200 2015-12-23] (The Privoxy team - www.privoxy.org) [Brak podpisu cyfrowego] <==== UWAGA
R2 SSFK; C:\Program Files\SFK\SSFK.exe [172192 2015-12-25] (TODO: <???>)
R2 WdMan; C:\ProgramData\WWdMW\WdMan.exe [338056 2015-12-25] (TFuns LIMITED)
R2 WinNetSvc; C:\Users\flower\AppData\Roaming\WinNetSvc\WinNetSvc.exe [4845408 2015-12-16] ()
R2 woforemu; C:\Users\flower\AppData\Local\4C4C4544-1450721111-5110-804E-C4C04F4C5131\snsd9041.tmp [337920 2015-12-21] () [Brak podpisu cyfrowego]
S1 swsedrvr_vt_1_10_0_25; system32\drivers\swsedrvr_vt_1_10_0_25.sys [X]
S1 wfdrvr_vt_1_10_0_28; system32\drivers\wfdrvr_vt_1_10_0_28.sys [X]
C:\ColdSearch.xml
C:\Users\flower\AppData\rundir
C:\ProgramData\mntemp
C:\ProgramData\rxsmznjf.zcp
C:\Users\flower\AppData\Roaming\systweak
C:\Program Files\Feed Notifier
C:\Users\flower\AppData\Local\4C4C4544-1450884082-5110-804E-C4C04F4C5131
C:\Users\flower\AppData\Roaming\Google
C:\Users\flower\AppData\Roaming\WinNetSvc
C:\Users\flower\AppData\Roaming\yoursearching
C:\Program Files\SpaceSoundPro
C:\Program Files\SpaceSondPro_v53.11140
C:\Users\flower\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Interstat
C:\Users\flower\AppData\Roaming\Interstat
C:\Program Files\SFK
C:\Users\flower\AppData\Roaming\NetService
C:\Users\flower\AppData\Roaming\RunDir
C:\Users\flower\AppData\Roaming\ASPackage
C:\Users\flower\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\VOPackage
C:\Windows\system32\Drivers\etc\hp.bak
C:\Users\flower\AppData\Local\StormFall
C:\ProgramData\Tmp0x0x
C:\Users\flower\AppData\Roaming\istartpageing
C:\ProgramData\{262E20B8-6E20-4CEF-B1FD-D022AB1085F5}.dat
ShortcutWithArgument: C:\Users\Public\Desktop\Opera.lnk -> C:\Program Files\Opera\launcher.exe (Opera Software) -> hxxp://www.piesearch.com/?type=sc&ts=1451227982&pid=etc1221&uid=bfa2b39c-06dd-4889-a743-8a109149e3b5
Task: {00431AA4-5BC0-4908-B4BB-C4C96E45DB88} - System32\Tasks\psv_Biotop => /c regedit.exe /s "C:\ProgramData\Lightzap\QvoTip.reg" &amp; del "C:\ProgramData\Lightzap\QvoTip.reg" &amp; SCHTASKS /Delete /TN "psv_Biotop" /F <==== UWAGA
Task: {1B1EDE66-1BD4-4BC3-BD1E-906B907CCAC0} - System32\Tasks\SmartWeb Upgrade Trigger Task => C:\Users\flower\AppData\Local\SmartWeb\SmartWebHelper.exe <==== UWAGA
Task: {2CB538D4-CCA0-4628-B180-C4A6A6FF04BE} - System32\Tasks\Admin Checker => C:\Users\flower\AppData\Roaming\Admin Checker\Admin Checker.exe [2015-12-20] () <==== UWAGA
Task: {2E08A393-84E3-43C3-B3E9-9C02F4FCE017} - System32\Tasks\psv_Lexitam => /c regedit.exe /s "C:\ProgramData\Lightzap\IsQuoeco.reg" &amp; del "C:\ProgramData\Lightzap\IsQuoeco.reg" &amp; SCHTASKS /Delete /TN "psv_Lexitam" /F <==== UWAGA
Task: {4BB9536B-5741-4AC0-AD8C-7B56CB289717} - System32\Tasks\psv_HotZunfind => /c regedit.exe /s "C:\ProgramData\Lightzap\Trippletex.reg" &amp; del "C:\ProgramData\Lightzap\Trippletex.reg" &amp; SCHTASKS /Delete /TN "psv_HotZunfind" /F <==== UWAGA
Task: {4D4558D1-5784-4674-AB83-19A65E0DFD89} - System32\Tasks\Safesoft Service Service => C:\Program Files\Safesoft Service\SafesoftService.exe [2015-12-23] (Backup Updater) <==== UWAGA
Task: {4D7D09AB-AA9F-4485-A153-F8573152B99B} - System32\Tasks\psv_Lightnix => /c regedit.exe /s "C:\ProgramData\Lightzap\HotRon.reg" &amp; del "C:\ProgramData\Lightzap\HotRon.reg" &amp; SCHTASKS /Delete /TN "psv_Lightnix" /F <==== UWAGA
Task: {5A4E50B0-F595-46A1-A574-AB009E1D6E1D} - System32\Tasks\{9502CF41-3032-4F87-9FA4-86F9165F5CC1} => pcalua.exe -a C:\Users\flower\AppData\Roaming\istartpageing\UninstallManager.exe -c  -ptid=cornl
Task: {7B7B6412-6998-4CF7-93C3-B0293B029008} - System32\Tasks\{B461B94E-570D-4B59-A89E-BE5D1156FF5A} => pcalua.exe -a "C:\Users\flower\Desktop\Nowy folder\C3XKT_A00_setup_ZPE.exe" -d "C:\Users\flower\Desktop\Nowy folder"
Task: {8E043D85-9570-46A2-B2A7-1F7A3ECADF76} - System32\Tasks\{31054892-D169-42C5-A3E2-8B635ECF6120} => pcalua.exe -a C:\Users\flower\AppData\Roaming\istartpageing\UninstallManager.exe -c  -ptid=cmi
Task: {CEE83F59-E972-4B7B-B250-EB3E2E1A120F} - System32\Tasks\Adobe Acrobat Update Task => C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe [2015-10-28] (Adobe Systems Incorporated)
Task: {D7F6B831-B844-4592-939B-568BCFEFCF60} - System32\Tasks\psv_Aptop => /c regedit.exe /s "C:\ProgramData\Lightzap\BigLam.reg" &amp; del "C:\ProgramData\Lightzap\BigLam.reg" &amp; SCHTASKS /Delete /TN "psv_Aptop" /F <==== UWAGA
Task: {EC703AE3-6B12-4314-8CA7-EE3B05DDC0EC} - System32\Tasks\Jelbruss Secure Web Service => C:\Program Files\Jelbruss Secure Web\jswtask.exe [2015-12-23] (West CH Soft) <==== UWAGA
CMD: netsh advfirewall reset
CMD: C:\Users\flower\Downloads\ComboFix.exe /uninstall
RemoveProxy:
EmptyTemp:

Zapisany skrypt umieść obok ściągniętego programu FRST 
Następnie w programie kliknij Napraw. Po wykonaniu pokaż raport z tego działania.

Odinstaluj:

Adobe Flash Player 19 NPAPI
Compatible Web Directory
Copy Network Card
Setup

Ściągnij program

[Aby zobaczyć linki, zarejestruj się tutaj]

kliknij Szukaj i następnie Usuń

Pokaż raport z niego.


Zrób nowe logi i przedstaw z FRST.txt > Addition.txt
Szukaj
Odpowiedz
kwiatek143 Offline
Nowicjusz
Liczba postów: 5
Liczba wątków: 2
Dołączył: 30.12.2015
Reputacja: 0
#3
02.01.2016, 16:38
to log z programu o ktory prosile ;p



# AdwCleaner v5.027 - Utworzono raport 02/01/2016 o 10:33:06
# Ostatnia aktualizacja 30/12/2015 przez Xplode
# Baza danych : 2015-12-30.1 [Lokalny]
# System operacyjny : Windows 7 Home Premium Service Pack 1 (x86)
# Nazwa użytkownika : flower - DRZEWO
# Lokalizacja programu : C:\Users\flower\Downloads\AdwCleaner.exe
# Działanie : Usuń
# Wsparcie :

[Aby zobaczyć linki, zarejestruj się tutaj]


***** [ Usługi ] *****

[-] Usługa usunięto : PrivoxyService
[-] Usługa usunięto : SSFK
[-] Usługa usunięto : WdMan

***** [ Foldery ] *****

[-] Folder usunięto : C:\Program Files\RayDld
[-] Folder usunięto : C:\Program Files\gmsd_pl_005010185
[!] Folder Nie usunięto : C:\Program Files\gmsd_pl_005010185
[-] Folder usunięto : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\GAMESDESKTOP
[-] Folder usunięto : C:\Users\flower\AppData\Local\gmsd_pl_005010185
[!] Folder Nie usunięto : C:\Users\flower\AppData\Local\gmsd_pl_005010185
[-] Folder usunięto : C:\Users\flower\AppData\Local\4C4C4544-1450721111-5110-804E-C4C04F4C5131
[-] Folder usunięto : C:\Users\flower\AppData\Local\Google\Chrome\User Data\Default\Extensions\fcfenmboojpjinhpgggodefccipikbpd
[-] Folder usunięto : C:\Users\flower\AppData\Roaming\Mozilla\Firefox\Profiles\0w27leoa.default\Extensions\firefox@helper

***** [ Pliki ] *****

[-] Plik usunięto : C:\Users\flower\AppData\Local\Google\Chrome\User Data\Default\Local Storage\chrome-extension_fcfenmboojpjinhpgggodefccipikbpd_0.localstorage
[-] Plik usunięto : C:\Users\flower\AppData\Roaming\Mozilla\Firefox\Profiles\0w27leoa.default\searchplugins\search.xml
[-] Plik usunięto : C:\Windows\system32\findit.xml

***** [ DLLs ] *****


***** [ Skróty ] *****


***** [ Zaplanowane zadania ] *****


***** [ Rejestr ] *****

[-] Klucz usunięto : HKLM\SYSTEM\CurrentControlSet\Services\Eventlog\Application\WindowsMangerProtect
[-] Klucz usunięto : HKLM\SYSTEM\CurrentControlSet\Services\Eventlog\Application\NetTcpHandler
[-] Klucz usunięto : HKLM\SOFTWARE\Classes\AppID\{85198F55-85AC-498A-BFE4-BBC33840F4AB}
[-] Klucz usunięto : HKLM\SOFTWARE\Classes\CLSID\{1AA60054-57D9-4F99-9A55-D0FBFBE7ECD3}
[-] Klucz usunięto : HKLM\SOFTWARE\Classes\CLSID\{459DD0F7-0D55-D3DC-67BC-E6BE37E9D762}
[-] Klucz usunięto : HKLM\SOFTWARE\Classes\CLSID\{F83D1872-D9FF-47F8-B5A0-49CC51E24EE8}
[-] Klucz usunięto : HKLM\SOFTWARE\Classes\Interface\{88459867-DD98-45C8-B96A-B12B77CB698B}
[-] Klucz usunięto : HKLM\SOFTWARE\Classes\TypeLib\{1CA43A3D-3E65-435F-A71D-73A1DB05E389}
[-] Klucz usunięto : HKCU\Software\Tutorials
[-] Klucz usunięto : HKCU\Software\TutoTag
[-] Klucz usunięto : HKCU\Software\PRODUCTSETUP
[-] Klucz usunięto : HKCU\Software\DAILYPCCLEAN
[-] Klucz usunięto : HKCU\Software\Reg\Clean
[-] Klucz usunięto : HKCU\Software\Interstat
[-] Klucz usunięto : HKCU\Software\tstamptoken
[-] Klucz usunięto : HKCU\Software\Microsoft\Tinstalls
[-] Klucz usunięto : HKCU\Software\dobreprogramy
[-] Klucz usunięto : HKLM\SOFTWARE\do-searchSoftware
[-] Klucz usunięto : HKLM\SOFTWARE\Tutorials
[-] Klucz usunięto : HKLM\SOFTWARE\GAMESDESKTOP
[-] Klucz usunięto : HKLM\SOFTWARE\SecureWebChannel
[-] Klucz usunięto : HKLM\SOFTWARE\WdsManPro
[-] Klucz usunięto : HKLM\SOFTWARE\RayDld
[-] Klucz usunięto : HKLM\SOFTWARE\ihpmserver
[-] Klucz usunięto : HKLM\SOFTWARE\Reg\Clean
[-] Klucz usunięto : HKLM\SOFTWARE\NetTcpHandler
[-] Klucz usunięto : HKLM\SOFTWARE\NtSvcHandler
[-] Klucz usunięto : HKLM\SOFTWARE\istartpageingSoftware
[-] Klucz usunięto : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\VOPackage
[-] Klucz usunięto : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{7ADF667E-E14D-4D2C-827C-B0108F0D93BC}
[-] Klucz usunięto : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SU
[-] Klucz usunięto : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\PopupProduct
[-] Klucz usunięto : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{A2D81E70-2A98-4A08-A628-94388B063C5E}
[-] Dane wartości przywrócono : HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURls [Tabs]
[-] Dane wartości przywrócono : HKLM\SOFTWARE\Clients\StartMenuInternet\OperaStable\shell\open\command []

***** [ Przeglądarki internetowe ] *****

[-] [C:\Users\flower\AppData\Roaming\Mozilla\Firefox\Profiles\0w27leoa.default\prefs.js] [Preference] usunięto : user_pref("browser.newtab.url", "hxxps://search.protectedio.com/?u=05a546e78829cabb7d39a162f08f5fb3&c=p1&src=hp&inst=1451675551");
[-] [C:\Users\flower\AppData\Local\Google\Chrome\User Data\Default\Web Data] [Search Provider] usunięto : istartpageing
[-] [C:\Users\flower\AppData\Local\Google\Chrome\User Data\Default\Web Data] [Search Provider] usunięto : google
[-] [C:\Users\flower\AppData\Local\Google\Chrome\User Data\Default\Web Data] [Search Provider] usunięto : psearch
[-] [C:\Users\flower\AppData\Local\Google\Chrome\User Data\Default\Web Data] [Search Provider] usunięto : search io
[-] [C:\Users\flower\AppData\Local\Google\Chrome\User Data\Default\Secure Preferences] [Default_Search_Provider] usunięto : hxxp://istartpageing.com/wefavicon.ico
[-] [C:\Users\flower\AppData\Local\Google\Chrome\User Data\Default\Secure Preferences] [Extension] usunięto : fcfenmboojpjinhpgggodefccipikbpd

*************************

:: "Tracing" klucze usunięta
:: Zresetowano ustawienia Winsock

########## EOF - C:\AdwCleaner\AdwCleaner[C2].txt - [5414 bajty] ##########
Szukaj
Odpowiedz
M'cin Offline
Specjalista
Liczba postów: 1 181
Liczba wątków: 36
Dołączył: 12.08.2011
Reputacja: 65
#4
02.01.2016, 16:44
Nie dodałeś loga z FRST po wykonaniu naprawy.
Człowiek, któremu zazdroszczą najlepszych pomysłów na sygnatury...
Szukaj
Odpowiedz
tachion Offline
Ekipa forum
Liczba postów: 4 766
Liczba wątków: 33
Dołączył: 16.02.2011
Reputacja: 507
#5
03.01.2016, 20:29
(02.01.2016, 16:38)kwiatek143 napisał(a):

[Aby zobaczyć linki, zarejestruj się tutaj]

to log z programu o ktory prosile ;p

Czekam na log z wykonania + nowe logi z FRST
Szukaj
Odpowiedz


Skocz do:


Użytkownicy przeglądający ten wątek: 1 gości