Zainfekowany system, wyskakujące reklamy.

[czarny123]

Witam, od jakiegoś czasu mój komputer nieco zamulał, a dodatkowo na ekranie wyświetlały się różne reklamy. Zainstalowałem CCleaner i z jego pomocą usunąłem kilka zbędnych i potencjalnie niebezpiecznych programów, do tego zainstalowałem avast! Free Antivirus, zrobiłem pełne skanowanie systemu, które wyłapało ponad 20 zainfekowanych plików - usunąłem je. Teraz już komputer chodzi lepiej, a reklamy nie wyskakują, jednak chciałbym się upewnić czy wszystko jest OK i dlatego proszę o przejrzenie logów.

 

Podczas skanowania programem GMER wyskoczyły komunikaty:

"C:\Windows\system32\config\system: Proces nie może uzyskać dostępu do pliku, ponieważ jest on używany przez inny proces."

"C:\Users\USER\ntuser.dat: Proces nie może uzyskać dostępu do pliku, ponieważ jest on używany przez inny proces."

 

Addition.txt

Extras.Txt

FRST.txt

GMER.txt

OTL.Txt

Shortcut.txt

[picasso]

Wprawdzie podejmowałeś czynności czyszczące, ale system niestety nie jest wysprzątany. Nadal są czynne obiekty adware i dziwne że reklam / przekierowań nie notujesz. Na dokładkę jeszcze infekcja typu "Bitcoin miner" ładowana via strumienie NTFS - tu coś próbowałeś kombinować i wyłączałeś z poziomu Menedżera zadań Windows 8 taki długi wpis "AAAAA...", ale to nie wystarczy, bo w starcie jest jeszcze jeden wpis rejestrujący moduł.

 

 

Przeprowadź następujące operacje:

 

1. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
HKLM-x32\...\Run: [fst_pl_171] => [X]
HKU\S-1-5-21-2090350958-2652773212-1935591002-1001\...\Run: [svchost] => regsvr32 /s "C:\Temp:162B6F02.dat"
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.sweet-page.com/web/?type=ds&ts=1407358721&from=sof&uid=HitachiXHTS545050A7E380_TEJ511390HMB0P0HMB0PX&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.sweet-page.com/web/?type=ds&ts=1407358721&from=sof&uid=HitachiXHTS545050A7E380_TEJ511390HMB0P0HMB0PX&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.sweet-page.com/web/?type=ds&ts=1407358721&from=sof&uid=HitachiXHTS545050A7E380_TEJ511390HMB0P0HMB0PX&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = http://www.sweet-page.com/web/?type=ds&ts=1407358721&from=sof&uid=HitachiXHTS545050A7E380_TEJ511390HMB0P0HMB0PX&q={searchTerms}
StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe http://www.sweet-page.com/?type=sc&ts=1407358721&from=sof&uid=HitachiXHTS545050A7E380_TEJ511390HMB0P0HMB0PX
BHO-x32: CouponDownloader -> {c817d3d8-b9da-521d-971d-2c0a747ea697} -> C:\Program Files\C78087A8-C960-4464-A618-3D351DF6C0D7\gohymlmtrh.dll ()
GroupPolicy: Group Policy on Chrome detected 
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction 
Task: {1A8C8425-8B12-4136-B946-980363CA1A34} - System32\Tasks\APSnotifierPP2 => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe 
Task: {24F88517-2C24-43F4-809B-FBEC74BA0518} - System32\Tasks\APSnotifierPP1 => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe 
Task: {7524AC39-61E2-43AD-88FB-BCD62CAF6943} - System32\Tasks\APSnotifierPP3 => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe 
Task: {97B807CA-00F1-427D-B4CF-9D8C876DEACD} - System32\Tasks\globalUpdateUpdateTaskMachineCore => C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe [2014-08-06] (globalUpdate) 
Task: {E6F4A2D5-9D9A-4CEF-B84E-5C1996B8FF48} - System32\Tasks\globalUpdateUpdateTaskMachineUA => C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe [2014-08-06] (globalUpdate) 
Task: C:\Windows\Tasks\APSnotifierPP1.job => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe 
Task: C:\Windows\Tasks\APSnotifierPP2.job => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe 
Task: C:\Windows\Tasks\APSnotifierPP3.job => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe 
Task: C:\Windows\Tasks\globalUpdateUpdateTaskMachineCore.job => C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe 
Task: C:\Windows\Tasks\globalUpdateUpdateTaskMachineUA.job => C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe 
S2 globalUpdate; C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe [68608 2014-08-06] (globalUpdate) [File not signed]
S3 globalUpdatem; C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe [68608 2014-08-06] (globalUpdate) [File not signed]
R2 IePluginServices; C:\ProgramData\IePluginServices\PluginService.exe [694784 2014-08-06] (Cherished Technololgy LIMITED) [File not signed]
R1 {55dce8ba-9dec-4013-937e-adbf9317d990}w64; C:\Windows\System32\drivers\{55dce8ba-9dec-4013-937e-adbf9317d990}w64.sys [61584 2014-08-09] (StdLib)
R1 {6fcd6092-9615-4f7f-8898-8df53980e5d2}w64; C:\Windows\System32\drivers\{6fcd6092-9615-4f7f-8898-8df53980e5d2}w64.sys [61624 2014-08-06] (StdLib)
U4 BthAvrcpTg; No ImagePath
U4 BthHFEnum; No ImagePath
U4 bthhfhid; No ImagePath
ShortcutWithArgument: C:\Users\USER\Documents\Pavilion G7-2210ew\Desktop\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> hxxp://www.delta-homes.com/?type=sc&ts=1384375615&from=mlv&uid=HitachiXHTS545050A7E380_TEJ511390HMB0P0HMB0PX
ShortcutWithArgument: C:\Users\USER\Documents\Pavilion G7-2210ew\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://www.delta-homes.com/?type=sc&ts=1384375615&from=mlv&uid=HitachiXHTS545050A7E380_TEJ511390HMB0P0HMB0PX
ShortcutWithArgument: C:\Users\USER\Documents\Pavilion G7-2210ew\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> hxxp://www.delta-homes.com/?type=sc&ts=1384375615&from=mlv&uid=HitachiXHTS545050A7E380_TEJ511390HMB0P0HMB0PX
ShortcutWithArgument: C:\Users\USER\Documents\Pavilion G7-2210ew\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://www.delta-homes.com/?type=sc&ts=1384375615&from=mlv&uid=HitachiXHTS545050A7E380_TEJ511390HMB0P0HMB0PX
ShortcutWithArgument: C:\Users\USER\Documents\Pavilion G7-2210ew\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> hxxp://www.delta-homes.com/?type=sc&ts=1384375615&from=mlv&uid=HitachiXHTS545050A7E380_TEJ511390HMB0P0HMB0PX
C:\Program Files\004
C:\Program Files (x86)\C78087A8-C960-4464-A618-3D351DF6C0D7
C:\Program Files (x86)\Bench
C:\Program Files (x86)\globalUpdate
C:\Program Files (x86)\Mozilla Firefox
C:\Program Files (x86)\predm
C:\ProgramData\IePluginServices
C:\Users\USER\AppData\Local\*.log
C:\Users\USER\AppData\Local\*.tmp
C:\Users\USER\AppData\Roaming\aps.uninstall.scan.results
C:\Users\USER\AppData\Roaming\ap_logs
C:\Users\USER\AppData\Roaming\Mozilla
C:\Users\USER\AppData\Roaming\OpenCandy
C:\Users\USER\AppData\Roaming\Opera Software
C:\Users\USER\AppData\Roaming\systweak
C:\Users\USER\Desktop\Nowy folder (2)\Bagger-Simulator 2011 (Demo).lnk
C:\Users\USER\Documents\Pavilion G7-2210ew\Desktop\VSO Downloader 3.lnk
C:\Users\USER\Documents\Pavilion G7-2210ew\Desktop\dawid\*.lnk
C:\Users\USER\Documents\Pavilion G7-2210ew\AppData\Roaming\Microsoft\Windows\Start Menu\FreshDownload.lnk
C:\Users\USER\Documents\Pavilion G7-2210ew\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\PC App Store.lnk
C:\Users\USER\Documents\Pavilion G7-2210ew\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Torpedo.lnk
C:\Users\USER\Documents\Pavilion G7-2210ew\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\SaveSense
C:\Users\USER\Documents\Pavilion G7-2210ew\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Mobogenie
C:\Users\USER\Documents\Pavilion G7-2210ew\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\IMVU
C:\Users\USER\Documents\Pavilion G7-2210ew\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\DealPly
C:\Users\USER\Documents\Pavilion G7-2210ew\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Boxoft Toolbox
C:\Users\USER\Documents\Pavilion G7-2210ew\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\*.lnk
C:\Users\USER\Documents\Pavilion G7-2210ew\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Mobogenie.lnk
C:\Users\USER\Downloads\yet_another_cleaner_brof.exe
C:\Temp
C:\Windows\System32\drivers\{55dce8ba-9dec-4013-937e-adbf9317d990}w64.sys
C:\Windows\System32\drivers\{6fcd6092-9615-4f7f-8898-8df53980e5d2}w64.sys
DeleteKey: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run
Reg: reg delete HKCU\Software\Mozilla /f
Reg: reg delete HKCU\Software\MozillaPlugins /f
Reg: reg delete HKLM\SOFTWARE\MozillaPlugins /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Mozilla /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\mozilla.org /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\MozillaPlugins /f
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. System zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Na wszelki wypadek w Google Chrome:

- Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Zresetuj ustawienia przeglądarki. Zakładki i hasła nie zostaną naruszone.

- Zresetuj cache wtyczek. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie Włącz.

 

3. Uruchom AdwCleaner. Zastosuj Szukaj, a po tym Usuń. Powstanie folder C:\AdwCleaner z raportem z usuwania.

 

4. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt i log z AdwCleaner. I powiedz mi co to za folder:

 

C:\Users\USER\Documents\Pavilion G7-2210ew

 

Czy to "kopia" ustawień jakiegoś starego konta?

 

 

 

 

.

[czarny123]

1. Zrobione

2. Zrobione

3. Tak, ten folder to kopia ustawień starego konta, aczkolwiek nie ja ją tworzyłem (nie jestem pierwszym, ani jedynym użytkownikiem komputera).

AdwCleanerS0.txt

FRST.txt

[picasso]

Brakuje pliku fixlog.txt, który powstał podczas przetwarzania skryptu FRST - uzupełnij ten plik.

 

 

Tak, ten folder to kopia ustawień starego konta, aczkolwiek nie ja ją tworzyłem (nie jestem pierwszym, ani jedynym użytkownikiem komputera).

Częściowy wgląd w ten folder (logi są ograniczone) wskazuje, że profil jest zaśmiecony. Przetwarzałam tylko to co zdołałam zobaczyć. Nie wiem w jakim celu kopia jest przetrzymywana, ale ona raczej się nie nadaje do przywracania i trzeba tam wysprzątać.

 

 

 

.

[czarny123]

Tak, rzeczywiście. Przeoczyłem ten plik. Już wrzucam.

Fixlog.txt

[picasso]

Wszystko przetworzone pomyślnie.

 

1. Drobna poprawka, bo zapomniałam jednego klucza załączyć. Otwórz Notatnik i wklej w nim:

 

Reg: reg delete HKLM\SOFTWARE\Mozilla /f
CMD: del /q C:\Windows\SysWOW64\sqlite3.dll
RemoveDirectory: C:\Users\USER\AppData\Roaming\Mozilla
DeleteQuarantine:

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Dostarcz wynikowy fixlog.txt przed podjęciem działania poniżej (skasuje ten plik).

 

2. Następnie zastosuj DelFix i też dostarcz log wynikowy.

 

Uwaga dodatkowa: posługiwałeś się HijackThis (DelFix go skasuje). Program jest 32-bitowy i niezgodny z systemami 64-bit. Nie potrafi odczytać natywnie 64-bitowej części (nie stosuje żadnych obejść jak np. OTL) zgłaszając fałszywe braki. Program ten nie powinien być uruchamiany na systemach 64-bit. Zapomnij o nim.

 

 

.

[czarny123]

Ok, wszystko zrobione.

 

Dziękuję za pomoc

Fixlog.txt

DelFix.txt

[picasso]

Wszystko zdaje się być rozwiązane. DelFix też możesz usunąć. Na koniec:

 

1. Wyczyść foldery Przywracania systemu: KLIK.

 

2. I rozważ darmową aktualizację systemu do Windows 8.1:

 

Platform: Windows 8 (X64) OS Language: Polski (Polska)

Internet Explorer Version 10

 

 

.