Podejrzenie programów szpiegujących

szpadyzor45 · 13 Grudnia 2014

Witam,

System to Windows 7 Ultimate 64bit zainstalowany około 2 lata temu, cały czas jest jakiś antyvirus - obecnie AVAST.

Problem był wręcz niezauważalny, lecz otrzymałem maila od pomocy technicznej platformy pokerowej, że zawieszono mi konto gdyż podejrzana aktywność na koncie sugeruje, że ktoś loguje się moimi danymi. Zasugerowano mi, żebym oczyścił komputer, gdyż najprawdopodobniej mam oprogramowanie typu keylogger.

Próba instalacji dodatkowego firewalla - COMODO zakończyła się strasznym zamuleniem systemu - brak możliwości uruchomienia połowy aplikacji oraz częste zawieszenia systemu. Obecnie odinstalowałem ten firewall.

Bardzo proszę o sprawdzenie logów.

Results of screen317's Security Check version 0.99.93

Windows 7 Service Pack 1 x64

Internet Explorer 11

``````````````Antivirus/Firewall Check:``````````````

WMI entry may not exist for antivirus; attempting automatic update.

`````````Anti-malware/Other Utilities Check:`````````

iSpy

Java 7 Update 25

Java 8 Update 25

Java version 32-bit out of Date!

Adobe Flash Player 16.0.0.235

Adobe Reader XI

Mozilla Firefox (34.0.5)

Google Chrome (39.0.2171.71)

Google Chrome (39.0.2171.95)

````````Process Check: objlist.exe by Laurent````````

AVAST Software Avast AvastSvc.exe

AVAST Software Avast AvastUI.exe

`````````````````System Health check`````````````````

Total Fragmentation on Drive C:

````````````````````End of Log``````````````````````

picasso · 14 Grudnia 2014

Problem był wręcz niezauważalny, lecz otrzymałem maila od pomocy technicznej platformy pokerowej, że zawieszono mi konto gdyż podejrzana aktywność na koncie sugeruje, że ktoś loguje się moimi danymi. Zasugerowano mi, żebym oczyścił komputer, gdyż najprawdopodobniej mam oprogramowanie typu keylogger.

Próba instalacji dodatkowego firewalla - COMODO zakończyła się strasznym zamuleniem systemu - brak możliwości uruchomienia połowy aplikacji oraz częste zawieszenia systemu. Obecnie odinstalowałem ten firewall.

Czy po incydencie zmieniłeś dane logowania? Jeśli chodzi o ochronę przed keyloggerami, to wypróbuj aplikacje specjalizowane pod tym kątem: KeyScrambler (dostępna wersja darmowa Personal), SpyShelter (dostępna wersja darmowa Free), Zemana Antilogger (dostępna wersja darmowa Free).

W podanych tu raportach nie widać żadnych czynnych śladów tego typu infekcji. Poniższe programy monitorujące to oczywiście celowa instalacja?

Hidden Recorder (HKLM-x32\...\Hidden Recorder) (Version: - )
iSpy (HKLM-x32\...\{067B0B45-5718-4AF1-AAAB-A8D0894183A0}) (Version: 5.6.8 - iSpy)

Ale i tak jest tu co czyścić: odpadki infekcji "policyjnej", adware i innych programów. Dodatkowa uwaga na temat poniższych plików, to nie są poprawne instalatory tylko śmieci, "Asystent pobierania" dobrychprogramów i "Softonic Downloader": KLIK.

C:\Users\admin\Downloads\Comodo-Personal-Firewall(20399)-dp.exe

C:\Users\admin\Downloads\SoftonicDownloader_dla_ashampoo-firewall.exe

1. Odinstaluj EZDownloader (adware), GeekBuddy (od COMODO) oraz stare wersje HiJackThis + Java 7 Update 25.

2. Otwórz Notatnik i wklej w nim:

CloseProcesses:
GroupPolicy: Group Policy on Chrome detected 
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction 
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction 
HKU\S-1-5-21-1306738418-3678984601-3552450241-1000\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction 
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page =
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL =
HKU\S-1-5-21-1306738418-3678984601-3552450241-1000\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKU\S-1-5-21-1306738418-3678984601-3552450241-1000\Software\Microsoft\Internet Explorer\Main,Start Page = http://websearch.flyandsearch.info/?pid=724&r=2014/09/01&hid=10365097588873204831&lg=EN&cc=PL
SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://search.dosearches.com/web/?utm_source=b&utm_medium=cor&utm_campaign=rg&utm_content=ds&from=cor&uid=WDCXWD6400AACS-00G8B1_WD-WCAUF299592495924&ts=1383949410&type=default&q={searchTerms}
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://search.dosearches.com/web/?utm_source=b&utm_medium=cor&utm_campaign=rg&utm_content=ds&from=cor&uid=WDCXWD6400AACS-00G8B1_WD-WCAUF299592495924&ts=1383949410&type=default&q={searchTerms}
SearchScopes: HKLM-x32 -> DefaultScope {BB74DE59-BC4C-4172-9AC4-73315F71CFFE} URL = http://websearch.flyandsearch.info/?l=1&q={searchTerms}&pid=724&r=2014/09/01&hid=10365097588873204831&lg=EN&cc=PL
SearchScopes: HKLM-x32 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://search.dosearches.com/web/?utm_source=b&utm_medium=cor&utm_campaign=rg&utm_content=ds&from=cor&uid=WDCXWD6400AACS-00G8B1_WD-WCAUF299592495924&ts=1383949410&type=default&q={searchTerms}
SearchScopes: HKLM-x32 -> {BB74DE59-BC4C-4172-9AC4-73315F71CFFE} URL = http://websearch.flyandsearch.info/?l=1&q={searchTerms}&pid=724&r=2014/09/01&hid=10365097588873204831&lg=EN&cc=PL
SearchScopes: HKU\S-1-5-21-1306738418-3678984601-3552450241-1000 -> DefaultScope {BB74DE59-BC4C-4172-9AC4-73315F71CFFE} URL = http://websearch.flyandsearch.info/?l=1&q={searchTerms}&pid=724&r=2014/09/01&hid=10365097588873204831&lg=EN&cc=PL
SearchScopes: HKU\S-1-5-21-1306738418-3678984601-3552450241-1000 -> {BB74DE59-BC4C-4172-9AC4-73315F71CFFE} URL = http://websearch.flyandsearch.info/?l=1&q={searchTerms}&pid=724&r=2014/09/01&hid=10365097588873204831&lg=EN&cc=PL
Toolbar: HKLM - avast! Online Security - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} - No File
Toolbar: HKLM - No Name - {CC1A175A-E45B-41ED-A30C-C9B1D7A0C02F} - No File
FF Plugin-x32: @esn/esnlaunch,version=2.1.7 -> C:\Program Files (x86)\Battlelog Web Plugins\2.1.7\npesnlaunch.dll No File
FF Plugin HKU\S-1-5-21-1306738418-3678984601-3552450241-1000: @tools.google.com/Google Update;version=3 -> C:\Users\admin\AppData\Local\Google\Update\1.3.24.15\npGoogleUpdate3.dll No File
FF Plugin HKU\S-1-5-21-1306738418-3678984601-3552450241-1000: @tools.google.com/Google Update;version=9 -> C:\Users\admin\AppData\Local\Google\Update\1.3.24.15\npGoogleUpdate3.dll No File
FF SearchPlugin: C:\Program Files (x86)\mozilla firefox\browser\searchplugins\dosearches.xml
CHR Extension: (SweetIM for Facebook) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\jcdgjdiieiljkfkdcloehkohchhpekkn [2014-09-01]
CHR Extension: (SweetPacks Chrome Extension) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\ogccgbmabaphcakpiclgcnmcnimhokcj [2014-09-01]
CHR HKLM-x32\...\Chrome\Extension: [jbpkiefagocgkmemidfngdkamloieekf] - C:\Program Files (x86)\TornTV.com\torn10.crx [Not Found]
CHR HKLM-x32\...\Chrome\Extension: [jcdgjdiieiljkfkdcloehkohchhpekkn] - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\External Extensions\{EEE6C373-6118-11DC-9C72-001320C79847}\SweetFB.crx [2012-11-19]
CHR HKLM-x32\...\Chrome\Extension: [ogccgbmabaphcakpiclgcnmcnimhokcj] - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\External Extensions\{EEE6C373-6118-11DC-9C72-001320C79847}\SweetNT.crx [2012-11-19]
HKU\S-1-5-21-1306738418-3678984601-3552450241-1000\...\Run: [Google Update] => "C:\Users\admin\AppData\Local\Google\Update\GoogleUpdate.exe" /c
CustomCLSID: HKU\S-1-5-21-1306738418-3678984601-3552450241-1000_Classes\CLSID\{355EC88A-02E2-4547-9DEE-F87426484BD1}\InprocServer32 -> C:\Users\admin\AppData\Local\Google\Update\1.3.23.9\psuser_64.dll No File
CustomCLSID: HKU\S-1-5-21-1306738418-3678984601-3552450241-1000_Classes\CLSID\{90B3DFBF-AF6A-4EA0-8899-F332194690F8}\InprocServer32 -> C:\Users\admin\AppData\Local\Google\Update\1.3.24.15\psuser_64.dll No File
CustomCLSID: HKU\S-1-5-21-1306738418-3678984601-3552450241-1000_Classes\CLSID\{E8CF3E55-F919-49D9-ABC0-948E6CB34B9F}\InprocServer32 -> C:\Users\admin\AppData\Local\Google\Update\1.3.24.15\psuser_64.dll No File
CustomCLSID: HKU\S-1-5-21-1306738418-3678984601-3552450241-1000_Classes\CLSID\{FE498BAB-CB4C-4F88-AC3F-3641AAAF5E9E}\InprocServer32 -> C:\Users\admin\AppData\Local\Google\Update\1.3.24.7\psuser_64.dll No File
Task: {0751FD4B-A42F-45B4-8F38-FE9EBCEC4A09} - System32\Tasks\{C3CBD61F-AF97-4051-91B8-C8D9B87716D4} => G:\EFILMLT.EXE
Task: {0DF26EE2-EDB3-4EF5-9F4C-641FF82362D0} - System32\Tasks\GoogleUpdateTaskUserS-1-5-21-1306738418-3678984601-3552450241-1000Core => C:\Users\admin\AppData\Local\Google\Update\GoogleUpdate.exe
Task: {1352AD37-B7E1-49A6-AB74-6A70C9217E6B} - System32\Tasks\{6E86D655-DEA5-4B9A-9015-23676207B1C3} => J:\Obrazy\FIFA 13\Game\fifa13.exe
Task: {2372425D-A07C-482E-A2C9-29935CB4906C} - System32\Tasks\{3FA0D398-1D0F-4674-BE27-ECF5EA30E675} => pcalua.exe -a "C:\Program Files (x86)\Pontifex II\SETUP.EXE" -d "C:\Program Files (x86)\Pontifex II"
Task: {280B4450-1F5E-4747-B61E-5F9B41287935} - System32\Tasks\{426D6E68-D823-45A9-9A48-6099C157AD53} => E:\GRY ORIGIN\Battlefield 4 Beta\bf4.exe
Task: {2D0AFBC3-B49D-4CB5-A45F-02DFDB142922} - System32\Tasks\{1DAA94B3-D2E5-45E4-A740-BF4D843B1A9A} => G:\eFilmLite\eFilmLt.exe
Task: {51DFD1A8-3010-450C-8354-9B88DE7466BD} - System32\Tasks\{219F0107-1B03-4829-B312-DE392C48E705} => pcalua.exe -a "C:\Program Files (x86)\Nokia\Nokia PC Suite 7\ApplicationInstaller.exe" -d C:\Users\admin\Downloads -c "C:\Users\admin\Downloads\QuickMark_Big5_PlugIn_S60_2nd.SIS"
Task: {5802663C-546F-4C0E-8C94-0C831D3D1724} - System32\Tasks\CIS_{15198508-521A-4D69-8E5B-B94A6CCFF805} => C:\ProgramData\cis9BB2.exe [2014-12-09] (COMODO)
Task: {9113A1BE-1F5E-42F3-BEB8-D8CEEE93BA8B} - System32\Tasks\{B4FF78E9-1A6C-45EB-8FF9-E28407DC20F0} => pcalua.exe -a C:\Users\admin\Downloads\Second_Life_Setup.exe -d C:\Users\admin\Downloads
Task: {AF096DD8-55D2-4664-8032-C22924E81815} - System32\Tasks\GoogleUpdateTaskUserS-1-5-21-1306738418-3678984601-3552450241-1000UA => C:\Users\admin\AppData\Local\Google\Update\GoogleUpdate.exe
Task: {C85CD46C-8E6F-4DD3-BB3C-312BA2251516} - System32\Tasks\{770D11A4-6228-49A5-806F-016E7EDD1450} => E:\mosty\Bridge.exe
Task: {D8A990E2-A9D1-468D-9F87-8E624814D5C9} - System32\Tasks\{B9EC4C24-6D33-4D15-929B-6DF42A39AF2B} => C:\Program Files (x86)\Free DVD Creator\dvdcreator.exe
Task: {E23679E0-282E-4A8E-A58B-2A36E2A2B5F8} - System32\Tasks\{E8CAAF2E-C982-4C4D-8784-E3F987FBB7FD} => G:\eFilmLite\eFilmLt.exe
Task: C:\Windows\Tasks\GoogleUpdateTaskUserS-1-5-21-1306738418-3678984601-3552450241-1000Core.job => C:\Users\admin\AppData\Local\Google\Update\GoogleUpdate.exe
Task: C:\Windows\Tasks\GoogleUpdateTaskUserS-1-5-21-1306738418-3678984601-3552450241-1000UA.job => C:\Users\admin\AppData\Local\Google\Update\GoogleUpdate.exe
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\PEVSystemStart => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\procexp90.Sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\PEVSystemStart => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\procexp90.Sys => ""="Driver"
S3 ALSysIO; \??\C:\Users\admin\AppData\Local\Temp\ALSysIO64.sys [X]
S3 catchme; \??\C:\ComboFix\catchme.sys [X]
S3 cpuz135; \??\C:\Users\admin\AppData\Local\Temp\cpuz135\cpuz135_x64.sys [X]
S4 NVHDA; system32\drivers\nvhda64v.sys [X]
S4 nvlddmkm; system32\DRIVERS\nvlddmkm.sys [X]
C:\Program Files (x86)\EZDownloader
C:\ProgramData\cis9BB2.exe
C:\ProgramData\flwjycbm.bab
C:\ProgramData\TEMP
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Comodo
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\EZDownloader
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\GOG.com
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\OCCT
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Pontifex II
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\SpeedFan
C:\Users\admin\wgsdgsdgdsgsd.dll
C:\Users\admin\AppData\Local\cache
C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Preferences
C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\External Extensions
C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Local Storage\*localstorage*
C:\Users\admin\AppData\Local\Mobogenie
C:\Users\admin\AppData\Roaming\apachesrvin.vbs
C:\Users\admin\AppData\Roaming\die.bat
C:\Users\admin\AppData\Roaming\Baidu
C:\Users\admin\AppData\Roaming\Leadertech
C:\Users\admin\AppData\Roaming\Leawo
C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\TornTV.com
C:\Users\admin\AppData\Roaming\Omerta
C:\Users\admin\AppData\Roaming\OpenCandy
C:\Users\admin\AppData\Roaming\systweak
C:\Users\admin\Downloads\*(*)-dp*.exe
C:\Users\admin\Downloads\SoftonicDownloader_*.exe
C:\Users\Public\Desktop\COMODO Firewall.lnk
C:\Windows\grep.exe
C:\Windows\MBR.exe
C:\Windows\PEV.exe
C:\Windows\sed.exe
C:\Windows\zip.exe
C:\Windows\pss\runctf.lnk.Startup
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\C:^Users^admin^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^runctf.lnk" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Google Update" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SpeedConnectStartUp" /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{0F44DC3A-6E62-4961-A14B-95323C512F9B}_is1 /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{4820778D-AB0D-6D18-C316-52A6A0E1D507} /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{7DD5E91C-3864-77EC-7635-D14910C2A03E} /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{FDB962F0-B5B8-9460-D12F-7966E97BAA43} /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\Main" /f
CMD: type C:\Windows\System32\Tasks\{E9E4AF8A-D0FE-401B-9198-7C91007C3710}
EmptyTemp:

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

3. Specjalny skrót Internet Explorer jest uszkodzony:

Shortcut: C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation)

W pasku adresów eksploratora wklej ścieżkę C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools i ENTER. Prawoklik na zlokalizowany tam skrót Internet explorer (bez dodatków) > Właściwości > w polu Element docelowy po ścieżce "C:\Program Files\Internet Explorer\iexplore.exe" dopisz dwie spacje i -extoff

4. Wyczyść przeglądarki z adware:

- Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox. Zakładki i hasła nie zostaną naruszone.

- Google Chrome: Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Zresetuj ustawienia przeglądarki. Zakładki i hasła nie zostaną naruszone.

5. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt.

szpadyzor45 · 14 Grudnia 2014

Podczas fix-owania zawiesił się system i nie obyło się bez resetu, więc uruchomiłem ponownie fix. Teraz się zastanawiam czy nie sknociłem przez to logów...

FRST.txt

Fixlog.txt

picasso · 15 Grudnia 2014

Ponowne uruchomienie Fix owszem "sknociło" wyniki - wszystko "not found", bo już w pierwszym podejściu zostało załatwione. Mimo tego wszystko zostało wykonane. Drobne poprawki - otwórz Notatnik i wklej w nim:

Reg: reg delete "HKCU\Software\Microsoft\Windows Script" /f
Reg: reg delete "HKCU\Software\Microsoft\Windows Script Host" /f
RemoveDirectory: C:\Program Files\COMODO
RemoveDirectory: C:\ProgramData\Comodo
RemoveDirectory: C:\ProgramData\YOuutubEAdBlocke
RemoveDirectory: C:\FRST\Quarantine
RemoveDirectory: C:\Users\admin\Desktop\Stare dane programu Firefox

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Pokaż wynikowy fixlog.txt.

szpadyzor45 · 15 Grudnia 2014

Zrobione

Fixlog.txt

picasso · 15 Grudnia 2014

Pierwszą komendę źle wkleiłeś, urwało literkę Reg. Powtórz skrypt o poniższej zawartości i przedstaw wyniki.

Reg: reg delete "HKCU\Software\Microsoft\Windows Script" /f

szpadyzor45 · 15 Grudnia 2014

done

Fixlog.txt

picasso · 16 Grudnia 2014

Fix dokończony. Uruchom AdwCleaner, wybierz opcję Szukaj i dostarcz wynikowy log z folderu C:\AdwCleaner.

szpadyzor45 · 16 Grudnia 2014

zrobione lecz nie usuniete jeszcze

AdwCleanerR0.txt

picasso · 17 Grudnia 2014

1. Przez SHIFT+DEL skasuj poniższe foldery (to falsyfikaty dorobione przez adware):

C:\Users\Administrator

C:\Users\Gość

C:\Users\HomeGroupUser$

C:\Users\postgres.admin-Komputer\AppData\Local\Google

2. Następnie uruchom AdwCleaner, zastosuj kombinację Szukaj + Usuń, dostarcz wynikowy log AdwCleanerS0.txt.

szpadyzor45 · 17 Grudnia 2014

ok

AdwCleanerS0.txt

picasso · 18 Grudnia 2014

W zakresie czyszczenia systemu kończymy. Usuń ręcznie pobrany FRST. Zastosuj DelFix i wyczyść foldery Przywracania systemu: KLIK.

I przypominam wątek:

Czy po incydencie zmieniłeś dane logowania? Jeśli chodzi o ochronę przed keyloggerami, to wypróbuj aplikacje specjalizowane pod tym kątem: KeyScrambler (dostępna wersja darmowa Personal), SpyShelter (dostępna wersja darmowa Free), Zemana Antilogger (dostępna wersja darmowa Free).

szpadyzor45 · 18 Grudnia 2014

Zrobione, wszystkie hasła zmienione po instalacji Keyscrambler'a. Wielkie dzięki picasso.

Zaloguj się

Podejrzenie programów szpiegujących

Rekomendowane odpowiedzi

szpadyzor45

Odnośnik do komentarza

picasso

Odnośnik do komentarza

szpadyzor45

Odnośnik do komentarza

picasso

Odnośnik do komentarza

szpadyzor45

Odnośnik do komentarza

picasso

Odnośnik do komentarza

szpadyzor45

Odnośnik do komentarza

picasso

Odnośnik do komentarza

szpadyzor45

Odnośnik do komentarza

picasso

Odnośnik do komentarza

szpadyzor45

Odnośnik do komentarza

picasso

Odnośnik do komentarza

szpadyzor45

Odnośnik do komentarza

Ostatnio przeglądający 0 użytkowników

Przeglądaj

Cała aktywność