Zainfekowany system

[tamir]

Witam

Proszę o pomoc nie mam zainstalowanego antyvirusa i podczas instalacji programów do diagnostyki HD zainfekowałem system.

Przeglądarka "Opera" szaleje z reklamami mam problem z jej korzystaniem.

Częściowo malware usunąłem adwcleanerem ale nieznanych procesów jest mnóstwo.

Aralutherreeied, BinarySense, hyi9CDA, Microleaves, sbqh, Zerlucult...

Często zawiesza się explorator windows.

W menu kontekstowym pojawiły się jakieś chińskie krzaczki.

 

Załączam logi FRST i GMER

FRST.txt

Addition.txt

log gmer.txt

[jessica]

1) Spróbuj odinstalować te programy:
 

shopperz (HKLM-x32\...\{F0422270-2580-43FE-b53A-7F0BA1FB86E9}) (Version: 2.0.0.480 - shopperz) <==== UWAGA

youndoo - Uninstall (HKLM-x32\...\{B5BE4051-6D7C-4774-9F1E-98892CAFEC77}) (Version:  - ) <==== UWAGA

 

2) jeśli nie znasz, to też odinstaluj:

Online.io Application (HKLM-x32\...\{102BD58E-AC7E-47DB-B2AB-4A444FFF82CF}) (Version: 1.0.8 - Microleaves)

 

3)
Otwórz Notatnik i wklej w nim:

 

Reg: reg add "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager" /v PendingFileRenameOperations /t REG_MULTI_SZ /d "" /f
CMD: for %i in ("C:\Program Files\żěŃą\X86\*.dll") do regsvr32.exe /s /u %i
Task: {0BB8BAC7-6AC8-43F1-8109-AAA3269FF709} - System32\Tasks\b2929b72a96a471893ecaa9c51368bae => C:\Program Files (x86)\hyi9CDA\apn9CEA.bat [2016-08-22] () <==== UWAGA
Task: {4B992A7C-CBBD-4E00-B759-E25F7BC9BF22} - System32\Tasks\Ghurcult Controls => C:\Program Files (x86)\Zerlucult\GhrCntqerpertainaterjeck.exe [2016-08-22] ()
Task: {CFB4741A-24D5-4DF1-A536-D8DB0D2404DC} - System32\Tasks\Bulisp Builder => C:\Program Files (x86)\Aralutherreeied\qcotion.exe
WMI_ActiveScriptEventConsumer_ASEC: <===== UWAGA
RemoveDirectory: C:\Program Files (x86)\hyi9CDA
RemoveDirectory: C:\Program Files (x86)\Zerlucult
RemoveDirectory: C:\Program Files (x86)\Aralutherreeied
RemoveDirectory: C:\Program Files\Yhid
RemoveDirectory: C:\Users\Fifi\AppData\Roaming\Hemkajdoa
RemoveDirectory: C:\Users\Fifi\AppData\Roaming\Geunfy
RemoveDirectory: C:\Program Files (x86)\GreatMaker
C:\Program Files\YhidUn
2016-08-22 21:49 - 2016-08-22 23:16 - 00000000 ____D C:\Users\Fifi\AppData\Local\Tempfolder
2016-08-22 21:49 - 2016-08-22 22:10 - 00000000 ____D C:\Program Files (x86)\Zerlucult
2016-08-22 21:49 - 2016-08-22 22:02 - 00000000 ____D C:\Program Files\Aiduwb
2016-08-22 21:49 - 2016-08-22 21:49 - 00000000 ____D C:\Users\Fifi\AppData\Roaming\Hemkajdoa
2016-08-22 21:49 - 2016-08-22 21:49 - 00000000 ____D C:\Users\Fifi\AppData\LocalLow\Company
2016-08-22 21:48 - 2016-08-22 21:48 - 00000000 _____ C:\Windows\SysWOW64\Number of results
2016-08-22 21:45 - 2016-08-22 21:44 - 00001469 _____ C:\Windows\system32\Drivers\etc\hp.bak
2016-08-22 21:44 - 2016-08-22 23:17 - 00000000 ____D C:\Program Files (x86)\sbqh
2016-08-22 21:42 - 2016-08-22 21:59 - 00000000 ____D C:\Program Files (x86)\Aralutherreeied
2016-08-22 21:42 - 2016-08-22 21:42 - 00008852 _____ C:\Windows\System32\Tasks\Bulisp Builder
2016-08-22 21:42 - 2016-08-22 21:42 - 00003654 _____ C:\Windows\System32\Tasks\Online Application Updater
2016-08-22 21:42 - 2016-08-22 21:42 - 00003590 _____ C:\Windows\System32\Tasks\Online Application
2016-08-22 21:42 - 2016-08-22 21:42 - 00000000 ____D C:\Users\Fifi\AppData\Local\Ghjertion
ShortcutWithArgument: C:\Users\Fifi\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer (64-bit).lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://yeabests.cc
ShortcutWithArgument: C:\Users\Fifi\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://yeabests.cc
ShortcutWithArgument: C:\Users\Fifi\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://yeabests.cc
ShortcutWithArgument: C:\Users\Fifi\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://yeabests.cc
FirewallRules: [{87562459-CD33-4EE9-A015-061A5218CFD7}] => (Allow) C:\Program Files (x86)\GreatMaker\MaohaWiFi\MaohaWifiSvr.exe
ShellIconOverlayIdentifiers: [JzShlobj] -> {7B286609-DA97-47E1-AC6B-33B8B4732C95} =>  Brak pliku
BootExecute: autocheck autochk * autocheck ers
BHO: Yhid -> {B1E7C398-824A-4CB9-8D98-DF02E560EA02} -> C:\Program Files\Yhid\Sioar64.dll [2016-08-22] ()
BHO-x32: Yhid -> {B1E7C398-824A-4CB9-8D98-DF02E560EA02} -> C:\Program Files\Yhid\Sioar.dll [2016-08-22] ()
R2 A664B55A-D881-48A8-bEA5-02B80DDCA170; C:\Program Files\Yhid\Veticeq.exe [271872 2016-08-22] () [brak podpisu cyfrowego]
R2 BulispBuilder; C:\Program Files (x86)\Aralutherreeied\lojickAdp.dll [331264 2016-08-22] () [brak podpisu cyfrowego]
S2 GhrCntvakokvaqapy.exe; C:\Program Files (x86)\Zerlucult\GhrCntvakokvaqapy.exe [378968 2016-08-22] ()
R2 Noije; C:\Users\Fifi\AppData\Roaming\Geunfy\Geunfy.exe [170496 2016-08-11] () [brak podpisu cyfrowego]
S2 UketShlo; C:\Program Files\Yhid\UketShlo.exe [1682944 2016-08-22] () [brak podpisu cyfrowego]
R2 Viokdojvaf; C:\Users\Fifi\AppData\Roaming\Hemkajdoa\Hemkajdoa.exe [170496 2016-08-11] () [brak podpisu cyfrowego]
R2 Yhid Updater; C:\Program Files\Yhid\Amaak.exe [255488 2016-08-22] () [brak podpisu cyfrowego]
S2 Bokvunnu; "C:\Users\Fifi\AppData\Roaming\GowvePitpagf\Lurzem.exe" -cms [X]
S2 Citdhwa; "C:\Users\Fifi\AppData\Roaming\AzigcWig\Geeswu.exe" -cms [X]
S3 AsrCDDrv; \??\C:\Windows\SysWOW64\Drivers\AsrCDDrv.sys [X]
S3 Synth3dVsc; System32\drivers\synth3dvsc.sys [X]
S3 tsusbhub; system32\drivers\tsusbhub.sys [X]
S3 VGPU; System32\drivers\rdvgkmd.sys [X]
C:\Users\Fifi\AppData\Roaming\AzigcWig
2016-08-22 23:02 - 2016-08-22 23:02 - 07616340 _____ C:\Users\Fifi\AppData\Roaming\setup.apk
2016-08-22 22:58 - 2016-08-22 23:13 - 00000000 ____D C:\Program Files\żěŃą
2016-08-22 22:58 - 2016-07-01 11:19 - 08284704 _____ (深圳市伟创科技软件有限公司) C:\Users\Fifi\AppData\Roaming\MaoHaWiFiSetup_262.exe
2016-08-22 22:56 - 2016-08-22 23:48 - 00000000 ____D C:\Program Files\ZipTool
2016-08-22 22:55 - 2016-02-18 10:10 - 05267952 _____ () C:\Users\Fifi\AppData\Roaming\ziptool_wc-9015_setup.exe
2016-08-22 22:44 - 2016-08-22 22:44 - 00000000 ____D C:\Windows\system32\ofog
2016-08-22 21:50 - 2016-08-22 21:50 - 00009012 _____ C:\Windows\System32\Tasks\Ghurcult Controls
2016-08-22 21:50 - 2016-08-22 21:50 - 00003340 _____ C:\Windows\System32\Tasks\b2929b72a96a471893ecaa9c51368bae
2016-08-22 21:50 - 2016-08-22 21:50 - 00000000 ___HD C:\Program Files (x86)\hyi9CDA
2016-08-22 22:55 - 2016-02-18 10:10 - 5267952 _____ () C:\Users\Fifi\AppData\Roaming\ziptool_wc-9015_setup.exe
HOSTS:
EmptyTemp:

>>Menu Notatnika >> Plik >>
>>Zapisz jako >>
Nazwa pliku: fixlist
Zapisz jako typ: Dokumenty tekstowe
Kodowanie: Unicode
>>Zapisz
Plik umieść w folderze G:\00-Diagnostyka\FRST
Uruchom FRST i kliknij przycisk Fix (NAPRAW).

 

4) Zrób nowe logi FRST.

Przed skanem zaznacz "Addition.txt" oraz "Shortcut.txt".

 

jessi

[tamir]

jessica dziękuję za pomoc.

 

Online.io Application i shopperz odinstalowałem

youndoo nie mogłem komunikat <Błąd w bibliotece C:\Program Files (x86)\Aralutherreeied\Stlconfiguration.dll

Brak wpisu: DllUninstall> być moze dlatego, ze wcześniej go zlokalizowałem i skasowałem  co sie dało "ręcznie" pozostały tylko dwie biblioteki których nie dało sie usunąć <lojickAdp.dll i Stlconfiguration.dll>

 

Załączam nowe logi

Fixlog.txt

FRST.txt

Addition.txt

Shortcut.txt

[jessica]

Otwórz Notatnik i wklej w nim:

 

HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\26132430.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\26132430.sys => ""="Driver"
RemoveDirectory: C:\ProgramData\Microleaves
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{B5BE4051-6D7C-4774-9F1E-98892CAFEC77}
DeleteKey: HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{B5BE4051-6D7C-4774-9F1E-98892CAFEC77}
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix (NAPRAW).

 

Jeśli będzie OK, to będziemy kończyć:
Otwórz Notatnik i wklej w nim:

 

DeleteQuarantine:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST. Uruchom FRST i kliknij w Fix (NAPRAW).
przez SHIFT+DEL usuń pozostały folder C:\FRST.

 

jessi

[tamir]

System i przeglądarka odzyskały sprawność.

Temat można zamknąć.

 

Dziękuję serdecznie za szybką pomoc i pozdrawiam.