Landuss

1. Wejdź w panel usuwania programów i odinstaluj: Freecorder Toolbar / uTorrentControl2 Toolbar / Winamp Toolbar / SweetIM Toolbar for Internet Explorer 2. Uruchom AdwCleaner z opcji Delete 3. Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst: :OTL IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http: //safesearchr.lavasoft.com/?source=3336ca5f&tbp=homepage&toolbarid=adawaretb&v=2_1&u=F875D53B28CD5C295B08E84FB6A70627 IE - HKCU\..\SearchScopes\{3BD44F0E-0596-4008-AEE0-45D47E3A8F0E}: "URL" = http: //safesearchr.lavasoft.com/?source=3336ca5f&tbp=rbox&toolbarid=adawaretb&u=F875D53B28CD5C295B08E84FB6A70627&q={searchTerms} FF - prefs.js..keyword.URL: "http://safesearchr.lavasoft.com/?source=3336ca5f&tbp=url&toolbarid=adawaretb&u=F875D53B28CD5C295B08E84FB6A70627&q=" [2012-05-10 19:20:03 | 000,000,000 | ---D | M] (Freecorder Community Toolbar) -- C:\Users\Ania\AppData\Roaming\mozilla\Firefox\Profiles\bu1k7t57.default\extensions\{1392b8d2-5c05-419f-a8f6-b9f15a596612} [2012-05-10 19:26:43 | 000,000,000 | ---D | M] ("Freecorder YouTube Download Wizard") -- C:\Users\Ania\AppData\Roaming\mozilla\Firefox\Profiles\bu1k7t57.default\extensions\ytvdw@pgport.com [2011-10-11 23:24:36 | 000,003,915 | ---- | M] () -- C:\Users\Ania\AppData\Roaming\Mozilla\Firefox\Profiles\bu1k7t57.default\searchplugins\sweetim.xml [2008-10-16 18:34:12 | 000,000,358 | ---- | M] () -- C:\Users\Ania\AppData\Roaming\Mozilla\Firefox\Profiles\bu1k7t57.default\searchplugins\winamp-search.xml O4 - HKCU..\Run: [TsUsbRedirectionGroupPolicyExtension] C:\Users\Ania\AppData\Local\Microsoft\Windows\2351\TsUsbRedirectionGroupPolicyExtension.exe () :Files C:\Users\Ania\AppData\Local\Temp*.html C:\Users\Ania\AppData\Roaming\hellomoto C:\Users\Ania\AppData\Local\Microsoft\Windows\2351 :Commands [emptytemp] Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Kliknij w Wykonaj skrypt. Zatwierdź restart komputera. 4. Uruchamiasz OTL ponownie, tym razem wywołujesz opcję Skanuj. Pokazujesz nowe logi z OTL

To tak swoją drogą Ad-Aware też odinstaluj. W zamian za to możesz zainstalować za darmo Avirę lub Avasta.

1. Przygotuj w notatniku plik tekstowy z treścią skryptu: :OTL O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found. O4 - HKLM..\Run: [switchBoard] File not found O4 - HKLM..\Run: [TimeDateMUICallback] C:\Documents and Settings\Seba\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\3755\TimeDateMUICallback.exe () O4 - HKLM..\Run: [userFaultCheck] File not found O4 - HKU\Seba_ON_C..\Run: [Clownfish] File not found :Files C:\Documents and Settings\Seba\Dane aplikacji\hellomoto C:\Documents and Settings\Seba\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\3755 :Commands [emptytemp] Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. 2. Uruchamiasz OTL, do okna Custom Scans/Fixes przeklejasz treść skryptu zapisaną w Notatniku i klik w Run Fix. Z tego działania powstanie log, który będziesz prezentować. 3. Po tym działaniu system powinien uruchomić się normalnie, a jeśli tak się stanie wykonaj już spod systemu logi z OTL.

Wklej do notatnika: Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] "SFCScan"=dword:0000000 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager] "AutoChkTimeOut"=dword:0000000 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager] "BootExecute"=hex(7):00,00 Z menu Notatnika >>> Plik >>> Zapisz jako >>> Ustaw rozszerzenie na Wszystkie pliki >>> Zapisz jako FIX.REG >>> uruchom ten plik

Może to wina Outposta? Sprawdź czy w trybie awaryjnym z obsługą sieci jest ten problem.

1. Wejdź w panel usuwania programów i odinstaluj: StartSearch Toolbar 2. Uruchom AdwCleaner z opcji Delete 3. Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst: :OTL SRV - File not found [Auto | Stopped] -- I:\WINDOWS\system32\3Com_DMI\3CDMINIC.EXE -- (3ComDMIService) DRV - File not found [Kernel | Boot | Stopped] -- system32\DRIVERS\viamraid.sys -- (viamraid) DRV - File not found [Kernel | On_Demand | Unknown] -- I:\DOCUME~1\ADMINI~1\USTAWI~1\Temp\pxtdapow.sys -- (pxtdapow) DRV - File not found [Kernel | Auto | Stopped] -- system32\DRIVERS\BCAItdi.sys -- (BCAITDI) O2 - BHO: (no name) - {B530A9A4-1722-4D16-AAD6-AA85E3AD2ADE} - No CLSID value found. O4 - HKLM..\Run: [verclsid] I:\Documents and Settings\PatrykG\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\1643\verclsid.exe () :Files I:\Documents and Settings\PatrykG\Dane aplikacji\hellomoto I:\Documents and Settings\PatrykG\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\1643 :Commands [emptytemp] Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Kliknij w Wykonaj skrypt. Zatwierdź restart komputera. 4. Uruchamiasz OTL ponownie, tym razem wywołujesz opcję Skanuj. Pokazujesz nowe logi z OTL

AdwCleaner widocznie zajął się nimi. Jeśli chodzi o infekcję = usunięta. 1. Użyj opcji Sprzątanie z OTL. 2. Opróżnij folder przywracania systemu: KLIK 3. Zaktualizuj Jave oraz IE (ważne) do najnowszych wersji: KLIK 4. Dla bezpieczeństw a zmień hasła logowania do serwisów w sieci. Ode mnie to tyle.

Jeśli chodzi o usuwania śmieci wszystko wykonane. Potwierdź czy pomogło na "Babylon". Teraz ustosunkuj sie do postu @picasso

Możesz jak najbardziej. Wykonaj czynności finalne: 1. Użyj opcji Sprzątanie z OTL. 2. Opróżnij folder przywracania systemu: KLIK 3. Zaktualizuj system instalując Service Pack 1: KLIK 4. Dla bezpieczeństw a zmień hasła logowania do serwisów w sieci.

To powinno być po problemie. 1. Użyj opcji Sprzątanie z OTL. 2. Opróżnij folder przywracania systemu: KLIK 3. Zaktualizuj Jave i Adobe Reader. Szczegóły aktualizacyjne: KLIK 4. Dla bezpieczeństw a zmień hasła logowania do serwisów w sieci.

Tu nie będzie żadnego wirusa i daleki jestem od takiego stwierdzenia. Teraz zauważyłem. Przecież ty masz dwa antywirusy - Avast + Symantec. To zabójstwo dla systemu. Jeden musi wylecieć. Decyduj który (sugeruję Symantec) i dopiero wtedy możesz sprawdzić jak się ma problem.

No to pozwól wykonać ten skan i problem powinien minąć. Jesli tak się nie stanie to też znam na to recepte

Wniosek = problem stanowi coś co ładuje się w trybie normalnym. Pierwszy podejrzany - niestety ESET Nod32. Tymczasowo go odinstaluj wspomagając się programem ESET Uninstaller

Zakończ sprawę infekcji: 1. Użyj opcji Sprzątanie z OTL. 2. Opróżnij folder przywracania systemu: KLIK 3. Zaktualizuj system do stanu Service Pack 1 i wymienione programy do najnowszych wersji: Internet Explorer (Version = 8.0.7600.16385) "{26A24AE4-039D-4CA4-87B4-2F83216031FF}" = Java 6 Update 31 "{AC76BA86-7AD7-1045-7B44-A95000000001}" = Adobe Reader 9.5.1 - Polish Szczegóły aktualizacyjne: KLIK 4. Dla bezpieczeństw a zmień hasła logowania do serwisów w sieci. Spróbuj resetu ustawień sieciowych - wklej w notatnik: reg delete HKLM\SYSTEM\CurrentControlSet\Control\Network /v Config /f ipconfig /flushdns netsh winhttp reset proxy netsh advfirewall reset netsh winsock reset netsh int ip reset c:\resetlog.txt pause Z menu Notatnika >>> Plik >>> Zapisz jako >>> Ustaw rozszerzenie na Wszystkie pliki >>> Zapisz jako FIX.BAT >>> uruchom ten plik Sprawdź efekty. Gdy problem będzie się powtarzał mimo wszystko załóż temat w dziale Sieci. .

To podstawowa rzecz do sprawdzenia - zobacz jak zachowuje się system w trybie awaryjnym z obsługą sieci.

Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst: :OTL O2 - BHO: (McAfee Phishing Filter) - {27B4851A-3207-45A2-B947-BE8AFE6163AB} - c:\progra~2\mcafee\msk\mskapbho.dll File not found O3:64bit: - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found. O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found. O4 - HKU\S-1-5-21-425697130-2423384976-1920107721-1000..\Run: [syncInfrastructure] C:\Users\Cat\AppData\Local\Microsoft\Windows\1469\SyncInfrastructure.exe () :Files C:\Users\Cat\AppData\Roaming\hellomoto C:\Users\Cat\AppData\Local\Microsoft\Windows\1469 :Commands [emptytemp] Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Kliknij w Wykonaj skrypt. Zatwierdź restart komputera. Uruchamiasz OTL ponownie, tym razem wywołujesz opcję Skanuj. Pokazujesz nowe logi z OTL

Zabrakło drugiego loga z OTL - extras. Nie miałeś zaznaczonej opcji Rejestr - skan dodatkowy na "Użyj filtrowania". Zrób tak w następnym poście. 1. Wejdź w panel usuwania programów i odinstaluj: DAEMON Tools Toolbar oraz QuickStores Toolbar (o ile będzie na liście) 2. Uruchom AdwCleaner z opcji Delete 3. Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst: :OTL DRV - [2012-07-08 16:38:58 | 000,054,016 | ---- | M] () [Kernel | Boot | Unknown] -- C:\WINDOWS\system32\drivers\glyhp.sys -- (pwlqed) IE - HKU\S-1-5-21-73586283-1383384898-839522115-500\..\SearchScopes\{AD22EBAF-0D18-4fc7-90CC-5EA0ABBE9EB8}: "URL" = http: //www.daemon-search.com/search/web?q={searchTerms} FF - prefs.js..browser.search.defaultengine: "Ask.com" FF - prefs.js..browser.search.defaultenginename: "Ask.com" FF - prefs.js..browser.search.defaultthis.engineName: "ITALIA version Customized Web Search" FF - prefs.js..browser.search.defaulturl: "http://search.conduit.com/ResultsExt.aspx?ctid=CT1032372&SearchSource=3&q={searchTerms}" FF - prefs.js..browser.search.order.1: "Ask.com" FF - prefs.js..extensions.enabledItems: DTToolbar@toolbarnet.com:1.1.3.0244 FF - prefs.js..extensions.enabledItems: vshare@toolbar:1.0.0 [2011-12-28 17:26:26 | 000,002,567 | ---- | M] () -- C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\ox2f6vme.default\searchplugins\askcom.xml [2012-02-13 13:05:10 | 000,000,931 | ---- | M] () -- C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\ox2f6vme.default\searchplugins\conduit.xml [2010-09-15 18:44:57 | 000,002,059 | ---- | M] () -- C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\ox2f6vme.default\searchplugins\daemon-search.xml [2012-07-08 15:21:05 | 000,001,018 | ---- | M] () -- C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\ox2f6vme.default\searchplugins\facebook.xml [2010-10-19 20:47:27 | 000,001,583 | ---- | M] () -- C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\ox2f6vme.default\searchplugins\web-search.xml [2011-12-29 12:26:11 | 000,000,000 | ---D | M] (QuickStores-Toolbar) -- C:\Program Files\Mozilla Firefox\extensions\quickstores@quickstores.de O2 - BHO: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll File not found O3 - HKLM\..\Toolbar: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll File not found O3 - HKU\S-1-5-21-73586283-1383384898-839522115-500\..\Toolbar\WebBrowser: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll File not found O4 - HKLM..\Run: [unlockerAssistant] "C:\Program Files\Unlocker\UnlockerAssistant.exe" File not found O4 - HKLM..\Run: [yksaktgpmvtatuj] C:\Documents and Settings\All Users\Application Data\yksaktgp.exe () O4 - HKU\S-1-5-21-73586283-1383384898-839522115-500..\Run: [yksaktgpmvtatuj] C:\Documents and Settings\All Users\Application Data\yksaktgp.exe () [2012-06-29 16:35:38 | 000,000,000 | ---D | C] -- C:\Documents and Settings\All Users\Application Data\jnomqbpuhmqhzvj [2012-06-29 16:35:39 | 000,000,052 | ---- | M] () -- C:\Documents and Settings\All Users\Application Data\ldotrbmltacqlfx [2012-06-29 16:35:35 | 000,074,240 | ---- | M] () -- C:\Documents and Settings\All Users\Application Data\yksaktgp.exe [2012-06-29 16:35:35 | 000,074,240 | ---- | M] () -- C:\Documents and Settings\All Users\Application Data\eeopnlya.exe :Commands [emptytemp] Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Kliknij w Wykonaj skrypt. Zatwierdź restart komputera. 4. Uruchamiasz OTL ponownie, tym razem wywołujesz opcję Skanuj. Pokazujesz nowe logi z OTL

1. Wejdź w panel usuwania programów i odinstaluj: DAEMON Tools Toolbar / Conduit Engine / Vuze Remote Toolbar 2. Uruchom AdwCleaner z opcji Delete 3. Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst: :OTL IE - HKLM\..\SearchScopes\{AFDBDDAA-5D3F-42EE-B79C-185A7020515B}: "URL" = http: //search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2504091 IE - HKCU\..\SearchScopes,DefaultScope = {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} IE - HKCU\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = http: //search.babylon.com/?q={searchTerms}&affID=109980&babsrc=SP_ss&mntrId=3e1ef2d0000000000000002215754ed6 IE - HKCU\..\SearchScopes\{684A30E8-190C-4DFB-A5F4-1C21372A2C6A}: "URL" = http: //websearch.ask.com/redirect?client=ie&tb=ORJ&o=&src=kw&q={searchTerms}&locale=&apn_ptnrs=&apn_dtid=OSJ000&apn_uid=09E91050-2AA2-404D-B8E3-07D620307A68&apn_sauid=65FA54AC-3A9B-450A-975F-3CF5C98F9545& IE - HKCU\..\SearchScopes\{AD22EBAF-0D18-4fc7-90CC-5EA0ABBE9EB8}: "URL" = http: //www.daemon-search.com/search?q={searchTerms} IE - HKCU\..\SearchScopes\{AFDBDDAA-5D3F-42EE-B79C-185A7020515B}: "URL" = http: //search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2504091 O4:64bit: - HKLM..\Run: [TNOD UP] "C:\Program Files (x86)\TNod User & Password Finder\TNODUP.exe" /i File not found O4:64bit: - HKLM..\Run: [WLanConn] C:\Users\Przemek\AppData\Local\Microsoft\Windows\3222\WLanConn.exe () O4 - HKCU..\Run: [Raptr] C:\PROGRA~2\Raptr\raptrstub.exe --startup File not found :Files C:\Users\Przemek\AppData\Roaming\hellomoto C:\Users\Przemek\AppData\Local\Microsoft\Windows\3222 :Commands [emptytemp] Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Kliknij w Wykonaj skrypt. Zatwierdź restart komputera. 4. Uruchamiasz OTL ponownie, tym razem wywołujesz opcję Skanuj. Pokazujesz nowe logi z OTL

Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst: :OTL SRV - File not found [Auto | Stopped] -- C:\Program Files\Common Files\McAfee\McSvcHost\McSvHost.exe /McCoreSvc -- (McProxy) SRV - File not found [Auto | Stopped] -- C:\Users\Vaio\AppData\Local\Temp\015758~1.EXE -- (0157581341749362mcinstcleanup) McAfee Application Installer Cleanup (0157581341749362) DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\usbser_lowerfltj.sys -- (UsbserFilt) DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\usbser_lowerflt.sys -- (upperdev) DRV - File not found [Kernel | Disabled | Stopped] -- system32\DRIVERS\UIUSYS.SYS -- (UIUSys) DRV - File not found [Kernel | On_Demand | Stopped] -- system32\drivers\nmwcdnsuc.sys -- (nmwcdnsuc) DRV - File not found [Kernel | On_Demand | Stopped] -- system32\drivers\nmwcdnsu.sys -- (nmwcdnsu) O4 - HKU\S-1-5-21-1868213863-3244487241-2592187260-1000..\Run: [RstrtMgr] C:\Users\Vaio\AppData\Local\Microsoft\Windows\3094\RstrtMgr.exe () :Files C:\Users\Vaio\AppData\Roaming\hellomoto C:\Users\Vaio\AppData\Local\Microsoft\Windows\3094 :Commands [emptytemp] Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Kliknij w Wykonaj skrypt. Zatwierdź restart komputera. Uruchamiasz OTL ponownie, tym razem wywołujesz opcję Skanuj. Pokazujesz nowe logi z OTL

Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst: :OTL O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found. O4 - HKU\S-1-5-21-2133809261-32035843-2048148314-1000..\Run: [themecpl] C:\Users\Marek\AppData\Local\Microsoft\Windows\3356\themecpl.exe () :Files C:\Users\Marek\AppData\Roaming\hellomoto C:\Users\Marek\AppData\Local\Microsoft\Windows\3356 :Commands [emptytemp] Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Kliknij w Wykonaj skrypt. Zatwierdź restart komputera. Uruchamiasz OTL ponownie, tym razem wywołujesz opcję Skanuj. Pokazujesz nowe logi z OTL

Zabrakło drugiego loga z OTL - extras. Nie miałeś zaznaczonej opcji Rejestr - skan dodatkowy na "Użyj filtrowania". Zrób tak w następnym poście. W obecnym logu nie widzę nic co wskazywało by na infekcję, jaki masz dowód, że to wirus?

Jest dobrze, możesz wykonać czynności finalne: 1. Użyj opcji Sprzątanie z OTL. 2. Opróżnij folder przywracania systemu: KLIK 3. Zaktualizuj Jave i Adobe Reader: KLIK 4. Dla bezpieczeństw a zmień hasła logowania do serwisów w sieci.

To ty powinieneś wiedzieć skąd to złapałeś. Lepiej wchodź na zaufane strony. Po prostu korzystaj rozsądnie z sieci i wtedy będzie dobrze. Przejdź do finalizacji tematu: 1. Użyj opcji Sprzątanie z OTL. 2. Opróżnij folder przywracania systemu: KLIK 3. Zaktualizuj wymienione programy do najnowszych wersji: Internet Explorer (Version = 7.0.5730.13) "{26A24AE4-039D-4CA4-87B4-2F83216031FF}" = Java 6 Update 31 "{AC76BA86-7AD7-1033-7B44-A95000000001}" = Adobe Reader 9.5.1 "Mozilla Firefox 4.0.1 (x86 pl)" = Mozilla Firefox 4.0.1 (x86 pl) Szczegóły aktualizacyjne: KLIK 4. Dla bezpieczeństw a zmień hasła logowania do serwisów w sieci.

Jest dobrze, wykonaj kroki kończące temat: 1. Wklej do notatnika ten tekst: sc delete LGVMODEM sc delete lgbusenum sc delete LgBttPort sc delete ANDModem sc delete AndGps sc delete AndDiag sc delete Andbus pause Z menu Notatnika >>> Plik >>> Zapisz jako >>> Ustaw rozszerzenie na Wszystkie pliki >>> Zapisz jako FIX.BAT >>> uruchom ten plik 2. Użyj opcji Sprzątanie z OTL. 3. Opróżnij folder przywracania systemu: KLIK 4. Dla bezpieczeństw a zmień hasła logowania do serwisów w sieci.

Teraz mogę powiedzieć że to tyle z usuwania. Przejdź do finalizacji tematu: 1. Użyj opcji Sprzątanie z OTL. 2. Opróżnij folder przywracania systemu: KLIK 3. Zaktualizuj system do stanu Service Pack 1 i wymienione programy do najnowszych wersji: Internet Explorer (Version = 8.0.7600.16385) "{26A24AE4-039D-4CA4-87B4-2F83216020FF}" = Java 6 Update 26 Szczegóły aktualizacyjne: KLIK 4. Dla bezpieczeństw a zmień hasła logowania do serwisów w sieci.