Live Security Platinum

[Scrander]

Bardzo proszę o pomoc z tym... czymś. Widziałem jak wielu osobom pomogliście dlatego zwracam się do Was z prośbą i z logami. Z góry dziękuję.

 

Dodam jeszcze, iż logi wykonałem na innym koncie gdyż na tym zainfekowanym nie mogłem uruchomić programu, w opcjach filtrowania zaznaczyłem wszystkich użytkowników.

@Udało się wykonać logi na zainfekowanym koncie,

Extras.Txt

OTL.Txt

[picasso]

Potrzebny tylko jeden zestaw logów, ten z właściwego konta, toteż nadwyżkę załączników odcinam.

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\ProgramData\7531CCA90052EF6C1919EFFCF875EF60
C:\Users\Mysza\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Live Security Platinum
C:\Users\Mysza\Desktop\Live Security Platinum.lnk
 
:Reg
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall\Live Security Platinum]
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany i otworzy się log z wynikami usuwania.

 

2. Odinstaluj adware uTorrentControl2 Toolbar w dwóch miejscach: w Firefox w Dodatkach + przez Panel sterowania. Poza tym, również wyrzuć aplikację SmartView for IE z powodów: KLIK.

 

3. Uruchom AdwCleaner i zastosuj Delete. Z tego działania powstanie log na dysku C.

 

4. Wygeneruj nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log z usuwania OTL z punktu 1 oraz AdwCleaner z punktu 3.

 

 

 

.

[Scrander]

Witam, wszystko zrobiłem jak należy. Poniżej wklejam logi:

OTL.Txt

07272012_071252.txt - zmieniłem format pliku z log na txt, ponieważ nie można dodawać tych pierwszych na stronę. Format tutaj chyba nie ma znaczenia.

AdwCleanerS1.txt

Mam jeszcze jedno pytanko, czy do tego Live Security Platinum był dołączony ZeroAccess, nie wiem czy zmieniać hasła :/

[picasso]

zmieniłem format pliku z log na txt, ponieważ nie można dodawać tych pierwszych na stronę. Format tutaj chyba nie ma znaczenia.

 

Tak, załączniki nie akceptują rozszerzenia *.LOG, tylko *.TXT. Zmiana nazwy nie zmienia formatowania wewnętrznego.

 

 

Mam jeszcze jedno pytanko, czy do tego Live Security Platinum był dołączony ZeroAccess, nie wiem czy zmieniać hasła :/

 

Chyba nie sądzisz, że bym przemilczała ten fakt i ominęła skany dodatkowe specyficzne dla tej infekcji? Tu w raportach był widoczny tylko fałszywy skaner, żadnych oznak ZeroAccess. Nie ma też konieczności wymiany haseł logowania w serwisach, choć to zawsze w ramach prewencji można zrobić.

 

 

---

Zadanie wykonane i to już meta:

 

1. Korekta na szczątki. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
PRC - [2011-03-22 10:37:16 | 000,497,480 | ---- | M] (Splashtop Inc.) -- C:\Program Files (x86)\Splashtop\Splashtop Connect IE Software Updater\WCUService.exe
[2012-07-12 10:53:16 | 000,000,000 | ---D | C] -- C:\ProgramData\Splashtop
[2012-07-12 10:53:13 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\Splashtop 
IE - HKU\S-1-5-21-4092109320-4029737070-3903049265-1000\..\URLSearchHook: {687578b9-7132-4a7a-80e4-30ee31099e03} - No CLSID value found
O3 - HKU\S-1-5-21-4092109320-4029737070-3903049265-1000\..\Toolbar\WebBrowser: (no name) - {687578B9-7132-4A7A-80E4-30EE31099E03} - No CLSID value found.
O3 - HKU\S-1-5-21-4092109320-4029737070-3903049265-1000\..\Toolbar\WebBrowser: (no name) - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - No CLSID value found.
O4 - HKU\S-1-5-21-4092109320-4029737070-3903049265-1000..\Run: [ASRockXTU]  File not found
O4 - HKU\S-1-5-21-4092109320-4029737070-3903049265-1000..\Run: [zASRockInstantBoot]  File not found

 

Klik w Wykonaj skrypt.

 

2. Porządki po narzędziach: w OTL uruchom Sprzątanie + w AdwCleaner Uninstall.

 

3. Wyczyść foldery Przywracania systemu: KLIK.

 

4. Przeskanuj przy udziale Malwarebytes Anti-Malware. Jeśli coś wykryje, przedstaw raport. Wyniki do zignorowania to te poniższe (ekhm ... "cukier" do Office)

 

[2012-07-14 10:28:42 | 000,151,552 | ---- | M] () -- C:\Windows\KMService.exe
[2012-07-14 10:28:42 | 000,008,192 | ---- | M] () -- C:\Windows\SysWow64\srvany.exe

 

 

.

[Scrander]

log.txt

Zostaje tylko to ostatnie w logach. Wystarczy usunąć?

[picasso]

1. Wyniki MBAM mierne. O pierwszym już mówiłam, a ten instalator Softonic do kasacji (opakowanie typu "adware" a nie czysta instalacja danego programu).

 

2. Jako finał aktualizacje pakietu Office, Adobe Reader i wtyczek Flash: KLIK. Z Twojej listy zainstalowanych wykaz wersji bieżących:

 

========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
64bit: [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"Office14.PROPLUS" = Microsoft Office Professional Plus 2010 ----> brak pakietu SP1
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{AC76BA86-7AD7-1033-7B44-A90000000001}" = Adobe Reader 9
"Adobe Flash Player ActiveX" = Adobe Flash Player 11 ActiveX (wtyczka dla IE)
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin (wtyczka dla FF)

 

 

.

[Scrander]

Wszystko jest już dobrze, jeszcze raz bardzo serdecznie dziękuję