Wirus coin miner

[pexxu]

Witam.

Od dziś zaczął mnie właśnie nękać wirus coin miner. Czytałem coś, ale nie znalazłem jak mogę się go pozbyć. Prosiłbym o jakąś pomoc w pozbyciu się jego. Daje skan z otl:

http://wklej.org/id/843308/

[picasso]

To nie jest pełny log z OTL, brakuje pliku Extras (opcja "Rejestr - skan dodatkowy" nie została ustawiona na "Użyj filtrowania").

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
O4 - HKCU..\Run: [Activex Application Updater] C:\Users\hp_dv9000\AppData\Roaming\Microsoft\Windows\Templates\spsreng.exe (Microsoft Corporation)
O4 - HKCU..\Run: [AdobeUpdate] C:\Users\hp_dv9000\AppData\Roaming\Adobe32\invis.vbs ()
O4 - HKCU..\Run: [krgojyumulcksaaifht] C:\Users\hp_dv9000\AppData\Roaming\krgojyumulcksaaifht.exe (Microsoft Corporation)
O4 - HKCU..\Run: [Microsoft® Windows® Operating System] C:\Users\hp_dv9000\AppData\Roaming\Microsoft\Windows\Templates\msadrh10.exe (Microsoft Corporation)
IE - HKCU\..\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86}: "URL" = "http://search.v9.com/web/?q={searchTerms}"
 
:Files
C:\Users\hp_dv9000\AppData\Roaming\*.exe
C:\Users\hp_dv9000\AppData\Roaming\Adobe32
C:\Users\hp_dv9000\AppData\Roaming\dclogs
C:\Users\hp_dv9000\AppData\Roaming\Microsoft\Windows\Templates\*.exe
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Default_Page_URL"=-
"Start Page"="about:blank"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
"Default_Page_URL"=-
"Start Page"="about:blank"
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany.

 

2. W systemie jest adware v9. Cześciowo to usuwam z konfiguracji IE w skrypcie powyżej. Nie podałeś raportu OTL Extras, to nie wiem czy na liście zainstalowanych jest pozycja deinstalacyjna v9. Wymagane odrębne działania dla Google Chrome: wejdź do ustawień, z listy stron startowych wymaż www.v9.com, w zarządzaniu wyszukiwarkami przestaw domyślną z v9 na Google, po tym v9 skasuj z listy.

 

3. Zrób nowy log OTL z opcji Skanuj (przypominam o Extras).

 

 

 

.

[pexxu]

Po wklejeniu tego skryptu i zmianie strony startowej w google chrome, problem zniknął.

Dzięki wielkie za pomoc.

Temat do zamknięcie.

Pozdrawiam

[picasso]

Tu nie koniec działań. Prosiłam wyraźnie:

 

3. Zrób nowy log OTL z opcji Skanuj (przypominam o Extras).

 

 

.

[pexxu]

No dobrze, zatem oto nowe logi:

http://wklej.org/id/843503/

http://wklej.org/id/843504/

[picasso]

Nie wszystko wykonane, nadal adware v9 i szczątki infekcji widzialne.

 

1. Mówiłam wyraźnie o deinstalacji adware v9. OTL Extras pokazuje widoczną pozycję V9 Homepage Uninstaller. Odinstaluj. Poza tym, w Google Chrome nadal widoczna ta strona startowa i to do korekty w ustawieniach przeglądarki:

 

CHR - homepage: "http://www.v9.com/?utm_source=b&utm_medium=pbr&from=pbr&uid=WD-WXC907274880_WDCWD1600BEVS-60RST0&ts=1346515997"

 

2. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
O4 - HKCU..\Run: [Activex Application Updater] C:\Users\hp_dv9000\AppData\Roaming\Microsoft\Windows\Templates\spsreng.exe File not found
O4 - HKCU..\Run: [AdobeUpdate] wscript "C:\Users\hp_dv9000\AppData\Roaming\Adobe32\invis.vbs" "C:\Users\hp_dv9000\AppData\Roaming\Adobe32\bat.bat" File not found
O4 - HKCU..\Run: [avgnamsmufpnmtlqopn] C:\Users\hp_dv9000\AppData\Roaming\avgnamsmufpnmtlqopn.exe File not found
O4 - HKCU..\Run: [krgojyumulcksaaifht] C:\Users\hp_dv9000\AppData\Roaming\krgojyumulcksaaifht.exe File not found
O4 - HKCU..\Run: [Microsoft® Windows® Operating System] C:\Users\hp_dv9000\AppData\Roaming\Microsoft\Windows\Templates\msadrh10.exe File not found
IE - HKCU\..\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86}: "URL" = "http://search.v9.com/web/?q={searchTerms}"
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Default_Page_URL"=-
"Start Page"="about:blank"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
"Default_Page_URL"=-
"Start Page"="about:blank"
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt.

 

3. Zrób nowy log OTL z opcji Skanuj (już bez Extras).

 

 

.

 

 

[pexxu]

Ok, zrobiłem wszystko jak napisałeś. V9 odinstalowany, a na stronie startowej google chrome na pewno go nie było.

Nowy log:

http://wklej.org/id/843518/

[picasso]

Apropos napisałeś = jestem kobietą.

 

V9 odinstalowany, a na stronie startowej google chrome na pewno go nie było.

 

Może deinstalacja to usunęła także z Google Chrome, bo aktualnie już jest OK:

 

========== Chrome  ==========
 
CHR - homepage: about:blank

 

Reszta zadań wykonana. Możemy przejść do wykończeń:

 

1. W OTL uruchom Sprzątanie, które skasuje z dysku OTL wraz z kwarantanną.

 

2. Wyczyść foldery Przywracania systemu: KLIK.

 

3. Wykonaj skanowanie w Malwarebytes Anti-Malware (przy instalacji wybierz wersję darmową). Jeśli coś wykryje, przedstaw raport.

 

 

.

Edytowane 9 Listopada 2012 przez picasso
9.11.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso