Polska policja cyberprzestępczość departament

[soniaczek01]

Witajcie,

mam ten sam problem z tym wirusem;/

Uzywam systemu windows Vista, dodam, że nie jestem zbyt obeznana w tego typu problemach.

Probowalam zrobic przywracanie systemu, jednak pojawia mi sie komunikat ze nie mam utoworzonych punktów przywracania systemu.

wyczytałam w temacie,żeby poprzez program OTL wykonac skany

Bardzo Was proszę o pomoc

Extras.Txt

OTL.Txt

[picasso]

Jest tu również ślad podpinania zainfekowanych USB, odpadek po rogue System Security 2009, masa adware.

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\Users\Soniaczek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk
C:\ProgramData\lsass.exe
C:\ProgramData\dsgsdgdsgdsgw.pad
C:\Program Files\mozilla firefox\plugins\NPMyWebS.dll
C:\Program Files\mozilla firefox\searchplugins\avg-secure-search.xml
C:\Users\Soniaczek\AppData\Local\Temp*.html
netsh advfirewall reset /C
 
:OTL
IE - HKLM\..\SearchScopes\{56256A51-B582-467e-B8D4-7786EDA79AE0}: "URL" = "http://www.mywebsearch.com/jsp/cfg_redir2.jsp?id=ZRxdm185YYPL&fl=0&ptb=ote02w5NGwy87vSnjYFmJQ&url=http://search.mywebsearch.com/mywebsearch/dft_redir.jhtml&st=sb&searchfor={searchTerms}&si=36602"
IE - HKLM\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = "http://search.sweetim.com/search.asp?src=6&crg=3.1010000&st=18&q={searchTerms}&barid={6753F0A6-4362-4A6D-8640-801160A86B9D}"
IE - HKCU\..\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}: "URL" = "http://websearch.ask.com/redirect?client=ie&tb=NRO&o=101913&src=crm&q={searchTerms}&locale=en_US"
IE - HKCU\..\SearchScopes\{18EAB056-9057-F224-FD4C-1F6569C4D8D2}: "URL" = "http://www.plusnetwork.com/s/?q={searchTerms}&iesrc={referrer:source?}"
IE - HKCU\..\SearchScopes\{56256A51-B582-467e-B8D4-7786EDA79AE0}: "URL" = "http://www.mywebsearch.com/jsp/cfg_redir2.jsp?id=ZRxdm185YYPL&fl=0&ptb=ote02w5NGwy87vSnjYFmJQ&url=http://search.mywebsearch.com/mywebsearch/dft_redir.jhtml&st=sb&searchfor={searchTerms}&si=36602"
IE - HKCU\..\SearchScopes\{70D46D94-BF1E-45ED-B567-48701376298E}: "URL" = "http://127.0.0.1:4664/search&s=7R7pA1zXUymZg2HPUj0SBucGS8s?q={searchTerms}"
IE - HKCU\..\SearchScopes\{95B7759C-8C7F-4BF1-B163-73684A933233}: "URL" = "https://isearch.avg.com/search?cid={A0BE0877-49AE-466E-B169-72F4E11B57F9}&mid=f22cc409756647d6a057d16a1ce16944-adc0637e09de574023b0a34866d739343b32e787&lang=pl&ds=AVG&pr=fr&d=2011-12-13 09:43:33&v=12.2.5.32&sap=dsp&q={searchTerms}"
IE - HKCU\..\SearchScopes\{96bd48dd-741b-41ae-ac4a-aff96ba00f7e}: "URL" = "http://www.bigseekpro.com/search/browser/burn4free/{E7CF31B8-7A75-4CE0-978C-D9DD8E7FFDEB}?q={searchTerms}"
IE - HKCU\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = "http://search.sweetim.com/search.asp?src=6&crg=3.1010000&st=18&q={searchTerms}&barid={6753F0A6-4362-4A6D-8640-801160A86B9D}"
IE - HKCU\..\URLSearchHook: *{00A6FAF6-072E-44cf-8957-5838F569A31D} - No CLSID value found
IE - HKCU\..\URLSearchHook: {A3BC75A2-1F87-4686-AA43-5347D756017C} - No CLSID value found
IE - HKCU\..\URLSearchHook: {F08555B0-9CC3-11D2-AA8E-000000000567} - No CLSID value found
O2 - BHO: (ShopperReports) - {100EB1FD-D03E-47fd-81F3-EE91287F9465} - C:\Program Files\ShopperReports3\bin\3.0.489.0\ShopperReports.dll File not found
O2 - BHO: (IEPluginBHO Class) - {F5CC7F02-6F4E-4462-B5B1-394A57FD3E0D} - C:\ProgramData\Gadu-Gadu 10\_userdata\ggbho.2.dll File not found
O3 - HKLM\..\Toolbar: (no name) - {CCC7A320-B3CA-4199-B1A6-9F516DD69829} - No CLSID value found.
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {196C3A46-4758-433D-A600-802C804AF39C} - No CLSID value found.
O4 - HKLM..\Run: [49269873] C:\ProgramData\49269873\49269873.exe File not found
O4 - HKLM..\Run: [49270873] C:\ProgramData\49270873\ctfmon.exe File not found
O4 - HKCU..\Run: [tveoaj] C:\Users\Soniaczek\AppData\Roaming\rcoecqbd.dll ()
O8 - Extra context menu item: &Search - "http://edits.mywebsearch.com/toolbaredits/menusearch.jhtml?p=ZRxdm185YYPL" File not found
O9 - Extra Button: eBay - {76577871-04EC-495E-A12B-91F7C3600AFA} - "http://rover.ebay.com/rover/1/4908-44618-9400-3/4 File" not found
O9 - Extra Button: Amazon.co.uk - {8A918C1D-E123-4E36-B562-5C1519E434CE} - "http://www.amazon.co.uk/exec/obidos/redirect-home?tag=Toshibaukbholink-21&site=home" File not found
O9 - Extra Button: ShopperReports - Compare product prices - {C5428486-50A0-4a02-9D20-520B59A9F9B2} - C:\Program Files\ShopperReports3\bin\3.0.489.0\ShopperReports.dll File not found
O9 - Extra Button: ShopperReports - Compare travel rates - {C5428486-50A0-4a02-9D20-520B59A9F9B3} - C:\Program Files\ShopperReports3\bin\3.0.489.0\ShopperReports.dll File not found
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} "http://ak.exe.imgfarm.com/images/nocache/funwebproducts/ei-4/PopularScreenSaversInitialSetup1.0.1.1.cab" (Reg Error: Key error.)
 
:Reg
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SystemSecurity2009]
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2]
[HKEY_LOCAL_MACHINE\SOFTWARE\Mozilla\Firefox\Extensions]
"ShopperReports@ShopperReports.com"=-
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Search]
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Default_Page_URL"=-
"Default_Search_URL"=-
"Search Bar"=-
"SearchPage"=-
"Start Page"="about:blank"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
"Default_Page_URL"=-
"Start Page"="about:blank"
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany i odblokowany. Kolejne czynności prowadzisz już z Trybu normalnego:

 

2. Przez Panel sterowania odinstaluj adware Burn4Free DB Toolbar, Internet Explorer Toolbar 4.6 by SweetPacks, My Global Search Bar, My Web Search (Popular Screensavers), ShopperReports, SweetIM for Messenger 3.7, Update Manager for SweetPacks 1.0. Od razu odinstaluj też przestarzały Skaner on-line mks_vir.

 

3. Google Chrome: wejdź do ustawień. W Rozszerzeniach odinstaluj SweetIM for Facebook. W sekcji "Po uruchomieniu" z listy stron startowych wymaż home.sweetim.com, przestaw na "Otwórz stronę nowej karty". Wyczyść Historię.

 

4. Firefox: wyczyść radykalnie poprzez menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox.

 

5. Uruchom AdwCleaner i zastosuj Delete. Na dysku C powstanie log z usuwania.

 

6. Zrób nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log utworzony przez AdwCleaner.

 

 

 

.

[soniaczek01]

Bardzo, bardzo dziękuję!! Wielki ukłon dla Ciebie!!

Robiłam wszystko według wskazówek.

Czy coś jeszcze powinnam zrobić?

 

Załączam logi:

AdwCleanerS2.txt

OTL.Txt

[picasso]

Nie wygląda na to byś wykonała to:

 

4. Firefox: wyczyść radykalnie poprzez menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox.

 

AdwCleaner usuwał adware z preferencji Firefox, a to nie powinno mieć miejsca po resecie Firefox.

 

1. Firefox: do wykonania zaległy reset przeglądarki.

 

2. Google Chrome: w ustawieniach w zarządzaniu wyszukiwarkami przestaw domyślną ze SweetIM Search na Google, po tym SweetIM Search usuń z listy.

 

3. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Search Bar"=-
"Search Page"=-
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{A79B1241-E458-43B7-862C-4F08892C3915}"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{A79B1241-E458-43B7-862C-4F08892C3915}"
 
:OTL
SRV - File not found [On_Demand | Stopped] -- C:\Program Files\AVG\AVG10\Toolbar\ToolbarBroker.exe -- (AVG Security Toolbar Service)
FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\avg@igeared: C:\Program Files\AVG\AVG10\Toolbar\Firefox\avg@igeared
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {A057A204-BACC-4D26-9990-79A187E2698E} - No CLSID value found.
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {CCC7A320-B3CA-4199-B1A6-9F516DD69829} - No CLSID value found.
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {D3DEE18F-DB64-4BEB-9FF1-E1F0A5033E4A} - No CLSID value found.
O4 - HKLM..\Run: [HF_G_Jul] "C:\Program Files\AVG Secure Search\HF_G_Jul.exe"  /DoAction File not found
O4 - HKLM..\Run: [ROC_roc_dec12] "C:\Program Files\AVG Secure Search\ROC_roc_dec12.exe" /PROMPT /CMPID=roc_dec12 File not found
O4 - HKLM..\Run: [ROC_ROC_JULY_P1] "C:\Program Files\AVG Secure Search\ROC_ROC_JULY_P1.exe" / /PROMPT /CMPID=ROC_JULY_P1 File not found
O4 - HKLM..\Run: [vProt] "C:\Program Files\AVG Secure Search\vprot.exe" File not found
[2012-11-02 22:55:55 | 000,434,271 | ---- | C] (MyWebSearch.com) -- C:\Program Files\Uninstall Fun Web Products.dll
[2012-11-02 22:55:38 | 000,225,280 | ---- | C] (My Global Search) -- C:\Program Files\Uninstall My Global Search Bar.dll
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany.

 

4. Zrób nowy log z OTL poświadczający zmiany, ale go ogranicz: tylko opcję Rejestr ustaw na Użyj filtrowania, wszystkie inne opcje na Brak + szukanie plików na Żadne i klik w Skanuj.

 

 

 

.

[soniaczek01]

Dziękuję,

mam nadzieję,że tym razem wszystko zrobiłam dobrze

Załączam jeszcze screen z resetu firefoxa-wczesniej robiłam tak samo.

 

Nie udaje mi się załączyc plików:( kilkakrotnie próbuje rowniez w opcji"standardowe wysylanie plikow", wybieram plik, i pokazuje sie komunikat ze nie wybrano pliku do importu

 

oo teraz się udało;)

OTL.Txt

[picasso]

soniaczek01, do uzupełniania wypowiedzi, gdy nikt jeszcze nie odpisał, służy opcja Edytuj, zamiast post pod postem. Trzy posty powyżej sklejam.

 

 

Nie udaje mi się załączyc plików:( kilkakrotnie próbuje rowniez w opcji"standardowe wysylanie plikow", wybieram plik, i pokazuje sie komunikat ze nie wybrano pliku do importu

 

To błąd forum.

 

 

Załączam jeszcze screen z resetu firefoxa-wczesniej robiłam tak samo.

 

Coś dziwnie ten reset wygląda, jakby nie działał, dlatego że Firefox nie utworzył nowego profilu i ciągle ścieżka to C:\Users\Soniaczek\AppData\Roaming\mozilla\Firefox\Profiles\ix1bimdl.default, a reset tworzy nowy profil i przesuwa wcześniejsze dane do folderu "Stare dane programu Firefox" na Pulpicie. Dobra, zostawny to już, ręcznie zrobisz poprawki.

 

 

---

Kolejne zalecenia:

 

1. Przez SHIFT+DEL skasuj poniższy folder z dysku:

 

C:\Users\Soniaczek\AppData\Roaming\mozilla\Firefox\Profiles\ix1bimdl.default\extensions\radiobar@toolbar

 

2. Porządki po narzędziach: w AdwCleaner użyj Uninstall, w OTL uruchom Sprzątanie.

 

3. Wyczyść foldery Przywracania systemu: KLIK.

 

4. Na wszelki wypadek zrób skan w Malwarebytes Anti-Malware (przy pytaniu o typ wersji wybierz darmową). Jeżeli coś zostanie wykryte, przedstaw raport.

 

 

 

 

.

Edytowane 6 Grudnia 2012 przez picasso
6.12.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso