Win7 po infekcji

[geza]

Witam, proszę o sprawdzenie komputera po infekcji czyszczonej Eset skaner oraz mbam i adwcleaner.

OTL1.Txt

Extras.Txt

[picasso]

Skoro było czyszczenie, to zaprezentuj co te narzędzia robiły, bo tego nie można wydedukować. Przeklej co usuwał ESET i MBAM + dostarcz log utworzony przez AdwCleaner (jest na dysku C).

 

 

 

.

[geza]

Dziękuję już dodaję, niestety logów z eseta brak

AdwCleanerR1.txt

mbam-log-2012-12-05 (16-39-52).txt

[picasso]

Nie mam wyników ESET, więc nie mogę potwierdzić tu infekcji rzeczywistej. To co usuwał MBAM to ta sama kolekcja co AdwCleaner. I zostało tu doczyszczenie właśnie po adware plus będę korygować ten błąd usuwając po prostu sterownik:

 

Error - 12/6/2012 3:01:04 AM | Computer Name = beta-Komputer | Source = Application Popup | ID = 1060
Description = Ładowanie sterownika \SystemRoot\SysWow64\drivers\sdpiosys.sys zostało
 zablokowane z powodu niezgodności z tym systemem. Skontaktuj się z dostawcą oprogramowania
 w celu uzyskania zgodnej wersji sterownika.

 

1. Przez Panel sterowania odinstaluj adware Contextual Tool Extrafind, DownTango, Search-Results Toolbar.

 

2. Firefox zabrudzony, ale czyszczenie nieopłacalne, bo to archaiczny dziurawy 2.0.0.2. Jeśli chcesz z niego ocalić zakładki + hasła, to skorzystaj z MozBackup. Odinstaluj Firefox, przy pytaniu o usuwanie plików użytkownika zatwierdź. Od razu usuń także wszystkie stare Java i produkty Adobe. Doczyszczanie po Firefox już w punkcie 3:

 

3. Wyłącz tymczasowo rezydenta MBAM, by nie przeszkadzał. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\Users\beta\AppData\Roaming\SendSpace
C:\Users\beta\AppData\Roaming\mozilla
C:\Program Files (x86)\mozilla firefox
netsh advfirewall reset /C
 
:Reg
[-HKEY_CURRENT_USER\Software\Mozilla]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Mozilla]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\mozilla.org]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\MozillaPlugins]
 
:OTL
IE:64bit: - HKLM\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2405}: "URL" = "http://dts.search-results.com/sr?src=ieb&appid=0&systemid=405&sr=0&q={searchTerms}"
IE - HKLM\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2405}: "URL" = "http://dts.search-results.com/sr?src=ieb&appid=0&systemid=405&sr=0&q={searchTerms}"
IE - HKLM\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2A69}: "URL" = "http://search.bearshare.com/webResults.html?src=ieb&q={searchTerms}"
IE - HKU\S-1-5-21-4169858314-1730191796-2354803924-1000\..\SearchScopes\{0FA3E027-6254-4341-A5D2-76C0EFA9E771}: "URL" = "http://search.babylon.com/?q={searchTerms}&AF=100476&babsrc=SP_ss&mntrId=808359760000000000001c4bd632f720"
IE - HKU\S-1-5-21-4169858314-1730191796-2354803924-1000\..\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}: "URL" = "http://startsear.ch/?aff=1&src=sp&cf=8de7ae40-587e-11e1-bb68-cdbd54469be7&q={searchTerms}"
IE - HKU\S-1-5-21-4169858314-1730191796-2354803924-1000\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2405}: "URL" = "http://dts.search-results.com/sr?src=ieb&appid=0&systemid=405&sr=0&q={searchTerms}"
IE - HKU\S-1-5-21-4169858314-1730191796-2354803924-1000\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2A69}: "URL" = "http://search.bearshare.com/webResults.html?src=ieb&q={searchTerms}"
IE - HKU\S-1-5-21-4169858314-1730191796-2354803924-1000\..\URLSearchHook: {e8de9422-3b2c-4243-bf6f-235da84d8ef8} - No CLSID value found
O2:64bit: - BHO: (DataMngr) - {34DEE7AD-47D7-45e9-91FC-3E511083493F} - C:\PROGRA~2\SAVEVI~2\Datamngr\x64\BROWSE~1.DLL (Bandoo Media Inc)
O2:64bit: - BHO: (DataMngr) - {C1ED9DA0-AFD0-4b90-AC6A-D3874F591014} - C:\PROGRA~2\SAVEVI~2\Datamngr\x64\BROWSE~1.DLL (Bandoo Media Inc)
O2 - BHO: (IE2EMBHO Class) - {0A0DDBD3-6641-40B9-873F-BBDD26D6C14E} - C:\Program Files (x86)\easyMule\modules\IE2EM.dll (VeryCD.com)
O3:64bit: - HKLM\..\Toolbar: (no name) - 10 - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - 10 - No CLSID value found.
O8:64bit: - Extra context menu item: Download by easyMule - C:\Program Files (x86)\easyMule\IE2EM.htm ()
O8:64bit: - Extra context menu item: Search the Web - C:\Program Files (x86)\SweetIM\Toolbars\Internet Explorer\resources\menuext.html File not found
O8 - Extra context menu item: Download by easyMule - C:\Program Files (x86)\easyMule\IE2EM.htm ()
O8 - Extra context menu item: Search the Web - C:\Program Files (x86)\SweetIM\Toolbars\Internet Explorer\resources\menuext.html File not found
O20:64bit: - AppInit_DLLs: (C:\PROGRA~2\SEARCH~1\Datamngr\x64\datamngr.dll) - C:\PROGRA~2\SEARCH~1\Datamngr\x64\datamngr.dll (Bandoo Media Inc)
O20:64bit: - AppInit_DLLs: (C:\PROGRA~2\SAVEVI~2\Datamngr\x64\IEBHO.dll) -  File not found
DRV - [2004/11/30 11:10:00 | 000,161,792 | ---- | M] () [Kernel | System | Stopped] -- C:\Windows\SysWOW64\drivers\SDPIOSYS.SYS -- (sdpiosys)
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. Zatwierdź restart systemu.

 

4. Otwórz Notatnik i wklej w nim:

 

Windows Registry Editor Version 5.00

 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
[-HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Search]

 

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.REG

 

Kliknij prawym na plik i z menu wybierz opcję Scal. Potwierdź import do rejestru.

 

5. Zainstaluj najnowszy Firefox 17.0.1: KLIK.

 

6. Zrób nowy log OTL z opcji Skanuj (już bez Extras).

 

 

 

 

.

[geza]

Dziękuję wykonałem wszystko w/g zaleceń załączam log z OTL

OTL3.Txt

[picasso]

Zadania przeprowadzone w 99% pomyślnie. Nie wygląda jednak na to, by została odinstalowana stara wtyczka Adobe Flash dla Firefoxa, bo usuwałam klucze Mozilla, a tu powrócił i widać, że kieruje na starą wersję Adobe Flash (plik ma inną konwencję nazewniczą niż najnowsze mające numer wersji w nazwie):

 

FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\Windows\system32\Macromed\Flash\NPSWF32.dll ()

 

No chyba, że to stare próchno przywraca GG10. O tym potworku pogadamy potem, ale póki co nie reaguj, jeśli Gadu zwróci komunikat o "brakującym Flash" (do reklam jest to używane) - nie instaluj tego które proponuje GG10. Na teraz minimalne poprawki zostały:

 

1. Przez SHIFT+DEL skasuj z dysku ten folder:

 

C:\Program Files (x86)\Search Results Toolbar

 

2. Odinstaluj pozycje Adobe Flash Player 11 ActiveX + Adobe Flash Player 10 Plugin. Popraw usuwaczem: KLIK. Następnie przez SHIFT+DEL skasuj foldery:

 

C:\Windows\SysWOW64\Macromed\Flash

C:\Windows\system32\Macromed\Flash

 

Na koniec zainstaluj w wybranej przeglądarce najnowszy.

 

 

 

.

[geza]

Zrobiłem to Adobe to wina Gadu ponieważ jest w Autostarcie i pytał się czy instalować nie wiedząc o tym pozwoliłem na instalację. Dziękuję

[picasso]

Porządki końcowe:

 

1. Wyczyść po narzędziach: w AdwCleaner uruchom Uninstall, w OTL uruchom Sprzątanie.

 

2. Wyczyść foldery Przywracania systemu: KLIK.

 

 

Zrobiłem to Adobe to wina Gadu ponieważ jest w Autostarcie i pytał się czy instalować nie wiedząc o tym pozwoliłem na instalację.

 

Posiadasz Gadu-Gadu 10. Ta wersja jest stara i straszna, reklamy i dręczenie zasobów systemu, a posługiwanie się przestarzałym Adobe Flash to luka bezpieczeństwa (niestety GG10 zdaje się nie zaakceptuje najnowszego doinstalowanego z zewnątrz). Producent się z niej zresztą wycofał, wyłączono też nie tak dawno serwisy, które były integrowane w tym potworze. To już prędzej proponuję sprawdzić najnowsze GG11, bo jest lepsze niż GG10, przynajmniej pod kątem ilości śmieci i interfejsu, ale łakome na zasoby jest tak jak GG10. Moją propozycją jest jednak sięgnięcie po program alternatywny z obsługą sieci Gadu: WTW, Kadu, Miranda, AQQ.

 

GG11 i wszystkie wymienione są opisane tu: KLIK.

 

 

 

.

[geza]

Po zastosowaniu wszyskich wskazówek zaistalowałem noda32 antywirusa i zrobiłem skanowanie i to co wykrył w załączonym pliku

Nowy dokument tekstowy (2).txt

[picasso]

geza, masz jakiś problem z cytowaniem, już tu po raz kolejny łączę posty i czyszczę z cytatów błędnych. Nie używaj przycisków "Odpowiedz" (w całości cytuje poprzedni post), korzystaj z dolnego pola szybkiej odpowiedzi i przycisku "Napisz".

 

 

zaistalowałem noda32 antywirusa i zrobiłem skanowanie i to co wykrył w załączonym pliku

 

Nic ciekawego. On wykrył instalator C:\Users\beta\Desktop\SavevidSetupV2.exe jako źródło śmieci, po prostu ręcznie go skasuj z Pulpitu. I tak właśnie jest, Savevid instaluje adware (z którego system już był czyszczony). O aplikacji zapomnij.

 

 

 

.

[geza]

Bardzo bardzo dziękuję bo byłem przerażony, pozdrowienia