Wirus Ponmocup.AA

[hojak20]

Witam

 

Ostatnio moj komputer wykryl wirusa podanego w temacie.

Szukalem sposobu na usuniecie niego i znalazlem Wasza strone i mam nadzieje ze mi pomozecie

 

Mam Windowsa 7 64-bit dlatego nie dolacze raporu z GMER'a

 

W zalaczniku potrzebne raporty

 

Z gory dziekuje za pomoc i pozdrawiam

 

Jezeli bedzie jeszcze cos potrzebne to prosze pisac

OTL.Txt

Extras.Txt

[picasso]

hojak20, do wglądu zasady działu: KLIK. Nie tworzyłbyś nowego posta podbijającego o treści "Jezeli bedzie jeszcze cos potrzebne". Zasady działu są jasne jakie logi są tu oczekiwane, a przypominanie się w nowych postach wysoce niepożądane.

 

 

Ostatnio moj komputer wykryl wirusa podanego w temacie.

 

Problem stanowi ten wpis startowy infekcji:

 

O4 - HKU\S-1-5-21-1486898360-476355479-2976473103-1000..\Run: [lufw] C:\Users\Wiktor\AppData\Roaming\mcbuilderk.dll ()

 

Poza tym, jest zmodyfikowany plik HOSTS + system zabrudzony adware (świństwa instalowane przez wtyczki LiveVDO/vShare i inne).

 

 

1. Przez Panel sterowania odinstaluj adware BrowserCompanion, LiveVDO plugin 1.3, KMPlayer Toolbar, KMPlayer Toolbar Updater, Pandora Service, PCSpeedUp, vShare plugin 1.3, VshareComplete oraz McAfee Security Scan Plus (sponsor paczek Adobe).

 

2. Google Chrome: wejdź do Rozszerzeń i odinstaluj Browser Companion Helper, vshare plugin, VshareComplete plugin for chrome. Wyczyść Historię.

 

3. Firefox: wyczyść z adware poprzez menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox.

 

4. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = "http://startsear.ch/?aff=2&src=sp&cf=34b37c1f-4778-11e1-81b0-742f68b26994&q={searchTerms}"
IE - HKU\S-1-5-21-1486898360-476355479-2976473103-1000\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = "http://startsear.ch/?aff=2&src=sp&cf=34b37c1f-4778-11e1-81b0-742f68b26994&q={searchTerms}"
IE - HKU\S-1-5-21-1486898360-476355479-2976473103-1000\..\SearchScopes\{1FC65724-598E-452A-B81B-FFA09D47E5B8}: "URL" = "http://startsear.ch/?aff=1&src=sp&cf=34b37c1f-4778-11e1-81b0-742f68b26994&q={searchTerms}"
O4 - HKLM..\Run: []  File not found
O4 - HKU\S-1-5-21-1486898360-476355479-2976473103-1000..\Run: [lufw] C:\Users\Wiktor\AppData\Roaming\mcbuilderk.dll ()
O4 - Startup: C:\Users\Wiktor\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Need for Speed™ Undercover Registration.lnk =  File not found
[2012-01-24 13:15:38 | 000,000,036 | ---- | C] () -- C:\Users\Wiktor\uidsave.dat
[2012-02-11 14:40:31 | 000,000,000 | ---D | M] -- C:\Users\Wiktor\AppData\Roaming\OpenCandy
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Default_Page_URL"=-
"Start Page"="about:blank"
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. Zatwierdź restart systemu.

 

5. Uruchom GrantPerms x64 i w oknie wklej:

 

C:\Windows\system32\drivers\etc\hosts

 

Klik w Unlock. Następnie Zresetuj plik HOSTS do postaci domyślnej za pomocą narzędzia Fix-it z artykułu: KB972034.

 

6. Uruchom AdwCleaner i zastosuj Delete. Na dysku C powstanie log z usuwania.

 

7. Zrób nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log utworzony przez AdwCleaner.

 

 

 

.

[hojak20]

Witam

 

W zalaczniku potrzebne logi.

OTL.Txt

AdwCleanerS1.txt

[picasso]

Zadania pomyślnie wykonane, zostały poprawki:

 

1. Korekta wyszukiwarek Internet Explorer po użyciu AdwCleaner. Otwórz Notatnik i wklej w nim:

 

Windows Registry Editor Version 5.00
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{BDC11E10-C5CD-4DAE-B822-0F3EACD53ECE}"
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{BDC11E10-C5CD-4DAE-B822-0F3EACD53ECE}"
 
[-HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes]

 

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.REG

 

Kliknij prawym na plik i z menu wybierz opcję Scal. Potwierdź import do rejestru.

 

2. W Google Chrome jest ustawiona wyszukiwarka adware oraz resztka wtyczki vShare:

 

========== Chrome  ==========
 
CHR - plugin: vShare.tv plug-in (Enabled) = C:\Users\Wiktor\AppData\Local\Google\Chrome\User Data\Default\Extensions\kpionmjnkbpcdpcflammlgllecmejgjj\1.3_0\chvsharetvplg.dll

 

Wejdź do ustawień i w zarządzaniu wyszukiwarkami przestaw domyślną z Web Search na Google, po tym Web Search usuń z listy. Natomiast wycięcie wtyczki vShare z konfiguracji wymaga już bezpośredniej edycji kodu pliku Preferences. Wykonam to za Ciebie. Skopiuj na Pulpit ten plik:

 

C:\Users\Wiktor\AppData\Local\Google\Chrome\User Data\Default\Preferences

 

Shostuj gdzieś i podaj link. Plik zedytuję i odeślę z powrotem. Potem poproszę o nowy log z OTL potwierdzający zmiany.

 

 

 

.

[hojak20]

Witam

 

Oto link do Preferences

http://www.sendspace.pl/file/ccaf21f27b8c13de4087bdf

 

I jezeli potwierdzilem import do rejestru FIX.REG moge usunac ten plik czy gdzies go przechowywac?

[picasso]

1. Przesyłam zedytowany plik Preferences spakowany do ZIP: KLIK. Zamknij Google Chrome (nie może być w procesach podczas tej operacji, bo plik ulegnie uszkodzeniu!) i zastąp pliki. Sprawdź czy są na dysku takie katalogi Browser Companion + vShare, a jeśli to przez SHIFT+DEL skasuj:

 

C:\Users\Wiktor\AppData\Local\Google\Chrome\User Data\Default\Extensions\clbfjfbnelcflpgpklppgplejolacbej

C:\Users\Wiktor\AppData\Local\Google\Chrome\User Data\Default\Extensions\kpionmjnkbpcdpcflammlgllecmejgjj

 

Uruchom Google Chrome, by sprawdzić czy nie zwraca po edycjach żadnego błędu startowego.

 

2. Zrób nowy log OTL udawadniający zmiany, ale zawężony do: tylko opcję Rejestr ustaw na Użyj filtrowania, wszystkie inne opcje na Brak + szukanie plików na Żadne i klik w Skanuj.

 

 

I jezeli potwierdzilem import do rejestru FIX.REG moge usunac ten plik czy gdzies go przechowywac?

 

Tak.

 

 

.

[hojak20]

Witam

 

Na dysku nie znalazlem katalogow Browser Companion + vShare. Zadnych bledow nie bylo.

W zalaczniku potrzebne logi

OTL.Txt

[picasso]

Wszystko zrobione prawidłowo. Kończymy:

 

1. Porządki po narzędziach: przez SHIFT+DEL skasuj z Pulpitu folder Stare dane programu Firefox, w AdwCleaner uruchom Uninstall, w OTL uruchom Sprzątanie.

 

2. Wyczyść foldery Przywracania systemu: KLIK.

 

3. Aktualnie w systemie brak SP1 dla Windows 7 oraz są zainstalowane wersje:

 

64bit- Professional  (Version = 6.1.7600) - Type = NTWorkstation
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83216032FF}" = Java™ 6 Update 37
"{AC76BA86-7AD7-1045-7B44-AA1000000001}" = Adobe Reader X (10.1.4) - Polish
"Opera 12.02.1578" = Opera 12.02

 

Czyli: usuń starsze Adobe Reader + Java i zastąp najnowszymi, zaktualizuj Operę, wykonaj pełną aktualizację Windows 7 z Windows Update.

 

 

 

.

[hojak20]

Witam

 

Wszystko wykonane. Wazne aktualizacje systemu wykonane. Czy te opcjonalne tez mam zainstalowac czy nie musza byc?

[picasso]

Zależy co jest w opcjonalnych. Np. jeśli sterowniki sprzętowe, to opuść, bo źródłem dla sterowników raczej strona producenta sprzętu niż Windows Update. Sterowniki MS są podstawowe.

[hojak20]

Intel - Other hardware - Intel® Management Engine Interface

 

Intel Corporation - Graphics Adapter WDDM1.1, Graphics Adapter WDDM1.2 - Intel® HD Graphics 3000

 

nVidia - Graphics Adapter WDDM1.1, Graphics Adapter WDDM1.2, Other hardware - NVIDIA GeForce GT 540M

 

Takie sa opcjonalne aktualizacje do zainstalowania.

Zainstalowac je czy zostawic w spokoju?

[picasso]

Czyli sterowniki. Opuść je, bo jak mówiłam aktualizacje sterowników raczej ze strony producenta sprzętu a nie od Microsoftu. Sterowniki się różnią, te od Microsoftu to wersje podstawowe okrojone.

 

 

 

.

[hojak20]

Jezeli to wszystko, to bardzo dziekuje za pomoc

 

Pozdrawiam i zycze Wesolych Swiat i Szczesliwego Nowego Roku

[picasso]

Tak, to wszystko. Dziękuję za życzenia. I wzajemnie.

 

Temat rozwiązany. Zamykam.

 

 

.