Podejrzane zachowanie PC

[adrenalina]

Witam od niedawna mój komputer nie zachowuję się naturalnie. Muszę długo czekać na otworzenie się przęglądarki, wyszukiwanie stron też dłużej mu zajmuje. Poprostu nie pracuje tak jak powinien. Chciałem zrobić loga ComboFixem ale nie dało rady, było rozpakowywanie po ukończeniu combofix się zamknął, więc zrobiłem loga HiJakThisem. Proszę o pomoc.

 

http://sendfile.pl/61586/hijackthis.log

 

Tutaj nie mogę umieścić załącznika bo niemam uprawnień, więc dodaje log na hosting..

[picasso]

adrenalina, ale co Ty mi tu podajesz! HijackThis to archaiczne narzędzie od lat nie używane w porządnej diagnostyce (mnóstwo braków w skanach). Obowiązkowy zestaw logów podany w zasadach: KLIK. Czyli są to FRST, OTL, GMER. A od ComboFix z daleka, powody: KLIK.

 

Raporty podaj via załączniki forum a nie przez hostingi.

 

 

 

.

[adrenalina]

Proszę bardzo. Gmera nie mogę pobrac "gmer.zip wygląda na szklodiwy"

FRST.txt

Addition.txt

OTL.Txt

[picasso]

Proszę bardzo. Gmera nie mogę pobrac "gmer.zip wygląda na szklodiwy"

Paczka nie jest szkodliwa. Z której strony pobierasz i jaką przeglądarką?

 

 

W systemie jest adware. Jedna z dróg (prócz sponsorowanych instalatorów per se) to serwis dobreprogramy.pl, którego "Asystent pobierania" wpuszcza w system gnój (Delta Toolbar z protectorem ustawień, tu BitGuard). Będę usuwać to adware oraz szczątki Firefox (Firefox nie widnieje jako zainstalowany). Akcje do wykonania:

 

1. Przez Panel sterowania odinstaluj BitGuard. Pozbądź się też HijackThis (program jest kompletnie niezgodny z systemem x64 = mnóstwo przekłamań i fałszywych braków) oraz Windows Media Player Firefox Plugin.

 

2. Google Chrome ma uszkodzone preferencje (to zapewne wynik działania BitGuard, bo sprawdzałam ten wariant i adware miesza w formacie Preferences). Akcje w przeglądarce resetujące plik Preferences:

• Zresetuj cache wtyczek. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie włącz.
• Ustawienia > karta Ustawienia > Po uruchomieniu > usuń strony tam otwierane, przestaw na "Otwórz stronę nowej karty"
• Ustawienia > karta Ustawienia > Wygląd i zaznacz "Pokaż przycisk strony startowej" > klik w Zmień i wymaż strony stamtąd (o ile będą)
• Ustawienia > karta Ustawienia > sekcja Wyszukiwanie > klik w Zarządzanie wyszukiwarkami > na liście ustaw Google jako domyślną, po tym skasuj z listy śmieci (o ile będą).
• Ustawienia > karta Historia > wyczyść

3. Otwórz Notatnik i wklej w nim:

 

Task: {4561E070-AEB3-4A08-8074-6DDD318E31F0} - System32\Tasks\BitGuard => Sc.exe start BitGuard
SearchScopes: HKCU - bProtectorDefaultScope {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}
SearchScopes: HKCU - {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} URL = http://www2.delta-search.com/?q={searchTerms}&babsrc=SP_ss&mntrId=CCCB6CF0490CC117&affID=119357&tsp=4997
SearchScopes: HKCU - {483830EE-A4CD-4b71-B0A3-3D82E62A6909} URL =
SearchScopes: HKCU - {E71F8854-7C87-49F4-97B3-BCD5D8C77E4E} URL = http://search.yahoo.com/search?fr=chr-greentree_ie&ei=utf-8&ilc=12&type=937811&p={searchTerms}
BHO-x32: No Name - {DF925EF3-7A87-44E4-9CAF-8D7B280BF616} - No File
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\PEVSystemStart => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\procexp90.Sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Hamachi2Svc => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\PEVSystemStart => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\procexp90.Sys => ""="Driver"
S4 TuneUp.UtilitiesSvc; "D:\Programy\TuneUp\TuneUpUtilitiesService64.exe" [x]
S3 AODDriver; \??\C:\Program Files (x86)\GIGABYTE\ET6\amd64\AODDriver.sys [x]
S2 DgiVecp; \??\C:\Windows\system32\Drivers\DgiVecp.sys [x]
S3 pccsmcfd; system32\DRIVERS\pccsmcfdx64.sys [x]
S2 port_nt; \??\c:\windows\system32\drivers\port_nt.sys [x]
S2 SSPORT; \??\C:\Windows\system32\Drivers\SSPORT.sys [x]
S3 TuneUpUtilitiesDrv; \??\D:\Programy\TuneUp\TuneUpUtilitiesDriver64.sys [x]
C:\Windows\SysWow64\searchplugins
C:\Windows\SysWow64\Extensions
C:\Users\Marcin\AppData\Local\avgchrome
C:\Users\Marcin\AppData\Roaming\Babylon
C:\Users\Marcin\AppData\Roaming\File Scout
C:\Users\Marcin\AppData\Roaming\mozilla
C:\Program Files (x86)\mozilla firefox
Reg: reg delete HKCU\Software\Mozilla /f
Reg: reg delete HKCU\Software\MozillaPlugins /f
Reg: reg delete HKLM\SOFTWARE\MozillaPlugins /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Mozilla /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\mozilla.org /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\MozillaPlugins /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt.

 

4. Uruchom AdwCleaner (najnowszą wersję). Zastosuj Szukaj, a po tym Usuń. Powstanie folder C:\AdwCleaner z raportem z usuwania.

 

5. Zrób nowy skan FRST (już bez Addition). Dołącz plik fixlog.txt i log z AdwCleaner.

 

 

 

.

[adrenalina]

Z programosy i instalki, Chromem.

 

Już wszystko ok?

AdwCleanerR0.txt

AdwCleanerS0.txt

FRST.txt

[picasso]

Nie dodałeś pliku fixlog.txt. Proszę go dołączyć. I mam zastrzeżenia do tego:

 

# Running from : C:\Users\Marcin\Desktop\AdwCleaner_www.INSTALKI.pl.exe

 

Program ma być pobierany ze strony domowej a nie z portali. Tylko na stronie domowej gwarancja pozyskania najnowszej wersji.

 

Z programosy i instalki, Chromem.

Są tu dwie sprawy:

- Dlaczego pobierasz taki program z portali pośrednich? W przyklejonym jest podana strona domowa programu, portale to tylko komplikacje, a jeszcze można załapać "bonusy" adware przez downloadery portalowe. Poza tym, owe portale nie uwzględniają tego, że GMER jest przede wszystkim proponowany w wersji o losowej nazwie (to ma cel, by malware nie blokowało GMER) i linkują wersję słabszą o stałej nazwie "gmer". Ogólna zasada z programami OTL / FRST / GMER / AdwCleaner i każdym innym mającym własną stronę domową = żadne portale, tylko strona domowa.

- Google Chrome ocenia plik w niepoprawny sposób i plik się da pobrać mimo to (klik w strzałkę obok i wybór opcji "Zachowaj"). Ale gdybyś pobierał ze strony domowej GMER wersję o losowej nazwie, Google Chrome pobrałoby plik bez tej adnotacji.

 

 

 

 

.