Problemy z rootkit

[thomasso]

Witam,

niedawno pojawiło się sporo zarażonych plików oraz osłabiło się działanie WiFi i szybkość komputera (zacinający się kursor). Kwarantanna Avastem ani podobne zabiegi nic nie pomagały.

 

Proszę o pomoc

Addition.txt

OTL.Txt

Extras.Txt

FRST.txt

GMER.txt

[muzyk75]

Odinstaluj: iSafe, Przyspiesz Komputer, eSafe, Bonjour ( śmieć od Apple ), TuneUp Utilities, Lollipop.

 

Otwórz notatnik i wklej:

 

HKCU\...\Run: [NTRedirect] - C:\windows\SysWOW64\rundll32.exe  "C:\Users\Paulina\AppData\Roaming\BabSolution\Shared\enhancedNT.dll",Run
HKCU\...\RunOnce: [Application Restart #1] - C:\Program Files (x86)\Google\Chrome\Application\chrome.exe  --flag-switches-begin --flag-switches-end --restore-last-session http://www.delta-homes.com/?utm_source=b&utm_medium=newgdp&from=newgdp&uid=HitachiXHTS545050A7E380_TA9511GZK214XSK214XSX&ts=1373123208 [829392 2013-09-02] (Google Inc.)
AppInit_DLLs: C:\PROGRA~3\Wincert\WIN64C~1.DLL C:\PROGRA~2\SEARCH~1\Datamngr\x64\datamngr.dll C:\PROGRA~2\SEARCH~1\Datamngr\x64\IEBHO.dll  [1531256 2013-02-14] (Bandoo Media Inc)
HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www1.delta-search.com/?babsrc=HP_ss&mntrId=941C88532ED9C426&affID=119357&tsp=4982
HKCU\Software\Microsoft\Internet Explorer\Main,bProtector Start Page = http://www1.delta-search.com/?babsrc=HP_ss&mntrId=941C88532ED9C426&affID=119357&tsp=4982
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.qvo6.com/?utm_source=b&utm_medium=prs&from=prs&uid=HitachiXHTS545050A7E380_TA9511GZK214XSK214XSX&ts=1370698918
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.qvo6.com/?utm_source=b&utm_medium=prs&from=prs&uid=HitachiXHTS545050A7E380_TA9511GZK214XSK214XSX&ts=1370698918
StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe http://www.delta-homes.com/?utm_source=b&utm_medium=newgdp&from=newgdp&uid=HitachiXHTS545050A7E380_TA9511GZK214XSK214XSX&ts=1373123208
SearchScopes: HKLM - DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://search.qvo6.com/web/?utm_source=b&utm_medium=prs&from=prs&uid=HitachiXHTS545050A7E380_TA9511GZK214XSK214XSX&ts=4390962
SearchScopes: HKLM - {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://search.qvo6.com/web/?utm_source=b&utm_medium=prs&from=prs&uid=HitachiXHTS545050A7E380_TA9511GZK214XSK214XSX&ts=4390962
SearchScopes: HKLM - {9BB47C17-9C68-4BB3-B188-DD9AF0FD2406} URL = http://dts.search-results.com/sr?src=ieb&gct=ds&appid=341&systemid=406&apn_dtid=BND406&apn_ptnrs=AG6&o=APN10645&apn_uid=2911434583154315&q={searchTerms}
SearchScopes: HKLM-x32 - DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://search.qvo6.com/web/?utm_source=b&utm_medium=prs&from=prs&uid=HitachiXHTS545050A7E380_TA9511GZK214XSK214XSX&ts=4390962
SearchScopes: HKLM-x32 - {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://search.qvo6.com/web/?utm_source=b&utm_medium=prs&from=prs&uid=HitachiXHTS545050A7E380_TA9511GZK214XSK214XSX&ts=4390962
SearchScopes: HKLM-x32 - {9BB47C17-9C68-4BB3-B188-DD9AF0FD2406} URL = http://dts.search-results.com/sr?src=ieb&gct=ds&appid=341&systemid=406&apn_dtid=BND406&apn_ptnrs=AG6&o=APN10645&apn_uid=2911434583154315&q={searchTerms}
SearchScopes: HKCU - DefaultScope {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} URL = http://www1.delta-search.com/?q={searchTerms}&babsrc=SP_ss&mntrId=941C88532ED9C426&affID=119357&tsp=4982
SearchScopes: HKCU - {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} URL = http://www1.delta-search.com/?q={searchTerms}&babsrc=SP_ss&mntrId=941C88532ED9C426&affID=119357&tsp=4982
SearchScopes: HKCU - {9BB47C17-9C68-4BB3-B188-DD9AF0FD2406} URL = http://dts.search-results.com/sr?src=ieb&gct=ds&appid=341&systemid=406&apn_dtid=BND406&apn_ptnrs=AG6&o=APN10645&apn_uid=2911434583154315&q={searchTerms}
BHO: DataMngr - {C1ED9DA0-AFD0-4b90-AC6A-D3874F591014} - C:\Program Files (x86)\Search Results Toolbar\Datamngr\x64\BrowserConnection.dll (Bandoo Media Inc)
BHO-x32: Search-Results Toolbar - {377e5d4d-77e5-476a-8716-7e70a9272da0} - C:\Program Files (x86)\Search Results Toolbar\Datamngr\SRTOOL~1\searchresultsDx.dll (APN LLC)
BHO-x32: DealPly Shopping - {4B6ACEA2-308A-4876-AD36-57CEC5B4FCC7} - C:\Program Files (x86)\DealPly\DealPlyIE.dll (DealPly)
BHO-x32: delta Helper Object - {C1AF5FA5-852C-4C90-812E-A7F75E011D87} - C:\Program Files (x86)\Delta\delta\1.8.24.6\bh\delta.dll (Delta-search.com)
BHO-x32: DataMngr - {C1ED9DA0-AFD0-4b90-AC6A-D3874F591014} - C:\Program Files (x86)\Search Results Toolbar\Datamngr\BrowserConnection.dll (Bandoo Media Inc)
Toolbar: HKLM-x32 - Delta Toolbar - {82E1477C-B154-48D3-9891-33D83C26BCD3} - C:\Program Files (x86)\Delta\delta\1.8.24.6\deltaTlbr.dll (Delta-search.com)
Toolbar: HKLM-x32 - Search-Results Toolbar - {377e5d4d-77e5-476a-8716-7e70a9272da0} - C:\Program Files (x86)\Search Results Toolbar\Datamngr\SRTOOL~1\searchresultsDx.dll (APN LLC)
FF user.js: detected! => C:\Users\Paulina\AppData\Roaming\Mozilla\Firefox\Profiles\xp66n9r2.default\user.js
FF NewTab: hxxp://www1.delta-search.com/?babsrc=NT_ss&mntrId=941C88532ED9C426&affID=119357&tsp=4982
FF SearchEngineOrder.1: qvo6
FF SelectedSearchEngine: qvo6
FF Homepage: hxxp://www1.delta-search.com/?babsrc=HP_ss&mntrId=941C88532ED9C426&affID=119357&tsp=4982
FF Keyword.URL: hxxp://dts.search-results.com/sr?src=ffb&gct=ds&appid=341&systemid=406&apn_dtid=BND406&apn_ptnrs=AG6&apn_uid=2911434583154315&o=APN10645&q=
FF SearchPlugin: C:\Users\Paulina\AppData\Roaming\Mozilla\Firefox\Profiles\xp66n9r2.default\searchplugins\delta.xml
FF SearchPlugin: C:\Users\Paulina\AppData\Roaming\Mozilla\Firefox\Profiles\xp66n9r2.default\searchplugins\Search_Results.xml
FF SearchPlugin: C:\Program Files (x86)\mozilla firefox\searchplugins\avg-secure-search.xml
FF SearchPlugin: C:\Program Files (x86)\mozilla firefox\searchplugins\babylon.xml
FF SearchPlugin: C:\Program Files (x86)\mozilla firefox\searchplugins\qvo6.xml
FF SearchPlugin: C:\Program Files (x86)\mozilla firefox\searchplugins\Search_Results.xml
FF Extension: DealPly  Shopping - C:\Users\Paulina\AppData\Roaming\Mozilla\Firefox\Profiles\xp66n9r2.default\Extensions\addon@dealplyshopping.com
FF Extension: Delta Toolbar - C:\Users\Paulina\AppData\Roaming\Mozilla\Firefox\Profiles\xp66n9r2.default\Extensions\ffxtlbr@delta.com
FF Extension: Search-Results Toolbar - C:\Users\Paulina\AppData\Roaming\Mozilla\Firefox\Profiles\xp66n9r2.default\Extensions\{377e5d4d-77e5-476a-8716-7e70a9272da0}
FF Extension: putlockerdownloader - C:\Users\Paulina\AppData\Roaming\Mozilla\Firefox\Profiles\xp66n9r2.default\Extensions\putlockerdownloader@putlockerdownloader.com.xpi
CHR DefaultSearchURL: (Search the web (Babylon)) - http://isearch.babylon.com/?q={searchTerms}&babsrc=SP_ssbtis1&mntrId=941C88532ED9C426&affID=119357&tsp=4980
CHR DefaultSuggestURL: (Search the web (Babylon)) - {google:baseSuggestURL}search?{google:searchFieldtrialParameter}client=chrome&q={searchTerms}&{google:cursorPosition}{google:zeroPrefixUrl}sugkey={google:suggestAPIKeyParameter}
CHR Extension: (PutLockerDownloader) - C:\Users\Paulina\AppData\Local\Google\Chrome\User Data\Default\Extensions\apfdadfinodckpcehhdhjlgiphgnbfci\1.0_1
CHR Extension: (Delta Toolbar) - C:\Users\Paulina\AppData\Local\Google\Chrome\User Data\Default\Extensions\eooncjejnppfjjklapaamhcdmjbilmde\1.4_1
CHR Extension: (Delta Toolbar) - C:\Users\Paulina\AppData\Local\Google\Chrome\User Data\Default\Extensions\gnnabbonolmdccgncgckdfikehphiknc\1.0_1
CHR HKLM-x32\...\Chrome\Extension: [apfdadfinodckpcehhdhjlgiphgnbfci] - C:\Program Files (x86)\PutLockerDownloader\putlockerdownloader10.crx
CHR HKLM-x32\...\Chrome\Extension: [eooncjejnppfjjklapaamhcdmjbilmde] - C:\Users\Paulina\AppData\Roaming\BabSolution\CR\Delta.crx
CHR HKLM-x32\...\Chrome\Extension: [gnnabbonolmdccgncgckdfikehphiknc] - C:\Users\Paulina\AppData\Roaming\CRDeltaTB\DeltaYHS.crx
2013-11-02 16:50 - 2012-12-16 21:08 - 00001050 _____ C:\windows\Tasks\GoogleUpdateTaskMachineUA.job
2013-11-02 16:29 - 2012-12-16 21:08 - 00001046 _____ C:\windows\Tasks\GoogleUpdateTaskMachineCore.job
C:\Users\Paulina\AppData\Local\Temp\AcDeltree.exe
C:\Users\Paulina\AppData\Local\Temp\UNINSTALL.exe
C:\Users\Paulina\AppData\Local\Temp\{BF984205-2510-42E7-9A7A-C7126BD9A147}-30.0.1599.101_29.0.1547.66_chrome_updater.exe
 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix.

 

Pobierz ADW-Cleaner: "Dział pomocy doraźnej"-->"Dezynfekcja: zbiór narzędzi usuwających"-->"Pobierz" . Po uruchomieniu kliknij "szukaj" , po zakończeniu skanu "usuń".  Reset komputera.

 

Pobierz: TFC Temp File Cleaner by Oldtimer: "Dział pomocy doraźnej"-->"Dezynfekcja kroki finalizujące temat"-->"Czyszczenie lokalizacji tymczasowych" Naciśnij "start" i rozpocznie się usuwanie plików tymczasowych.

 

Zaktualizuj Java do wersji 7u45, Adobe Reader do wersji 11

 

Google Chrome: zresetuj  wtyczeki. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie włącz.

Firefox reset wtyczek: kliknij pomarańczowy napis "Firefox"-->"Pomoc"-->"Informacje dla pomocy technicznej'-->"Resetuj program Firefox"

 

Wykonaj nowe logi FRST.

[jessica]

Źle trafiłeś, bo @Picasso nie ma teraz możliwości zbyt dużo czasu poświęcać na pomaganie (długotrwałe kłopoty zdrowotne)

 

Ja nie dostrzegam w logach infekcji, ale są szkodliwe sponsorskie śmieci:

1) Odinstaluj:

"Akamai" = Akamai NetSession Interface
"DealPly" = DealPly

"ilividtoolbargaw" = Search-Results Toolbar

"delta" = Delta toolbar  
"Delta Chrome Toolbar" = Delta Chrome Toolbar

 

2) Użyj >Adw-cleaner (aby pobrać kliknij na dużą zieloną strzałkę po prawej).  
najpierw kliknij na SZUKAJ, a dopiero po zakończeniu skanowania, gdy uaktywni się przycisk USUŃ, to kliknij na niego.
Pokaż raport z niego C:\AdwCleaner[s1].txt

 

3) Zrób nowy log z OTL.

 

jessi

 

nieaktualne, bo jest już odpowiedź

[thomasso]

Odinstaluj: iSafe, Przyspiesz Komputer, eSafe, Bonjour ( śmieć od Apple ), TuneUp Utilities, Lollipop.

 

Otwórz notatnik i wklej:

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix.

 

Pobierz ADW-Cleaner: "Dział pomocy doraźnej"-->"Dezynfekcja: zbiór narzędzi usuwających"-->"Pobierz" . Po uruchomieniu kliknij "szukaj" , po zakończeniu skanu "usuń".  Reset komputera.

 

Pobierz: TFC Temp File Cleaner by Oldtimer: "Dział pomocy doraźnej"-->"Dezynfekcja kroki finalizujące temat"-->"Czyszczenie lokalizacji tymczasowych" Naciśnij "start" i rozpocznie się usuwanie plików tymczasowych.

 

Zaktualizuj Java do wersji 7u45, Adobe Reader do wersji 11

 

Google Chrome: zresetuj  wtyczeki. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie włącz.

Firefox reset wtyczek: kliknij pomarańczowy napis "Firefox"-->"Pomoc"-->"Informacje dla pomocy technicznej'-->"Resetuj program Firefox"

 

Wykonaj nowe logi FRST.

 

Wszystko wykonane co do odinstalowania Lollipop nie znalazłem już programu w komputerze. 

Wstawiam logi z FRST.

FRST.txt

Addition.txt

[muzyk75]

Odinstaluj: Akamai NetSession Interface , Delta (x32 Version: 1.0.0.0)

 

Otwórz notatnik i wklej:

 

CHR DefaultSearchURL: (Search the web (Babylon)) - http://isearch.babylon.com/?q={searchTerms}&babsrc=SP_ssbtis1&mntrId=941C88532ED9C426&affID=119357&tsp=4980
CHR DefaultSuggestURL: (Search the web (Babylon)) - {google:baseSuggestURL}search?{google:searchFieldtrialParameter}client=chrome&q={searchTerms}&{google:cursorPosition}{google:zeroPrefixUrl}sugkey={google:suggestAPIKeyParameter}
S3 iSafeFsFlt; \??\C:\Program Files (x86)\iSafe\iSafeFsFlt.sys [x]
2013-11-02 15:19 - 2013-11-02 15:19 - 00000000 ____D C:\Users\Paulina\AppData\Roaming\iSafe
 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix.

 

Wejdź do Chrome i usuń wtyczkę Babylon. Nie została ona automatycznie usunięta.

[thomasso]

Odinstaluj: Akamai NetSession Interface , Delta (x32 Version: 1.0.0.0)

 

Otwórz notatnik i wklej:

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix.

 

Wejdź do Chrome i usuń wtyczkę Babylon. Nie została ona automatycznie usunięta.

 

Polecenia wykonane Coś jeszcze pozostało?

FRST.txt

Addition.txt

[muzyk75]

Zaktualizuj: Adobe Reader XI, CCleaner, Mozilla Firefox -aktualna wersja to 25.

[thomasso]

Zaktualizuj: Adobe Reader XI, CCleaner, Mozilla Firefox -aktualna wersja to 25.

 

Ok  

Wszystko działa jak należy,

 

Dzięki wielkie za pomoc