Win32/AutoRun.Caphaw.A-Wolne dzialanie komputera, Chrome się nie otwiera

[progeno]

Witam,

Dziś przez Skype otrzymałem od znajomego plik  invoice_704319.pdf.exe
Uruchomilem, ale sie nie uruchamiał ...
Później miałem informacje od znajomych,że dostali ode mnie taki sam plik przez Skype.
Dzis komputer zaczął się dziwnie zachowywać:
-zaczął bardzo wolno działać
-przeglądarka Chrome nie chciala sie uruchamiac

Przeskanowałem ESET-em:

znalazł ->Pamięć operacyjna » TpKnrres.exe(9792) - odmiana zagrożenia Win32/AutoRun.Caphaw.A robak - wyleczony przez usunięcie

cały raport ze skanowania w załaczonym pliku

ESET.txt

FRST.txt

Addition.txt

OTL.Txt

Extras.Txt

gmer.txt

[jessica]

Źle trafiłeś, bo @Picasso nie ma teraz możliwości zbyt dużo czasu poświęcać na pomaganie (długotrwałe kłopoty osobiste)

 

Moim zdaniem ESET popełnił pomyłkę:

C:\Program Files\Lenovo\Communications Utility\TpKnrres.exe

Laptop pewnie LENOWO?

Poza tym widać w logu Addition: ThinkVantage Communications Utility (Version: 3.0.34.0)

ten zainstalowany program Lenowa, a plik TpKnrres.exe jest w tym programie.

To tylko moje zdanie - oceni to @Picasso, gdy już będzie w stanie normalnie pomagać.

 

W międzyczasie możesz zrobić to:

1) Użyj >Adw-cleaner (aby pobrać kliknij na dużą zieloną strzałkę po prawej).  
najpierw kliknij na SZUKAJ, a dopiero po zakończeniu skanowania, gdy uaktywni się przycisk USUŃ, to kliknij na niego.
Pokaż raport z niego C:\AdwCleaner[s0].txt

 

2) Otwórz Notatnik i wklej w nim:

 

C:\Users\Daniel\AppData\Local\Temp\invoice_988895.pdf.exe
C:\Users\Daniel\AppData\Local\Temp\gdirector.exe
C:\Users\Daniel\AppData\Local\Temp\NOSEventMessages.dll
S3 VBoxNetFlt; system32\DRIVERS\VBoxNetFlt.sys [x]
CHR Plugin: (Silverlight Plug-In) - c:\Program Files (x86)\Microsoft Silverlight\4.0.50401.0\npctrl.dll No File
CHR RestoreOnStartup: "hxxp://www.google.com/", "hxxp://www.google.com/ig/redirectdomain?brand=LENP&bmod=LENP", "hxxp://www1.delta-search.com/?affID=121845&tt=gc_&babsrc=HP_ss&mntrId=5A3FB888E3E69E01"
FF Plugin HKCU: intel.com/AppUp - C:\Program Files (x86)\Intel\IntelAppStore\bin\npAppUp.dll No File
FF SearchPlugin: C:\Users\Daniel\AppData\Roaming\Mozilla\Firefox\Profiles\yvglvi6j.default\searchplugins\babylon.xml
FF SearchPlugin: C:\Users\Daniel\AppData\Roaming\Mozilla\Firefox\Profiles\yvglvi6j.default\searchplugins\delta.xml
FF Homepage: hxxp://search.myheritage.com/
SearchScopes: HKCU - {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} URL = http://www1.delta-search.com/?q={searchTerms}&affID=121845&tt=gc_&babsrc=SP_ss&mntrId=5A3FB888E3E69E01
HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www1.delta-search.com/?affID=121845&tt=gc_&babsrc=HP_ss&mntrId=5A3FB888E3E69E01
HKCU\...\Run: [] - [x]

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt. Daj go.

 

3) Zrób nowe logi z OTL i FRST.

 

jessi

[progeno]

Tak to laptop Lenovo

1), 2) i 3) zrobione -> logi poniżej

stan laptopa bez zmian - >Chrome dalej się nie otwiera

AdwCleanerS0.txt

Fixlog.txt

FRST.txt

OTL.Txt

[jessica]

O4 - HKU\S-1-5-21-672055795-390331892-413438480-1001..\Run: [vCchabHoWT9wRrlGj4RVk8nA] C:\Users\Daniel\AppData\Roaming\Skype\dolszowy\chatsync\fc\lodctr.exe ()

To mi się nie podoba - w tej lokalizacji nie powinno być żadnego *.exe.

Chyba, że sam to tam umieściłeś?

Jeśli nie, to usuniemy:

Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

 

:OTL

O4 - HKU\S-1-5-21-672055795-390331892-413438480-1001..\Run: [vCchabHoWT9wRrlGj4RVk8nA] C:\Users\Daniel\AppData\Roaming\Skype\dolszowy\chatsync\fc\lodctr.exe ()

O4 - HKLM..\Run: [PWMTRV] rundll32 C:\PROGRA~2\ThinkPad\UTILIT~1\PWMTR64V.DLL,PwrMgrBkGndMonitor File not found

O3:64bit: - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.

O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.

 

:Reg

[HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\SearchScopes]

"DefaultScope"=-

[HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes]

"DefaultScope"=-

[HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes]

"DefaultScope"=-

[HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes]

"DefaultScope"=-

[HKEY_USERS\S-1-5-21-672055795-390331892-413438480-1000\Software\Microsoft\Internet Explorer\SearchScopes]

"DefaultScope"=-

[HKEY_USERS\S-1-5-21-672055795-390331892-413438480-1001\Software\Microsoft\Internet Explorer\SearchScopes]

"DefaultScope"=-

 

:Commands

[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.

 

Zrób nowe logi z FRST i OTL.

 

Z fixlogu:

CHR RestoreOnStartup: "hxxp://www.google.com/", "hxxp://www.google.com/ig/redirectdomain?brand=LENP&bmod=LENP", "hxxp://www1.delta-search.com/?affID=121845&tt=gc_&babsrc=HP_ss&mntrId=5A3FB888E3E69E01" ==> The Chrome "Settings" can be used to fix the entry.

No, tak, to trzeba usuwać nie poprzez Skrypt FRST, tylko poprzez "Ustawienia" w Chrome.

 

stan laptopa bez zmian - >Chrome dalej się nie otwiera

z tym musisz czekać na @Picasso (nie wiem, kiedy powróci do normalnego pomagania)

 

jessi

[progeno]

Logi po wykonaniu skryptu OTL:

OTL_11042013_234618.txt

FRST.txt

OTL.Txt

[jessica]

Registry value HKEY_USERS\S-1-5-21-672055795-390331892-413438480-1001\Software\Microsoft\Windows\CurrentVersion\Run\\vCchabHoWT9wRrlGj4RVk8nA not found.

File C:\Users\Daniel\AppData\Roaming\Skype\dolszowy\chatsync\fc\lodctr.exe not found.

a to jakiś cwaniak! teraz jest pod inną nazwą i w innej lokalizacji.

Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

 

 

:OTL

O4 - HKU\S-1-5-21-672055795-390331892-413438480-1001..\Run: [uCMmbrLqVDp3X6dHibQ=] C:\Users\Daniel\AppData\Roaming\Spotify\Users\progeno-user\Apps\search-dropdown\chkntfs.exe ()

 

:Files

C:\Users\Daniel\AppData\Roaming\*.exe

:Commands

[emptytemp]

 

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.

Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.

Pokaż nowy log OTL.txt oraz raport z usuwania Skryptem.

zobaczymy, czy to znów się zmieniło, czy nie

 

jessi

[progeno]

Log z wykonania skryptu OTL oraz sprawdzenia z OTL poniżej

OTL_11052013_073122.txt

OTL.Txt

[jessica]

chyba udało się to usunąć.

w nowym logu nie widzę już nic podejrzanego.

stan laptopa bez zmian - >Chrome dalej się nie otwiera

Tak wiec teraz czekamy na @Picasso, choć nie wiem, kiedy znów zacznie normalnie pomagać na Forum

 

jessi

[progeno]

Po zapuszczeniu ostatniego skryptu i restarcie komputera, Chrome się uruchamia.

 

Dziekuję  jessi