Wirus z wyświetlaną stroną Bundeskriminalamt

[tomekipaula]

witam mam problem ponieważ co jakis czas wyświetla mi się na stronie niemiecka policja z Bundeskriminalamt chcą oczywiście opłaty że wchodze na strony porno, poza tym z róznych stron internetowych nie mogę pobierać darmowych programów że niby problemy są z połączeniem internetu.

OTL.Txt

Extras.Txt

FRST.txt

Addition.txt

gmer.txt

[picasso]

Nie ma tu śladów tej infekcji w stanie czynnym, możliwe że jest to komunikat tylko na poziomie przeglądarki internetowej. Czy to się powtarza zawsze przy wizytowaniu tej samej strony internetowej? Ale i tak mamy tu co czyścić, w systemie są różne obiekty adware. Jedna z przyczyn to pobieranie plików z portali (KLIK), to nie są poprawne instalatory tylko "Asystenci pobierania" mający w zamiarze zanieczyścić system:

 

C:\Users\pc\Downloads\BitTorrent(13103).exe

C:\Users\pc\Downloads\BitTorrent_Downloader.exe

C:\Users\pc\Downloads\DAEMON-Tools-Lite(12708).exe

C:\Users\pc\Downloads\DTLite4481-0347_Downloader.exe

C:\Users\pc\Downloads\NET-Framework(12105).exe

C:\Users\pc\Downloads\Train_Simulator_2014_Downloader.exe

 

Nawiasem mówiąc, pobieranie .NET Framework 3.5 (widoczny na dysku plik dotNetFx35setup.exe) na systemie Windows 7 nie ma sensu. Ta wersja .NET jest już wbudowana w system i nie można jej "nadpisać" w taki sposób. Oto tabelka jakie wersje .NET są natywnie zintegrowane: KLIK.

 

 

---

Przeprowadź następujące działania:

 

1. Otwórz Notatnik i wklej w nim:

 

(Somoto) C:\Users\pc\AppData\Local\FilesFrog Update Checker\update_checker.exe
HKLM-x32\...\Run: [mobilegeni daemon] - C:\Program Files (x86)\Mobogenie\DaemonProcess.exe
HKLM-x32\...\Run: [YTDownloader] - "C:\Program Files (x86)\YTDownloader\YTDownloader.exe" /boot
AppInit_DLLs: C:\PROGRA~2\Amazon\AMAZON~1\AMAZON~2.DLL => File Not Found
HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://start.mysearchdial.com/?f=1&a=irmsd0101&cd=2XzuyEtN2Y1L1Qzu0B0CyD0F0FyE0ByCzz0DyD0Czy0CtA0CtN0D0Tzu0SyByEyCtN1L2XzutBtFtBtFtCyDtFtCyDzytBtN1L1CzutDzytDtCtG1T&cr=1672835684&ir=
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://start.mysearchdial.com/?f=1&a=irmsd0101&cd=2XzuyEtN2Y1L1Qzu0B0CyD0F0FyE0ByCzz0DyD0Czy0CtA0CtN0D0Tzu0SyByEyCtN1L2XzutBtFtBtFtCyDtFtCyDzytBtN1L1CzutDzytDtCtG1T&cr=1672835684&ir=
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = http://start.mysearchdial.com/?f=1&a=irmsd0101&cd=2XzuyEtN2Y1L1Qzu0B0CyD0F0FyE0ByCzz0DyD0Czy0CtA0CtN0D0Tzu0SyByEyCtN1L2XzutBtFtBtFtCyDtFtCyDzytBtN1L1CzutDzytDtCtG1T&cr=1672835684&ir=
StartMenuInternet: IEXPLORE.EXE - C:\Program Files (x86)\Internet Explorer\iexplore.exe
SearchScopes: HKLM - DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL =
SearchScopes: HKLM - {77AA745B-F4F8-45DA-9B14-61D2D95054C8} URL =
SearchScopes: HKLM-x32 - DefaultScope {006ee092-9658-4fd6-bd8e-a21a348e59f5} URL = http://feed.snapdo.com/?publisher=Somoto&dpid=Somoto&co=DE&userid=fb5153ab-d329-1e3a-6a82-d2469dfc5c5e&searchtype=ds&q={searchTerms}&installDate=18/10/2013
SearchScopes: HKLM-x32 - {006ee092-9658-4fd6-bd8e-a21a348e59f5} URL = http://feed.snapdo.com/?publisher=Somoto&dpid=Somoto&co=DE&userid=fb5153ab-d329-1e3a-6a82-d2469dfc5c5e&searchtype=ds&q={searchTerms}&installDate=18/10/2013
SearchScopes: HKCU - DefaultScope {77AA745B-F4F8-45DA-9B14-61D2D95054C8} URL = http://start.mysearchdial.com/results.php?f=4&q={searchTerms}&a=irmsd1103&cd=2XzuyEtN2Y1L1Qzu0B0CyD0F0FyE0ByCzz0DyD0Czy0CtA0CtN0D0Tzu0SyCzyyCtN1L2XzutBtFtBtFtCyEtFtCtAyBzytN1L1CzutCyD1B1P1R&cr=1941652583&ir=
SearchScopes: HKCU - {006ee092-9658-4fd6-bd8e-a21a348e59f5} URL = http://feed.snapdo.com/?publisher=Somoto&dpid=Somoto&co=DE&userid=fb5153ab-d329-1e3a-6a82-d2469dfc5c5e&searchtype=ds&q={searchTerms}&installDate=18/10/2013
SearchScopes: HKCU - {77AA745B-F4F8-45DA-9B14-61D2D95054C8} URL = http://start.mysearchdial.com/results.php?f=4&q={searchTerms}&a=irmsd1103&cd=2XzuyEtN2Y1L1Qzu0B0CyD0F0FyE0ByCzz0DyD0Czy0CtA0CtN0D0Tzu0SyCzyyCtN1L2XzutBtFtBtFtCyEtFtCtAyBzytN1L1CzutCyD1B1P1R&cr=1941652583&ir=
SearchScopes: HKCU - {A8E1E413-7EDA-4502-83C8-65689731BD70} URL = http://start.mysearchdial.com/results.php?f=4&q={searchTerms}&a=irmsd0101&cd=2XzuyEtN2Y1L1Qzu0B0CyD0F0FyE0ByCzz0DyD0Czy0CtA0CtN0D0Tzu0SyByEyCtN1L2XzutBtFtBtFtCyDtFtCyDzytBtN1L1CzutDzytDtCtG1T&cr=1672835684&ir=
BHO: The Amazon 1Button App for IE - {26B19FA4-E8A1-4A1B-A163-1A1E46F830DD} - C:\Program Files (x86)\Amazon\Amazon1ButtonApp\AmazonAppIE64.dll No File
Toolbar: HKLM - No Name - {ae07101b-46d4-4a98-af68-0333ea26e113} - No File
Toolbar: HKLM-x32 - No Name - {ae07101b-46d4-4a98-af68-0333ea26e113} - No File
Toolbar: HKCU - No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No File
FF Plugin HKCU: ubisoft.com/uplaypc - C:\Program Files (x86)\Ubisoft\Ubisoft Game Launcher\npuplaypc.dll No File
Task: {568DD28D-3514-4BDA-BC4B-C74461E5E38B} - System32\Tasks\MySearchDial => C:\Users\pc\AppData\Roaming\MYSEAR~1\UPDATE~1\UPDATE~1.EXE 
Task: {94387FDB-5FCC-4297-8B3E-B4B4B40588AD} - System32\Tasks\SomotoUpdateCheckerAutoStart => C:\Users\pc\AppData\Local\FilesFrog Update Checker\update_checker.exe [2013-10-17] (Somoto) 
Task: {98E8D9AD-26BD-4672-9E79-C5A12B47E2A3} - System32\Tasks\iWebar-updater => C:\Program Files (x86)\iWebar\iWebar-updater.exe
Task: {9A6D60A9-61B6-40AF-9CCF-900415C92016} - System32\Tasks\Plus-HD-2.2-updater => C:\Program Files (x86)\Plus-HD-2.2\Plus-HD-2.2-updater.exe 
Task: {ABE66CC7-1BCB-42E0-B22C-F16725571A55} - System32\Tasks\Microsoft\Windows\Maintenance\SMupdate2 => Rundll32.exe C:\PROGRA~1\COMMON~1\System\SysMenu.dll ,Command701 update2
Task: {DE5E7B5C-9FFD-4F2E-8A59-D30C957BAE15} - System32\Tasks\SMupdate1 => Rundll32.exe C:\PROGRA~1\COMMON~1\System\SysMenu.dll ,Command701 update1
Task: C:\Windows\Tasks\iWebar-updater.job => C:\Program Files (x86)\iWebar\iWebar-updater.exe
Task: C:\Windows\Tasks\MySearchDial.job => C:\Users\pc\AppData\Roaming\MYSEAR~1\UPDATE~1\UPDATE~1.EXE 
Task: C:\Windows\Tasks\Plus-HD-2.2-updater.job => C:\Program Files (x86)\Plus-HD-2.2\Plus-HD-2.2-updater.exe 
S3 MSICDSetup; \??\E:\CDriver64.sys [x]
C:\Users\pc\infinst.exe
C:\Users\pc\AppData\Local\mysearchdial-speeddial.crx
C:\Users\pc\AppData\Local\FilesFrog Update Checker
C:\Users\pc\AppData\Local\Google
C:\Users\pc\AppData\Roaming\IminentToolbar
C:\Users\pc\AppData\Roaming\mysearchdial
C:\Users\pc\AppData\Roaming\Oxy
C:\Users\pc\Downloads\BitTorrent(13103).exe
C:\Users\pc\Downloads\BitTorrent_Downloader.exe
C:\Users\pc\Downloads\DAEMON-Tools-Lite(12708).exe
C:\Users\pc\Downloads\DTLite4481-0347_Downloader.exe
C:\Users\pc\Downloads\NET-Framework(12105).exe
C:\Users\pc\Downloads\Train_Simulator_2014_Downloader.exe
C:\Users\Public\AlexaNSISPlugin.1908.dll
C:\Windows\3F5C371F8EA24F259D3DD0B4526E3AEA.TMP
Reg: reg delete HKCU\Software\Google /f
Reg: reg delete HKLM\SOFTWARE\Google /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Google /f
Reg: reg delete "HKCU\Software\Microsoft\Internet Explorer\AboutURLs" /f
Reg: reg delete "HKCU\Software\Microsoft\Internet Explorer\Search" /f
Reg: reg delete "HKCU\Software\Microsoft\Internet Explorer\SearchURI" /f
Reg: reg delete "HKCU\Software\Microsoft\Internet Explorer\SearchUrl" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchURI" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchUrl" /f
Reg: reg delete "HKLM\SOFTWARE\Classes\SOFTWARE\Microsoft\Internet Explorer\AboutURLs" /f
Reg: reg delete "HKLM\SOFTWARE\Classes\SOFTWARE\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKLM\SOFTWARE\Classes\SOFTWARE\Microsoft\Internet Explorer\Search" /f
Reg: reg delete "HKLM\SOFTWARE\Classes\SOFTWARE\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKLM\SOFTWARE\Classes\SOFTWARE\Microsoft\Internet Explorer\SearchURI" /f
Reg: reg delete "HKLM\SOFTWARE\Classes\SOFTWARE\Microsoft\Internet Explorer\SearchUrl" /f
Reg: reg delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Search" /f
Reg: reg delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchURI" /f
Reg: reg delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchUrl" /f

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt.

 

2. Wyczyść Firefox z adware: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox. Reset nie naruszy zakładek i haseł.

 

3. Uruchom to narzędzie Microsoftu: KLIK. Zaakceptuj > Wykryj problemy i pozwól mi wybrać poprawki do zastosowania > Odinstalowywanie > zaznacz na liście fałszywy wpis Google Update Helper (od adware BonanzaDeals) > Dalej.

 

4. Uruchom AdwCleaner. Zastosuj Szukaj, a po tym Usuń. Powstanie folder C:\AdwCleaner z raportem z usuwania.

 

5. Uruchom TFC - Temp Cleaner.

 

6. Zrób nowy skan FRST (bez Addition). Dołącz plik fixlog.txt i log z AdwCleaner.

 

 

 

.

[tomekipaula]

dziękuje, wszystko wporządku

[picasso]

Nie tak szybko, przecież miały być podane następujące logi:

 

6. Zrób nowy skan FRST (bez Addition). Dołącz plik fixlog.txt i log z AdwCleaner.

 

 

.