TR/Mediyes.Gen

[PhatDerick]

Witam. Laptop mojej dziewczyny, Avira wykrywa wirusa jak w tytule + wyskakują niechciane reklamy w Firefoxie. Proszę o analizę logów.

 

Pozdrawiam, Darek.

OTL.Txt

Extras.Txt

FRST.txt

Addition.txt

[picasso]

Nie przedstawiłeś w czym Avira widzi tytułowego delikwenta, czyli dokładna ścieżka dostępu. A reklamy w Firefox są spowodowane czynnym adware. Jeden z obiektów adware (Movies Toolbar) został niepoprawnie już czymś naruszony / odinstalowany (brak wejścia na liście zainstalowanych). Wykonaj następujące działania:

 

1. Otwórz Notatnik i wklej w nim:

 

() C:\Program Files\BuzzSearch\updateBuzzSearch.exe
() C:\Program Files\BuzzSearch\bin\utilBuzzSearch.exe
S2 bonanzadealslive; C:\Program Files\BonanzaDealsLive\Update\BonanzaDealsLive.exe [148976 2013-11-27] (BonanzaDeals)
S3 bonanzadealslivem; C:\Program Files\BonanzaDealsLive\Update\BonanzaDealsLive.exe [148976 2013-11-27] (BonanzaDeals)
R2 Update BuzzSearch; C:\Program Files\BuzzSearch\updateBuzzSearch.exe [80160 2014-02-11] ()
R2 Util BuzzSearch; C:\Program Files\BuzzSearch\bin\utilBuzzSearch.exe [80160 2014-02-11] ()
S2 DatamngrCoordinator; C:\Program Files\Movies Toolbar\Datamngr\DatamngrCoordinator.exe [X]
AppInit_DLLs: C:\PROGRA~2\Wincert\WIN32C~1.DLL => C:\ProgramData\Wincert\win32cert.dll [7168 2013-11-04] ()
AppInit_DLLs: C:\PROGRA~1\MOVIES~1\Datamngr\mgrldr.dll => File Not Found
IFEO\bitguard.exe: [Debugger] tasklist.exe
IFEO\bprotect.exe: [Debugger] tasklist.exe
IFEO\bpsvc.exe: [Debugger] tasklist.exe
IFEO\browsemngr.exe: [Debugger] tasklist.exe
IFEO\browserdefender.exe: [Debugger] tasklist.exe
IFEO\browsermngr.exe: [Debugger] tasklist.exe
IFEO\browserprotect.exe: [Debugger] tasklist.exe
IFEO\browsersafeguard.exe: [Debugger] tasklist.exe
IFEO\bundlesweetimsetup.exe: [Debugger] tasklist.exe
IFEO\cltmngsvc.exe: [Debugger] tasklist.exe
IFEO\delta babylon.exe: [Debugger] tasklist.exe
IFEO\delta tb.exe: [Debugger] tasklist.exe
IFEO\delta2.exe: [Debugger] tasklist.exe
IFEO\deltainstaller.exe: [Debugger] tasklist.exe
IFEO\deltasetup.exe: [Debugger] tasklist.exe
IFEO\deltatb.exe: [Debugger] tasklist.exe
IFEO\deltatb_2501-c733154b.exe: [Debugger] tasklist.exe
IFEO\iminentsetup.exe: [Debugger] tasklist.exe
IFEO\protectedsearch.exe: [Debugger] tasklist.exe
IFEO\rjatydimofu.exe: [Debugger] tasklist.exe
IFEO\searchprotection.exe: [Debugger] tasklist.exe
IFEO\snapdo.exe: [Debugger] tasklist.exe
IFEO\stinst32.exe: [Debugger] tasklist.exe
IFEO\stinst64.exe: [Debugger] tasklist.exe
IFEO\sweetimsetup.exe: [Debugger] tasklist.exe
IFEO\tbdelta.exetoolbar783881609.exe: [Debugger] tasklist.exe
HKLM\...\AppCertDlls: [x86] -> C:\Program Files\Movies Toolbar\Datamngr\apcrtldr.dll
HKLM\...\AppCertDlls: [x64] -> c:\program files\movies toolbar\datamngr\x64\apcrtldr.dll
Task: {79F8A8D3-1AE4-4463-892E-916CD86F852B} - System32\Tasks\BonanzaDealsLiveUpdateTaskMachineCore => C:\Program Files\BonanzaDealsLive\Update\BonanzaDealsLive.exe [2013-11-27] (BonanzaDeals)
Task: {7A8737D2-CA63-45D6-9C38-F83C40379319} - System32\Tasks\Update Bonanza => C:\Users\Anna\AppData\Roaming\UpdateBonanza\UpdateProc\UpdateTask.exe [2013-04-12] ()
Task: {A88B98C2-5C0C-49E9-9B94-CB4049D20B75} - System32\Tasks\BonanzaDealsLiveUpdateTaskMachineUA => C:\Program Files\BonanzaDealsLive\Update\BonanzaDealsLive.exe [2013-11-27] (BonanzaDeals)
Task: {C76A4E0B-D39B-4A88-9A9A-1F65F0F0F549} - System32\Tasks\BonanzaDealsUpdate => C:\Program
Task: {F2763F91-1D49-4D14-BED8-F8B30CD3E0EB} - System32\Tasks\Bonanza => C:\Users\Anna\AppData\Roaming\Bonanza\UpdateProc\UpdateTask.exe [2013-04-30] ()
Task: C:\Windows\Tasks\Bonanza.job => C:\Users\Anna\AppData\Roaming\Bonanza\UPDATE~1\UPDATE~1.EXE
Task: C:\Windows\Tasks\BonanzaDealsLiveUpdateTaskMachineCore.job => C:\Program Files\BonanzaDealsLive\Update\BonanzaDealsLive.exe
Task: C:\Windows\Tasks\BonanzaDealsLiveUpdateTaskMachineUA.job => C:\Program Files\BonanzaDealsLive\Update\BonanzaDealsLive.exe
Task: C:\Windows\Tasks\Update Bonanza.job => C:\Users\Anna\AppData\Roaming\UPDATE~1\UPDATE~1\UPDATE~1.EXE
HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.search.ask.com/?o=APN10645A&gct=hp&d=406-429&v=n10781-213&t=4
SearchScopes: HKLM - {9BB47C17-9C68-4BB3-B188-DD9AF0FD2406} URL = http://dts.search.ask.com/sr?src=ieb&gct=ds&appid=429&systemid=406&v=n10781-213&apn_uid=4516562624904700&apn_dtid=BND406&o=APN10645&apn_ptnrs=AG6&q={searchTerms}
SearchScopes: HKCU - {9BB47C17-9C68-4BB3-B188-DD9AF0FD2406} URL = http://dts.search.ask.com/sr?src=ieb&gct=ds&appid=429&systemid=406&v=n10781-213&apn_uid=4516562624904700&apn_dtid=BND406&o=APN10645&apn_ptnrs=AG6&q={searchTerms}
BHO: Movies Toolbar (Dist. by Bandoo Media, Inc.) - {3d86a75b-cb6b-4764-885d-ca6336f04ba2} - C:\Program Files\Movies Toolbar\Datamngr\SRTOOL~1\IE\searchresultsDx.dll ()
BHO: BuzzSearch - {5cf5a690-c8f4-488e-9d20-f21aef602d41} - C:\Program Files\BuzzSearch\BuzzSearchBHO.dll (BuzzSearch)
BHO: BonanzaDeals - {fe063412-bea4-4d76-8ed3-183be6220d17} - C:\Program Files\BonanzaDeals\BonanzaDealsIE.dll (BonanzaDeals)
Toolbar: HKLM - Movies Toolbar (Dist. by Bandoo Media, Inc.) - {3d86a75b-cb6b-4764-885d-ca6336f04ba2} - C:\Program Files\Movies Toolbar\Datamngr\SRTOOL~1\IE\searchresultsDx.dll ()
FF Plugin: @tools.bdupdater.com/BonanzaDealsLive Update;version=3 - C:\Program Files\BonanzaDealsLive\Update\1.3.23.0\npGoogleUpdate3.dll (BonanzaDeals)
FF Plugin: @tools.bdupdater.com/BonanzaDealsLive Update;version=9 - C:\Program Files\BonanzaDealsLive\Update\1.3.23.0\npGoogleUpdate3.dll (BonanzaDeals)
C:\Program Files\BonanzaDealsLive
C:\Program Files\Movies Toolbar
C:\ProgramData\Wincert

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt.

 

2. Przez Panel sterowania odinstaluj adware Bonanza Deals (remove only), BuzzSearch 2013.11.07.232809, McAfee Security Scan Plus.

 

3. Wyczyść Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox. Zakładki i hasła nie zostaną naruszone.

 

4. Uruchom AdwCleaner. Zastosuj Szukaj, a po tym Usuń. Powstanie folder C:\AdwCleaner z raportem z usuwania.

 

5. Zrób nowy skan FRST (bez Addition). Dołącz plik fixlog.txt i log z AdwCleaner.

 

 

 

.

[PhatDerick]

Tytułowy delikwent siedzi w C:\Windows\WinSxS\Temp\PendingRenames\

Instrukcje wykonane, logi w załączniku.

Fixlog.txt

AdwCleanerS0.txt

FRST.txt

[picasso]

Przeklej mi dokładny wynik z Avira do jakiego pliku jest skierowanie, bo wskazany folder jest przecież ogólnym miejscem Windows służącym operacjom serwisowania systemu.

[PhatDerick]

Log z kwarantanny w załączniku

quarantaene_2.txt

[picasso]

O ile problem nadal aktualny:

 

1. Potwierdź, że Avira nadal to wykrywa, wtedy przejdę do odblokowania i usunięcia składników folderu C:\Windows\WinSxS\Temp.

 

2. Zrób raporty z najnowszej wersji FRST (trzy: Shortcut też ma być zaznaczony), gdyż nie wszystko się poprzednio wykonało.

 

 

 

.