Śmietnik na kompie, brak antyvirusa

[Pacjent]

Witam, 

 

Komputer rodzinny, winXP, bez antywirusa, dużo śmieci, 600MB wolnego miejsca na dysku (było), dużo dziwnych uruchomionych procesów.  /  

Poczyściłem troche TFC, CCleaner, AdwCleaner,    / 

TFC tylko restartował kompa - nie było komunikatu ile śmieci usunął / 

Poniżej logi z FRST i OTL - prosze o info czy GMER konieczny bo skanowałby całą wieczność chyba.

Dodatkowo, na partycji D: jest dużo dziwnych folderów o dziwnej nazwie, które zawierają dużo podfolderów, w których siedzi coś takiego jak:  eula.rtf i jakies hotfixy  - co to bo nie da się usunąć…

Addition.txt

AdwCleanerR0.txt

AdwCleanerS0.txt

Extras.Txt

FRST.txt

OTL.Txt

[picasso]

prosze o info czy GMER konieczny bo skanowałby całą wieczność chyba.

GMER zawsze powinien być podawany, jeśli system ma być rzetelnie sprawdzony pod kątem aktywności rootkit. Nie zastąpią go skany FRST i OTL. Ostatecznie, dla świętego spokoju możesz sprawdzić co mówi Kaspersky TDSSKiller. Aczkolwiek, GMER i TDSSKiller to nie do końca to samo.

 

 

Dodatkowo, na partycji D: jest dużo dziwnych folderów o dziwnej nazwie, które zawierają dużo podfolderów, w których siedzi coś takiego jak: eula.rtf i jakies hotfixy - co to bo nie da się usunąć…

To są foldery związane z aktualizacjami Windows Update i instalacjami łat. Cytuję z innego tematu:

 

Te foldery są szczątkami po procesach aktualizacji systemu. Przed instalacją aktualizacja jest ekstraktowana na dysk z największą ilością wolnego do losowych folderów tego rodzaju. Po instalacji łat te foldery są bezużyteczne i można je usunąć. Nie uda się to jednak "z ręki", gdyż foldery mają tak ustawione uprawnienia, że Administratorzy nie mają dostępu. Przed usunięciem należy przejąć foldery na Własność + ustawić Pełną kontrolę wg wytycznych z: KLIK ("Brak praw do pliku lub folderu (XP)").

Możesz sobie ułatwić ich odblokowywanie. Zamiast ręcznej rekonfiguracji uprawnień skorzystaj po prostu z GrantPerms. Obsługa programu: do okna wklejasz dokładne ścieżki dostępu do tych folderów i klik w Unlock.

 

 

---

Póki co, oznak czynnej infekcji brak, tylko kosmetyczne korekty:

 

1. AdwCleaner przetwarzał sporo śmieci w preferencjach Firefox. Popraw to bardziej kompleksowym procesem: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox.

 

2. Menedżer zadań raportuje szczątkowe wadliwe urządzenie Kaspersky Anti-Virus NDIS Miniport. Uruchom menedżer, w menu Widok włącz pokazywanie ukrytych urządzeń i spróbuj to odinstalować.

 

3. Otwórz Notatnik i wklej w nim:

 

S0 cerc6; No ImagePath
S3 EagleXNt; \??\C:\WINDOWS\system32\drivers\EagleXNt.sys [X]
S3 ewusbnet; system32\DRIVERS\ewusbnet.sys [X]
S3 ew_hwusbdev; system32\DRIVERS\ew_hwusbdev.sys [X]
S3 ew_usbenumfilter; system32\DRIVERS\ew_usbenumfilter.sys [X]
S3 huawei_cdcacm; system32\DRIVERS\ew_jucdcacm.sys [X]
S3 huawei_cdcecm; system32\DRIVERS\ew_jucdcecm.sys [X]
S3 huawei_enumerator; system32\DRIVERS\ew_jubusenum.sys [X]
S3 huawei_ext_ctrl; system32\DRIVERS\ew_juextctrl.sys [X]
S3 hwdatacard; system32\DRIVERS\ewusbmdm.sys [X]
S3 UIUSys; system32\drivers\UIUSys.sys [X]
Reg: reg delete "HKCU\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f
CMD: netsh firewall reset

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Przedstaw wynikowy fixlog.txt.

 

 

 

 

.

[Rucek]

Witam,

 

- pliczki z dysku D: usunięte 

- firefoxa nie ma w programy dodaj/usuń – to jakieś resztki, wywaliłem to co widziałem z Program Files, proszę o wywalenie reszty jeśli jeszcze coś zostało po instalacji.  

- Kaspersky Anti-Virus NDIS Miniport – usunięte, nawet nie trzeba było włączać ukrytych urządzeń, bo od razu było widać jak świeciło się na żółto.  

- puściliśmy skanowanie GMERem, wyskoczył komunikat ze nic nie znalazło, nic się nie dało skopiować do pliku tekstowego, wiec wyglądana to że czysto

- fixlog w załączniku  

- instalujemy avasta

[picasso]

Skrypt wykonany.

 

 

- firefoxa nie ma w programy dodaj/usuń – to jakieś resztki, wywaliłem to co widziałem z Program Files, proszę o wywalenie reszty jeśli jeszcze coś zostało po instalacji.

Miałam zwidy z tym Firefoxem, rzecz jasna nie było go na liście zainstalowanych. Akurat w logu były widzialne inne części, nie te w C:\Program Files. Dokończenie szczątków:

 

1. Odinstaluj starą wtyczkę Adobe Shockwave Player 11.6 oraz wtyczkę Adobe Flash Player 12 Plugin. Adobe Flash to wersja dla Firefox/Opera, a w systemie jest Google Chrome (ma własny Flash) oraz IE (wymaga innej wersji wtyczki, tzw. "ActiveX").

 

2. Otwórz Notatnik i wklej w nim:

 

C:\Documents and Settings\1\Dane aplikacji\Mozilla
C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension
Reg: reg delete HKCU\Software\Mozilla /f
Reg: reg delete HKCU\Software\MozillaPlugins /f
Reg: reg delete HKLM\SOFTWARE\Mozilla /f
Reg: reg delete HKLM\SOFTWARE\mozilla.org /f
Reg: reg delete HKLM\SOFTWARE\MozillaPlugins /f

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Przedstaw wynikowy fixlog.txt.

 

 

 

.

[Pacjent]

Oto powstały log

Fixlog.txt

[picasso]

Operacje wykonane. Standardowe kroki końcowe:

 

1. Usunięcie używanych narzędzi. Przez SHIFT+DEL załatw FRST i foldery C:\AdwCleaner, C:\FRST. W OTL Sprzątanie.

 

2. Do aktualizacji będą jeszcze te produkty MS:

 

Internet Explorer Version 6
 

==================== Installed Programs ======================
 

Microsoft Office Enterprise 2007 (Version: 12.0.4518.1014 - Microsoft Corporation)

 

 

 

.

[Rucek]

poczyszczone, jak zawsze - wielkie dzięki za pomoc Picasso!