Instalacja programu z nieznanej strony

[nastula]

Witam.

Poszukiwałem programu do obsługi projektora i po cieżkich poszukiwaniach znalazłem na stronie

niyakha.co.za/hitachi-b70bf-live-viewer-3

Ściągnąłem, zainstalowałem (prawdopodobnie), gdzieś mignął mi napis mega chyba 0 upload czy cos w tym stylu,

mogło się to uruchomić w piaskownicy comodo, programu nie ma zainstalowanego, usunąłem plik.exe, przywróciłem system,

chciałbym prosic o sprawdzenie logów, czy nie zainstalowałem jakieś badzia, bo nic się na tym nie znam.

Wczoraj po moim ściągnięciu przy tej stronie pisało , że może zawierac potencjalne zagrożenie, dzisiaj już tego nie ma,

a niyakha jak później poszukałem to poważna firma a nie udostepniająca oprogramowanie, i to wzbudziło moje podejżenia.

W comodo jako nierozpoznany plik stale jest c;\windows\installer\msi2901.tmp, czasem ten numer sie zmienia.

PS. pisze ta strona mogła paść ofiarą hackerów ale przy samym niyakha.co.za/.

Z góry dziękuję.

 

Results of screen317's Security Check version 0.99.83  
 Windows 7 Service Pack 1 x64 (UAC is enabled)  
 Internet Explorer 11  
``````````````Antivirus/Firewall Check:``````````````
COMODO Antivirus   
 Antivirus up to date!  
`````````Anti-malware/Other Utilities Check:`````````
 Adobe Flash Player 13.0.0.206  
 Adobe Reader 10.1.10 Adobe Reader out of Date!  
 Mozilla Firefox (29.0.1)
 Google Chrome 34.0.1847.131  
 Google Chrome 34.0.1847.137  
 Google Chrome plugins...  
````````Process Check: objlist.exe by Laurent````````  
 Comodo Firewall cmdagent.exe
 PLAY ONLINE OnlineUpdate ouc.exe  
 PLAY ONLINE PLAY ONLINE.exe   
`````````````````System Health check`````````````````
 Total Fragmentation on Drive C:  
````````````````````End of Log``````````````````````

OTL.Txt

Extras.Txt

Addition.txt

FRST.txt

Shortcut.txt

[picasso]

Poszukiwałem programu do obsługi projektora i po cieżkich poszukiwaniach znalazłem na stronie

niyakha.co.za/hitachi-b70bf-live-viewer-3

(...)

Wczoraj po moim ściągnięciu przy tej stronie pisało , że może zawierac potencjalne zagrożenie, dzisiaj już tego nie ma,

a niyakha jak później poszukałem to poważna firma a nie udostepniająca oprogramowanie, i to wzbudziło moje podejżenia.

Ten adres jest bardzo podejrzany i wygląda na jeden z owych fałszywych linków, których celem jest instalacja niepożądanego oprogramowania. U mnie jego uruchomienie powoduje przekierowania na takie oto adresy (za każdym razem inne i za każdym razem chce się pobierać inny podejrzany plik wyglądający na jakiś "downloader"):

hxxp://megaupl0ad.org/archive/hitachi%20live%20viewer%203 (strona wygląda jak podrobiona Softpedia)

hxxp://smart.yourfiledownloader.com/j5GNXnbRqlNv64FWfN2OFWf...

 

 

W systemie nie ma widocznych oznak infekcji, nie wygląda na to by coś tu się zainstalowało, a jeśli nawet, to użyte Przywracanie systemu zlikwidowało ślady. Do czyszczenia jest adware oraz szczątki odinstalowanego McAfee. Akcja:

 

1. Ten krok wykonaj z poziomu Trybu awaryjnego Windows, gdyż COMODO może zablokować wykonanie operacji. Otwórz Notatnik i wklej w nim:

 

SearchScopes: HKCU - DefaultScope {0388404D-6072-4CEB-B521-8F090FEAEE57} URL = http://klit.startnow.com/s/?q={searchTerms}&src=defsearch&provider=&provider_name=yahoo&provider_code=&partner_id=693&product_id=741&affiliate_id=&channel=&toolbar_id=200&toolbar_version=2.4.0&install_country=PL&install_date=20120110&user_guid=AEB6BEEDFBD04E6C9C5AEC3B1FBFE33F&machine_id=fdf1244bc62c5092a23ea09bcc692257&browser=IE&os=win&os_version=6.1-x64-SP1&iesrc={referrer:source}
SearchScopes: HKCU - {0388404D-6072-4CEB-B521-8F090FEAEE57} URL = http://klit.startnow.com/s/?q={searchTerms}&src=defsearch&provider=&provider_name=yahoo&provider_code=&partner_id=693&product_id=741&affiliate_id=&channel=&toolbar_id=200&toolbar_version=2.4.0&install_country=PL&install_date=20120110&user_guid=AEB6BEEDFBD04E6C9C5AEC3B1FBFE33F&machine_id=fdf1244bc62c5092a23ea09bcc692257&browser=IE&os=win&os_version=6.1-x64-SP1&iesrc={referrer:source}
SearchScopes: HKCU - {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} URL = http://search.babylon.com/web/{searchTerms}?babsrc=browsersearch&AF=18556
BHO: No Name - {B164E929-A1B6-4A06-B104-2CD0E90A88FF} - No File
BHO-x32: StartNow Toolbar Helper - {6E13D095-45C3-4271-9475-F3B48227DD9F} - C:\Program Files (x86)\StartNow Toolbar\Toolbar32.dll ()
BHO-x32: No Name - {B164E929-A1B6-4A06-B104-2CD0E90A88FF} - No File
Toolbar: HKLM-x32 - StartNow Toolbar - {5911488E-9D1E-40ec-8CBB-06B231CC153F} - C:\Program Files (x86)\StartNow Toolbar\Toolbar32.dll ()
Toolbar: HKCU - No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No File
Handler: dssrequest - {5513F07E-936B-4E52-9B00-067394E91CC5} - No File
Handler: sacore - {5513F07E-936B-4E52-9B00-067394E91CC5} - No File
Handler-x32: dssrequest - {5513F07E-936B-4E52-9B00-067394E91CC5} - No File
Handler-x32: sacore - {5513F07E-936B-4E52-9B00-067394E91CC5} - No File
Filter: application/x-mfe-ipt - {3EF5086B-5478-4598-A054-786C45D75692} - No File
Filter-x32: application/x-mfe-ipt - {3EF5086B-5478-4598-A054-786C45D75692} - No File
FF Plugin: @mcafee.com/MSC,version=10 - c:\PROGRA~1\mcafee\msc\NPMCSN~1.DLL No File
FF Plugin-x32: @mcafee.com/MSC,version=10 - c:\progra~2\mcafee\msc\npmcsn~1.dll No File
FF Plugin-x32: @mcafee.com/SAFFPlugin - C:\Program Files (x86)\McAfee\SiteAdvisor\npmcffplg32.dll No File
C:\Program Files (x86)\mozilla firefox\plugins
FF HKLM-x32\...\Firefox\Extensions: [{4ED1F68A-5463-4931-9384-8FFF5ED91D92}] - C:\Program Files (x86)\McAfee\SiteAdvisor
CHR HKLM-x32\...\Chrome\Extension: [fheoggkfdfchfphceeifdbepaooicaho] - C:\Program Files (x86)\McAfee\SiteAdvisor\McChPlg.crx [2013-10-16]
HKU\S-1-5-21-1137575165-3099178337-4115244329-1000\...\Run: [] => [X]
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MCODS => ""=""
R2 Updater Service for StartNow Toolbar; C:\Program Files (x86)\StartNow Toolbar\ToolbarUpdaterService.exe [244960 2011-10-25] ()
S3 ALSysIO; \??\C:\Users\IZA\AppData\Local\Temp\ALSysIO64.sys [X]
U3 BcmSqlStartupSvc;
U2 CLKMSVC10_3A60B698;
U2 CLKMSVC10_C3B3B687;
U2 DriverService;
U2 iATAgentService;
U2 idealife Update Service;
U3 IGRS;
U2 IviRegMgr;
U2 nvUpdatusService;
U2 Oasis2Service;
U2 PCCarerService;
U2 ReadyComm.DirectRouter;
U2 RichVideo;
U2 RtLedService;
U2 SeaPort;
U2 SoftwareService;
U3 SQLWriter;
U2 Stereo Service;
C:\Program Files (x86)\webget
CMD: sc config "PLAY ONLINE. RunOuc" start= demand
Reboot:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. System zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Przez Panel sterowania odinstaluj adware StartNow Toolbar.

 

3. Zresetuj cache wtyczek Google Chrome, by usunąć puste wpisy. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie Włącz.

 

4. Uruchom AdwCleaner. Zastosuj Szukaj, a po tym Usuń. Powstanie folder C:\AdwCleaner z raportem z usuwania.

 

5. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt i log z AdwCleaner.

 

 

 

 

.

[nastula]

Witam panią.

Dziekuję za pomoc w mojej sprawie.

Zrobiłem wszystko według instrukcji, a przynajmniej tak mi sie wydaje, w trybie awaryjnym, czyli fix w FRST odinstalowanie toolbar reset wtyczek google i skan usuń w ADW, wszystko w awaryjnym,  tylko nie wiedziałem jak zeskanować FRST czy w awaryjnym czy w normalnym więc zrobiłem dwa odpowiednio podpisane.

W ADW powstały trzy txt i jeden z kwarantanny, tez dołączyłem (ponieważ najpierw uruchomiłem ADW bez wcześniejszego czyszczenia chrooma, ale nie klikałem usun, później wyczyściłem wtyczki kliknąłem szukaj i usuń, dlatego pewnie te R0 i R1).

jak coś zrobiłem nie tak, prosze o cierpliwość do mnie i poprawić mnie.

Fixlog.txt

FRSTnormlny.txt

AdwCleanerS0.txt

AdwCleanerR1.txt

[picasso]

Tylko punkt pierwszy miał być wykonany z Trybu awaryjnego, reszta nie. Jeśli chodzi o logi z AdwCleaner, to jeden jest z opcji Szukaj (AdwCleanerR1.txt), a drugi z Usuń (AdwCleanerS0.txt). Czyszczenie Google Chrome nie miało żadnego wpływu na wyniki w AdwCleaner, AdwCleaner się tym nie zajmuje. Redukuję liczbę logów. Zostawiam końcowe logi FRST tylko z Trybu normalnego oraz te najistotniejsze z AdwCleaner.

 

Wszystko wykonane z wyjątkiem tego polecenia wyłączania zbędnego namolnego aktulizatora PLAY ONLINE:

 

Content of fixlist:

*****************

CMD: sc config "PLAY ONLINE. RunOuc" start= demand

Reboot:

*****************

========= sc config "PLAY ONLINE. RunOuc" start= demand =========
 

Nazwa 'sc' nie jest rozpoznawana jako polecenie wewnętrzne lub zewnętrzne,

program wykonywalny lub plik wsadowy.
 

========= End of CMD: =========

 

Zastosowana komenda była poprawna, toteż błąd sugeruje jedno z dwóch: uszkodzone Zmienne środowiskowe lub rzeczywisty brak pliku C:\Windows\system32\sc.exe. Podaj mi dodatkowy skan. Otwórz Notatnik i wklej w nim:

 

Reg: reg query "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Environment"
CMD: SET
File: C:\Windows\system32\sc.exe

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Przedstaw wynikowy fixlog.txt.

 

 

 

.

[nastula]

Witam Panią ponownie. Dołączam logi. Tylko od ostatniego skanu zainstalowałem programy do obsługi projektora ( tym razem dokopałem się do umieszczonych na stronie producenta), nie wiem czy to coś w logach zmienia. A jeszcze chciałem zapytać, tylko nie wiem czy to w tym samym temacie, czasem przy uruchamianiu laptopa pomiędzy pojawieniem się logo Lenovo a pojawieniem się ekranu logowania mija baaardzo dużo czasu, kiedy to ekran jest zupełnie wygaszony i nie wiadomo co się wtedy dzieje. Jaka może być tego przyczyna?

Z góry dziękuję i pozdrawiam.

Fixlog.txt

[picasso]

Wg skanu plik sc.exe jest na dysku. Natomiast Zmienne środowiskowe teoretycznie są poprawne, ale jest dużo niedomyślnych ścieżek:

 

 Path REG_SZ C:\Program Files (x86)\PC Connectivity Solution\;C:\Program Files\Common Files\Microsoft Shared\Windows Live;C:\Program Files (x86)\Common Files\Microsoft Shared\Windows Live;C:\Program Files (x86)\AMD APP\bin\x86_64;C:\Program Files (x86)\AMD APP\bin\x86;%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\System32\Wbem;%SYSTEMROOT%\System32\WindowsPowerShell\v1.0\;C:\Program Files (x86)\ATI Technologies\ATI.ACE\Core-Static;C:\Program Files\Lenovo\Bluetooth Software\;C:\Program Files\Lenovo\Bluetooth Software\syswow64;C:\Program Files (x86)\Windows Live\Shared;C:\SiudiDriver\XHardwareLibrary

 

Domyślne ustawienie systemu to:

 

%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\System32\Wbem;%SYSTEMROOT%\System32\WindowsPowerShell\v1.0\

 

1. Proponuję lekko zmodyfikować Zmienne, tak by domyślny ciąg katalogów Windows był na pierwszym miejscu. Panel sterowania > System i zabezpieczenia > System > Zaawansowane ustawienia systemu > Zmienne środowiskowe > w sekcji Zmienne systemowe zaznacz Path i klik w Edytuj. Przeklej całą ścieżkę do Notatnika, by łatwo można było to zedytować i zamalowany na pomarańczowo blok:

 

C:\Program Files (x86)\PC Connectivity Solution\;C:\Program Files\Common Files\Microsoft Shared\Windows Live;C:\Program Files (x86)\Common Files\Microsoft Shared\Windows Live;C:\Program Files (x86)\AMD APP\bin\x86_64;C:\Program Files (x86)\AMD APP\bin\x86;%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\System32\Wbem;%SYSTEMROOT%\System32\WindowsPowerShell\v1.0\;C:\Program Files (x86)\ATI Technologies\ATI.ACE\Core-Static;C:\Program Files\Lenovo\Bluetooth Software\;C:\Program Files\Lenovo\Bluetooth Software\syswow64;C:\Program Files (x86)\Windows Live\Shared;C:\SiudiDriver\XHardwareLibrary

 

... przesuń w to miejsce:

 

%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\System32\Wbem;%SYSTEMROOT%\System32\WindowsPowerShell\v1.0\;C:\Program Files (x86)\PC Connectivity Solution\;C:\Program Files\Common Files\Microsoft Shared\Windows Live;C:\Program Files (x86)\Common Files\Microsoft Shared\Windows Live;C:\Program Files (x86)\AMD APP\bin\x86_64;C:\Program Files (x86)\AMD APP\bin\x86;C:\Program Files (x86)\ATI Technologies\ATI.ACE\Core-Static;C:\Program Files\Lenovo\Bluetooth Software\;C:\Program Files\Lenovo\Bluetooth Software\syswow64;C:\Program Files (x86)\Windows Live\Shared;C:\SiudiDriver\XHardwareLibrary

 

Nie omiń żadnego średnika oddzielającego ścieżki. Tak poprawiony ciąg wklejasz w oknie edycji Path zastępując poprzedni, zapisujesz zmiany i resetujesz system.

 

2. Otwórz Notatnik i wklej w nim:

 

CMD: sc config "PLAY ONLINE. RunOuc" start= demand

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Zaprezentuj wynikowy fixlog.txt.

 

 

A jeszcze chciałem zapytać, tylko nie wiem czy to w tym samym temacie, czasem przy uruchamianiu laptopa pomiędzy pojawieniem się logo Lenovo a pojawieniem się ekranu logowania mija baaardzo dużo czasu, kiedy to ekran jest zupełnie wygaszony i nie wiadomo co się wtedy dzieje. Jaka może być tego przyczyna?

Trudo w ciemno zgadywać. Ta faza między ekranem Lenovo a ekranem logowania to jest etap ładowania sterowników, więc dużo podejrzanych. Niemniej intuicyjnie rozważałabym ewentualny wpływ sterowników COMODO. To czyste wróżenie.

 

 

 

.

[nastula]

Witam serdecznie. Zrobione. Choć nie mam pojęcia co. Czy te ścieżki niedomyślne to jakiś wielki problem?

Ściągnęła mi się nowa wersja FRST64, jest w porządku?

Fixlog.txt

[picasso]

Zrobione. Choć nie mam pojęcia co. Czy te ścieżki niedomyślne to jakiś wielki problem?

To już nie problem. Po korekcie przeze mnie zadanej komenda uprzednio zwracająca błąd teraz się wykonała bez zarzutu:

 

========= sc config "PLAY ONLINE. RunOuc" start= demand =========
 

[sC] ChangeServiceConfig SUKCES

 

Objaśniając co wykonałeś:

- Zmienne środowiskowe: odpowiadają za znajdywanie ścieżek. Np. dzięki temu że jest w Zmiennych zdefiniowany katalog C:\Windows\system32, w linii komend wpisując polecenie np. ping nie musisz wpisywać pełnej ścieżki C:\Windows\system32\ping.exe, wystarczy samo "ping". System wie gdzie szukać tego pliku.

- O co chodziło tu z naprawą Zmiennych: u Ciebie wpisanie polecenia "sc" (porównaj do "ping") zwróciło błąd "Nazwa 'sc' nie jest rozpoznawana jako polecenie", system nie wyszukał samodzielnie, że ma uruchomić C:\Windows\system32\sc.exe. Ten błąd wskazywał na jedno z dwóch: rzeczywisty brak pliku sc.exe lub niepoprawne Zmienne. Potwierdziłam obecność pliku na dysku. Po analizie Zmiennych doszłam do wniosku, że problemem może być to, iż domyślne ścieżki systemu nie są już na pierwszym miejscu, gdyż zainstalowane programy wymusiły pierwszeństwo, wstawiły się na froncie. Toteż zaleciłam korektę kolejności. Poprawka miała pozytywny skutek, system odnalazł plik sc.exe i wykonał komendę.

- O co chodziło z komendą "sc" zadaną w skrypcie FRST: po prostu przestawiłam uruchomienie usługi aktualizacyjnej PLAY ONLINE. RunOuc (aktualizator) z Automatycznego na Ręczny. Wykonuję tę operację praktycznie u wszystkich, a powodem jest, iż ten rodzaj aktualizatorów tworzy problemy z fokusem okien czy minimalizacją. Przykład: KLIK.

 

 

Ściągnęła mi się nowa wersja FRST64, jest w porządku?

Oczywiście to zachowanie w porządku. FRST jest bardzo często aktualizowany i w związku z tym automatycznie się odnawia, bo z ręcznym pobieranie nikt by nie nadążył.

 

 

Skończyliśmy wszystko. Finalizuj akcje:

 

1. Uruchom TFC - Temp Cleaner.

 

2. Usuń C:\Users\IZA\Downloads\FRST. Zastosuj DelFix.

 

3. Wyczyść foldery Przywracania systemu: KLIK.

 

4. Zaktualizuj podane poniżej programy Adobe: KLIK.

 

==================== Installed Programs ======================
 

Adobe Flash Player 13 Plugin (HKLM-x32\...\Adobe Flash Player Plugin) (Version: 13.0.0.206 - Adobe Systems Incorporated)

Adobe Reader X (10.1.10) (HKLM-x32\...\{AC76BA86-7AD7-1033-7B44-AA1000000001}) (Version: 10.1.10 - Adobe Systems Incorporated)

Adobe Shockwave Player 12.0 (HKLM-x32\...\Adobe Shockwave Player) (Version: 12.0.5.146 - Adobe Systems, Inc.)

 

 

 

 

.

[nastula]

Witam. Dopiero teraz , ale nie było mnie parę dni. dołączam log z delfix. mam pytanie czy pliki

FaceProv.txt, GEARDIFx_install.txt, GEARDIFx_uninstall.txt, są do czegoś potrzebne czy mogę je usunąć.

Nie mogę zaktualizować shockwave for direction.

Podziękowanie prześlę w najbliższym czasie.

DelFix.txt

[picasso]

mam pytanie czy pliki

 

FaceProv.txt, GEARDIFx_install.txt, GEARDIFx_uninstall.txt, są do czegoś potrzebne czy mogę je usunąć.

Te pliki możesz usunąć, nie wykluczone że pierwszy z nich i tak powróci.

 

 

Nie mogę zaktualizować shockwave for direction.

W czym leży problem? Po prostu odinstaluj i zostaw tylko Adobe Flash.

 

 

 

.