Zainfekowany komputer

[Wojak]

Witam, pisze w imieniu kolegi ponieważ on nawet nie może wejść na forum bo mu wyłącza przeglądarke. Skanowaliśmy malwarebytes anti malware i nic to nie dało szczególnego. Nie wiemy co jest grane. Prosimy o pomoc.

OTL.Txt

Extras.Txt

FRST.txt

GMER.txt

[picasso]

Wojak, przecież instrukcje generowania FRST wyraźnie mówią jak ma być zrobiony: KLIK. A tu:
- Brak wszystkich raportów. FRST generuje trzy: główny, Addition i Shortcut.
- Opcje Drivers MD5 i List BCD nie miały być zaznaczone.
A GMER nie można było wysłać w załączniku, bo wbrew instrukcji zapisu raportu poprzez opcję Kopiuj użyto bezpośrednią opcję Zapisu, która tworzy plik o rozszerzeniu *.LOG zabroniony w załącznikach. Na przyszłość: albo ręczna zmiana nazwy pliku z *.LOG na *.TXT, albo zapis do nowego pliku via Notatnik.


W systemie działa infekcja, w postaci fałszywego wpisu Java, stąd opisywane problemy. Ponadto jest tu i adware.

 

HKU\S-1-5-21-1298113126-2527987004-3506729324-1007\...\Run: [Java] => cmd /c cd %APPDATA%\soundmng & soundmng.exe soundmng.txt

 

Przeprowadź następujące działania:

1. Otwórz Notatnik i wklej w nim:

HKU\S-1-5-21-1298113126-2527987004-3506729324-1007\...\Run: [Java] => cmd /c cd %APPDATA%\soundmng & soundmng.exe soundmng.txt
HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.com/ie
HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.google.com/ie
StartMenuInternet: IEXPLORE.EXE - iexplore.exe
SearchScopes: HKCU - DefaultScope {95B7759C-8C7F-4BF1-B163-73684A933233} URL = http://mysearch.avg.com/search?cid={B9C8F1AA-ED49-41DF-9946-8694828493E7}&mid=960f5caf63b747d3a3e7d16dcac20218-a052284853590c33b620578aca35ce9572b2b398&lang=pl&ds=AVG&coid=avgtbavg&cmpid=&pr=fr&d=2014-02-05 21:45:28&v=18.0.5.292&pid=safeguard&sg=&sap=dsp&q={searchTerms}
SearchScopes: HKCU - {05E85588-0EBA-4918-99BB-89B6890DE99B} URL = http://www.idg.pl?q={searchTerms}
SearchScopes: HKCU - {6A1806CD-94D4-4689-BA73-E35EA1EA9990} URL = http://www.google.com/search?q={sear
SearchScopes: HKCU - {95B7759C-8C7F-4BF1-B163-73684A933233} URL = http://mysearch.avg.com/search?cid={B9C8F1AA-ED49-41DF-9946-8694828493E7}&mid=960f5caf63b747d3a3e7d16dcac20218-a052284853590c33b620578aca35ce9572b2b398&lang=pl&ds=AVG&coid=avgtbavg&cmpid=&pr=fr&d=2014-02-05 21:45:28&v=18.0.5.292&pid=safeguard&sg=&sap=dsp&q={searchTerms}
BHO-x32: No Name - {95B7759C-8C7F-4BF1-B163-73684A933233} - No File
BHO-x32: TheSea.TheSeaPlugin - {C585D593-E7F3-4852-A200-561686EE02E4} - C:\Windows\SysWOW64\mscoree.dll (Microsoft Corporation)
Toolbar: HKLM-x32 - No Name - {95B7759C-8C7F-4BF1-B163-73684A933233} - No File
FF HKLM-x32\...\Firefox\Extensions: [smartwebprinting@hp.com] - C:\Program Files (x86)\HP\Digital Imaging\Smart Web Printing\MozillaAddOn3
FF HKLM-x32\...\Firefox\Extensions: [avg@toolbar] - C:\ProgramData\AVG SafeGuard toolbar\FireFoxExt\17.3.1.204
S1 08668291; C:\Windows\System32\DRIVERS\08668291.sys [157712 2014-04-29] (Kaspersky Lab)
R0 08668292; C:\Windows\System32\DRIVERS\08668292.sys [40464 2014-04-29] (Kaspersky Lab)
S3 VBoxNetFlt; system32\DRIVERS\VBoxNetFlt.sys [X]
C:\Program Files (x86)\Mobogenie
C:\Program Files (x86)\mozilla firefox
C:\Program Files (x86)\searchgol
C:\ProgramData\eSafe
C:\ProgramData\Kaspersky Lab
C:\Users\xxx\AppData\Local\genienext
C:\Users\xxx\AppData\Local\Mozilla
C:\Users\xxx\AppData\Roaming\*.exe
C:\Users\xxx\AppData\Roaming\3909
C:\Users\xxx\AppData\Roaming\Mozilla
C:\Users\xxx\AppData\Roaming\soundmng
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\setup_9.0.1.722_29.04.2014_22-41.lnk
C:\Windows\system32\Drivers\0866829.sys
C:\Windows\system32\Drivers\08668291.sys
C:\Windows\system32\Drivers\08668292.sys
C:\Windows\system32\unrar64.dll
C:\Windows\1C4551A64743409391E41477CD655043.TMP
Reboot:

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. System zostanie zresetowany, wejdź w Tryb normalny. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

2. Brak pliku HOSTS:

Hosts: Hosts file not detected in the default directory

 
Włącz pokazywanie rozszerzeń: w Windows Explorer > Organizuj > Opcje folderów i wyszukiwania > Widok > odznacz Ukrywaj rozszerzenia znanych typów. Otwórz Notatnik i wklej w nim:

#    127.0.0.1       localhost
#    ::1             localhost

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz pod nazwą hosts
 
Następnie zmień nazwę z hosts.txt na hosts (usunięcie rozszerzenia) i plik wstaw do folderu C:\Windows\system32\drivers\etc.

3. W Google Chrome:

• Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Zresetuj ustawienia przeglądarki. Zakładki i hasła nie zostaną naruszone.
• Ustawienia > karta Ustawienia > Po uruchomieniu > usuń adres mysearch.avg.com
• Ustawienia > karta Ustawienia > Wygląd i zaznacz "Pokaż przycisk strony startowej" > klik w Zmień i usuń adres mysearch.avg.com
• Ustawienia > karta Historia > wyczyść
• Zresetuj cache wtyczek. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie Włącz.

4. Uruchom TFC - Temp Cleaner.

5. Zrób nowy log FRST z opcji Scan zgodnie z wytycznymi, pola Addition i Shortcut mają być zaznaczone. Dołącz też plik fixlog.txt.




.