Mofos pass generator + istart.webssearches.com

[Aro]

Cześć, pacjent z systemem vista 32 bit (to jeszcze takie są?) wykazuje skutki turnee o stronach na których można znaleźć generatory do stron porno, oraz pdmiankę strony startowej w przeglądarkach. Jeden z tych generatorów został zainstalowany/zainstalował się na pulpicie.

Avg komunikuje po starcie i podczas przeglądania katalogów oraz podczas prawokliku załaczam w zrzucie ekranu.

 

 

Inne symptomy: 50% dluższe uruchamianie systemu, a Gmer trwał wieczność. Z informacji uzyskanych od użytkownika: używa zmodyfikowanego przez..dll konta steam ale to nie ma wpływu na to co się teraz dzieje, a jest skutkiem przeglądania blogów porno. Został poinformowany, że taka usługa jest z reguly na mieście odpłatana i może trwać z tydzień. Zobaczymy jakie wnioski wyciągnie.

 

Gmer

http://wklej.org/id/1426275/

 

Addition

http://wklej.org/id/1426282/

 

Extras

http://wklej.org/id/1426283/

 

OTL

http://wklej.org/id/1426285/

 

FRST

http://wklej.org/id/1426290/

 

Shortcuts

http://wklej.org/id/1426291/

 

Pozdrawiam.

[kosa4321]

Jeśli te wpisy są w kwarantannie to je usuń.

 

• Start > Panel Sterowania > Programy i Funkcje, odinstaluj : PC Data App, Software Version Updater, webssearches uninstall, WindowsMangerProtect20.0.0.502, Network System Driver.

 

• Otwórz Notatnik i wklej w nim:

 

 

 

Task: C:\Windows\Tasks\AmiUpdXp.job => C:\Users\USER\AppData\Local\13154\a25729.exe <==== ATTENTION
System32\Tasks\AmiUpdXp => C:\Users\USER\AppData\Local\13154\a25729.exe
C:\Program Files\PCDApp\sgm.exe
C:\Program Files\PCDApp\libidn-11.dll
C:\Program Files\PCDApp\zlib1.dll
C:\Program Files\PCDApp\libpdcurses.dll
C:\Program Files\PCDApp\libgcc_s_dw2-1.dll
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Wdf01000.sys => ""="Driver"
C:\ProgramData\WindowsMangerProtect\ProtectWindowsManager.exe
HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://istart.webssearches.com/?type=hp&ts=1404513516&from=amt&uid=TOSHIBAXMK5055GSX_79RJS13JSXX79RJS13JS
HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://istart.webssearches.com/?type=hp&ts=1404513516&from=amt&uid=TOSHIBAXMK5055GSX_79RJS13JSXX79RJS13JS
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://istart.webssearches.com/?type=hp&ts=1404513516&from=amt&uid=TOSHIBAXMK5055GSX_79RJS13JSXX79RJS13JS
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://istart.webssearches.com/?type=hp&ts=1404513516&from=amt&uid=TOSHIBAXMK5055GSX_79RJS13JSXX79RJS13JS
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://istart.webssearches.com/web/?type=ds&ts=1404513516&from=amt&uid=TOSHIBAXMK5055GSX_79RJS13JSXX79RJS13JS&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://istart.webssearches.com/web/?type=ds&ts=1404513516&from=amt&uid=TOSHIBAXMK5055GSX_79RJS13JSXX79RJS13JS&q={searchTerms}
StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe http://istart.webssearches.com/?type=sc&ts=1404513516&from=amt&uid=TOSHIBAXMK5055GSX_79RJS13JSXX79RJS13JS
SearchScopes: HKLM - DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://istart.webssearches.com/web/?type=ds&ts=1404513516&from=amt&uid=TOSHIBAXMK5055GSX_79RJS13JSXX79RJS13JS&q={searchTerms}
SearchScopes: HKLM - {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://istart.webssearches.com/web/?type=ds&ts=1404513516&from=amt&uid=TOSHIBAXMK5055GSX_79RJS13JSXX79RJS13JS&q={searchTerms}
SearchScopes: HKCU - {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://istart.webssearches.com/web/?type=ds&ts=1404513516&from=amt&uid=TOSHIBAXMK5055GSX_79RJS13JSXX79RJS13JS&q={searchTerms}
FF NewTab: chrome://quick_start/content/index.html
FF SearchPlugin: C:\Program Files\mozilla firefox\browser\searchplugins\webssearches.xml
FF HKLM\...\Firefox\Extensions: [{20a82645-c095-46ed-80e3-08825760534b}] - C:\Windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension
FF Extension: Microsoft .NET Framework Assistant - C:\Windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension [2013-08-29]
FF StartMenuInternet: FIREFOX.EXE - C:\Program Files\Mozilla Firefox\firefox.exe http://istart.webssearches.com/?type=sc&ts=1404513516&from=amt&uid=TOSHIBAXMK5055GSX_79RJS13JSXX79RJS13JS
CHR HomePage: hxxp://istart.webssearches.com/?type=hp&ts=1404513516&from=amt&uid=TOSHIBAXMK5055GSX_79RJS13JSXX79RJS13JS
CHR StartupUrls: "hxxp://istart.webssearches.com/?type=hp&ts=1404513516&from=amt&uid=TOSHIBAXMK5055GSX_79RJS13JSXX79RJS13JS"
CHR DefaultSearchKeyword: webssearches
CHR DefaultSearchProvider: webssearches
CHR DefaultSearchURL: http://istart.webssearches.com/web/?type=ds&ts=1404513516&from=amt&uid=TOSHIBAXMK5055GSX_79RJS13JSXX79RJS13JS&q={searchTerms}
CHR StartMenuInternet: Google Chrome - C:\Program Files\Google\Chrome\Application\chrome.exe http://istart.webssearches.com/?type=sc&ts=1404513516&from=amt&uid=TOSHIBAXMK5055GSX_79RJS13JSXX79RJS13JS
S2 ProtectMonitor; C:\Program Files\PCDApp\StartHelp.exe [65846 2014-06-28] () [File not signed]
S3 IpInIp; system32\DRIVERS\ipinip.sys [X]
S3 NwlnkFlt; system32\DRIVERS\nwlnkflt.sys [X]
S3 NwlnkFwd; system32\DRIVERS\nwlnkfwd.sys [X]
C:\Program Files\PCDApp
C:\Program Files\SupTab
C:\ProgramData\IePluginServices
C:\ProgramData\WindowsMangerProtect
C:\Windows\Tasks\AmiUpdXp.job
C:\Users\USER\AppData\Local\13154
C:\Users\USER\BESTplayer.exe
[2013-09-11 20:07:06 | 000,000,000 | ---D | M] -- C:\Users\USER\AppData\Roaming\PC Suite
[2014-07-05 00:38:48 | 000,000,000 | ---D | M] -- C:\Users\USER\AppData\Roaming\webssearches
ShortcutWithArgument: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk -> C:\Program Files\Mozilla Firefox\firefox.exe (Mozilla Corporation) -> hxxp://istart.webssearches.com/?type=sc&ts=1404513516&from=amt&uid=TOSHIBAXMK5055GSX_79RJS13JSXX79RJS13JS
ShortcutWithArgument: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome\Google Chrome.lnk -> C:\Program Files\Google\Chrome\Application\chrome.exe (Google Inc.) -> hxxp://istart.webssearches.com/?type=sc&ts=1404513516&from=amt&uid=TOSHIBAXMK5055GSX_79RJS13JSXX79RJS13JS
ShortcutWithArgument: C:\Users\USER\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://istart.webssearches.com/?type=sc&ts=1404513516&from=amt&uid=TOSHIBAXMK5055GSX_79RJS13JSXX79RJS13JS
ShortcutWithArgument: C:\Users\USER\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://istart.webssearches.com/?type=sc&ts=1404513516&from=amt&uid=TOSHIBAXMK5055GSX_79RJS13JSXX79RJS13JS
ShortcutWithArgument: C:\Users\USER\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk -> C:\Program Files\Google\Chrome\Application\chrome.exe (Google Inc.) -> hxxp://istart.webssearches.com/?type=sc&ts=1404513516&from=amt&uid=TOSHIBAXMK5055GSX_79RJS13JSXX79RJS13JS
ShortcutWithArgument: C:\Users\USER\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://istart.webssearches.com/?type=sc&ts=1404513516&from=amt&uid=TOSHIBAXMK5055GSX_79RJS13JSXX79RJS13JS
ShortcutWithArgument: C:\Users\USER\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mozilla Firefox.lnk -> C:\Program Files\Mozilla Firefox\firefox.exe (Mozilla Corporation) -> hxxp://istart.webssearches.com/?type=sc&ts=1404513516&from=amt&uid=TOSHIBAXMK5055GSX_79RJS13JSXX79RJS13JS
Reboot:

 

• Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST (w tym samym folderze gdzie znajduje się FRST). Uruchom FRST i kliknij w Fix. System zostanie zresetowany. Powstanie plik fixlog.txt w tym folderze.

 

• Google Chrome:

- Ustawienia > karta Rozszerzenia > sprawdż czy nie ma tu śmieci, jeśli coś jest to usuń.
- Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Zresetuj ustawienia przeglądarki.
- Ustawienia > karta Ustawienia > Po uruchomieniu > usuń adres istart.webssearches.com lub/i inne pozostałości.
- Ustawienia > karta Ustawienia > Wygląd i zaznacz "Pokaż przycisk strony startowej" > klik w Zmień i usuń niechciane, o ile są.
- Ustawienia > karta Ustawienia > sekcja Wyszukiwanie > klik w Zarządzanie wyszukiwarkami > skasuj z listy niedomyślne (o ile będą).
 

• Firefox:

- Menu Historia > Wyczyść historię przeglądania
- Menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox. Zakładki i hasła nie zostaną naruszone, ale używane rozszerzenia należy przeinstalować.

• Uruchom AdwCleaner  https://www.fixitpc.pl/topic/8-dezynfekcja-zbi%C3%B3r-narz%C4%99dzi-usuwaj%C4%85cych/?do=findComment&comment=118323   Zastosuj szukaj, a po tym usuń. Powstanie folder C:\AdwCleaner z raportem z usuwania.

• Uruchom TFC https://www.fixitpc.pl/topic/5-dezynfekcja-kroki-finalizuj%C4%85ce-temat/?do=findComment&comment=40

• Przeskanuj system http://www.malwarebytes.org/   (Free version download).

         Po ściągnięciu wykonaj aktualizację w programie, następnie "Skanuj teraz". Jeśli coś znajdzie to usuń i przedstaw log.

• Wyczyść punkty przywracania systemu (Czyszczenie folderów Przywracania systemu)  https://www.fixitpc.pl/topic/5-dezynfekcja-kroki-finalizuj%C4%85ce-temat/?do=findComment&comment=50

 

• Zrób nowy log FRST - dołącz (zaznacz Addition). Pokaż też plik fixlog.txt i log z AdwCleaner.