Reklam na pęczki

[bednar]

Witam

 

Nie można pracować na komputerze firmowym mojej Żony ponieważ dziecko zainstalowało jakiś syf i teraz problem.

Załączam Pliki i proszę o Pomoc.

 

Nie mogę uruchomić GMERa dlatego nie ma logów.

 

--

Addition.txt

FRST.txt

Shortcut.txt

Extras.Txt

OTL.Txt

[picasso]

1. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
CreateRestorePoint:
Reg: reg query "HKLM\SOFTWARE\Clients\StartMenuInternet\OperaStable\shell\open\command" /s
Reg: reg export HKU\S-1-5-21-2378617245-656913824-2786090956-1002\Software\Microsoft\Windows\CurrentVersion\Run C:\Users\Dorota\Desktop\Data.reg
Reg: reg delete HKU\S-1-5-21-2378617245-656913824-2786090956-1002\Software\Microsoft\Windows\CurrentVersion\Run /v YTDownloader /f
Reg: reg delete HKU\S-1-5-21-2378617245-656913824-2786090956-1002\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run /v YTDownloader /f
Reg: reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run32 /v YTDownloader /f
HKLM-x32\...\Run: [YTDownloader] => "C:\Program Files (x86)\YTDownloader\YTDownloader.exe" /boot
HKLM\...\Policies\Explorer: [NoFolderOptions] 0
HKLM\...\Policies\Explorer: [NoControlPanel] 0
AppInit_DLLs: C:\PROGRA~3\INTERE~1\INTERE~2.DLL => C:\ProgramData\Interenet Optimizer\InterenetOptimizer_x64.dll [4302848 2014-12-22] ()
AppInit_DLLs-x32: c:\progra~3\intere~1\intere~1.dll => c:\ProgramData\Interenet Optimizer\InterenetOptimizer.dll [4125696 2014-12-22] ()
R2 0c632643; c:\ProgramData\Interenet Optimizer\InterenetOptimizerSvc.dll [186192 2014-12-22] () [File not signed]
S2 51cdb72; "C:\Windows\system32\rundll32.exe" "c:\Program Files (x86)\Optimizer Pro 3.11\OptProCrash.dll",ENT
Task: {09F4B79F-843A-43EA-8D61-004CEDBDB659} - System32\Tasks\temp_bc3e5259-216b-45ab-922d-6380dea9f0d0 => C:\Program Files (x86)\SavePass 1.1\bc3e5259-216b-45ab-922d-6380dea9f0d0.exe 
Task: {1F7114AD-DAE0-4584-B5F8-A4CA8E2BC1CB} - System32\Tasks\YTDownloader => C:\Program Files (x86)\YTDownloader\YTDownloader.exe 
Task: {56EC836D-29C9-48F5-B7BC-D60C5219F104} - System32\Tasks\c4ee5b1a-1af4-417e-ba9b-d27e3d161669-5 => C:\Program Files (x86)\HQ-Video-Pro-2.1cV04.12\c4ee5b1a-1af4-417e-ba9b-d27e3d161669-5.exe 
Task: {5705A719-EFEA-4186-8038-AE00E7B35CD3} - System32\Tasks\SMupdate1 => Rundll32.exe C:\PROGRA~1\COMMON~1\System\SysMenu.dll ,Command701 update1 
Task: {5E9EEB7F-00B1-402A-B9E6-FB96E2F6ABC3} - System32\Tasks\temp_834b55ac-b156-431b-82d5-8cc6e64aff40-6 => C:\Program Files (x86)\Ge-Force\834b55ac-b156-431b-82d5-8cc6e64aff40-6.exe 
Task: {7FA04BC2-174C-49C8-90A3-1E7C91240E5B} - System32\Tasks\IEAS => C:\Users\Dorota\AppData\Roaming\IEAS.exe [2014-12-04] (HQ-VideoV04.12) 
Task: C:\Windows\Tasks\IEAS.job => C:\Users\Dorota\AppData\Roaming\IEAS.exe 
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction 
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = about:blank
URLSearchHook: [s-1-5-80-3631717307-324266910-25194906-1518848185-2876795746] ATTENTION ==> Default URLSearchHook is missing.
SearchScopes: HKLM -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKLM-x32 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKU\S-1-5-21-2378617245-656913824-2786090956-1002 -> DefaultScope {750595C3-82FD-4414-8B2F-41EBE433C421} URL =
SearchScopes: HKU\S-1-5-21-2378617245-656913824-2786090956-1002 -> {750595C3-82FD-4414-8B2F-41EBE433C421} URL =
BHO: less2pAy -> {6438e6ff-c799-4607-af05-a8155e696e6e} -> C:\ProgramData\less2pAy\61cXaYIUS06V6A.x64.dll No File
BHO-x32: less2pAy -> {6438e6ff-c799-4607-af05-a8155e696e6e} -> C:\ProgramData\less2pAy\61cXaYIUS06V6A.dll No File
C:\Program Files (x86)\Google
C:\Program Files (x86)\less2puaY
C:\Program Files (x86)\sAverebaoux
C:\ProgramData\600440862
C:\ProgramData\c82e9b7b5d464324
C:\ProgramData\dbdbgdmpclfpihhabnjkfipidhjldnik
C:\ProgramData\sAverebaoux
C:\ProgramData\Temp
C:\Users\Dorota\AppData\Local\Google
C:\Users\Dorota\AppData\Roaming\OpenCandy
C:\Users\Dorota\Downloads\Niepotwierdzony*.crdownload
C:\Users\Dorota\Downloads\yet_another_cleaner_*.exe
Folder: C:\Users\Dorota\AppData\Roaming\Opera Software\Opera Stable\Extensions
CMD: type "C:\Users\Dorota\AppData\Roaming\Opera Software\Opera Stable\Preferences"

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Przez Panel sterowania odinstaluj adware Interenet Optimizer.

 

3. W Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox. Zakładki i hasła nie zostaną naruszone, ale Adblock Plus trzeba będzie przeinstalować.

 

4. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt oraz logi z folderu C:\AdwCleaner (był uruchamiany). Poza tym, na Pulpicie powstał plik Data.reg - shostuj gdzieś i podaj do niego link.

 

 

 

PS. Pamiętam o poprzednim temacie. Po prostu nie mam czasu się nim zająć.

[bednar]

Log z FRST w załączeniu.

 

AdwCleaner nieuruchomił się a w folderze C:\AdwCleaner mam tylko jeden folder Quarantine który jest pusty.

PLik data.reg to jedna linia:

Windows Registry Editor Version 5.00

[HKEY_USERS\S-1-5-21-2378617245-656913824-2786090956-1002\Software\Microsoft\Windows\CurrentVersion\Run]
"COLS"="C:\\Program Files (x86)\\Comarch\\Comarch ERP Menadżer Kluczy\\ComarchMLTray.exe"
"YTDownloader"="\"C:\\Program Files (x86)\\YTDownloader\\YTDownloader.exe\" /boot"

 

Fixlog.txt

FRST.txt

[picasso]

Proszę o przesłanie oryginalnego pliku Data.reg. Nawiasem mówiąc w tym pliku są 3 linie (nie licząc nagłówka). Ja wiem co w nim jest, ale nie o to tu chodzi. To jest plik dla autora FRST pod kątem bugu wyświetlania wpisów w skanie FRST (pomieszanie ścieżek):

 

HKU\S-1-5-21-2378617245-656913824-2786090956-1002\...\Run: [COLS] => C:\Program Files (x86)\Comarch\Comarch ERP Menad

HKU\S-1-5-21-2378617245-656913824-2786090956-1002\...\Run: [YTDownloader] => er Kluczy\ComarchMLTray.exe

 

 

Jeśli chodzi o AdwCleaner, to mowa o tym że wcześniej się nie uruchamiał, czy może próbowałeś go uruchomić ponownie już teraz?

[bednar]

Rozumiem. Pliki Data.reg:

http://host1gb.net.pl/download.php?file=ef709757ae2dcb357ec5a0d74f7ef0cf

 

AdwCleaner próbowałem uruchomić przed napisaniem postu ale przy próbie uruchomienia wyświetlił komunikat o uszkodzoneniu i prośbie o pobranie nowej wersji.

[bednar]

Komputer działa więc chyba koniec leczenia. 

 

Czy powinienem uruchomić jeszcze jakiś program? Jeśli nie to dziękuję bardzo za pomocą i naprawdę fachową wiedzę picasso.

[picasso]

Błąd detekcji ścieżek w FRST już naprawiony. Natomiast wracając do wątku przewodniego, to jeszcze poprawki:

 

1. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
HKLM\...\Run: [Nvtmru] => "C:\Program Files (x86)\NVIDIA Corporation\NVIDIA Update Core\nvtmru.exe"
Reg: reg add "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Windows" /v AppInit_DLLs /t REG_SZ /d "c:\windows\syswow64\nvinit.dll" /f
CMD: del /q C:\Users\Dorota\Desktop\Data.reg
CMD: del /q C:\Users\Dorota\Downloads\AdwCleaner*.exe
RemoveDirectory: C:\AdwCleaner
RemoveDirectory: C:\FRST\Quarantine
EmptyTemp:

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Nastąpi restart. Zaprezentuj wynikowy fixlog.txt.

 

2. Pobierz ponownie AdwCleaner. Wybierz opcję Szukaj (nie stosuj na razie Usuń) i dostarcz log wynikowy z folderu C:\AdwCleaner.

[bednar]

Żona pracuje cały tydzień poza domem dlatego logi i skany wykonam w weekend i odezwę się.

Chyba, że uda mi się podłączyć zdalnie.