Weryfikacja błędów i ich pochodzenie

[siedzik]

Witam mam problem z aktualizacją flashplayera oraz przy uruchamianiu komputera wyświetla mi się błąd niewiadomego pochodzenia (jak dla mnie) . 

 

Wrzucam zrzuty przy uruchamianiu się systemu oraz przy próbie aktualizowania się flashplayera .

GMER.txt

Addition.txt

FRST.txt

Shortcut.txt

[picasso]

Pokazane błędy nie pochodzą od infekcji:

 

- Pierwszy błąd: instalator Adobe Flash nie może znaleźć biblioteki MSVCR110.dll należnej do Microsoft Visual C++ Redistributable 2012. Masz zainstalowaną 64-bitową wersję tych bibliotek, prawdopodobnie trzeba zainstalować jeszcze 32-bitową: KLIK.

 

Microsoft Visual C++ 2012 Redistributable (x64) - 11.0.61030 (HKLM-x32\...\{ca67548a-5ebe-413a-b50c-4b9ceb6d66c6}) (Version: 11.0.61030.0 - Microsoft Corporation)

 

- Drugi błąd: generuje go skrót deinstalacyjny _uninst_69234417.lnk od usuniętego już narzędzia Kaspersky Removal Tool.

 

Startup: C:\Users\Czarny\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\_uninst_69234417.lnk

ShortcutTarget: _uninst_69234417.lnk -> C:\Users\Czarny\AppData\Local\Temp\_uninst_69234417.bat ()

 

 

---

Niemniej jest tu mnóstwo instalacji adware grupy "MultiPlug". Akcja:

 

1. Przez Panel sterowania odinstaluj:

- Adware: 50Coupoonss, AllSAvueR , Blipshot one click screenshots, DownSeave, GureeaTSaVe4U, JoniaCoupon, Justin Bieber, NetoCOupon, NoMore Ads, RobboSaver, ShoapDrropu, SSaveLots, Turntable fm Extended.

- Starą wersję Adobe Flash Player 16 NPAPI oraz Google Chrome Canary (wersja bez blokady pod kątem adware).

 

2. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
CreateRestorePoint:
R2 5965d732; c:\Program Files (x86)\ProcessProc\ProcessProc.dll [2131456 2015-01-10] () [File not signed]
S3 EagleX64; \??\C:\Windows\system32\drivers\EagleX64.sys [X]
S3 MSICDSetup; \??\D:\CDriver64.sys [X]
S3 NTIOLib_1_0_C; \??\D:\NTIOLib_X64.sys [X]
Startup: C:\Users\Czarny\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\_uninst_69234417.lnk
HKU\S-1-5-21-1849503456-2863148246-254835565-1001\...\Run: [Mobile Partner] => C:\Program Files (x86)\Huawei E5372\Huawei E5372
GroupPolicy: Group Policy on Chrome detected 
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction 
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = www.wp.pl/?src01=dp120150308
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = www.wp.pl/?src01=dp120150308
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.com
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = http://www.google.com
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.com
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.com
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.google.com
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.google.com
HKU\S-1-5-21-1849503456-2863148246-254835565-1001\Software\Microsoft\Internet Explorer\Main,Start Page = www.wp.pl/?src01=dp120150308
BHO: DownSeave -> {06da8978-5121-4a48-b827-f98327789c1c} -> C:\Program Files (x86)\DownSeave\xBvY7uUsgBWTpl.x64.dll [2015-03-16] ()
BHO: AllSAvueR -> {2d477c33-99aa-45a6-a2bf-f7e9222f2a4d} -> C:\Program Files (x86)\AllSAvueR\UkkvNemEEdnAkQ.x64.dll [2015-03-15] ()
BHO: 50Coupoonss -> {4a90eaf8-f29d-4b85-9dc5-466b9d652bc6} -> C:\Program Files (x86)\50Coupoonss\2vurbYaooQ9R5U.x64.dll [2015-03-15] ()
BHO: SShopDrop -> {68b91223-d48a-426d-89e1-3c4e94c670ac} -> C:\Program Files (x86)\SShopDrop\4RdpqCPHfoLzFO.x64.dll [2015-03-14] ()
BHO: ShoapDrropu -> {819bfeff-ed46-4aca-aece-740e408f37cb} -> C:\Program Files (x86)\ShoapDrropu\6MBXpPpNVnt1ee.x64.dll [2015-03-15] ()
BHO: ShoepDrop -> {84387900-b619-4571-aa03-61ef90bcf1ff} -> C:\Program Files (x86)\ShoepDrop\vtA09BcppMAeO8.x64.dll [2015-03-15] ()
BHO: JoniaCoupon -> {8bb69613-ee87-4b1f-8302-371e18d7e488} -> C:\Program Files (x86)\JoniaCoupon\rCERjUevgWP7QE.x64.dll [2015-03-16] ()
BHO: RobboSaver -> {f4013285-610a-48e9-99f9-9da865984584} -> C:\Program Files (x86)\RobboSaver\Ru3Kz0emyQLDiw.x64.dll [2015-03-14] ()
BHO-x32: DownSeave -> {06da8978-5121-4a48-b827-f98327789c1c} -> C:\Program Files (x86)\DownSeave\xBvY7uUsgBWTpl.dll [2015-03-16] ()
BHO-x32: AllSAvueR -> {2d477c33-99aa-45a6-a2bf-f7e9222f2a4d} -> C:\Program Files (x86)\AllSAvueR\UkkvNemEEdnAkQ.dll [2015-03-15] ()
BHO-x32: 50Coupoonss -> {4a90eaf8-f29d-4b85-9dc5-466b9d652bc6} -> C:\Program Files (x86)\50Coupoonss\2vurbYaooQ9R5U.dll [2015-03-15] ()
BHO-x32: SShopDrop -> {68b91223-d48a-426d-89e1-3c4e94c670ac} -> C:\Program Files (x86)\SShopDrop\4RdpqCPHfoLzFO.dll [2015-03-14] ()
BHO-x32: ShoapDrropu -> {819bfeff-ed46-4aca-aece-740e408f37cb} -> C:\Program Files (x86)\ShoapDrropu\6MBXpPpNVnt1ee.dll [2015-03-15] ()
BHO-x32: ShoepDrop -> {84387900-b619-4571-aa03-61ef90bcf1ff} -> C:\Program Files (x86)\ShoepDrop\vtA09BcppMAeO8.dll [2015-03-15] ()
BHO-x32: JoniaCoupon -> {8bb69613-ee87-4b1f-8302-371e18d7e488} -> C:\Program Files (x86)\JoniaCoupon\rCERjUevgWP7QE.dll [2015-03-16] ()
BHO-x32: RobboSaver -> {f4013285-610a-48e9-99f9-9da865984584} -> C:\Program Files (x86)\RobboSaver\Ru3Kz0emyQLDiw.dll [2015-03-14] ()
C:\Program Files (x86)\prefs.js
C:\Program Files (x86)\50Coupoonss
C:\Program Files (x86)\AllSAvueR
C:\Program Files (x86)\Blipshot  one click screenshots
C:\Program Files (x86)\Ciuvo Price Comparison
C:\Program Files (x86)\DownSeave
C:\Program Files (x86)\GureeaTSaVe4U
C:\Program Files (x86)\Internet Manager
C:\Program Files (x86)\JoniaCoupon
C:\Program Files (x86)\Justin Bieber
C:\Program Files (x86)\NetoCOupon
C:\Program Files (x86)\ProcessProc
C:\Program Files (x86)\RobboSaver
C:\Program Files (x86)\ShoapDrropu
C:\Program Files (x86)\ShoepDrop
C:\Program Files (x86)\ShopDRop
C:\Program Files (x86)\SSaveLots
C:\Program Files (x86)\SShopDrop
C:\Program Files (x86)\Turntable fm Extended
C:\Program Files (x86)\VictorVal
C:\Program Files (x86)\Yammer
C:\ProgramData\12582629681077743816
C:\ProgramData\NoMore Ads
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Counter-Strike 1.6
C:\Users\Czarny\AppData\Local\Microsoft\Windows\GameExplorer\{7EB857A8-A613-4B58-99A3-38D3D6007318}
C:\Users\Czarny\AppData\Roaming\tbi74.dll
C:\Users\Czarny\AppData\Roaming\Tibia
C:\Users\Czarny\Desktop\StormFall.lnk
C:\Users\Public\Documents\Baidu
C:\Users\Czarny\Downloads\*(*)-dp*.exe
C:\Windows\msdownld.tmp
C:\Windows\pss\lsass.exe.Startup
C:\Windows\SysWOW64\SupportAppCB
Reg: reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2 /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\C:^Users^Czarny^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^lsass.exe" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Gadu-Gadu 10" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Google Update" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\LiveSupport" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Optimizer Pro" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Pokki" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\se" /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f
CMD: sc config "PLAY ONLINE. RunOuc" start= disabled
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

3. Wyczyść Firefox z adware: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj / Odśwież program Firefox. Zakładki i hasła nie zostaną naruszone, ale Adblock Plus trzeba będzie przeinstalować.

 

4. Zrób nowy log FRST z opcji Scan, zaznacz pole Addition, by powstały dwa logi. Dołącz też plik fixlog.txt oraz logi z folderu C:\AdwCleaner (nie uruchamiaj ponownie, chodzi o poprzednie wyniki).

[siedzik]

Wklejam 2 skany z adw bo były w tym samym czasie prawie że robione .

Addition.txt

FRST.txt

AdwCleanerS1.txt

AdwCleanerR1.txt