Złośliwe oprogramowanie SearchProtect

agajka · 21 Marca 2015

Dzień dobry,

ściągnęłam razem z innym programem SearchProtect. Udało mi sięgo usunąć, jednak chciałabym mieć pewność, że nie widać żadnych pozostałości.

Mam również problem z ogólną płynnością komputera. Staram się go regularnie sprzątać, ale efekty marne. Czy to wina tylko sprzętu?

Z góry dziękuję za pomoc.

picasso · 21 Marca 2015

Adware zostało nabyte prawdopodobnie z któregoś portalu: KLIK. Jest tu jeszcze co usuwać - szkodliwy immunizer WindowsMangerProtect i masowe przekierowania do-search.com. Ponadto, system może mulić nie tylko ze względu na aktywność WindowsMangerProtect - tu jest niepoprawnie odinstalowany pakiet Kaspersky - liczne sterowniki czynne.

Akcje do przeprowadzenia:

1. Przejdź w Tryb awaryjny Windows. Zastosuj specjalistyczny usuwacz Kaspersky Remover.

2. Opuść Tryb awaryjny. Poprzez Panel sterowania (a nie IOBit Uninstaller) odinstaluj: Adobe AIR, Adobe Flash Player 11 ActiveX, Java 7 Update 60, Java 8 Update 25, Java SE Development Kit 7 Update 15, MyFreeCodec, Smart File Advisor 1.1.1, UsbFix By TeamXscript. Smart File Advisor 1.1.1 to niepożądany program, reszta stare wersje.

3. Otwórz Notatnik i wklej w nim:

CloseProcesses:
CreateRestorePoint:
R2 WindowsMangerProtect; C:\ProgramData\WindowsMangerProtect\ProtectWindowsManager.exe [493712 2015-03-12] (SysTool PasSame LIMITED)
S1 MpKsle7f29d17; \??\C:\ProgramData\Microsoft\Microsoft Antimalware\Definition Updates\{E0744095-0A5E-44E9-9BCF-BFA1153B3893}\MpKsle7f29d17.sys [X]
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://do-search.com/web/?type=ds&ts=1426188065&from=cor&uid=HitachiXHTS543225L9A300_090112FB8F00LLKUJUSAX&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.com/
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://do-search.com/web/?type=ds&ts=1426188065&from=cor&uid=HitachiXHTS543225L9A300_090112FB8F00LLKUJUSAX&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
HKU\S-1-5-21-2664477281-1290234535-2196259844-1003\Software\Microsoft\Internet Explorer\Main,Search Page = http://do-search.com/web/?type=dspp&ts=1426188203&from=cor&uid=HitachiXHTS543225L9A300_090112FB8F00LLKUJUSAX&q={searchTerms}
HKU\S-1-5-21-2664477281-1290234535-2196259844-1003\Software\Microsoft\Internet Explorer\Main,Default_search_url = http://do-search.com/web/?type=dspp&ts=1426188203&from=cor&uid=HitachiXHTS543225L9A300_090112FB8F00LLKUJUSAX&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2664477281-1290234535-2196259844-1003 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://do-search.com/web/?type=dspp&ts=1426188203&from=cor&uid=HitachiXHTS543225L9A300_090112FB8F00LLKUJUSAX&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2664477281-1290234535-2196259844-1003 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = http://do-search.com/web/?utm_source=b&utm_medium=cor&utm_campaign=install_ie&utm_content=ds&from=cor&uid=HitachiXHTS543225L9A300_090112FB8F00LLKUJUSAX&ts=1426188216&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2664477281-1290234535-2196259844-1003 -> {2023ECEC-E06A-4372-A1C7-0B49F9E0FFF0} URL = http://do-search.com/web/?utm_source=b&utm_medium=cor&utm_campaign=install_ie&utm_content=ds&from=cor&uid=HitachiXHTS543225L9A300_090112FB8F00LLKUJUSAX&ts=1426188216&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2664477281-1290234535-2196259844-1003 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://do-search.com/web/?type=dspp&ts=1426188203&from=cor&uid=HitachiXHTS543225L9A300_090112FB8F00LLKUJUSAX&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2664477281-1290234535-2196259844-1003 -> {36222043-542C-49D1-8F69-702470B129EC} URL = http://do-search.com/web/?utm_source=b&utm_medium=cor&utm_campaign=install_ie&utm_content=ds&from=cor&uid=HitachiXHTS543225L9A300_090112FB8F00LLKUJUSAX&ts=1426188216&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2664477281-1290234535-2196259844-1003 -> {4E0E17DB-2615-4F76-AE25-BB25CD5BEC40} URL = http://do-search.com/web/?utm_source=b&utm_medium=cor&utm_campaign=install_ie&utm_content=ds&from=cor&uid=HitachiXHTS543225L9A300_090112FB8F00LLKUJUSAX&ts=1426188216&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2664477281-1290234535-2196259844-1003 -> {E733165D-CBCF-4FDA-883E-ADEF965B476C} URL = http://do-search.com/web/?utm_source=b&utm_medium=cor&utm_campaign=install_ie&utm_content=ds&from=cor&uid=HitachiXHTS543225L9A300_090112FB8F00LLKUJUSAX&ts=1426188216&type=default&q={searchTerms}
FF HKLM\...\Firefox\Extensions: [{20a82645-c095-46ed-80e3-08825760534b}] - c:\Windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension
FF HKLM\...\Firefox\Extensions: [searchengine@gmail.com] - C:\Users\A\AppData\Roaming\Mozilla\Firefox\Profiles\g4bs46q4.default-1406216111318\extensions\searchengine@gmail.com
FF HKLM\...\Firefox\Extensions: [fftoolbar2014@etech.com] - C:\Users\A\AppData\Roaming\Mozilla\Firefox\Profiles\g4bs46q4.default-1406216111318\extensions\fftoolbar2014@etech.com
Task: {130A1754-A921-46FB-9621-D4F754F75237} - \GlaryInitialize 4 No Task File 
Task: {3B9FC579-A925-475A-B5BC-E3BEA67C97C0} - System32\Tasks\Norton Identity Safe\Norton Error Analyzer => C:\Program Files\Norton Identity Safe\Engine\2014.6.0.27\SymErr.exe
Task: {8AB192D5-295D-4B6B-9B28-09FA0581B207} - System32\Tasks\{0168E345-B01C-4925-951F-907C95154A0D} => pcalua.exe -a "C:\Programy\mp4 to mp3\uninstall\uninstall.exe" -d "C:\Programy\mp4 to mp3\uninstall"
Task: {DF30D9CD-51AC-4983-9564-C0996BEABC98} - System32\Tasks\Norton Identity Safe\Norton Error Processor => C:\Program Files\Norton Identity Safe\Engine\2014.6.0.27\SymErr.exe
Task: C:\Windows\Tasks\GlaryInitialize 4.job => C:\Programy\Optymalizacja\Glary Utilities 4\Initialize.exe
C:\Program Files\Mozilla Firefox\plugins
C:\Program Files\XTab
C:\ProgramData\9EDE8056CF.sys
C:\ProgramData\KGyGaAvL.sys
C:\ProgramData\HidManager.dll
C:\ProgramData\IHProtectUpDate
C:\ProgramData\TEMP
C:\ProgramData\WindowsMangerProtect
C:\Users\A\AppData\Local\Google\Chrome
C:\Users\A\AppData\Local\FluxSoftware
C:\Users\A\AppData\Local\PriceFountain
C:\Users\A\AppData\Roaming\Helper Scripts
C:\Users\A\AppData\Roaming\Hip Hop
C:\Users\A\AppData\Roaming\Home
C:\Users\A\AppData\Roaming\Sys6925.Config Collection.sys
C:\Users\A\AppData\Roaming\Sys2662.Config.Repository.bin
C:\Users\A\AppData\Roaming\UserTile.png
C:\Users\Gość\Desktop\VueScan.lnk
C:\Windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension
C:\Windows\System32\Tasks\Norton Identity Safe
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Norton Identity Safe
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\services\AdvancedSystemCareService6" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\services\AVGIDSAgent" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\services\Bonjour Service" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\services\gusvc" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Adobe Reader Speed Launcher" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Advanced SystemCare 6" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\FacebookUpdate.exe" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Windows Mobile Device Center" /f
Hosts:
EmptyTemp:

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

4. Wyczyść Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj / Odśwież program Firefox. Zakładki i hasła nie zostaną naruszone.

5. Zrób nowy log FRST z opcji Scan, zaznacz ponownie pole Addition, by powstały dwa logi. Dołącz też plik fixlog.txt. Wypowiedz się czy jest jakaś poprawa w działaniu systemu.

agajka · 23 Marca 2015

Bardzo dziękuję za rady i wskazówki.

Adware nabyłam z dobreprogr.. - nawet wiem z którym programem.

Odnośnie odinstalowywania programów: czy jest w ogóle sens używać IObit? Inną sprawą jest, że na liście przez Panel Sterowania nie mogłam zlokalizować MyFreeCodec, a przy próbie odinstalowywania Smart File Advisor 1.1.1 wyskakuje mi od długiego czasu taka informacja:

Jakie inne programy radziłabyś usunąć? Może któreś dublują się w swoich funkcjach, albo są nieefektywne?

Mimo powyższych drobnych problemów widzę dużą poprawę w działaniu systemu. Mogę już np. otworzyć więcej niż 3 zakładki w przeglądarce bez ciągłego wieszania się Windowsa

Mam jeszcze jeden problem. Od jakichś 2 miesięcy nie działa mi scroll w padzie laptopa. Wcześniej nie było z tym problemów. Czy jest na to sposób?

Pozdrawiam serdecznie

Agata

Addition.txt

FRST.txt

Fixlog.txt

agajka · 10 Kwietnia 2015

Problem nadal aktualny

picasso · 15 Kwietnia 2015

Odnośnie odinstalowywania programów: czy jest w ogóle sens używać IObit? Inną sprawą jest, że na liście przez Panel Sterowania nie mogłam zlokalizować MyFreeCodec, a przy próbie odinstalowywania Smart File Advisor 1.1.1 wyskakuje mi od długiego czasu taka informacja (...) Jakie inne programy radziłabyś usunąć? Może któreś dublują się w swoich funkcjach, albo są nieefektywne?

- W ogóle nie polecam nic od IOBit. To nierzetelna marka, w przeszłości kradzież bazy definicji MBAM, podejrzane związki partnerskie, adware w instalatorach. Więcej: KLIK.

- Niewidzialny MyFreeCodec oraz uszkodzony Smart File Advisor zostaną usunięte ręcznie w skrypcie FRST.

- Odradzam używanie automatów do aktualizacji sterowników w rodzaju DriverMax 7. Można sobie zaszkodzić tym działaniem. A co do reszty, to już wedle uznania, odinstaluj po prostu to z czego nie korzystasz, mnie trudno ocenić te aspekty.

Mam jeszcze jeden problem. Od jakichś 2 miesięcy nie działa mi scroll w padzie laptopa. Wcześniej nie było z tym problemów. Czy jest na to sposób?

Widzę, że w msconfig został wyłączony proces oprogramowania touchpad:

MSCONFIG\startupreg: SynTPEnh => c:\program files\synaptics\syntp\syntpenh.exe

W msconfig w karcie Uruchamianie zaznacz ten wpis ponownie i zresetuj system. Jeśli to nie rozwiąże sprawy, przeinstaluj w całości aplikację:

Synaptics Pointing Device Driver (HKLM\...\SynTPDeinstKey) (Version: 10.1.2.0 - Synaptics)

Kolejna porcja działań:

1. Otwórz Notatnik i wklej w nim:

Reg: reg delete HKCR\*\shell\!sfa /f
Reg: reg delete HKCR\*\shell\sfa_checksum /f
Reg: reg delete HKCU\Software\1Q1F1S1C1P1E1C1F1N1C1T1H2UtF1E1I /f
Reg: reg delete HKCU\Software\dobreprogramy /f
Reg: reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\MyFreeCodec /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Smart File Advisor_is1" /f
Reg: reg query HKCR\Unknown /s
DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.7.0/jinstall-1_7_0_07-windows-i586.cab
DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} http://fpdownload.macromedia.com/get/flashplayer/current/polarbear/ultrashim.cab
DPF: {CAFEEFAC-0017-0000-0007-ABCDEFFEDCBA} http://java.sun.com/update/1.7.0/jinstall-1_7_0_07-windows-i586.cab
DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.7.0/jinstall-1_7_0_07-windows-i586.cab
DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
R1 StarOpen; C:\Windows\system32\Drivers\StarOpen.sys [5632 2006-07-24] () [File not signed]
C:\Windows\system32\Drivers\StarOpen.sys

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Przedstaw wynikowy fixlog.txt.

2. Uruchom AdwCleaner. Na razie wybierz tylko opcję Szukaj (nie stosuj jeszcze Usuń) i dostarcz log z folderu C:\AdwCleaner.

agajka · 15 Kwietnia 2015

- W ogóle nie polecam nic od IOBit. To nierzetelna marka, w przeszłości kradzież bazy definicji MBAM, podejrzane związki partnerskie, adware w instalatorach. Więcej: KLIK.

- Niewidzialny MyFreeCodec oraz uszkodzony Smart File Advisor zostaną usunięte ręcznie w skrypcie FRST.

- Odradzam używanie automatów do aktualizacji sterowników w rodzaju DriverMax 7. Można sobie zaszkodzić tym działaniem. A co do reszty, to już wedle uznania, odinstaluj po prostu to z czego nie korzystasz, mnie trudno ocenić te aspekty.

Dzięki za wskazówki. IOBit i DriverMax już odinstalowałam.

W msconfig w karcie Uruchamianie zaznacz ten wpis ponownie i zresetuj system. Jeśli to nie rozwiąże sprawy, przeinstaluj w całości aplikację:

Synaptics Pointing Device Driver (HKLM\...\SynTPDeinstKey) (Version: 10.1.2.0 - Synaptics)

pomogło zaznaczenie wpisu w msconfig

Ponadto w załączniku przesyłam dwa logi: z FRST oraz ADWcleaner.

Fixlog.txt

AdwCleanerR0.txt

picasso · 16 Kwietnia 2015

Wszystko zrobione, ale jeszcze w skanie wyszło, że nieznany typ plików jest powiązany z nieszczęsnym "Smart File Advisor", poza tym AdwCleaner dopatrzył się szczątków adware. Wszystko załatwię wspólnym skryptem FRST.

Otwórz Notatnik i wklej w nim:

C:\Program Files\SiteLookup
C:\ProgramData\Innovative Solutions
C:\ProgramData\speedypc software
C:\ProgramData\Trymedia
C:\ProgramData\Uniblue
C:\Users\A\Appdata\Local\Innovative Solutions
C:\Users\A\Appdata\LocalLow\HPAppData
C:\Users\A\Appdata\Roaming\cacaoweb
C:\Users\A\Appdata\Roaming\download Manager
C:\Users\A\Appdata\Roaming\DriverCure
C:\Users\A\Appdata\Roaming\Innovative Solutions
C:\Users\A\Appdata\Roaming\speedypc software
C:\Users\A\Appdata\Roaming\Systweak
Reg: reg add HKCR\Unknown\shell\openas\command /ve /t REG_EXPAND_SZ /d "%SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1" /f
Reg: reg add HKCR\Unknown\shell\opendlg\command /ve /t REG_EXPAND_SZ /d "%SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1" /f
Reg: reg delete HKCR\Unknown\shell\openas\command /v sfa_backup /f
Reg: reg delete HKCR\Unknown\shell\opendlg\command /v sfa_backup /f
Reg: reg delete HKCU\Software\cacaoweb /f
Reg: reg delete HKCU\Software\InstallCore /f
Reg: reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\Smart File Advisor_is1" /f
Reg: reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C} /f
Reg: reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyOverride /f
Reg: reg delete HKCU\Software\Mozilla\Extends /f
Reg: reg delete "HKCU\Software\Myfree Codec" /f
Reg: reg delete "HKCU\Software\speedypc software" /f
Reg: reg delete HKCU\Software\systweak /f
Reg: reg delete HKCU\Software\YahooPartnerToolbar /f
Reg: reg delete "HKLM\SOFTWARE\AVG Secure Search" /f
Reg: reg delete HKLM\SOFTWARE\Classes\CLSID\{3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C} /f
Reg: reg delete HKLM\SOFTWARE\Classes\CLSID\{459DD0F7-0D55-D3DC-67BC-E6BE37E9D762} /f
Reg: reg delete HKLM\SOFTWARE\Classes\DTToolbar.ToolBandObj /f
Reg: reg delete HKLM\SOFTWARE\Classes\DTToolbar.ToolBandObj.1 /f
Reg: reg delete HKLM\SOFTWARE\Classes\Interface\{917CAAE9-DD47-4025-936E-1414F07DF5B8} /f
Reg: reg delete HKLM\SOFTWARE\Classes\TypeLib\{968EDCE0-C10A-47BB-B3B6-FDF09F2A417D} /f
Reg: reg delete HKLM\SOFTWARE\do-searchSoftware /f
Reg: reg delete "HKLM\SOFTWARE\dt soft\daemon tools toolbar" /f
Reg: reg delete HKLM\SOFTWARE\IHProtect /f
Reg: reg delete HKLM\SOFTWARE\OpenCandy /f
Reg: reg delete "HKLM\SOFTWARE\speedypc software" /f
Reg: reg delete HKLM\SOFTWARE\SupDp /f
Reg: reg delete HKLM\SOFTWARE\SupTab /f
Reg: reg delete HKLM\SOFTWARE\systweak /f
Reg: reg delete "HKLM\SOFTWARE\Tarma Installer" /f
Reg: reg delete HKLM\SOFTWARE\Uniblue /f
Reg: reg delete HKLM\SYSTEM\CurrentControlSet\Services\Eventlog\Application\WindowsMangerProtect /f

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Przedstaw wynikowy fixlog.txt.

agajka · 16 Kwietnia 2015

Dziękuję za pomoc

W załączniku przesyłam log.

Fixlog.txt

Zaloguj się

Złośliwe oprogramowanie SearchProtect

Rekomendowane odpowiedzi

agajka

Odnośnik do komentarza

picasso

Odnośnik do komentarza

agajka

Odnośnik do komentarza

agajka

Odnośnik do komentarza

picasso

Odnośnik do komentarza

agajka

Odnośnik do komentarza

picasso

Odnośnik do komentarza

agajka

Odnośnik do komentarza

Jeśli chcesz dodać odpowiedź, zaloguj się lub zarejestruj nowe konto

Zarejestruj nowe konto

Zaloguj się

Ostatnio przeglądający 0 użytkowników

Przeglądaj

Cała aktywność