Podejrzenie rootkit/adware...

[Chessser]

Witam! Mam laptopa firmy Samsung z systemem Windows 7 x64. Sprawował się bardzo dobrze, bo oprócz średniej karty graficznej ma całkiem niezłe parametry, jednak od jakiegoś czasu zaczął trochę "zamulać". Konkretniejsze objawy to np. bardzo częste zwiechy przy starcie systemu, a także ogólne zwolnienie pracy, a czasem nawet kolejne zwiechy. Załączam skany z GMERa i FRST. Liczę na pomoc.

GMER.txt

Addition.txt

FRST.txt

Shortcut.txt

[Chessser]

Witam ponownie ! Z góry przepraszam za pisania posta pod postem, lecz jest ku temu powód. Mianowicie stwierdziłem, że logi mogą być nieaktualne, a po drugie, że być może Picasso pominęła mój przypadek (ot z nieuwagi). Z obu tych powodów, wykonałem nowe logi i chyba dobrze zrobiłem, ponieważ pojawił się problem z GMERem. Podczas scanu wyskakiwał bluescreen (szczegóły w załączniku), z którego z moim miernym angielskim zrozumiałem, że mój komputer jest zbyt obciążony. Jednakże podczas skanu w trybie awaryjnym wszystko poszło OK. Z FRST nie było problemów. Oto logi:

Szczegóły bluescreena.txt

GMER.txt

Addition.txt

FRST.txt

Shortcut.txt

[picasso]

Ostatnio byłam nieobecna, kłopoty osobiste. W systemie widać dwa czynne sterowniki StdLib po nieudolnej deinstalacji adware Greener Web (te sterowniki zwykle nie są deinstalowane). Widać też, że w obrotach był szkodliwy "Asystent pobierania" dobrychprogramów: KLIK. Dodatkowe podejrzenia w kwestii spowolnienia budzi też przeciwna strona, czyli sfatygowany Norton Internet Security (stare sterowniki i komponenty z 2012). Proponuję więc go odinstalować.

 

1. Deinstalacje:

- Poprzez Panel sterowania odinstaluj stare wersje: Adobe Flash Player 16 ActiveX, Adobe Flash Player 16 NPAPI, Java 8 Update 31, Norton Internet Security, Norton Online Backup.

- Następnie wejdź w Tryb awaryjny i zastosuj firmowy Norton Removal Tool.

- W Google Chrome: Ustawienia > karta Rozszerzenia > odinstaluj Norton Security Toolbar, o ile nadal będzie widoczny po w/w deinstalacjach.

 

2. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
CreateRestorePoint:
R1 {9edd0ea8-2819-47c2-8320-b007d5996f8a}Gw64; C:\Windows\System32\drivers\{9edd0ea8-2819-47c2-8320-b007d5996f8a}Gw64.sys [61112 2014-04-28] (StdLib)
R1 {a3f28269-ad17-41a8-b032-3e0313ef8979}w64; C:\Windows\System32\drivers\{a3f28269-ad17-41a8-b032-3e0313ef8979}w64.sys [61120 2014-06-11] (StdLib)
S2 Update Greener Web; "C:\Program Files (x86)\Greener Web\updateGreenerWeb.exe" [X]
S2 Util Greener Web; "C:\Program Files (x86)\Greener Web\bin\utilGreenerWeb.exe" [X]
S3 XFDriver64; \??\C:\Program Files (x86)\Xfire2\XFDriver64.sys [X]
Task: {103A2920-F0C0-4006-9983-D24951FAB841} - System32\Tasks\{F56562F1-88F6-42B3-BF71-D32F694875E8} => C:\Program Files\NokiaFREE Unlock Codes Calculator\_NokiaFREE_Calc.exe
Task: {4A50B026-9B51-4FF5-BCAC-E1C88369864C} - System32\Tasks\{E1CC409B-9CEA-4830-9BB9-E2707297CCE3} => pcalua.exe -a "C:\Users\samsung\Downloads\filehost_FIFA 14 Origin Key Generator.exe" -d C:\Users\samsung\Downloads
Task: {73178EA7-241D-4D6F-AA4E-3CE6123E9E92} - System32\Tasks\{E1D7F4A8-0188-4596-9CB2-19228813D123} => C:\Program Files\NokiaFREE Unlock Codes Calculator\NokiaFREE_Calc.exe
Task: {8D81F7A1-4DC7-4E3F-80BC-23E13126FD39} - System32\Tasks\{56A8C543-3339-43C0-9D5D-2BBB2BEA22EB} => pcalua.exe -a "D:\Cultures 2\Setup.exe" -d "D:\Cultures 2"
Task: {8E472DE3-1CA9-4AFD-BB4C-5DA3D3CDBF75} - System32\Tasks\{777FFCBD-0174-4810-860A-9293BB82BFF8} => pcalua.exe -a C:\Users\samsung\Downloads\WorldUnlock_v44_Setup-NOKIA_free\WorldUnlock_v44_Setup\WorldUnlock_v44_Setup.exe -d C:\Users\samsung\Downloads\WorldUnlock_v44_Setup-NOKIA_free\WorldUnlock_v44_Setup
Task: {B578E9E8-3257-4AD6-947A-A7BD29646651} - System32\Tasks\{C425A6E2-B0EA-4C80-9139-950021EA0FD1} => C:\Program Files\NokiaFREE Unlock Codes Calculator\_NokiaFREE_Calc.exe
Task: {CEC982D1-D934-4436-95F6-06900E922A21} - System32\Tasks\{0FCA6DAD-BFE1-4325-8DA0-810D7A2D5B04} => C:\Program Files\NokiaFREE Unlock Codes Calculator\_NokiaFREE_Calc.exe
Task: {EEBCEB77-23E1-4CA8-947E-1E937A52D34F} - System32\Tasks\{3F8273B6-65FE-4D09-985C-99B30A314428} => C:\Program Files\NokiaFREE Unlock Codes Calculator\_NokiaFREE_Calc.exe
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = www.wp.pl/?src01=dp120150410
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = www.wp.pl/?src01=dp120150410
HKU\S-1-5-21-4209209786-2917733824-1122995674-1001\Software\Microsoft\Internet Explorer\Main,Start Page = www.wp.pl/?src01=dp120150410
SearchScopes: HKLM-x32 -> DefaultScope {afdbddaa-5d3f-42ee-b79c-185a7020515b} URL = http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT1708250
SearchScopes: HKLM-x32 -> {afdbddaa-5d3f-42ee-b79c-185a7020515b} URL = http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT1708250
SearchScopes: HKU\S-1-5-21-4209209786-2917733824-1122995674-1001 -> {afdbddaa-5d3f-42ee-b79c-185a7020515b} URL = http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT1708250
Toolbar: HKU\S-1-5-21-4209209786-2917733824-1122995674-1001 -> No Name - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - No File
C:\Program Files\Common Files\WinPcapNmap.exe
C:\Program Files (x86)\Opera
C:\ProgramData\{*}.log
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\League of Legends
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\MyPlayCity.com
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\NokiaFREE Calculator
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\VATowiec
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\WorldUnlock Calculator
C:\Users\samsung\AppData\Local\Opera Software
C:\Users\samsung\AppData\Roaming\Opera Software
C:\Users\samsung\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Billiards Club.lnk
C:\Users\samsung\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Play Games.lnk
C:\Users\samsung\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\WorldofTanks.lnk
C:\Users\samsung\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Live for Speed
C:\Users\samsung\AppData\Roaming\Microsoft\Word\Wniosek-dotacja-2013-1%20(1)303557920112727497\Wniosek-dotacja-2013-1%20(1).doc.lnk
C:\Users\samsung\Desktop\Programiki [RÓŻNIASTE]\CamStudio.lnk
C:\Users\samsung\Desktop\Programiki [RÓŻNIASTE]\CC Get MAC Address.lnk
C:\Users\samsung\Desktop\Programiki [RÓŻNIASTE]\ipla.lnk
C:\Users\samsung\Desktop\Programiki [RÓŻNIASTE]\KaraFun Player 2.lnk
C:\Users\samsung\Desktop\Programiki [RÓŻNIASTE]\tatowy\MOTIKO\VATowiec.lnk
C:\Users\samsung\Desktop\Programiki [RÓŻNIASTE]\Gosia - harcerstwo\NOKIA LUMIA 520\Szachy\Książki szachowe\Taktyka\Konotop-Testy_po_taktike_dlya_shahmatistov_III_razryada\Gry i zabawy (attracting).lnk
C:\Users\samsung\Downloads\*(*)-dp*.exe
C:\Users\samsung\Downloads\pobierz_*.exe
C:\Users\samsung\Downloads\OriginThinSetup (*).exe
C:\Users\UpdatusUser\Desktop\*.lnk
C:\Windows\System32\drivers\{9edd0ea8-2819-47c2-8320-b007d5996f8a}Gw64.sys
C:\Windows\System32\drivers\{a3f28269-ad17-41a8-b032-3e0313ef8979}w64.sys
C:\windows\SysWOW64\*.tmp
CMD: for /d %f in (C:\Users\samsung\AppData\Local\{*}) do rd /s /q "%f"
Reg: reg delete HKCU\Software\1Q1F1S1C1P1E1C1F1N1C1T1H2UtF1E1I /f
Reg: reg delete HKCU\Software\dobreprogramy /f
Reg: reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2 /f
Reg: reg delete HKLM\SOFTWARE\Mozilla /f
Reg: reg delete HKLM\SOFTWARE\MozillaPlugins /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Mozilla /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\MozillaPlugins /f
Hosts:
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

3. Zrób nowy log FRST z opcji Scan, zaznacz ponownie pole Addition, by powstały dwa raporty. Dołącz też plik fixlog.txt. Wypowiedz się czy są pozytywne zmiany.

[Chessser]

Bardzo dziękuję za pomoc. Zrobiłem wszystko wedle instrukcji. Już po przejściu 1-szego kroku i zrestartowania komputera można było zauważyć, że ten uruchamia się szybciej. Nie zdążyłem przetestować kompa na większym obciążeniu, lecz jak to zrobię niezwłocznie napiszę (edytując lub pisząc nowy post) czy są różnice. Na razie podsyłam logi i pozdrawiam.

 

PS.: Aha, wiadomo czy ten bluescreen oznaczał coś więcej niż tylko przeciążenie procesora ??

Addition.txt

FRST.txt

Fixlog.txt

[picasso]

Trudno ustalić skąd BSOD przy GMERze, może Symantec mu się nie podobał. Wszystkie zadania pomyślnie wykonane. Kolejny krok:

 

Uruchom AdwCleaner. Wstępnie wybierz tylko opcję Szukaj i nic nie usuwaj, dostarcz wynikowy log z folderu C:\AdwCleaner.

[Chessser]

Zrobione :

AdwCleanerR1.txt

[picasso]

AdwCleaner wykrył drobne śmieci, ale zanim go użyjemy chcę się upewnić, że nie wykrywa głupot w pliku Secure Preferences Google Chrome. Do Notatnika wklej:

 

CMD: type "C:\Users\samsung\AppData\Local\Google\Chrome\User Data\Default\Secure Preferences"

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Przedstaw wynikowy fixlog.txt.

[Chessser]

Ok! To również zrobiłem, a oto wyniki:

Fixlog.txt

[picasso]

1. W Google Chrome:

• Zresetuj synchronizację (o ile włączona): KLIK.
• Ustawienia > karta Rozszerzenia > odinstaluj Delta Toolbar, FTdownloader V3.0, Quick Start (o ile będą widoczne).
• Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Zresetuj ustawienia przeglądarki. Zakładki i hasła nie zostaną naruszone.

2. Dopiero po tym uruchom ponownie AdwCleaner, zastosuj Szukaj + Usuń i dostarcz wynikowy log C:\AdwCleaner\AdwCleaner[sX].txt.

[Chessser]

Pierwszy i trzeci podpunkt zrobiony. Podane w drugim podpunkcie rozszerzenia nie były widoczne toteż ich nie usunąłem. Oto log:

AdwCleanerS1.txt

[picasso]

Na pewno zresetowałeś ustawienia Google Chrome? AdwCleaner ponownie wykrył te same preferencje szczątkowych rozszerzeń adware i grzebał w pliku "Secure Preferences". Ten plik jest szczególny i edycje "ręczne" mogą prowadzić do uszkodzeń. Sprawdź teraz po operacji AdwCleaner czy Google Chrome się poprawnie uruchamia i nie wyrzuca błędu uszkodzenia "Secure Preferences".

[Chessser]

Chrome uruchamia się normalnie. Zresetowałem na 100 %. Jest jakiś inny powód, dla którego preferencje się nie zresetowały ? Może ponownie wykonać polecenia z poprzedniego posta ?

[picasso]

Resetowanie preferencji nie zawsze usuwa wszystko. AdwCleaner już zlikwidował te wpisy i nie ma po co powtarzać akcji. Ostatni skrypt do FRST:

 

Do Notatnika wklej:

 

Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f
CMD: del /q C:\Users\samsung\Desktop\GMER.txt
CMD: del /q C:\Users\samsung\Desktop\gmer1.log
CMD: del /q C:\Users\samsung\Downloads\9jrsmv0f.exe
CMD: del /q C:\Users\samsung\Downloads\gmer.txt
CMD: del /q C:\Users\samsung\Downloads\Norton_Removal_Tool.exe
RemoveDirectory: C:\AdwCleaner
RemoveDirectory: C:\FRST\Quarantine
RemoveDirectory: C:\Users\samsung\Downloads\FRST-OlderVersion

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Pokaż fixlog.txt.

[Chessser]

Ok! Cieszę się, że nie trzeba powtarzać. Tutaj ostatni (mam nadzieję) log z FRST:

Fixlog.txt

[picasso]

1. Zastosuj DelFix do usunięcia narzędzi.

 

2. Zrób jeszcze skan Hitman Pro i dostarcz wyniki.

[Chessser]

Oto oba logi:

HitmanPro.txt

DelFix.txt

[picasso]

1. DelFix wykonał zadanie i możesz usunąć plik C:\Delfix.txt.

 

2. Wyniki Hitman: Rekordy "Suspicious files" do zignorowania (kopia FRST w Tymczasowych plikach internetowych i pliki PunkBuster). Reszta do usunięcia: "downloader", szczątki adware i Cookies.

 

3. Na koniec wyczyść foldery Przywracania systemu: KLIK.

[Chessser]

Log delfixa usunięty, foldery Przywracania systemu wyczyszczone, lecz jedno pytanie jak usunąć te szczątki adware i cookies czy manualnie czy poprzez ponowny skan hitmanem i skorzystaniem z jego opcji usunięcia ?

[picasso]

Wyniki Hitman miały zostać usunięte via Hitman. I dopiero po tym zadaniu miały być wyczyszczone foldery Przywracania systemu. Kolejność istotna.

[Chessser]

Cóż próbuję teraz usunąć te pliki, lecz gdy próbuje usunąć dostaje informacje o rejestracji. No, więc wpisuje swojego maila, ale po kliknięciu "aktywuj" nie dzieje się absolutnie nic. Jest to problem techniczny i może ktoś inny da radę mi pomóc ?

[picasso]

Hitman nie jest darmowy, ale powinien umożliwić usuwane na trialu, jak to w innych tematach się dzieje. Może był używany już wcześniej i czasokres triala "wygasł", stąd prośba o rejestrację. Te wykryte rzeczy są błahe i można je usunąć na różne sposoby ręcznie.

 

1. Pobierz ponownie FRST. Otwórz Notatnik i wklej w nim:

 

DeleteKey: HKU\S-1-5-21-4209209786-2917733824-1122995674-1000\Software\AppDataLow\Software\Conduit
DeleteKey: HKU\S-1-5-21-4209209786-2917733824-1122995674-1000_Classes\Wow6432Node\CLSID\{80922ee0-8a76-46ae-95d5-bd3c3fe0708d}
DeleteKey: HKU\S-1-5-21-4209209786-2917733824-1122995674-1001_Classes\Wow6432Node\CLSID\{80922ee0-8a76-46ae-95d5-bd3c3fe0708d}
Reg: reg delete "HKU\S-1-5-21-4209209786-2917733824-1122995674-1001\Software\Microsoft\Internet Explorer\Approved Extensions" /v {4D2D3B0F-69BE-477A-90F5-FDDB05357975} /f
Reg: reg delete "HKU\S-1-5-21-4209209786-2917733824-1122995674-1001\Software\Microsoft\Internet Explorer\Approved Extensions" /v {98889811-442D-49DD-99D7-DC866BE87DBC} /f
Reg: reg delete "HKU\S-1-5-21-4209209786-2917733824-1122995674-1001\Software\Microsoft\Internet Explorer\TabbedBrowsing" /v bProtectNewTabPageShow /f
Reg: reg delete "HKU\S-1-5-21-4209209786-2917733824-1122995674-1001\Software\Microsoft\Internet Explorer\TabbedBrowsing" /v bProtectShowTabsWelcome /f
CMD: del /q "C:\Users\samsung\Desktop\Programiki [RÓŻNIASTE]\tatowy\MIO_350_w\MIO P350 user guide provided through pdfretriever.com.exe"

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Zaprezentuj wynikowy fixlog.txt.

 

2. Wyczyść Tymczasowe pliki internetowe Internet Explorer oraz Cookies Google Chrome z poziomu opcji przeglądarek.

[Chessser]

OK! Wszystko zrobione. Miałem problem z IE, bo go w ogóle nie używam, lecz po jakimś czasie znalazłem to czego szukałem. A oto log z FRST:

Fixlog.txt

[Chessser]

Rozumiem, że to koniec procesu optymalizacji pracy mojego lapka... ? Zauważam ogólne poprawy w prędkości. Przy tym samym obciążeniu teraz komputer nie ścina się już tak jak wcześniej. Nie zacina się przy włączaniu i sam proces startowania jest istotnie skrócony. W skrócie MISSION COMPLETE. W takim razie chciałbym serdecznie podziękować Picasso, w imieniu zarówno swoim jak i komputerka Pozdrawiam, Chessser.