Skocz do zawartości
WAŻNE - Zakładanie tematu: obowiązkowe logi

Chiński wirus

Hulio777

Przez Hulio777
w Dział pomocy doraźnej

Rekomendowane odpowiedzi

Pomoc jest darmowa, ale proszę rozważ przekazanie dotacji na utrzymanie serwisu: klik.
picasso

picasso

Opublikowano
Opublikowano

1. Rozpocznij od próby poprawnej deinstalacji. Z poziomu panelu sterowania spróbuj odinstalować tego chińczyka QQ浏览器. Przy okazji też pozbądź się zbędnego Norton Security Scan.

 

2. Dodatkowo uruchom narzędzie Microsoftu: KLIK. Zaakceptuj > Wykryj problemy i pozwól mi wybrać poprawki do zastosowania > Odinstalowywanie > zaznacz na liście wpis Metric Collection SDK > Dalej.

 

3. Zrób nowy log FRST z opcji Skanuj (Scan), ponownie z Addition i Shortcut.

 

Jeśli deinstalacja będzie nieudana, podam stosowne czynności jak usunąć ręcznie niepożądane obiekty.

picasso

picasso

Opublikowano
Opublikowano

Zapomniałam powiedzieć poprzednio: proszę konfiguruj raporty FRST wg ustawień na forum, opcje Lista BCD, MD5 sterowników i Pliki z 90 dni nie mają być zaznaczone.

 

Działania do przeprowadzenia:

 

1. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
R2 QQPCRTP; C:\Program Files\Tencent\QQPCMgr\11.3.17195.214\QQPCRTP.exe [301728 2016-04-04] (Tencent)
U2 QQRepair660; C:\Program Files\Tencent\QQPCMGR\Plugins\QQRepair660 [136512 2016-04-16] ()
S2 QQRepairFixSVC; C:\Program Files\Tencent\QQPCMGR\Plugins\QQRepairFixSVC [136512 2016-04-16] ()
S2 AVKProxy; "C:\Program Files\Common Files\G Data\AVKProxy\AVKProxy.exe" [X]
S2 AVKService; "C:\Program Files\G Data\AntiVirus\AVK\AVKService.exe" [X]
S4 AVKWCtl; "C:\Program Files\G Data\AntiVirus\AVK\AVKWCtl.exe" [X]
S4 GDScan; "C:\Program Files\Common Files\G Data\GDScan\GDScan.exe" [X]
S2 QQRepair2109; "C:\Program Files\Tencent\QQPCMGR\Plugins\QQRepair2109" [X]
R0 GDBehave; C:\WINDOWS\System32\drivers\GDBehave.sys [33480 2016-04-16] (G Data Software AG)
R1 GDMnIcpt; C:\WINDOWS\system32\drivers\MiniIcpt.sys [62024 2016-04-16] (G Data Software AG)
R1 gdwfpcd; C:\WINDOWS\System32\drivers\gdwfpcd32.sys [40904 2016-04-16] (G DATA Software AG)
R1 HookCentre; C:\WINDOWS\system32\drivers\HookCentre.sys [38856 2016-04-16] (G Data Software AG)
R1 QMIEProtect; C:\Program Files\Tencent\QQPCMgr\11.3.17195.214\QMIEProtect.sys [50488 2016-01-12] ()
R1 QMUdisk; C:\Program Files\Tencent\QQPCMgr\11.3.17195.214\QMUdisk.sys [104152 2016-02-28] (Tencent)
R2 QQSysMon; C:\Program Files\Tencent\QQPCMgr\11.3.17195.214\QQSysMon.sys [108984 2016-04-04] (电脑管家)
R3 TAOAccelerator; C:\WINDOWS\system32\Drivers\TAOAccelerator.sys [128608 2016-04-04] (Tencent)
R2 TAOKernelDriver; C:\WINDOWS\system32\Drivers\TAOKernelEx.sys [88376 2016-04-04] (Tencent Technology(Shenzhen) Company Limited)
R1 TFsFlt; C:\WINDOWS\System32\Drivers\TFsFlt.sys [150072 2016-04-04] (电脑管家)
R3 TS888; C:\Program Files\Tencent\QQPCMgr\11.3.17195.214\TS888.sys [39928 2016-04-16] (Tencent)
R1 TSDefenseBt; C:\WINDOWS\System32\DRIVERS\TSDefenseBt.sys [14008 2016-04-04] (Tencent)
R0 TSFLTMGR; C:\WINDOWS\System32\DRIVERS\TSFLTMGR.SYS [128280 2016-01-14] (电脑管家)
R1 Tsksp; C:\Program Files\Tencent\QQPCMgr\11.3.17195.214\TSKsp.sys [210072 2016-04-04] (电脑管家)
R1 TSSysKit; C:\Program Files\Tencent\QQPCMgr\11.3.17195.214\TSSysKit.sys [102200 2016-04-04] (电脑管家)
R1 SRepairDrv; \??\C:\Program Files\Tencent\QQPCMGR\Plugins\SRepairDrv [X]
HKLM\...\Run: [ QQPCTray] => C:\Program Files\Tencent\QQPCMgr\11.3.17195.214\QQPCTray.exe [355296 2016-04-04] (Tencent)
Task: {0A81FE9D-C41C-4160-BE34-0B86371AFB39} - System32\Tasks\{659E8C1C-64C7-4969-AF05-0C2CD7D7E20C} => pcalua.exe -a D:\start.exe -d D:\ -c /s
Task: {7FAE904C-965D-419E-8DC2-E569D85070F5} - System32\Tasks\Microsoft\Windows\SystemRestore\FreeVPN => C:\Users\TomsonLBN\AppData\Roaming\FreeVPN\FreeVPN.exe 
Task: {F5139C4C-7BC3-4CF1-998B-0184483883F6} - System32\Tasks\Lenovo\Lenovo Customer Feedback Program => C:\Program Files\Lenovo\Customer Feedback Program\Lenovo.TVT.CustomerFeedback.Agent.exe
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Lenovo
HKU\S-1-5-21-4227522351-578386421-3270892594-1002\...\MountPoints2: {70f571da-67ae-11e2-8bc5-806e6f6e6963} - "D:\SYSTEM\AUTOSTRT.EXE"
ShellIconOverlayIdentifiers: [###MegaShellExtPending] -> {056D528D-CE28-4194-9BA3-BA2E9197FF8C} => C:\ProgramData\MEGAsync\ShellExtX32.dll Brak pliku
ShellIconOverlayIdentifiers: [###MegaShellExtSynced] -> {05B38830-F4E9-4329-978B-1DD28605D202} => C:\ProgramData\MEGAsync\ShellExtX32.dll Brak pliku
ShellIconOverlayIdentifiers: [###MegaShellExtSyncing] -> {0596C850-7BDD-4C9D-AFDF-873BE6890637} => C:\ProgramData\MEGAsync\ShellExtX32.dll Brak pliku
ShellIconOverlayIdentifiers: [.QMDeskTopGCIcon] -> {B7667919-3765-4815-A66D-98A09BE662D6} => C:\Program Files\Tencent\QQPCMgr\11.3.17195.214\QMGCShellExt.dll [2016-04-04] (Tencent)
GroupPolicy: Ograniczenia - Chrome 
CHR HKLM\SOFTWARE\Policies\Google: Ograniczenia 
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkID=617910&ResetID=131030596906447737&GUID=023D3B7E-CCCA-4106-81B1-450EF49AD1E1
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.google.com
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.google.com
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.google.com
HKU\S-1-5-21-4227522351-578386421-3270892594-1002\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://stadsear.com/search5
SearchScopes: HKLM -> DefaultScope - brak wartości
SearchScopes: HKU\S-1-5-21-4227522351-578386421-3270892594-1002 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.bing.com/search?q={searchTerms}&form=MSSEDF&pc=MSE1
BHO: G Data WebFilter -> {0124123D-61B4-456f-AF86-78C53A0790C5} -> C:\Program Files\G Data\AntiVirus\WebFilter\AvkWebIE.dll => Brak pliku
BHO: Crazy Score -> {f439aa7e-a2a0-4635-99a2-164180e848ca} -> C:\Program Files\Crazy Score\Extensions\f439aa7e-a2a0-4635-99a2-164180e848ca.dll => Brak pliku
C:\Program Files\G Data
C:\Program Files\Lenovo
C:\Program Files\Tencent
C:\Program Files\Mozilla Firefox\extensions
C:\Program Files\Common Files\G Data
C:\Program Files\Common Files\Tencent
C:\ProgramData\G DATA
C:\ProgramData\Norton
C:\ProgramData\Tencent
C:\ProgramData\TXQMPC
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Gооgle Chrome.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Моzillа Firеfоx.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Gnumeric
C:\Users\TomsonLBN\AppData\Local\{DA82A928-648C-4A65-9494-6355D9042397}
C:\Users\TomsonLBN\AppData\Local\3810282D-6C19-47B0-8283-5C6C29A7E108
C:\Users\TomsonLBN\AppData\Local\Lenovo
C:\Users\TomsonLBN\AppData\Local\Tencent
C:\Users\TomsonLBN\AppData\Roaming\GiftBag.db
C:\Users\TomsonLBN\AppData\Roaming\TXQBINSTX.EXE
C:\Users\TomsonLBN\AppData\Roaming\Browsers
C:\Users\TomsonLBN\AppData\Roaming\SPI
C:\Users\TomsonLBN\AppData\Roaming\QB
C:\Users\TomsonLBN\AppData\Roaming\Tencent
C:\Users\TomsonLBN\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Gоogle Сhrоme.lnk
C:\Users\TomsonLBN\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Lаunch Intеrnet Eхрlоrer Brоwser.lnk
C:\Users\TomsonLBN\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Gоoglе Chromе*.lnk
C:\Users\TomsonLBN\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnet Eхplorеr.lnk
C:\Users\TomsonLBN\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Eхрlorer.lnk
C:\Users\TomsonLBN\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\腾讯软件
C:\Users\TomsonLBN\Desktop\gry\Rеsidеnt Evil 4.lnk
C:\Users\TomsonLBN\Desktop\gry\Rеsidеnt Evil 5.lnk
C:\Users\TomsonLBN\Desktop\Tu jest wsdzystko\Facebook.lnk
C:\Users\TomsonLBN\Desktop\Tu jest wsdzystko\Fаcеboоk.lnk
C:\Users\TomsonLBN\Desktop\Tu jest wsdzystko\Norton Security Scan.LNK
C:\Users\TomsonLBN\Desktop\Tu jest wsdzystko\Мozilla Firefох.lnk
C:\Users\TomsonLBN\Desktop\Tu jest wsdzystko\Nowy folder\World of Tanks.lnk
C:\Users\TomsonLBN\Desktop\Tu jest wsdzystko\Nowy folder\Wоrld of Тanks.lnk
C:\Users\Public\Desktop\Gоoglе Chromе.lnk
C:\Users\Public\Documents\dmp
C:\WINDOWS\system32\123.html
C:\WINDOWS\system32\_tWm
C:\WINDOWS\system32\Drivers\GDBehave.sys
C:\WINDOWS\system32\Drivers\gdwfpcd32.sys
C:\WINDOWS\system32\Drivers\HookCentre.sys
C:\WINDOWS\system32\Drivers\MiniIcpt.sys
C:\WINDOWS\system32\Drivers\TAOAccelerator.sys
C:\WINDOWS\system32\Drivers\TAOKernelEx.sys
C:\WINDOWS\system32\Drivers\TS888.sys
C:\WINDOWS\system32\Drivers\TSDefenseBt.sys
C:\WINDOWS\system32\Drivers\TFsFlt.sys
C:\WINDOWS\system32\Drivers\TsFltMgr.sys
C:\WINDOWS\system32\Tasks\Lenovo
Hosts:
RemoveDirectory: C:\Users\TEMP.ADMIN-KOMPUTER.000
RemoveDirectory: C:\Users\TEMP.ADMIN-KOMPUTER.001
RemoveDirectory: C:\Users\TEMP.ADMIN-KOMPUTER.002
RemoveDirectory: C:\Users\TEMP.ADMIN-KOMPUTER.003
RemoveDirectory: C:\Users\TEMP.ADMIN-KOMPUTER.004
RemoveDirectory: C:\Users\TEMP.ADMIN-KOMPUTER.005
CMD: netsh advfirewall reset
CMD: dir /a C:\Users
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Z menu Notatnika > Plik > Zapisz jako > wprowadź nazwę fixlist.txt > Kodowanie zmień na UTF-8

 

Plik fixlist.txt umieść obok narzędzia FRST. Przejdź w Tryb awaryjny Windows. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Wszystkie skróty przeglądarek były skierowane na szkodliwe pliki BAT i zostały usunięte. Skróty do wybranych przeglądarek musisz utworzyć ręcznie. Wyczyść też po kolei przeglądarki z adware:

 

Firefox:

  • Odłącz synchronizację (o ile włączona): KLIK.
  • Menu Pomoc > Informacje dla pomocy technicznej > Odśwież program Firefox. Zakładki i hasła nie zostaną naruszone.
  • Menu Historia > Wyczyść całą historię przeglądania.
Google Chrome:
  • Zresetuj synchronizację (o ile włączona), punkt 2: KLIK.
  • Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Resetowanie ustawień. Zakładki i hasła nie zostaną naruszone.
  • Ustawienia > karta Ustawienia > sekcja Szukaj > klik w Zarządzanie wyszukiwarkami > skasuj z listy wszystko z wyjątkiem Goole.
3. Drugie konto admin w systemie jest uszkodzone, startuje z powielanych folderów TEMP. Usuń to konto całkowicie via Panel sterowania.

 

4. Zrób nowy log FRST z opcji Skanuj (Scan), ponownie z Addition i Shortcut. Dołącz też plik fixlog.txt.

Hulio777

Hulio777

Opublikowano
  • Autor
Opublikowano

" Plik fixlist.txt umieść obok narzędzia FRST. Przejdź w Tryb awaryjny Windows. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart. W tym samym katalogu skąd uruchamiano FRST powstanie plikfixlog.txt. "

 

Chodzi aby ten plik wrzucić do folderu FRST ??

picasso

picasso

Opublikowano
Opublikowano

Hulio777, nie podałeś danych o które prosiłam. Dodane raporty z FRST są uszkodzone (otwórz te pliki, prawie puste) i brak pliku fixlog.txt z wynikami skryptu. Proszę dodaj raporty o które proszę i chodzi o fixlog który powstał wtedy poczas uruchamiania, nie uruchamiaj ponownie.

I mnie teraz nie interesuje log z AdwCleaner, nie zalecałam jego użycia, bo skrypt FRST miał załatwić większość spraw (skrzyżowanie instrukcji). Coś wydaje mi się, że w ogóle zadań nie wykonałeś jak należy, bo AdwCleaner nie miał prawa wykryć pewnych rzeczy po użyciu skryptu.

picasso

picasso

Opublikowano
Opublikowano

Prawie wszystko wykonane. Nie przeprowadziłeś resetu Firefox tylko go odinstalowałeś, co i tak pozostawiło na dysku kompletne profile przeglądarki z adware - w przyszłości nowa instalacja Firefox byłaby od razu zanieczyszczona. Należy usunąć wszystkie pozostałości po FF. Poprawki:

 

1. Otwórz Notatnik i wklej w nim:

 

HKLM\...\Run: [ QQPCTray] => "C:\Program Files\Tencent\QQPCMgr\11.3.17195.214\QQPCTray.exe" /regrun
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.com
HKU\S-1-5-21-4227522351-578386421-3270892594-1002\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/p/?LinkId=619797&pc=UE07&ocid=UE07DHP
Toolbar: HKLM - Brak nazwy - {0124123D-61B4-456f-AF86-78C53A0790C5} - Brak pliku
DeleteKey: HKCU\Software\Mozilla
DeleteKey: HKCU\Software\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Mozilla
DeleteKey: HKLM\SOFTWARE\mozilla.org
DeleteKey: HKLM\SOFTWARE\MozillaPlugins
RemoveDirectory: C:\AdwCleaner
RemoveDirectory: C:\FRST\Quarantine
RemoveDirectory: C:\MATS
RemoveDirectory: C:\Users\TomsonLBN\AppData\Local\Mozilla
RemoveDirectory: C:\Users\TomsonLBN\AppData\Roaming\Mozilla
RemoveDirectory: C:\Users\admin
RemoveDirectory: C:\Users\TEMP
RemoveDirectory: C:\Users\TEMP.ADMIN-KOMPUTER
CMD: del /q C:\Users\TomsonLBN\AppData\Local\{DA82A928-648C-4A65-9494-6355D9042397}
CMD: del /q "C:\Users\TomsonLBN\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\G*.lnk"
CMD: del /q "C:\Users\TomsonLBN\Desktop\Tu jest wsdzystko\MioMore Desktop 7.50.lnk"
CMD: del /q "C:\Users\TomsonLBN\Desktop\Tu jest wsdzystko\Mozilla Firefox.lnk"

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Tym razem nie powinno być restartu. Pokaż wynikowy fixlog.txt.

 

2. Uruchom FRST, w polu Szukaj wklej co poniżej i klik w Szukaj w rejestrze. Dostarcz wynikowy log.

 

QQPCMgr;Tencent

picasso

picasso

Opublikowano
Opublikowano

Restart nastąpił wbrew założeniom, gdyż FRST miał problem z usunięciem odpadkowego folderu C:\Users\admin po skasowanym uszkodzonym koncie. Kolejne poprawki na wyniki szukania w rejestrze:

 

Otwórz Notatnik i wklej w nim:

 

DeleteKey: HKLM\SOFTWARE\Classes\.apk
DeleteKey: HKLM\SOFTWARE\Classes\.qbox
DeleteKey: HKLM\SOFTWARE\Classes\PCMgrRepairIEExtensions
DeleteKey: HKLM\SOFTWARE\Classes\QQBrowser.File
DeleteKey: HKLM\SOFTWARE\Classes\TypeLib\{DA624F8F-98BF-4B03-AD11-A12D07119E81}
DeleteKey: HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{16EE6530-8649-4F42-A9E4-F6A3295AF975}
DeleteKey: HKLM\SOFTWARE\Microsoft\RADAR\HeapLeakDetection\DiagnosedApplications\QQPCMgr_Setup.exe
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps\BugReport.exe
DeleteKey: HKLM\SOFTWARE\Tencent
DeleteKey: HKU\S-1-5-21-4227522351-578386421-3270892594-1002\Software\Tencent
DeleteKey: HKU\S-1-5-21-4227522351-578386421-3270892594-1002\Software\Classes\.apk
DeleteKey: HKU\S-1-5-21-4227522351-578386421-3270892594-1002\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{639B74F1-0594-432C-97C8-68C8C17A1E1D}
DeleteKey: HKU\S-1-5-21-4227522351-578386421-3270892594-1002\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.apk
DeleteKey: HKU\S-1-5-18\Software\Tencent
Reg: reg add HKLM\SOFTWARE\Classes\Unknown\shell\openas\command /ve /t REG_EXPAND_SZ /d "%SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1" /f
Reg: reg delete "HKU\S-1-5-21-4227522351-578386421-3270892594-1002\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store" /v "C:\Program Files\Tencent\QQPCMgr\11.3.17195.214\QQPCTray.exe" /f
CMD: del /q "C:\Users\TomsonLBN\Desktop\Tu jest wsdzystko\M*.lnk"

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Zaprezentuj wynikowy fixlog.txt.

Hulio777

Hulio777

Opublikowano
  • Autor
Opublikowano

1. Nie jestem pewien czy wykonałem wszystko poprawnie lecz mam nadzieję że tak.

2. Aktywowałem hitmana, skanowałem lecz raportu nie mogę przesłać " 

HitmanPro_20160417_1318.log

Nie masz uprawnień do wysyłania tego typu plików "

picasso

picasso

Opublikowano
Opublikowano

1. Nie przedstawiłeś raportu C:\delfix.txt z wynikami.

 

2. Na temat raportu Hitman jest powiedziane wyraźnie w instrukcji na forum:

 

Na koniec skorzystaj ze spodniej opcji Zapisz log (Save log) i wskaż jako miejsce zapisu Pulpit. Log jest zapisywany w formacie *.log nieakceptowanym przez załączniki forum. Należy ręcznie zmienić nazwę na *.txt.

picasso

picasso

Opublikowano
Opublikowano

Niestety to nie jest właściwy log z DelFix. Uruchomiłeś narzędzie ponownie, co nadpisuje poprzedni raport i już nie można sprawdzić co wcześniej narzędzie usuwało. Skasuj z dysku plik C:\delfix.txt.

 

1. Hitman wykrył drobnostki, tzn. ciasteczka i to wyczyść za pomocą programu.

 

2. Na koniec wyczyść foldery Przywracania systemu: KLIK.

 

3. Do czytania czego unikać, gdyż teń chińczyk (notabene to nie jest wirus) został nabyty w podobny sposób z jakiegoś instalatora sponsorowanego bądź portalowanego "downloadera": KLIK.

picasso

picasso

Opublikowano
Opublikowano (edytowane)

Jeśli chodzi o problem z włączeniem komponentu .NET Framework 3.5, to na początek zrób skan sc /scannow i przedstaw wynikowy filtrowany raport: KLIK.

Edytowane przez picasso
Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso
Gość
Ten temat został zamknięty. Brak możliwości dodania odpowiedzi.
Tematy

  • Ostatnio przeglądający   0 użytkowników

    • Brak zarejestrowanych użytkowników przeglądających tę stronę.
×
×
  • Dodaj nową pozycję...