Komputer zainfekowany Ludashi oraz Kuaizip

[adrianho4]

Po zeskanowaniu SpyHunterem okazało się że mój komputer jest zainfekowany wirusami Ludashi oraz Kuaizip. Mam też problem z google chrome samoistnie załącza mi się custom search. Proszę o pomoc.  

Addition.txt

FRST.txt

Shortcut.txt

gmer.txt

[Miszel03]

SpyHunter jest programem wątpliwej reputacji, cytuję z tematu picasso:
 

SpyHunter - Skaner wątpliwej reputacji bardzo silnie forsowany w wynikach Google i stosujący techniki manipulacji skłaniające do instalacji. Na Google cała masa wysoko pozycjonowanych opisów "usuwania malware" skonstruowanych w taki sposób, by pobrać SpyHunter jako cudowny darmowy lek na daną infekcję. Po instalacji okazuje się, że jest to program płatny. Niestety SpyHunter raczej nie jest wykrywany i usuwany, gdyż każde takie podejście kończy się sprawą w sądzie - przykład z AdwCleaner.

 

To jak postąpisz to Twoja decyzja. 

 

---

 

W raportach widoczne infekcji adware / PUP, od razu przechodzimy do działań. 

 

1. Wejdź do folderu C:\Program Files (x86)\UCBrowser i spróbuj z niego uruchomić deinstalator (uninstall.exe).

 

2. Otwórz Notatnik w nim wklej:
 

CloseProcesses:
CreateRestorePoint:
HKLM\...\RunOnce: [GrpConv] => grpconv -o
HKLM\...\RunOnce: [wd] => C:\Windows\Temp\g5561.tmp.exe [252416 2016-12-28] () HKU\S-1-5-18\...\Run: [] => 0
HKU\S-1-5-18\Control Panel\Desktop\\SCRNSAVE.EXE -> 
ShellIconOverlayIdentifiers: [KzShlobj] -> {AAA0C5B8-933F-4200-93AD-B143D7FFF9F2} =>  -> Brak pliku
CHR HKLM\SOFTWARE\Policies\Google: Ograniczenia HKU\S-1-5-21-2169502771-1325052205-2191854498-1000\Software\Microsoft\Internet Explorer\Main,Start Page = 
OPR Extension: (Fast search) - C:\Users\ggg\AppData\Roaming\Opera Software\Opera Stable\Extensions\pbdpajcdgknpendpmecafmopknefafha [2016-12-25]
S2 GmSvc; C:\Program Files (x86)\LDSGameCenter\GmSvc.dll [X]
S3 dtldrvhelp; \??\c:\program files\safiplayer\dtldrvhelp64.sys [X]
S3 Synth3dVsc; System32\drivers\synth3dvsc.sys [X]
S3 tsusbhub; system32\drivers\tsusbhub.sys [X]
S3 VGPU; System32\drivers\rdvgkmd.sys [X]
NETSVCx32: GmSvc -> C:\Program Files (x86)\LDSGameCenter\GmSvc.dll ==> Brak pliku
2016-12-25 02:40 - 2016-12-25 02:40 - 7316480 _____ () C:\Users\ggg\AppData\Roaming\agent.dat
2016-12-25 02:39 - 2016-12-25 02:39 - 0140288 _____ () C:\Users\ggg\AppData\Roaming\Installer.dat
2016-12-25 02:40 - 2016-12-25 02:40 - 0018432 _____ () C:\Users\ggg\AppData\Roaming\Main.dat
C:\Windows\Temp\g5561.tmp.exe
C:\ProgramData\cis7407.exe
C:\ProgramData\cmdres.dll
Task: {4F09A7B6-FE78-4979-9A33-C4E06D43EAED} - System32\Tasks\gggDecompensatingFodderingV2 => Rundll32.exe HijackerSupernova.dll,main 7 1 Task: {5DEE1CE0-2959-4993-942D-489A61EB6E58} - System32\Tasks\UCBrowserSecureUpdater => C:\Program Files (x86)\UCBrowser\Security\uclauncher.exe Task: {C48182D4-37BC-4FD8-BD21-38D7610F4AA8} - System32\Tasks\59548362d1t1795256 => Rundll32.exe "C:\ProgramData\59548362d1t1795256\59548362d1t1795256.dll",DMT ShortcutWithArgument: C:\Users\ggg\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> www.aqovd.com?oem=mbtkplv3&uid=SD0H20014L1TH55103RX_LITEONLDH-256V2S&tm=1449317201
ShortcutWithArgument: C:\Users\ggg\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) ->  
ShortcutWithArgument: C:\Users\ggg\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) ->  
ShortcutWithArgument: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) ->  
ShortcutWithArgument: C:\Users\Public\Desktop\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) ->
DeleteKey: HKCU\Software\Mozilla
DeleteKey: HKCU\Software\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Mozilla
DeleteKey: HKLM\SOFTWARE\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Wow6432Node\Mozilla
DeleteKey: HKLM\SOFTWARE\Wow6432Node\mozilla.org
DeleteKey: HKLM\SOFTWARE\Wow6432Node\MozillaPlugins
C:\Users\ggg\AppData\Local\Mozilla
C:\Users\ggg\AppData\Roaming\Mozilla
C:\Users\ggg\AppData\Roaming\Profiles 
Hosts:
EmptyTemp:

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 
Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.
 
2. Wyczyść Google Chrome:

• Zresetuj synchronizację (o ile włączona): KLIK.
• Ustawienia > karta Rozszerzenia > odinstaluj wszystkie inne nieznane i niepotrzebne Ci rozszerzenia
• Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Resetowanie ustawień. Zakładki i hasła nie zostaną naruszone.
• Ustawienia > karta Ustawienia > sekcja Szukaj > klik w Zarządzanie wyszukiwarkami > skasuj z listy wszystko z wyjątkiem Google.
• Zresetuj cache wtyczek. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie Włącz.

3. Pobierz AdwCleaner uruchom go i kliknij szukaj, kiedy skanowanie zakończy się wydobądź z niego raport, znajduję się on w folderze C:\AdwCleaner. Raport zaprezentuj na forum.
 
4. Zrób nowy log FRST z opcji Skanuj (Scan) wraz z Addition i Shortcut. Dołącz też plik fixlog.txt.

[adrianho4]

1. Odinstalowałem SpyHuntera.

2. Jeżeli chodzi o odinstalowanie UCBrowser problem jest taki że folder UCBrowser w ogóle nie istnieje w program files x86.

 

 

Fixlog.txt

Addition.txt

AdwCleanerS1.txt

FRST.txt

Shortcut.txt

[Miszel03]

2. Jeżeli chodzi o odinstalowanie UCBrowser problem jest taki że folder UCBrowser w ogóle nie istnieje w program files x86

 

Pomyliłem ścieżki dostępu, ale już trudno, bo po programie i tak zostały tylko resztki.

 

---

 

Poprawki:

 

Otwórz Notatnik w nim wklej:

 

CloseProcesses:
CreateRestorePoint:
C:\Users\ggg\AppData\Local\UCBrowser
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\UC浏览器
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\鲁大师
C:\Program Files (x86)\Enigma Software Group
Task: {44E47B90-F1B6-487F-B8D7-17CF3B0E695C} - System32\Tasks\SpyHunter3 => C:\Program Files (x86)\Enigma Software Group\SpyHunter\Spyhunter3.exe
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

Nie musisz dostarczać nowych logów, ani raportu wynikowego pliku Fixlog.txt). Podsumuj obecną sytuację.

[adrianho4]

Na ten czas problemy zostały rozwiązane. Dzięki wielkie za pomoc Miszel03.

[Miszel03]

OK.

 

Usuń narzędzia diagnostyczno / dezynfekcyjne (są często aktualizowane, więc jednorazowe) - KLIK.

Możesz również skasować punkty przywracania systemu, aby nie przywrócić przypadkowo szkodnika - KLIK.