Skocz do zawartości

Usunięcie qooqlle


Rekomendowane odpowiedzi

Pomoc jest darmowa, ale proszę rozważ przekazanie dotacji na utrzymanie serwisu: klik.

Zabrakło obowiązkowego loga z GMER, a system nie przygotowany do jego uruchomienia (KLIK), pracują sterowniki Alcohola:

 

DRV - [2005-04-25 10:43:58 | 000,159,616 | ---- | M] ( ) [Kernel | Boot | Running] -- C:\WINDOWS\System32\DRIVERS\Vax347b.sys -- (Vax347b)

DRV - [2004-04-30 09:33:00 | 000,005,248 | ---- | M] ( ) [Kernel | Boot | Running] -- C:\WINDOWS\System32\Drivers\Vax347s.sys -- (Vax347s)

 


Tu nie tylko infekcja Qooqlle jest, również ten trojan: KLIK

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
SRV - [2011-06-06 14:01:09 | 000,000,000 | ---- | M] () [Auto | Stopped] -- C:\Documents and Settings\Dom\Ustawienia lokalne\Temp\DAT27.tmp -- (bisgoghhlccjt)
O4 - HKLM..\Run: [Readar_sl] C:\Documents and Settings\Dom\Dane aplikacji\Readar_sl.exe (Created with WinAutomation ("http://www.WinAutomation.com"))
O4 - HKLM..\Run: [TunesHelper] C:\Documents and Settings\All Users\TunesHelper.exe ()
O20 - Winlogon\Notify\mdhcp32: DllName - mdhcp32.dll - C:\WINDOWS\System32\mdhcp32.dll ()
[2011-06-06 14:01:23 | 000,000,016 | ---- | C] () -- C:\WINDOWS\System32\crt.dat
[2011-06-06 14:01:22 | 000,026,624 | ---- | C] () -- C:\WINDOWS\System32\dll.dll
[2011-06-06 14:01:17 | 000,296,462 | ---- | C] () -- C:\WINDOWS\System32\shimg.dll
[2011-06-06 14:01:11 | 000,327,742 | ---- | C] () -- C:\WINDOWS\System32\drivers\str.sys
[2011-06-25 01:30:36 | 000,001,860 | ---- | M] () -- C:\Documents and Settings\Dom\Dane aplikacji\Mozilla\Firefox\Profiles\l1d13z4t.default\searchplugins\search.xml
[2011-03-08 19:56:16 | 000,000,000 | ---D | M] -- C:\Documents and Settings\Dom\Dane aplikacji\OpenCandy
[2011-05-27 22:53:40 | 000,000,000 | ---D | M] -- C:\Documents and Settings\Dom\Dane aplikacji\PriceGong
FF - prefs.js..browser.search.selectedEngine: "qooqlle"
FF - prefs.js..browser.startup.homepage: "http://www.qooqlle.com/"
O2 - BHO: (IEPluginBHO Class) - {F5CC7F02-6F4E-4462-B5B1-394A57FD3E0D} -  File not found
O4 - HKU\S-1-5-21-448539723-1957994488-1343024091-1004..\Run: [ares]  File not found
O16 - DPF: {00000162-9980-0010-8000-00AA00389B71} "http://download.microsoft.com/download/0/B/B/0BB06A5C-8611-4840-86B3-54DDDD0344B9/wma9dmo.cab" (Reg Error: Key error.)
O16 - DPF: {31435657-9980-0010-8000-00AA00389B71} "http://download.microsoft.com/download/e/2/f/e2fcec4b-6c8b-48b7-adab-ab9c403a978f/wvc1dmo.cab" (Reg Error: Key error.)
O16 - DPF: DirectAnimation Java Classes "file://C:\WINDOWS\Java\classes\dajava.cab" (Reg Error: Key error.)
O16 - DPF: Microsoft XML Parser for Java "file://C:\WINDOWS\Java\classes\xmldso.cab" (Reg Error: Key error.)
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
 
:Commands
[emptyflash]
[emptytemp]

Klik w Wykonaj skrypt. System będzie restartowany, a po powinien się otworzyć log z wynikami usuwania.

 

2. Przejdź do Dodaj / Usuń programy i odinstaluj świnstwa sponsoringowe przemycone nieuważną instalacją uTorrent: Conduit Engine + uTorrentBar Toolbar.

 

3. Do pokazania będą w sumie 4 logi:

 

  • Wyniki usuwania z punktu 1
  • Nowy OTL z opcji Skanuj (ale Extras nie potrzebuję już)
  • GMER nie podaruję, proszę wymontować Alcohol i zrobić log z GMER zgodnie z wytycznymi.
  • Raport trybu skanu z AD-Remover

 

 

 

.

Odnośnik do komentarza

Ten log z OTL jest źle zrobiony. Wiele sekcji ma ustawienie na "Wszystko" a nie "Użyj filtrowania". Proszę jeszcze raz zrobić poprawny log z OTL i podmienić Załączniki wyżej w poście. Ja tu swój post zedytuję.

 

 

z gmerem mam problem, gdyż po kliknięciu szukaj wyskakuje czarny blue screen. chodzi o nieprawidłowe sterowniki czy coś w tym stylu

 

Sterowniki Alcohola nie zostały usunięte:

 

DRV - [2005-04-25 10:43:58 | 000,159,616 | ---- | M] ( ) [Kernel | Boot | Running] -- C:\WINDOWS\System32\DRIVERS\Vax347b.sys -- (Vax347b)

DRV - [2004-04-30 09:33:00 | 000,005,248 | ---- | M] ( ) [Kernel | Boot | Running] -- C:\WINDOWS\System32\Drivers\Vax347s.sys -- (Vax347s)

Odinstaluj Alcohol i zresetuj komputer. A jeśli Alcohol już dawno odinstalowany, uruchom Autoruns, w karcie Drivers odptaszkuj Vax347b + Vax347s i restart kompa. Po tym ponów GMER. Log wstaw wyżej.

 

 

EDIT: Widzę, że logi już podmienione.

 

 

.

Odnośnik do komentarza

Infekcje usunięte skryptem. AD-Remover widzi kilka rzeczy, ale w układzie jest w przeważającej części wykryty iMesh. Program zainstalowany celowo, nie jest groźny (pomijając że w instalatorze chce jednak śmiecić przeglądarkę), więc wszystkie wyniki z AD-Remover odnoszące się do tego programu zostaną przeze mnie ominięte. W spoilerze wyszczególniłam które fragmenty to iMesh. Wszystkie klasy sprawdziłam dokładnie.

 

 

 

iMesh

 

Dla porównania lista przedstawiająca modyfikacje tworzone instalacją iMesh:

 

http://www.checkfilename.com/view-details/iMesh/RespageIndex/0/sTab/2/

 

Folder found: C:\Documents and Settings\Dom\Moje dokumenty\Imesh

File found: C:\Documents and Settings\Dom\Dane aplikacji\Microsoft\Internet Explorer\Quick Launch\imesh.lnk

Folder found: C:\Documents and Settings\All Users\Dane aplikacji\iMesh

Folder found: C:\Documents and Settings\Dom\Ustawienia lokalne\Dane aplikacji\iMesh

Folder found: C:\Documents and Settings\All Users\Menu Start\Programy\iMesh

Folder found: C:\Program Files\iMesh Applications

 

Key found: HKLM\Software\Classes\DiscoveryHelper.iMesh6Discovery

Key found: HKLM\Software\Classes\DiscoveryHelper.iMesh6Discovery.1

Key found: HKLM\Software\Classes\iMesh.AudioCD

Key found: HKLM\Software\Classes\iMesh.Device

Key found: HKLM\Software\Classes\iMesh.file

Key found: HKLM\Software\Classes\iMesh.LauncherEventHandler

Key found: HKLM\Software\Classes\iMesh.LauncherEventHandler.1

Key found: HKLM\Software\iMesh

Key found: HKCU\Software\iMesh

Key found: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu2\Programs\iMesh

Key found: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\Imesh

Key found: HKLM\Software\Classes\AppID\{969D2C61-9B16-407c-86B7-397BF4579BE6}

Key found: HKLM\Software\Classes\AppID\{403A885F-CB00-40C1-BDC1-EB09053194F7}

Key found: HKLM\Software\Classes\AppID\{A7DDCBDE-5C86-415c-8A37-763AE183E7E4}

Key found: HKLM\Software\Classes\AppID\{21493C1F-D071-496A-9C27-450578888291}

Key found: HKLM\Software\Classes\AppID\{55C1727F-5535-4C2A-9601-8C2458608B48}

Key found: HKLM\Software\Classes\AppID\{1FC41815-FA4C-4F8B-B143-2C045C8EA2FC}

Key found: HKLM\Software\Classes\AppID\{F54A0D21-6A53-460C-8301-C694EC9E1033}

Key found: HKLM\Software\Classes\AppID\{69E54DE2-C4ED-4BEC-8046-E3F9AC74B4B0}

Key found: HKLM\Software\Classes\AppID\{AD71F65D-CD13-4837-A2DC-E4D90020E7D4}

Key found: HKLM\Software\Classes\AppID\{F7BCCFD4-2FA6-477D-A1B0-EF7500B3C49E}

Key found: HKLM\Software\Classes\AppID\{5E50AE1D-BC76-418B-94C4-EFEAC0CEF80C}

Key found: HKLM\Software\Classes\CLSID\{01AD9322-02FF-4f4f-AC52-92FDA5AE65F0}

Key found: HKLM\Software\Classes\CLSID\{03F14321-8FED-4CBC-B01A-4B57FC199062}

Key found: HKLM\Software\Classes\CLSID\{148132E6-626D-4A5E-8063-A761EB29A50B}

Key found: HKLM\Software\Classes\CLSID\{23BDC78C-B7BB-42E5-B970-54B292592D72}

Key found: HKLM\Software\Classes\CLSID\{27BF8F8D-58B8-D41C-F913-B7EEB57EF6F6}

Key found: HKLM\Software\Classes\CLSID\{2C353E32-B8AC-4B82-B988-4C2D3394388A}

Key found: HKLM\Software\Classes\CLSID\{2C6F7E96-73BC-47A5-9F51-B67F0BAFE24D}

Key found: HKLM\Software\Classes\CLSID\{3BF72F68-72D8-461D-A884-329D936C5581}

Key found: HKLM\Software\Classes\CLSID\{4C58EB04-7B72-4D3D-A36E-66167A99BC31}

Key found: HKLM\Software\Classes\CLSID\{4EE0B011-604C-47F3-8F2B-39F79640B85E}

Key found: HKLM\Software\Classes\CLSID\{5D637FAD-E202-48D1-8F18-5B9C459BD1E3}

Key found: HKLM\Software\Classes\CLSID\{5D9E7BE9-95E5-4392-8CD2-D82DE89589ED}

Key found: HKLM\Software\Classes\CLSID\{5EB0259D-AB79-4ae6-A6E6-24FFE21C3DA4}

Key found: HKLM\Software\Classes\CLSID\{6BC38BF4-E84D-46E1-920B-42D31AEA617E}

Key found: HKLM\Software\Classes\CLSID\{7C3B01BC-53A5-48A0-A43B-0C67731134B9}

Key found: HKLM\Software\Classes\CLSID\{78E9D883-93CD-4072-BEF3-38EE581E2839}

Key found: HKLM\Software\Classes\CLSID\{83AC1413-FCE4-4A46-9DD5-4F31F306E71F}

Key found: HKLM\Software\Classes\CLSID\{87CD3140-EEC0-463F-8872-6E564D9DEDE5}

Key found: HKLM\Software\Classes\CLSID\{98ED0D10-F1FC-4113-A095-9BD7F96040C9}

Key found: HKLM\Software\Classes\CLSID\{ABB49B3B-AB7D-4ED0-9135-93FD5AA4F69F}

Key found: HKLM\Software\Classes\CLSID\{B0639356-335C-4E47-B63C-12531A7A5206}

Key found: HKLM\Software\Classes\CLSID\{B162A975-6C7C-4202-9167-306028913A3D}

Key found: HKLM\Software\Classes\CLSID\{B6F8DA9F-2696-419e-A8A3-19BE41EF51BD}

Key found: HKLM\Software\Classes\CLSID\{CADAF6BE-BF50-4669-8BFD-C27BD4E6181B}

Key found: HKLM\Software\Classes\CLSID\{CD5175E2-7CC1-418C-B66C-0AB95DAD4103}

Key found: HKLM\Software\Classes\CLSID\{D8BFC514-1135-4393-B09A-193D2AAC5037}

Key found: HKLM\Software\Classes\CLSID\{DEF4ED0D-E666-4631-A35A-A634332F0550}

Key found: HKLM\Software\Classes\CLSID\{F42C7B47-5234-4BF5-8882-DAAC0D64870D}

Key found: HKLM\Software\Classes\CLSID\{F8AB43ED-EC88-4de7-B213-F89157D29C62}

Key found: HKLM\Software\Classes\Interface\{F42C7B47-5234-4BF5-8882-DAAC0D64870D}

Key found: HKLM\Software\Classes\Interface\{F7BEBBB1-7E6B-4561-9444-6F4866D60C7C}

Key found: HKLM\Software\Classes\TypeLib\{969D2C61-9B16-407C-86B7-397BF4579BE6}

Key found: HKLM\Software\Classes\TypeLib\{403A885F-CB00-40C1-BDC1-EB09053194F7}

Key found: HKLM\Software\Classes\TypeLib\{55C1727F-5535-4C2A-9601-8C2458608B48}

Key found: HKLM\Software\Classes\TypeLib\{F07FBD3E-2048-44A4-9065-71BF551E2672}

Key found: HKLM\Software\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{7C3B01BC-53A5-48A0-A43B-0C67731134B9}

Key found: HKLM\Software\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{B6F8DA9F-2696-419e-A8A3-19BE41EF51BD}

 

Jest również grupa kluczy których nie ma w wykazie strony przedstawiającej instalację iMesh. Ale poniższe to także iMesh i jego aplikacje. Zainstalowałam w wirtualnej maszynie program i jest to pewne.

 

Key found: HKLM\Software\Classes\CLSID\{2656B92B-0207-4afb-BEBF-F5FD231ECD39}

Key found: HKLM\Software\Classes\CLSID\{34CB0620-E343-4772-BBA8-D3074BC47516}

Key found: HKLM\Software\Classes\CLSID\{412CD209-DDA4-4275-8C79-55F1C93FBD47}

Key found: HKLM\Software\Classes\CLSID\{59570C1F-B692-48c9-91B4-7809E6945287}

Key found: HKLM\Software\Classes\CLSID\{63A0F7FA-2C95-4d7e-AF25-EFCC303D20A1}

Key found: HKLM\Software\Classes\CLSID\{6559E502-6EE1-46b8-A83C-F3A45BDA23EE}

Key found: HKLM\Software\Classes\CLSID\{69D3F709-9DE2-479F-980F-532D46895703}

Key found: HKLM\Software\Classes\CLSID\{A2858A72-758F-4486-B6A1-7F1DCC0924FA}

Key found: HKLM\Software\Classes\CLSID\{C63CA8A4-AB4E-49e5-A6C0-33FC86D80205}

Key found: HKLM\Software\Classes\CLSID\{C6A7847E-8931-4a9a-B4EF-72A91E3CCF4D}

Key found: HKLM\Software\Classes\CLSID\{DD0F1D24-E250-4e93-966C-65615720AEFB}

Key found: HKLM\Software\Classes\CLSID\{EC1277BB-1C71-4c0d-BA6D-BFEA16E773A6}

Key found: HKLM\Software\Classes\CLSID\{FD675817-9EFE-40cd-A75E-E94D1C85D1FE}

Key found: HKLM\Software\Classes\Interface\{69D3F709-9DE2-479F-980F-532D46895703}

Key found: HKLM\Software\Classes\TypeLib\{252C2315-CCE0-4446-8DA7-C00292A690BA}

Key found: HKLM\Software\Classes\TypeLib\{2D77AC8A-0A4C-40D0-9557-51907A575E45}

Key found: HKLM\Software\Classes\TypeLib\{81CA8FCD-1420-4A07-B47D-B30F3DDA79E1}

Key found: HKLM\Software\Classes\TypeLib\{85672EDB-2CC8-40B9-A9E8-77D3478F2EFB}

Key found: HKLM\Software\Classes\TypeLib\{96F7FABC-5789-EFA4-B6ED-1272F4C1D27B}

Key found: HKLM\Software\Classes\TypeLib\{ADEA3C4E-2184-40A2-9556-488456427E80}

Key found: HKLM\Software\Classes\TypeLib\{C4C4F1F4-3074-4CB6-9FB8-0A64273166F0}

Key found: HKLM\Software\Classes\TypeLib\{43B4B831-F41F-4F73-8F14-4FFF0BA75B1B}

Key found: HKLM\Software\Classes\TypeLib\{6C9945B7-1D19-46CB-88C0-45A24DF6CD6E}

Key found: HKLM\Software\Classes\TypeLib\{84B9B044-17C0-48FB-A300-C9747D5DF29C}

Key found: HKLM\Software\Classes\TypeLib\{EC96F516-51B2-4B46-8451-8665F5A6BA2B}

 

 

 

Do wykończenia będą za to wpisy ściśle "sponsoringowe" oraz szczątki po infekcji (jeden z wpisów stawił opór).

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Reg
[-HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\mdhcp32]
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}]
[-HKEY_CURRENT_USER\Software\PriceGong]
[-HKEY_CURRENT_USER\Software\Toolbar]
[-HKEY_LOCAL_MACHINE\Software\Classes\Conduit.Engine]
[-HKEY_LOCAL_MACHINE\Software\Classes\Toolbar.CT2786678]
[-HKEY_LOCAL_MACHINE\Software\Conduit]
[-HKEY_LOCAL_MACHINE\Software\PopCap]
[-HKEY_LOCAL_MACHINE\Software\Cheat Engine\OpenCandy]
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Search Bar"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"KernelFaultCheck"=-
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{00000055-9980-0010-8000-00AA00389B71}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\DirectAnimation Java Classes]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\Microsoft XML Parser for Java]
 
:Files
C:\Documents and Settings\Dom\Ustawienia lokalne\Dane aplikacji\Conduit
C:\Documents and Settings\Dom\Ustawienia lokalne\Dane aplikacji\OpenCandy
C:\Documents and Settings\Dom\Dane aplikacji\PriceGong

Klik w Wykonaj skrypt. Tym razem nie będzie restartu.

 

2. Wystarczy mi tylko log z usuwania OTL do oceny. Dołącz za to zaległy log z GMER. Teraz powinien się poprawnie uruchomić:

 

 

autoruns nie widzi Vax347b oraz Vax347s. w podanym folderze też nie ma tycz plików

 

Jeśli odbyła się deinstalacja Alcohola jako pierwsza, sterowniki zostały usunięte. I ja już ich rzeczywiście nie widzę w nowym OTL. Pole dla GMER przygotowane.

 

 

.

Odnośnik do komentarza
z gmer dalsze problemy. teraz wyszukuje dłużej, ale w końcu wyskakuje błąd, a na nim w danych technicznych jest jakiś plik atapi.sys...

 

A uruchomienie programu z poziomu Trybu awaryjnego?

 

 


Instrukcje na temat reszty:

 

1. Posprzątaj po używanych narzędziach: uruchom Sprzątanie w OTL oraz odinstaluj AD-Remover.

 

2. Wyczyść foldery Przywracania systemu: INSTRUKCJE.

 

3. Wykonaj pełne skanowanie w Malwarebytes' Anti-Malware i przedstaw wyniki.

 

 

.

Odnośnik do komentarza

Tryb awaryjny nie pomaga.

Malwarebytes' Anti-Malware nie znalazł zagrożeń.

W wyskakujących screenach jest napisane coś o możliwym uszkodzeniu sprzętu. Moja płyta główna czasem ma niegroźne odpały, została wymieniona rok temu, bez przeinstalowania systemu, gdyż nie widziałem takiej potrzeby. Czy może mieć to jakiś związek?

Odnośnik do komentarza
W wyskakujących screenach jest napisane coś o możliwym uszkodzeniu sprzętu. Moja płyta główna czasem ma niegroźne odpały, została wymieniona rok temu, bez przeinstalowania systemu, gdyż nie widziałem takiej potrzeby. Czy może mieć to jakiś związek?

 

To standardowa treść BSOD, niezależnie od przyczyny. W tym przypadku problem sprzętowy wykluczam, BSOD generuje GMER jako taki, bo coś mu przeszkadza. No dobrze, zostaw już tego GMERa. Natomiast to, że system nie został przeinstalowany po wymianie płyty głównej może być problemem ogólnym (niezgodność HAL sprzętowego, XP uzgadnia HAL tylko podczas nowej instalacji). Na koniec aktualizacje oprogramowania:

 

 

Windows XP Professional Edition Dodatek Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation

Internet Explorer (Version = 6.0.2900.5512)

 

========== HKEY_LOCAL_MACHINE Uninstall List ===========

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]

"{00000415-78E1-11D2-B60F-006097C998E7}" = Microsoft Office 2000 Premium

"{26A24AE4-039D-4CA4-87B4-2F83216020FF}" = Java™ 6 Update 20

"{AC76BA86-7AD7-1045-7B44-A93000000001}" = Adobe Reader 9.3 - Polish

"{E633D396-5188-4E9D-8F6B-BFB8BF3467E8}" = Skype™ 5.0

"Adobe Flash Player ActiveX" = Adobe Flash Player 10 ActiveX

"Adobe Flash Player Plugin" = Adobe Flash Player 10 Plugin

"Gadu-Gadu" = Gadu-Gadu 7.7

"Gadu-Gadu 10" = Gadu-Gadu 10

"Mozilla Firefox 4.0.1 (x86 pl)" = Mozilla Firefox 4.0.1 (x86 pl)

"Nowe Gadu-Gadu" = Nowe Gadu-Gadu

- Czy ów archaiczny Office jest dostatecznie załatany (na ile możliwe to dla takiego lamusa)?

- Do aktualizacji obie przeglądarki, Java i produkty Adobe: INSTRUKCJE.

- Tripla Gadu nie wygląda zdrowo, a żadna z wersji nie jest "użytkowa", stara wersja nie jest bezpieczna + nie obsługuje własnej sieci w 100%, nowe dalekie od pojęcia komfortu. W temacie Darmowe komunikatory są opisane alternatywy: AQQ, Kadu, WTW i Miranda. Ze swojej strony polecam WTW, oryginały nie mogą się równać z jego wydajnością, ma dobrą obsługę sieci Gadu oraz import archiwów wersji GG 7 i GG8/10.

 

 

.

Edytowane przez picasso
2.08.2011 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso
Odnośnik do komentarza
Gość
Ten temat został zamknięty. Brak możliwości dodania odpowiedzi.
  • Ostatnio przeglądający   0 użytkowników

    • Brak zarejestrowanych użytkowników przeglądających tę stronę.
×
×
  • Dodaj nową pozycję...