Problem Facebook (~wirus)?

[reptile]

Witam,

chodzi o to, że na tym portalu społecznościowym (Facebook) od jakiegoś czasu wyświetlają mi się linki o treściach/adresach, które niby to ja napisałem/wysłałem? Jest jeszcze jedno, co jakiś czas otwiera mi się nowa karta z portalem Facebook, obojętnie czy jestem na nim zalogowany, czy też nie.

Moje pytanie do Was, co to jest i jak sobie z Tym poradzić.

 

Są to linki typu:

"Switch To Pink Facebook (Limited Time!)

Click here"

i

"Wow! Hello Pink facebook! And goodbye Blue facebook! Switch Your facebook profile to 5 Different Colors And Themes. Choose yours Here "

 

Liczę na Waszą pomoc w Tej sprawie!

[Suchy203]

Zapewne temat zostanie przeniesiony do działu malware. Wykonaj logi OTL http://www.fixitpc.p...ty-systemowe/#1 i log z GMER http://www.fixitpc.p...p__318#entry318.

 

PS. Nie czytałeś chyba tego:

 

2. Pod żadnym pozorem nie umieszczać "informacji infekcyjnych" w sposób bezpośredni:

 

Jeśli infekcja nastąpiła po odwiedzeniu określonego adresu, lub zaczynają się pojawiać w przeglądarce / systemie odnośniki URL, należy w poście podać ich formę nieaktywną nie działającą jak link, np. zastępując w przedrostku http dwie literki iksami: hxxp://www.podejrzanylink.com/

Po żadnym pozorem proszę nie linkować plików, które pobrano i bezpośrednim skutkiem ich uruchomienia jest infekcja w systemie.

[reptile]

ok, serdecznie dziękuję za zwrócenie mi uwagi.

 

A w momencie uruchamiania pliku do generowania log'u GMER pojawia się niebieski ekran.

[picasso]

Zastrzeżenia do logów: mocno przestarzały OTL w wersji 3.2.17.3 (aktualna to 3.2.37.0) pozbawiony nowych wejść i poprawek i to nie jest pełny log z OTL, brakuje Extras (opcja "Rejestr - skan dodatkowy" nie została ustawiona na "Użyj filtrowania"). Zaś GMER spróbuj stworzyć z poziomu Trybu awaryjnego Windows.

 

Temat przenoszę. Infekcja owszem jest. Poza tym, system zaśmiecony sponsorami.

 

 

1. Pobierz najnowszy OTL. Uruchom go i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
[2012-02-28 13:03:09 | 000,000,310 | ---- | C] () -- C:\WINDOWS\tasks\Dgirpyhm.job
[2012-02-28 13:03:08 | 000,147,968 | RHS- | C] () -- C:\WINDOWS\System32\rend2.dll
[2011-12-14 08:12:17 | 000,000,144 | -HS- | C] () -- C:\Documents and Settings\Mieszko\Ustawienia lokalne\Dane aplikacji\00000021
[2011-02-18 11:21:18 | 000,000,064 | -H-- | C] () -- C:\Documents and Settings\Mieszko\Dane aplikacji\c1972b1a7030edbaa8a0231998d2d434906484f2
[2011-02-18 11:21:18 | 000,000,064 | -H-- | C] () -- C:\Documents and Settings\All Users\Dane aplikacji\c1972b1a7030edbaa8a0231998d2d434906484f2
[2012-01-06 13:03:14 | 000,000,000 | ---D | M] -- C:\Documents and Settings\Mieszko\Dane aplikacji\PriceGong
O4 - HKU\S-1-5-21-1275210071-2049760794-1547161642-1003..\Run: []  File not found
O4 - HKU\S-1-5-21-1275210071-2049760794-1547161642-1003..\Run: [fsm]  File not found
O4 - HKU\S-1-5-21-1275210071-2049760794-1547161642-1003..\Run: [golen] C:\Documents and Settings\Mieszko\golen.exe ()
O4 - HKU\S-1-5-21-1275210071-2049760794-1547161642-1003..\Run: [PowerBar]  File not found
O4 - HKLM..\Run: [pajak] C:\Documents and Settings\Mieszko\Dane aplikacji\Cream Software\pajaczek-crack.exe ()
 
:Commands
[emptytemp]

 

Klik w Wykonaj skrypt. System zostanie zrestartowany i otrzymasz log z wynikami usuwania.

 

2. Odinstaluj śmieci sponsoringowe:

- W rozszerzeniach Firefox odinstaluj: Softonic-Polska2 Community Toolbar, DVDVideoSoft Toolbar, Conduit Engine, Ask Toolbar, support@predictad.com.

- Przez Dodaj / Usuń programy pozbądź się: Softonic-Polska2 Toolbar + Conduit Engine + Foxit Toolbar (Ask Toolbar).

 

3. Wygeneruj nowe logi: OTL z opcji Skanuj (przypominam o Extras) + AdwCleaner z opcji Search + zaległy GMER. Dorzuć i log z wynikami usuwania z punktu 1.

 

 

 

.

 

 

[reptile]

1. Wykonałem skrypt. System zrestartowałem i otrzymasz log z wynikami usuwania zapisałem.

2. Śmieci sponsoringowe:

- W rozszerzeniach Firefox nie znalazłem do odinstalowania: Softonic-Polska2 Community Toolbar, DVDVideoSoft Toolbar, Conduit Engine, Ask Toolbar, support@predictad.com.

- Usunąłem przez Dodaj / Usuń programy: Softonic-Polska2 Toolbar + Conduit Engine + Foxit Toolbar (Ask Toolbar).

3. Wygenerowałem nowe logi OTL i Extras + AdwCleaner z opcji Search. Dorzucam również log z wynikami usuwania.

[picasso]

Co z GMER z poziomu Trybu awaryjnego? To czego nie znalazłeś w rozszerzeniach Firefox nadal w nich jest. Niestety infekcja jest w nawrocie, co dopiero kasowany wpis "golen" powrócił. I nie zauważyłam skrótów LNK:

 

[2012-03-15 17:40:25 | 000,000,148 | ---- | M] () -- C:\Documents and Settings\Mieszko\Video.lnk
[2012-03-15 17:40:25 | 000,000,148 | ---- | M] () -- C:\Documents and Settings\Mieszko\Pictures.lnk
[2012-03-15 17:40:25 | 000,000,148 | ---- | M] () -- C:\Documents and Settings\Mieszko\Passwords.lnk
[2012-03-15 17:40:25 | 000,000,148 | ---- | M] () -- C:\Documents and Settings\Mieszko\New Folder.lnk
[2012-03-15 17:40:25 | 000,000,148 | ---- | M] () -- C:\Documents and Settings\Mieszko\Music.lnk
[2012-03-15 17:40:25 | 000,000,148 | ---- | M] () -- C:\Documents and Settings\Mieszko\Documents.lnk

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
O4 - HKU\S-1-5-21-1275210071-2049760794-1547161642-1003..\Run: [golen] C:\Documents and Settings\Mieszko\golen.exe ()
FF - prefs.js..extensions.enabledItems: support@predictad.com:1.11
FF - prefs.js..extensions.enabledItems: {87d5d709-40f2-48a7-8f47-7bb821af70ab}:3.3.3.2
FF - prefs.js..extensions.enabledItems: {ACAA314B-EEBA-48e4-AD47-84E31C44796C}:1.0.1
FF - prefs.js..extensions.enabledItems: {e9911ec6-1bcc-40b0-9993-e0eea7f6953f}:2.5.8.6
 
:Files
C:\WINDOWS\System32\nnr.dll
C:\Documents and Settings\Mieszko\*.lnk
C:\Documents and Settings\Mieszko\*.exe
C:\Documents and Settings\Mieszko\Dane aplikacji\Mozilla\Firefox\Profiles\jn77rw2a.default\extensions\support@predictad.com
C:\Documents and Settings\Mieszko\Dane aplikacji\Mozilla\Firefox\Profiles\jn77rw2a.default\extensions\{87d5d709-40f2-48a7-8f47-7bb821af70ab}
C:\Documents and Settings\Mieszko\Dane aplikacji\Mozilla\Firefox\Profiles\jn77rw2a.default\extensions\{ACAA314B-EEBA-48e4-AD47-84E31C44796C}
C:\Documents and Settings\Mieszko\Dane aplikacji\Mozilla\Firefox\Profiles\jn77rw2a.default\extensions\{e9911ec6-1bcc-40b0-9993-e0eea7f6953f}
 
:Commands
[emptytemp]

 

Klik w Wykonaj skrypt.

 

2. Uruchom AdwCleaner z opcji Delete, co dokasuje resztę sponsorów.

 

3. Wygeneruj nowy log z OTL z opcji Skanuj (już bez Extras) + przypominam o GMER. Dołącz log z wynikami usuwania z punktu 1.

 

 

 

 

.

[reptile]

1. OTL - Własne opcje skanowania- zrobione.

2. AdwCleaner z opcji Delete - uruchomiony.

3. Wygenerowany nowy log z OTL z opcji Skanuj

4. GMER z poziomu trybu awaryjnego uruchomiony. Niestety nie załączę LOGa, gdyż nie mam pojęcia gdzie go zapisuje.

[picasso]

4. GMER z poziomu trybu awaryjnego uruchomiony. Niestety nie załączę LOGa, gdyż nie mam pojęcia gdzie go zapisuje.

 

GMER nie tworzy loga automatycznie. Wróć do instrukcji GMER, jest opisane jak się zapisuje raport przez przycisk "Kopiuj".

 

 

Natomiast, infekcja w kółko wraca:

 

========== Processes (SafeList) ==========
 
PRC - [2012-01-14 19:55:13 | 000,057,344 | RHS- | M] () -- C:\Documents and Settings\Mieszko\golen.exe
 
O4 - HKU\S-1-5-21-1275210071-2049760794-1547161642-1003..\Run: [golen] C:\Documents and Settings\Mieszko\golen.exe ()

 

Przez SHIFT+DEL skasuj katalog E:\_OTL z kwarantanną i przeprowadź pełny skan za pomocą Kaspersky Virus Removal Tool. Zaprezentuj raport z wykryciami, o ile takowe będą.

 

 

 

 

.

[reptile]

1. Katalog E:\_OTL skasowałem przy pomocy Tego skrótu.

2. Przeprowadziłem pełny skan za pomocą Kaspersky Virus Removal Tool. Załączam raport.

3. GMER -nadal mam problem, tylko Tego typu, że podczas pełnego skanowania wyświetla mi niebieski ekran z następującą informacją:

Wydaje się, że przyczyną problemu jest następujący plik: pxtdqpoc.sys

PAGE_FAULT_NONPAGED_AREA

...

Informacje techniczne:

STOP: 0X00000050 (0xFF9B6008, 0X00000000, 0XB95793B3, 0X00000000) pxtdqpoc.sys - Address B95793B3 base at B9575000, DateStamp 4e21f298

szczegolowy_raport-Kaspersky_Virus_Removal_Tool_2010.txt

[Landuss]

Wydaje się, że przyczyną problemu jest następujący plik: pxtdqpoc.sys

 

To akurat wygląda na sterownik samego Gmera a dlaczego bluescreen to jest zagadka. Gmer to taki program, że nie zawsze działa poprawnie na każdym systemie. Być może tu jest jakiś konflikt z innym oprogramowaniem.

 

Sporządź nowe logi z OTL i załącz do posta.

[reptile]

Witam

 

Załączam nowe logi z OTL.

OTL.Txt

[picasso]

Widzę, że pobrałeś starą wersję Kaspersky Virus Removal Tool 2010 a nie najnowszą 2011 ... Dlaczego? Bieżący log z OTL nie wykazuje już nawrotu wpisu startowego "golen" infekcji. Aczkolwiek znów pojawiły się usuwane już wcześniej skróty LNK:

 

[2012-03-20 09:04:46 | 000,000,148 | ---- | M] () -- C:\Documents and Settings\Mieszko\Video.lnk
[2012-03-20 09:04:46 | 000,000,148 | ---- | M] () -- C:\Documents and Settings\Mieszko\Pictures.lnk
[2012-03-20 09:04:46 | 000,000,148 | ---- | M] () -- C:\Documents and Settings\Mieszko\Passwords.lnk
[2012-03-20 09:04:46 | 000,000,148 | ---- | M] () -- C:\Documents and Settings\Mieszko\New Folder.lnk
[2012-03-20 09:04:46 | 000,000,148 | ---- | M] () -- C:\Documents and Settings\Mieszko\Music.lnk
[2012-03-20 09:04:46 | 000,000,148 | ---- | M] () -- C:\Documents and Settings\Mieszko\Documents.lnk

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\Documents and Settings\Mieszko\*.lnk

 

Klik w Wykonaj skrypt.

 

2. Usuń używane narzędzia: odinstaluj skaner Kasperskiego, w AdwCleaner zastosuj Uninstall, w OTL uruchom Sprzątanie.

 

3. Wyczyść foldery Przywracania systemu: KLIK.

 

Wypowiedz się wyraźnie czy problem z Facebook nadal występuje.

 

 

 

.

[reptile]

Wasze porady okazały się skuteczne. Dzięki Serdeczne za pomoc. Pozdrawiam

[picasso]

Wykonaj jeszcze drobne aktualizacje aplikacji: KLIK. Na Twojej liście zainstalowanych widnieją:

 

========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83216012FF}" = Java™ 6 Update 29
"{26A24AE4-039D-4CA4-87B4-2F83216023F0}" = Java™ 6 Update 23
"{AA59DDE4-B672-4621-A016-4C248204957A}" = Skype™ 5.5
"Adobe Flash Player ActiveX" = Adobe Flash Player 11 ActiveX
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin
"Adobe Shockwave Player" = Adobe Shockwave Player 11.6
"Mozilla Firefox 10.0.2 (x86 pl)" = Mozilla Firefox 10.0.2 (x86 pl)

 

Temat rozwiązany. Zamykam.

 

 

 

.