Ge-Forces czyli zainfekowane przeglądarki reklamami

karolpdk · 1 Styczeń 2015 20:56

]Witam.

Może piszę w mało dobrym momencie bo pewnie każdy odpoczywa po sylwestrze, ale napisze teraz bo później mogę nie mieć tyle czasu.

Szperałem trochę w sieci w poszukiwaniu pewnego pliku na trochę mało mi znanych witrynach no i chyba jakieś trojany czy coś takiego mi się na dysk zadomowiło. Objawy są takie że w każdej przeglądarce mam reklamy typu Ge-Forces 1,1 lub Sense idzie je wyłączyć w rozszerzeniach ale po jakimś czasie znów same się włączają. Dziś kolejne dwa objawy zauważyłem jak pobieram jakiś plik z przeglądarki to często on stanie na 99% i nie idzie dalej pobrać pliku gdzie w tym samym czasie pobieram go na lapku w sekundę idąc dalej to na paru stronach w filmach mam zielony obraz zamiast video mimo zainstalowanej najnowszej wersji flash playera. Reinstalacja przeglądarek też nic nie dała. Skanowałem różnymi programami adware usuwałem rożnego rodzaju trojany nim ale nadal to coś siedzi mi na dysku. Teraz został mi tylko pomysł reinstalacji Windowsa 7 ale zanim to zrobię to zwracam się do Was o pomoc jako ostatnią deskę ratunku. Dawno tu mnie nie było więc nie wiem co wkleić jakie logi.

Przesyłam zdjęcia jak problemy wyglądają z obrazu monitora.

Zdjęcia

Piesek64 · 1 Styczeń 2015 21:15

Podaj logi FRST (instrukcja w dziale Bezpieczeństwo).

karolpdk · 1 Styczeń 2015 21:30

http://www.wklej.org/id/1581339/

http://www.wklej.org/id/1581340/

Proszę

Acorus · 2 Styczeń 2015 08:30

Odinstaluj Ad-aware 6 Personal,Ask Toolbar,AVG Security Toolbar,Babylon toolbar,BabylonObjectInstaller,BrowserProtect,Click Caption 1.10.0.2,fTalk,Mobogenie,Mobogenie3,Pandora Service,Pokki,Price Meter (remove only),PriceMeter Express (remove only),Przyspiesz Komputer,QuickStores-Toolbar 1.1.0,RelevantKnowledge,Remote Desktop Access (VuuPC),Sense,Shopper-Pro,StartNow Toolbar,SweetIM for Messenger 3.7,Update for PriceMeter,Update Manager for SweetPacks 1.1,V9 HomeTool,Windows Searchqu Toolbar,Yontoo 1.10.03.Pobierz i uruchom AdwCleaner https://toolslib.net/downloads/finish/1/ Kliknij Szukaj i później Usuń.

Pokaż nowe logi z FRST.

karolpdk · 2 Styczeń 2015 20:20

Wszystkie podane przez Ciebie programy odinstalowane. Późnej skan i kolejne usunięte. Reset kompa i logi. Proszę:

http://www.wklej.org/id/1582090/

http://www.wklej.org/id/1582092/

Acorus · 3 Styczeń 2015 09:44

Otwórz notatnik systemowy i wklej:

Task: {0C61F9B6-F829-4A97-A973-699D0FB2FB36} - System32\Tasks\UNELEVATE_18402 = C:\Program Files (x86)\ShopperPro\JSDriver\1454.0.0.0\jsdrv.exe ==== ATTENTION
Task: {45680827-3398-49AC-98A9-D12DB4F61891} - System32\Tasks\DLL-files.com Fixer_UPDATES = C:\Program Files (x86)\Dll-Files.com Fixer\DLLFixer.exe [2013-11-25] (Dll-FIles.Com)
Task: {540F7F27-74D9-4A41-ABEE-68D762FF4289} - System32\Tasks\FacebookUpdateTaskUserS-1-5-21-2653613353-633580960-2515828687-1000UA = C:\Users\Karol\AppData\Local\Facebook\Update\FacebookUpdate.exe [2014-10-20] (Facebook Inc.)
Task: {601FB897-7C73-493F-A0D8-75C84B99BA15} - System32\Tasks\FacebookUpdateTaskUserS-1-5-21-2653613353-633580960-2515828687-1000Core = C:\Users\Karol\AppData\Local\Facebook\Update\FacebookUpdate.exe [2014-10-20] (Facebook Inc.)
Task: {92E55568-AC6C-4EB9-BD16-3593E658446E} - System32\Tasks\DLL-files.com Fixer_MONTHLY = C:\Program Files (x86)\Dll-Files.com Fixer\DLLFixer.exe [2013-11-25] (Dll-FIles.Com)
Task: C:\Windows\Tasks\DLL-Files.Com Fixer_MONTHLY.job = C:\Program Files (x86)\Dll-Files.com Fixer\DLLFixer.exe
Task: C:\Windows\Tasks\DLL-Files.Com Fixer_Updates.job = C:\Program Files (x86)\Dll-Files.com Fixer\DLLFixer.exe
Task: C:\Windows\Tasks\FacebookUpdateTaskUserS-1-5-21-2653613353-633580960-2515828687-1000Core.job = C:\Users\Karol\AppData\Local\Facebook\Update\FacebookUpdate.exe
Task: C:\Windows\Tasks\FacebookUpdateTaskUserS-1-5-21-2653613353-633580960-2515828687-1000UA.job = C:\Users\Karol\AppData\Local\Facebook\Update\FacebookUpdate.exe
Task: C:\Windows\Tasks\WJH.job = C:\Users\Karol\AppData\Roaming\WJH.exe ==== ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction ======= ATTENTION
HKU\S-1-5-21-2653613353-633580960-2515828687-1000\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction ======= ATTENTION
StartMenuInternet: IEXPLORE.EXE - C:\Program Files (x86)\Internet Explorer\iexplore.exe
SearchScopes: HKU\.DEFAULT - DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKU\S-1-5-19 - DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKU\S-1-5-20 - DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKU\S-1-5-21-2653613353-633580960-2515828687-1000 - {8E5AEA6E-2403-4974-B71D-8A2F2C4B7C53} URL = http://uk.search.yahoo.com/search?p={searchTerms}fr=chr-devicevmtype=PROTOSV
Toolbar: HKLM - avast! Online Security - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} - No File
Toolbar: HKU\S-1-5-21-2653613353-633580960-2515828687-1000 - No Name - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - No File
FF Extension: Hotspot Shield Helper (Please allow this installation) - C:\Program Files (x86)\Mozilla Firefox\extensions\afurladvisor@anchorfree.com [2014-12-19]
FF Extension: QuickStores-Toolbar - C:\Program Files (x86)\Mozilla Firefox\extensions\quickstores@quickstores.de [2014-12-19]
FF Extension: Click Caption - C:\Program Files (x86)\Mozilla Firefox\extensions\{190bc294-c8e5-471c-9466-3eb945b09542} [2014-12-19]
FF Extension: Hotspot Shield Extension - C:\Program Files (x86)\Mozilla Firefox\browser\extensions\afproxy@anchorfree.com [2014-12-19]
FF HKLM-x32\...\Firefox\Extensions: [{C7AE725D-FA5C-4027-BB4C-787EF9F8248A}] - C:\Program Files (x86)\RelevantKnowledge\firefox
S2 cFosSpeedS; "C:\Program Files\ASRock\XFast LAN\spd.exe" -service [X]
S2 SmartViewService; C:\Program Files (x86)\DeviceVM\SmartView\SmartViewService.exe [X]
S3 catchme; \\C:\ComboFix\catchme.sys [X]
S3 EsgScanner; system32\DRIVERS\EsgScanner.sys [X]
2015-01-02 21:03 - 2015-01-02 21:06 - 00000000 ____ D () C:\AdwCleaner
2015-01-01 18:09 - 2011-06-26 07:45 - 00256000 _____ () C:\Windows\PEV.exe
2015-01-01 18:09 - 2010-11-07 18:20 - 00208896 _____ () C:\Windows\MBR.exe
2015-01-01 18:09 - 2009-04-20 05:56 - 00060416 _____ (NirSoft) C:\Windows\NIRCMD.exe
2015-01-01 18:09 - 2000-08-31 01:00 - 00518144 _____ (SteelWerX) C:\Windows\SWREG.exe
2015-01-01 18:09 - 2000-08-31 01:00 - 00406528 _____ (SteelWerX) C:\Windows\SWSC.exe
2015-01-01 18:09 - 2000-08-31 01:00 - 00098816 _____ () C:\Windows\sed.exe
2015-01-01 18:09 - 2000-08-31 01:00 - 00080412 _____ () C:\Windows\grep.exe
2015-01-01 18:09 - 2000-08-31 01:00 - 00068096 _____ () C:\Windows\zip.exe
2015-01-01 18:02 - 2015-01-01 18:44 - 00000000 ____ D () C:\Qoobox
2014-12-31 21:38 - 2014-12-31 21:38 - 00003172 _____ () C:\Windows\System32\Tasks\UNELEVATE_18402
2014-12-30 21:03 - 2014-12-30 21:03 - 00000000 ____ D () C:\Program Files\Enigma Software Group
2014-12-28 22:41 - 2014-12-28 22:41 - 00005444 _____ () C:\Windows\System32\Tasks\6ee22be2-67f4-496a-bc12-6c82ea0c3717-2
2014-12-28 22:40 - 2015-01-01 18:31 - 00000000 ____ D () C:\Program Files (x86)\b972c587-d56d-48d3-aec8-3581dee28c6f
2014-12-28 22:40 - 2014-12-29 23:56 - 00001332 _____ () C:\Windows\Tasks\WJH.job
2014-12-28 22:40 - 2014-12-28 22:40 - 01953768 _____ (Object Browser) C:\Users\Karol\AppData\Roaming\DYHIB.exe
2014-12-28 22:40 - 2014-12-28 22:40 - 01470440 _____ (Object Browser) C:\Users\Karol\AppData\Roaming\WJH.exe
2014-12-28 22:40 - 2014-12-28 22:40 - 00008858 _____ () C:\Windows\System32\Tasks\6ee22be2-67f4-496a-bc12-6c82ea0c3717-6
2014-12-28 22:40 - 2014-12-28 22:40 - 00007836 _____ () C:\Windows\System32\Tasks\6ee22be2-67f4-496a-bc12-6c82ea0c3717-4
2014-12-28 22:40 - 2014-12-28 22:40 - 00004370 _____ () C:\Windows\System32\Tasks\WJH
C:\ProgramData\252lVQg2.exe
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST w tym samym folderze.

karolpdk · 3 Styczeń 2015 13:45

Fix zrobiony. Wrzucam jeszcze logi.

http://www.wklej.org/id/1582632/

http://www.wklej.org/id/1582633/

Czysto już ?

Acorus · 3 Styczeń 2015 14:36

Skasuj folder C:\FRST

karolpdk · 3 Styczeń 2015 16:27

Właśnie sam nad tym myślałem. Jeden folder ma opory jakieś mimo że ja mam prawa admina. Patrz: http://www.fotoszok.pl/upload/70f62e20.jpg

Acorus · 3 Styczeń 2015 16:56

Otwórz notatnik systemowy i wklej:

DeleteQuarantine:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST w tym samym folderze.

karolpdk · 3 Styczeń 2015 18:31

http://www.wklej.org/id/1582955/

http://www.wklej.org/id/1582957/

Posuwałem też ręcznie niepotrzebne foldery po grach które dawno odinstalowałem ogólnie sporo niepotrzebnych plików. Myślę że jest już ok. Reklam nie ma, sporo miejsca na dysku się zwolniło i jak by system chodził szybciej.