Ge-Forces czyli zainfekowane przeglądarki reklamami


(Karolpdk) #1

]Witam. 

 

Może piszę w mało dobrym momencie bo pewnie każdy odpoczywa po sylwestrze, ale napisze teraz bo później mogę nie mieć tyle czasu.

Szperałem trochę w sieci w poszukiwaniu pewnego pliku na trochę mało mi znanych witrynach no i chyba jakieś trojany czy coś takiego mi się na dysk zadomowiło. Objawy są takie że w każdej przeglądarce mam reklamy typu Ge-Forces 1,1 lub Sense idzie je wyłączyć w rozszerzeniach ale po jakimś czasie znów same się włączają. Dziś kolejne dwa objawy zauważyłem jak pobieram jakiś plik z przeglądarki to często on stanie na 99% i nie idzie dalej pobrać pliku gdzie w tym samym czasie pobieram go na lapku w sekundę idąc dalej to na paru stronach w filmach mam zielony obraz zamiast video mimo zainstalowanej najnowszej wersji flash playera. Reinstalacja przeglądarek też nic nie dała. Skanowałem różnymi programami adware usuwałem rożnego rodzaju trojany nim ale nadal to coś siedzi mi na dysku. Teraz został mi tylko pomysł reinstalacji Windowsa 7 ale zanim to zrobię to zwracam się do Was o pomoc jako ostatnią deskę ratunku. Dawno tu mnie nie było więc nie wiem co wkleić jakie logi.

 

Przesyłam zdjęcia jak problemy wyglądają z obrazu monitora. 

 

Zdjęcia


(Piesek64) #2

Podaj logi FRST (instrukcja w dziale Bezpieczeństwo).


(Karolpdk) #3

http://www.wklej.org/id/1581339/

http://www.wklej.org/id/1581340/

 

Proszę


(Acorus) #4

Odinstaluj Ad-aware 6 Personal,Ask Toolbar,AVG Security Toolbar,Babylon toolbar,BabylonObjectInstaller,BrowserProtect,Click Caption 1.10.0.2,fTalk,Mobogenie,Mobogenie3,Pandora Service,Pokki,Price Meter (remove only),PriceMeter Express (remove only),Przyspiesz Komputer,QuickStores-Toolbar 1.1.0,RelevantKnowledge,Remote Desktop Access (VuuPC),Sense,Shopper-Pro,StartNow Toolbar,SweetIM for Messenger 3.7,Update for PriceMeter,Update Manager for SweetPacks 1.1,V9 HomeTool,Windows Searchqu Toolbar,Yontoo 1.10.03.Pobierz i uruchom AdwCleaner https://toolslib.net/downloads/finish/1/ Kliknij Szukaj i później Usuń.

Pokaż nowe logi z FRST.


(Karolpdk) #5

Wszystkie podane przez Ciebie programy odinstalowane. Późnej skan i kolejne usunięte. Reset kompa i logi. Proszę:

 

http://www.wklej.org/id/1582090/

http://www.wklej.org/id/1582092/


(Acorus) #6

Otwórz notatnik systemowy i wklej:

Task: {0C61F9B6-F829-4A97-A973-699D0FB2FB36} - System32\Tasks\UNELEVATE_18402 = C:\Program Files (x86)\ShopperPro\JSDriver\1454.0.0.0\jsdrv.exe ==== ATTENTION
Task: {45680827-3398-49AC-98A9-D12DB4F61891} - System32\Tasks\DLL-files.com Fixer_UPDATES = C:\Program Files (x86)\Dll-Files.com Fixer\DLLFixer.exe [2013-11-25] (Dll-FIles.Com)
Task: {540F7F27-74D9-4A41-ABEE-68D762FF4289} - System32\Tasks\FacebookUpdateTaskUserS-1-5-21-2653613353-633580960-2515828687-1000UA = C:\Users\Karol\AppData\Local\Facebook\Update\FacebookUpdate.exe [2014-10-20] (Facebook Inc.)
Task: {601FB897-7C73-493F-A0D8-75C84B99BA15} - System32\Tasks\FacebookUpdateTaskUserS-1-5-21-2653613353-633580960-2515828687-1000Core = C:\Users\Karol\AppData\Local\Facebook\Update\FacebookUpdate.exe [2014-10-20] (Facebook Inc.)
Task: {92E55568-AC6C-4EB9-BD16-3593E658446E} - System32\Tasks\DLL-files.com Fixer_MONTHLY = C:\Program Files (x86)\Dll-Files.com Fixer\DLLFixer.exe [2013-11-25] (Dll-FIles.Com)
Task: C:\Windows\Tasks\DLL-Files.Com Fixer_MONTHLY.job = C:\Program Files (x86)\Dll-Files.com Fixer\DLLFixer.exe
Task: C:\Windows\Tasks\DLL-Files.Com Fixer_Updates.job = C:\Program Files (x86)\Dll-Files.com Fixer\DLLFixer.exe
Task: C:\Windows\Tasks\FacebookUpdateTaskUserS-1-5-21-2653613353-633580960-2515828687-1000Core.job = C:\Users\Karol\AppData\Local\Facebook\Update\FacebookUpdate.exe
Task: C:\Windows\Tasks\FacebookUpdateTaskUserS-1-5-21-2653613353-633580960-2515828687-1000UA.job = C:\Users\Karol\AppData\Local\Facebook\Update\FacebookUpdate.exe
Task: C:\Windows\Tasks\WJH.job = C:\Users\Karol\AppData\Roaming\WJH.exe ==== ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction ======= ATTENTION
HKU\S-1-5-21-2653613353-633580960-2515828687-1000\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction ======= ATTENTION
StartMenuInternet: IEXPLORE.EXE - C:\Program Files (x86)\Internet Explorer\iexplore.exe
SearchScopes: HKU\.DEFAULT - DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKU\S-1-5-19 - DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKU\S-1-5-20 - DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKU\S-1-5-21-2653613353-633580960-2515828687-1000 - {8E5AEA6E-2403-4974-B71D-8A2F2C4B7C53} URL = http://uk.search.yahoo.com/search?p={searchTerms}fr=chr-devicevmtype=PROTOSV
Toolbar: HKLM - avast! Online Security - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} - No File
Toolbar: HKU\S-1-5-21-2653613353-633580960-2515828687-1000 - No Name - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - No File
FF Extension: Hotspot Shield Helper (Please allow this installation) - C:\Program Files (x86)\Mozilla Firefox\extensions\afurladvisor@anchorfree.com [2014-12-19]
FF Extension: QuickStores-Toolbar - C:\Program Files (x86)\Mozilla Firefox\extensions\quickstores@quickstores.de [2014-12-19]
FF Extension: Click Caption - C:\Program Files (x86)\Mozilla Firefox\extensions\{190bc294-c8e5-471c-9466-3eb945b09542} [2014-12-19]
FF Extension: Hotspot Shield Extension - C:\Program Files (x86)\Mozilla Firefox\browser\extensions\afproxy@anchorfree.com [2014-12-19]
FF HKLM-x32\...\Firefox\Extensions: [{C7AE725D-FA5C-4027-BB4C-787EF9F8248A}] - C:\Program Files (x86)\RelevantKnowledge\firefox
S2 cFosSpeedS; "C:\Program Files\ASRock\XFast LAN\spd.exe" -service [X]
S2 SmartViewService; C:\Program Files (x86)\DeviceVM\SmartView\SmartViewService.exe [X]
S3 catchme; \\C:\ComboFix\catchme.sys [X]
S3 EsgScanner; system32\DRIVERS\EsgScanner.sys [X]
2015-01-02 21:03 - 2015-01-02 21:06 - 00000000 ____ D () C:\AdwCleaner
2015-01-01 18:09 - 2011-06-26 07:45 - 00256000 _____ () C:\Windows\PEV.exe
2015-01-01 18:09 - 2010-11-07 18:20 - 00208896 _____ () C:\Windows\MBR.exe
2015-01-01 18:09 - 2009-04-20 05:56 - 00060416 _____ (NirSoft) C:\Windows\NIRCMD.exe
2015-01-01 18:09 - 2000-08-31 01:00 - 00518144 _____ (SteelWerX) C:\Windows\SWREG.exe
2015-01-01 18:09 - 2000-08-31 01:00 - 00406528 _____ (SteelWerX) C:\Windows\SWSC.exe
2015-01-01 18:09 - 2000-08-31 01:00 - 00098816 _____ () C:\Windows\sed.exe
2015-01-01 18:09 - 2000-08-31 01:00 - 00080412 _____ () C:\Windows\grep.exe
2015-01-01 18:09 - 2000-08-31 01:00 - 00068096 _____ () C:\Windows\zip.exe
2015-01-01 18:02 - 2015-01-01 18:44 - 00000000 ____ D () C:\Qoobox
2014-12-31 21:38 - 2014-12-31 21:38 - 00003172 _____ () C:\Windows\System32\Tasks\UNELEVATE_18402
2014-12-30 21:03 - 2014-12-30 21:03 - 00000000 ____ D () C:\Program Files\Enigma Software Group
2014-12-28 22:41 - 2014-12-28 22:41 - 00005444 _____ () C:\Windows\System32\Tasks\6ee22be2-67f4-496a-bc12-6c82ea0c3717-2
2014-12-28 22:40 - 2015-01-01 18:31 - 00000000 ____ D () C:\Program Files (x86)\b972c587-d56d-48d3-aec8-3581dee28c6f
2014-12-28 22:40 - 2014-12-29 23:56 - 00001332 _____ () C:\Windows\Tasks\WJH.job
2014-12-28 22:40 - 2014-12-28 22:40 - 01953768 _____ (Object Browser) C:\Users\Karol\AppData\Roaming\DYHIB.exe
2014-12-28 22:40 - 2014-12-28 22:40 - 01470440 _____ (Object Browser) C:\Users\Karol\AppData\Roaming\WJH.exe
2014-12-28 22:40 - 2014-12-28 22:40 - 00008858 _____ () C:\Windows\System32\Tasks\6ee22be2-67f4-496a-bc12-6c82ea0c3717-6
2014-12-28 22:40 - 2014-12-28 22:40 - 00007836 _____ () C:\Windows\System32\Tasks\6ee22be2-67f4-496a-bc12-6c82ea0c3717-4
2014-12-28 22:40 - 2014-12-28 22:40 - 00004370 _____ () C:\Windows\System32\Tasks\WJH
C:\ProgramData\252lVQg2.exe
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST w tym samym folderze.


(Karolpdk) #7

Fix zrobiony. Wrzucam jeszcze logi.

 

http://www.wklej.org/id/1582632/

http://www.wklej.org/id/1582633/

 

Czysto już ?


(Acorus) #8

Skasuj folder C:\FRST


(Karolpdk) #9

Właśnie sam nad tym myślałem. Jeden folder ma opory jakieś mimo że ja mam prawa admina. Patrz: http://www.fotoszok.pl/upload/70f62e20.jpg


(Acorus) #10

Otwórz notatnik systemowy i wklej:

DeleteQuarantine:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST w tym samym folderze.


(Karolpdk) #11

http://www.wklej.org/id/1582955/

http://www.wklej.org/id/1582957/

 

 

Posuwałem też ręcznie niepotrzebne foldery po grach które dawno odinstalowałem ogólnie sporo niepotrzebnych plików. Myślę że jest już ok. Reklam nie ma, sporo miejsca na dysku się zwolniło i jak by system chodził szybciej.