Podejrzane wpisy, Windows Defender

[Michizz1 (Michiz)]

Witam wszystkich. Od niedawna zmagam się z wyskakującym komunikatem którego w żaden sposób nie można wyłączyć.

Oto screen tego komunikatu:

Nie bardzo wiem co mam robić, od razu mówię, że hijacthis wykrył (sprawdziłem na stronie hijackthis.de) podejrzane wpisy tj. :

O4 - User Startup: win.exe

O4 - User Startup: Windows Live Control.exe

C:\Program Files\My applications\Windows Live Control.exe

C:\Program Files\My applications\win.exe

I jeszcze podaje pełny log z hijacka :

http://wklejto.pl/63622

Na innym forum przeczytałem że można podać loga z OTL, więc również podaję :

http://wklejto.pl/63623

Proszę o sprawdzenie tych podejrzanych wpisów oraz czy nie ma czegoś jeszcze w moim komputerze

[deFco247]

Zwykle ta infekcja tworzy również usługę rootkitową, lecz u Ciebie jej nie widać, więc można jeszcze spróbować to usuwać OTL-em.

Poza tym nie obejmuj linków do logów w żadne tagi, gdyż to tylko dezaktywuje.

W białe dolne okno Custom Scans/Fixes w OTL wklej:

:Processes killallprocesses :OTL [2010-03-26 17:43:26 | 000,000,000 | —D | C] – C:\Windows\DEA314C409294250BC9298E4C105F28D.TMP [2010-03-24 08:32:06 | 000,000,000 | —D | C] – C:\Program Files\My applications [2010-03-22 09:35:38 | 000,000,000 | —D | C] – C:\Windows\B83FC356B7C0441F8A4DD71E088E7974.TMP [2010-04-04 20:26:02 | 279,203,906 | ---- | M] () – C:\Windows\MEMORY.DMP :Files C:\Users\Komp\AppData\Local\Temp*.html :Commands [emptytemp] [start explorer] [Reboot]

Run Fix. Restart, jeśli będzie potrzebny.

Potem log z usuwania (raport, który wyskoczy po usuwaniu OTL-em) oraz nowy log robiony opcją Run Scan.

[Michizz1 (Michiz)]

Raport : http://wklejto.pl/63627

Scan : http://www.wklejto.pl/63628

P.S

Dalej jest ten komunikat!

[deFco247]

Zapomniałem napisać, że brakuje ze skanu loga Extras.txt, co jest skutkiem nieprzestawienia w OTL-u opcji Extra Registry na Use SafeList.

Przestaw OTL-a jak na tym obrazku oraz wklej w białe dolne okienko Custom Scans/Fixes tekst:

netsvcs msconfig safebootminimal safebootnetwork %systemdrive%*.* /md5start agp440.sys atapi.sys beep.sys cdrom.sys ndis.sys winlogon.exe userinit.exe /md5stop

Klikasz Run Scan.

Pokazujesz dwa wynikowe logi OTL.txt + Extras.txt

[Michizz1 (Michiz)]

Stanęło na : Manual File Scan - Getting folder structure .

Po czym wyskoczyło OUT OF MEMORY.

Coś jest nie tak?

[deFco247]

Wyrzuć ze skryptu:

/md5start agp440.sys atapi.sys beep.sys cdrom.sys ndis.sys winlogon.exe userinit.exe /md5stop

I spróbuj ponownie.

[Michizz1 (Michiz)]

Dodam że kompa kupiłem niedawno, nic nie instalowałem, wszystko instalował kumpel, gdyż dopiero wróciłem z UK.

Na kompie był też młody brat (1 gim) to mógł coś tam po instalować.

Ok teraz mam te logi oto one :

http://wklejto.pl/63680

http://wklejto.pl/63681

[deFco247]

Oj chyba nie obędzie się bez ciężkiej amunicji…

Pobierz Combofix, ale nie uruchamiaj.

Przed uruchomieniem odinstaluj wszelkie programy tworzące wirtualne napędy (Daemon Tools, Alcohol itp.) oraz usuń sterownik SPTD narzędziem SPTDInst z opcji Uninstall (jeśli będzie zszarzałe, to OK).

Podczas pobierania i skanowania Combofixem należy wyłączyć wszelkie antywirusy i firewalle.

Otwórz Notatnik i wklej do niego:

Folder:: C:_OTL

Plik zapisz pod nazwą CFScript , najlepiej w tym samym folderze co Combofix.exe

Przeciągnij i upuść ikonkę CFScript.txt na ikonkę Combofix.exe

Powinno się rozpocząć usuwanie.

_ Potem dajesz log z usuwania Combofix. _

[Michizz1 (Michiz)]

http://wklejto.pl/63685

Komunikatu nie ma juz

Moge deamona zainstalowac ponownie?

[deFco247]

Moge deamona zainstalowac ponownie?

Nie, dopóki się nie skończy z wywalaniem syfu z systemu.

Nie wiem dlaczego folder C:_OTL dalej znajduje się na dysku mimo zastosowania skryptu…

Otwórz Notatnik i wklej do niego:

Folder:: C:_OTL c:\users\Komp\AppData\Roaming\IDM File:: c:\windows\pss\Windows Live Control.exe.Startup Registry:: [-HKLM~\startupfolder\C:^Program Files^My applications^Windows Live Control.exe] Driver:: cpuvis MSICDSetup aswSP aswFsBlk

Plik zapisz pod nazwą CFScript , najlepiej w tym samym folderze co Combofix.exe

Przeciągnij i upuść ikonkę CFScript.txt na ikonkę Combofix.exe

Powinno się rozpocząć usuwanie.

_ Potem dajesz log z usuwania Combofix. _

[Michizz1 (Michiz)]

http://wklejto.pl/63689

[deFco247]

Eh… Przez nieuwagę usunąłem niepotrzebnie pewien folder od Internet Download Manager…

Otwórz Notatnik i wklej do niego:

cd /d “C:\Qoobox\Quarantine\C\users\Komp\AppData\Roaming\IDM” for /f %%a in (.) do ren “%%a*.vir” *. rmdir /s /q “C:\users\Komp\AppData\Roaming\IDM” move “C:\Qoobox\Quarantine\C\users\Komp\AppData\Roaming\IDM” “C:\users\Komp\AppData\Roaming\IDM”

Plik zapisz jako typ wszystkie pliki pod nazwą plik.bat -> uruchom powstały plik.

Po wykonaniu powyższego:

Wykonaj: Start -> Uruchom… -> Combofix /uninstall

Wykonaj pełny skan Malwarebytes’ Anti-Malware - znalezione obiekty usuń.

Gdy będą wirusy pokaż raport po usuwaniu.

Wyczyść rejestr i dysk CCleaner oraz wyłącz nim zbędniki z autostartu (Narzędzia -> Autostart).

[Michizz1 (Michiz)]

Nie wykrył wirusów.

Wyczyściłem CCleanerem.

Mam jeszcze pytanko, jaki darmowy antywirus jest najlepszy?

POZDRAWIAM!

[deFco247]

search.php?keywords=jaki+darmowy+antywirus&terms=all&author=&sc=1&sf=all&sr=topics&sk=t&sd=d&st=0&ch=300&t=0&submit=Szukaj

[Michizz1 (Michiz)]

Od wczoraj zaczęło mi się rozłączać połączenie z routerem. Mam pewność że jest on włączony cały czas, i laptop nie traci połączenia.

Jest to pc stacjonarny, i zasięg 2/5.

Co może być przyczyną?

Nigdy tak nie miałem a mam pc od ok. miesiąca.

Neo posiadam.