Problem: Trojany Dealio, SearchSettings i inne problemy:(

[cocon (Cocon3)]

Witajcie.

W procesach znajduje co chwile jakis nowy nieznany proces. Na sztywno usunalem AplicationUpdater.exe. Teraz wyswietla mi SearchSettings.exe. Po skanowaniu Trojan Killerem rowniez DealioToolbar. Pomozcie. Jak sie ich pozbyc?

Wklejam log z OTL (z ustawieniami Gutka):

http://www.wklejto.pl/59933

Wklejam log z Trojan Killera:

http://www.wklejto.pl/59934

Sadze, ze paskudztwa jest wiecej dlatego prosilbym bardzo o przeglad calosci logow. Moze nalezaloby uzyc innych programow np.Hijack.

Niecierpliwie czekam na odzew.

Doadatkowo:

• w ogole nie uruchamia mi sie tryb awaryjny

• czesto mam problem z otwieraniem sie stron(jak juz to wszystkich) i pojawia sie miedzy innym “DNS Error - Server cannot be found” badz cos podobnego

[jessica]

Uruchom OTL i w oknie Custom Scans/Fixes wklej to:

:OTL SRV - File not found [Auto | Stopped] – -- (Application Updater) IE - HKCU…\URLSearchHook: {E312764E-7706-43F1-8DAB-FCDD2B1E416D} - C:\Program Files\Search Settings\SearchSettings.dll (Spigot, Inc.) FF - prefs.js…extensions.enabledItems: searchsettings@spigot.com:1.2.3 O2 - BHO: (Dealio Toolbar) - {01398B87-61AF-4FFB-9AB5-1A1C5FB39A9C} - C:\Program Files\Dealio Toolbar\IE\4.0.2\dealioToolbarIE.dll (Spigot, Inc.) O2 - BHO: (SearchSettings Class) - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} - C:\Program Files\Search Settings\SearchSettings.dll (Spigot, Inc.) O3 - HKLM…\Toolbar: (Dealio Toolbar) - {01398B87-61AF-4FFB-9AB5-1A1C5FB39A9C} - C:\Program Files\Dealio Toolbar\IE\4.0.2\dealioToolbarIE.dll (Spigot, Inc.) O4 - HKLM…\Run: [searchSettings] C:\Program Files\Search Settings\SearchSettings.exe (Spigot, Inc.) [2010-03-01 22:32:27 | 000,000,000 | —D | C] – C:\Program Files\Search Settings [2010-03-01 22:32:19 | 000,000,000 | —D | C] – C:\Program Files\Dealio Toolbar [2010-02-28 22:28:38 | 000,000,000 | -HSD | C] – C:\FOUND.001 [2010-02-28 22:10:12 | 000,000,000 | -HSD | C] – C:\FOUND.000 :Files C:\Program Files\Search Settings :Services Application Updater :Reg [-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2] :Commands [emptytemp] [resethosts] [Reboot]

Kliknij w Run Fix. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.

Następnie uruchom OTL ponownie, tym razem kliknij “Run Scan”.

Pokaż nowy log OTL.txt oraz raport z usuwania.

Użyj >http://www.dobreprogramy.pl/Malwarebytes-AntiMalware,Program,Windows,13117.html

Daj z niego raport.

jessi

[cocon (Cocon3)]

O ile sie zrobilo miejsca wolnego:) Bedzie mozna zrobic jeszcze wiecej np. poprzez usuniecie kopi juz zainstalowanych aktualizacji Windows? Czy pozniej nie bedzie mozna ich w razie czego odinstalowac?

Raport z usuwania:

http://www.wklejto.pl/59985

Log “Run Scan”:

http://www.wklejto.pl/59987

Za chwile wstawie loga z programu Malwarebytes-AntiMalware.

[jessica]

Uruchom OTL i w oknie Custom Scans/Fixes wklej to:

:OTL FF - prefs.js…extensions.enabledItems: searchsettings@spigot.com:1.2.3 :Commands [Reboot]

Kliknij w Run Fix.

Usuwanie plików Windows Update >http://www.searchengines.pl/index.php?showtopic=5989&st=30 (str.3, post nr 39)

jessi

[cocon (Cocon3)]

Logz programu Malwarebytes-AntiMalware:

http://www.wklejto.pl/60002

Log z OTL po Run Scan:

http://www.wklejto.pl/60006

[jessica]

Oczywiście usuń to co wykrył MBAM.

W OTL kliknij na przycisk “CleanUp” - to go usunie razem z jego Kwarantanną.

jessi

[cocon (Cocon3)]

Po CleanUp’ie usunelo mi OTL. Tak mialo byc? Pytanie retoryczne;-)

Z loga Malwarebytes’ Anti-Malware zrobilem cos takiego. Wrzucic to do OTL?

:OTL :Reg HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components{23kln5j0-4opm-11we-aax5-24ef1f387232} HKEY_CURRENT_USER\SOFTWARE\Microsoft\Active Setup\Installed Components{23kln5j0-4opm-11we-aax5-24ef1f387232} HKEY_CURRENT_USER\SOFTWARE\Microsoft\Active Setup\Installed Components{28abc5c0-4fcb-11cf-aax5-81cx1c635612} HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\xml2u :Files C:\RESTORE\S-1-5-21-1482476501-1644491937-682003330-1013 C:\RESTORE\S-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini :Commands [Reboot]

[jessica]

A po co do OTL?

Przecież w MBAM jest opcja usuwania.

Script ten jest źle napisany, nie rób go

jessi

[cocon (Cocon3)]

A bo jej nie dalem i teraz bita godzine musze czekac na ponowne sprawdzenie jak rozumiem. Z kwarantanny 3 wpisy usunalem, ale to byly klucze rejestru. W logu pozostalo:

Zainfekowane wartości rejestru: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\xml2u (Spyware.OnlineGames) -> No action taken. Zainfekowane pliki rejestru: (Nie wykryto groźnych plików) Zainfekowane foldery: C:\RESTORE\S-1-5-21-1482476501-1644491937-682003330-1013 (Backdoor.IRCBot) -> No action taken. Zainfekowane pliki: C:\RESTORE\S-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini (Backdoor.IRCBot) -> No action taken.

[jessica]

:OTL :Files C:\RESTORE\S-1-5-21-1482476501-1644491937-682003330-1013 C:\RESTORE\S-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini C:\RESTORE :Reg [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components{23kln5j0-4opm-11we-aax5-24ef1f387232}] [-HKEY_CURRENT_USER\SOFTWARE\Microsoft\Active Setup\Installed Components{23kln5j0-4opm-11we-aax5-24ef1f387232}] [-HKEY_CURRENT_USER\SOFTWARE\Microsoft\Active Setup\Installed Components{28abc5c0-4fcb-11cf-aax5-81cx1c635612}] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main] “xml2u”=- :Commands [Reboot]

[cocon (Cocon3)]

Okej. Wiedzialem, ze nie ma co sie porywac z motyka. Dzieki. Po OTL -> “Run Fix” dac jeszcze jakies logi?

[jessica]

Nie, myślę, że jest już czysto.

Po CleanUp’ie usunelo mi OTL

Tak, to jest opcja usuwania samego OTL, przy okazji usuwają się też różne inne narzędzia, np. ComboFix, SDFix, Avenger, itp.

jessi

[cocon (Cocon3)]

Aha. Dobrze wiedziec na przyszlosc. Dzieki za dzisiejsza pomoc =D> Jestem tu nowicjuszem, ale mysle, ze jestes na tym forum nieoceniona

Pozdrawiam serdecznie

– Dodane 10.03.2010 (Śr) 13:34 –

Odnosnie jeszcze drugiej czesci moich problemow. Co moze byc przyczyna nie uruchamia sie trybu awaryjnego. Brakuje jakichs bibliotek?