Samoistne włacznie firefoxa przy starcie systemu

[modano188 (Mrx188)]

Ostatnio po kazdym starcie systemu wchodze w MZ i widze ze w procesach jest firefox.exe. Do tego internet zaczął mulić. Czytalem podobny wątek i problem byl rozwiazywany indywidulanie poprzez log z OTL. Dlatego przesylam swój log: http://wklej.org/id/470019/

[spandaupol (Spandau)]

W okno Własne opcje skanowania / skrypt w OTL wklej:

:OTL PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation) SRV - [2008-04-14 21:50:36 | 000,168,096 | RHS- | M] () [Auto | Stopped] – D:\WINDOWS\system32\ozkdgzl.dll – (ykalthgsa) O4 - HKLM…\Run: [witu wu] D:\WINDOWS\System32\wi.exe File not found O4 - HKCU…\Run: [kuioq] D:\Documents and Settings\Justyna\kuioq.exe File not found O4 - HKCU…\Run: [mssend] D:\Documents and Settings\Justyna\Dane aplikacji\xssend2\svcnost.exe File not found O4 - HKCU…\Run: [siodo] D:\Documents and Settings\Justyna\siodo.exe File not found O4 - HKCU…\Run: [tlpon] D:\Documents and Settings\Justyna\tlpon.exe File not found O4 - HKCU…\Run: [tmpon] D:\Documents and Settings\Justyna\tmpon.exe File not found O4 - HKCU…\Run: [wiuanoz] D:\Documents and Settings\Justyna\wiuanoz.exe File not found O4 - HKCU…\Run: [youbu] D:\Documents and Settings\Justyna\youbu.exe File not found O4 - HKCU…\Run: [zoubu] D:\Documents and Settings\Justyna\zoubu.exe File not found O4 - Startup: D:\Documents and Settings\Justyna\Menu Start\Programy\Autostart\gksmhqln.exe (Avira GmbH) O20 - HKLM Winlogon: UserInit - (D:\Program Files\aHKbvYpIÇżí»Ëgksmhqln.exe\gksmhqln.exe) - D:\Program Files\aHKbvYpIÇżí»Ëgksmhqln.exe\gksmhqln.exe (Avira GmbH) :Files D:\Program Files\aHKbvYpIÇżí»Ëgksmhqln.exe :Commands [emptytemp]

Klikasz na Wykonaj skrypt. Zgadzasz się na restart komputera. Log z usuwania na forum

Następnie ponownie uruchamiasz OTL klikasz raz jeszcze Skanuj i dajesz nowy log na forum Czyli dwa logi jeden z usuwania drugi z nowego skanowania po usuwaniu.

Dodatkowo proszę o raport z Kasperski TDSSKiller Instrukcja [http://www.fixitpc.pl/topic/8-dezynfekc … #entry6814](http://www.fixitpc.pl/topic/8-dezynfekcja-zbior-narzedzi-usuwajacych/page p 6814) Jeśli program coś znajdzie wybierz opcje Skip

[modano188 (Mrx188)]

log z usuwania— http://wklej.org/id/470047/

log ze skanowania— http://wklej.org/id/470048/

raport TDSSKiller http://wklej.org/id/470053/

[spandaupol (Spandau)]

Użyj Kasperski TDSSKiller

Gdy znajdzie plik D:\WINDOWS\system32\Drivers\ sptd.sys wybierz opcje Skip

2011/02/04 16:57:27.0484 4004 Suspicious file (NoAccess): D:\WINDOWS\system32\Drivers\sptd.sys. md5: cdddec541bc3c96f91ecb48759673505 2011/02/04 16:57:27.0546 4004 sptd - detected Locked file (1)

Gdy znajdzie

2011/02/04 16:57:30.0062 4004 \HardDisk0 - detected Rootkit.Win32.TDSS.tdl4 (0)

Wybierz opcje Cure

Po tym zaprezentuj nowy raport z Kasperskiego

Następnie W okno Własne opcje skanowania / skrypt w OTL wklej:

:OTL DRV - File not found [Kernel | On_Demand | Stopped] – D:\ComboFix\catchme.sys – (catchme) IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://www.ask.com/?gcht=HC&o=14469&l=dis FF - prefs.js…browser.search.defaultengine: “Ask.com” FF - prefs.js…browser.search.defaultenginename: “Ask.com” FF - prefs.js…browser.search.order.1: “Ask.com” O20 - HKLM Winlogon: UserInit - (d:\program) - File not found O20 - HKLM Winlogon: UserInit - (files\ahkbvypiçżí»ëgksmhqln.exe\gksmhqln.exe) - File not found O28 - HKLM ShellExecuteHooks: {AEB6717E-7E19-11d0-97EE-00C04FD91972} - Reg Error: Key error. File not found :Commands [emptytemp]

Klikasz na Wykonaj skrypt. Zgadzasz się na restart komputera. Log z usuwania na forum

Następnie ponownie uruchamiasz OTL klikasz raz jeszcze Skanuj i dajesz nowy log na forum Czyli dwa logi jeden z usuwania drugi z nowego skanowania po usuwaniu.

[modano188 (Mrx188)]

Log z usuwania http://wklej.org/id/470227/

Log z OTL http://wklej.org/id/470234/

Raport z TDSSKiller http://wklej.org/id/470229/

[spandaupol (Spandau)]

Podmieniałeś może sterownik?

DRV - [2010-03-22 15:45:36 | 000,096,512 | ---- | M] () [Kernel | Boot | Running] – D:\WINDOWS\system32\DRIVERS\atapi.sys – (atapi)

Kasperski usunął co miał usunąć i nie wykazuje infekcji w sterownikach

W okno Własne opcje skanowania / skrypt w OTL wklej:

/md5start atapi.sys /md5stop

Klikasz Skanuj po tym podaj log na forum

Co to za foldery Co w nich jest ?

[2011-01-28 12:51:39 | 000,000,000 | —D | C] – D:\Program Files\temp [2011-01-25 16:20:24 | 000,000,000 | —D | C] – D:\Program Files\tmp [2011-01-24 18:40:14 | 000,000,000 | —D | C] – D:\Program Files\windows

Co rzuca się w oczy to brak programu antywirusowego Drobna kosmetyka Usuniemy pozostałości po Combofixie oraz AdAvare oraz

SRV - File not found [Disabled | Stopped] – C:\WINDOWS\system32\wuauserv.dll – (wuauserv)

Masz Windowsa na dysku D a tutaj odniesienie jest do dysku C

Start - Uruchom - wpisujesz regedit i Enter

Idziesz do klucza

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv\Parameters

Dwuklik na wartość ServiceDll zmieniasz C:\WINDOWS\system32\wuauserv.dll na D :\WINDOWS\system32\wuauserv.dll

W okno Własne opcje skanowania / skrypt w OTL wklej:

:OTL PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation) DRV - File not found [Kernel | On_Demand | Stopped] – D:\Program Files\Lavasoft\Ad-Aware\KernExplorer.sys – (Lavasoft Kernexplorer) DRV - File not found [Kernel | On_Demand | Stopped] – D:\ComboFix\catchme.sys – (catchme) :Files D:\WINDOWS\Tasks\Ad-Aware Update (Weekly).job :Commands [emptytemp]

Klikasz na Wykonaj skrypt. Zgadzasz się na restart komputera. Log z usuwania na forum

Po tym uruchom OTL klikasz Sprzątanie

Następnie pobierz Malwarebytes http://www.dobreprogramy.pl/Malwarebyte … 13117.html Wykonaj pełny skan Jeśli program coś znajdzie podaj log na forum

[modano188 (Mrx188)]

W podanych wyżej folderach nic nie ma.

log ze skanowania(+atapi) http://wklej.org/id/470700/

log z usuwania http://wklej.org/id/470693/

log z Malwarebytes Anti-Malware http://wklej.org/id/470697/

[spandaupol (Spandau)]

W podanych wyżej folderach nic nie ma.

Foldery do usunięcia ręcznie

SRV - File not found [Disabled | Stopped] – C:\WINDOWS\system32\wuauserv.dll – (wuauserv) Masz Windowsa na dysku D a tutaj odniesienie jest do dysku C Start - Uruchom - wpisujesz regedit i Enter Idziesz do klucza HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv\Parameters Dwuklik na wartość ServiceDll zmieniasz C:\WINDOWS\system32\wuauserv.dll na D:\WINDOWS\system32\wuauserv.dll

Czy to zalecenie zostało wykonane?

log ze skanowania(+atapi) http://wklej.org/id/470700/

W związku z infekcją która miała tutaj miejsce dla pewności podmienimy ten plik atapi.sys

W okno Własne opcje skanowania / skrypt w OTL wklej:

:OTL PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation) :Files D:\WINDOWS\system32\drivers\atapi.sys|D:\WINDOWS\system32\dllcache\atapi.sys /replace :Commands [emptytemp]

Klikasz na Wykonaj skrypt. Zgadzasz się na restart komputera. Log na forum

Następnie ponownie uruchamiasz OTL klikasz raz jeszcze Skanuj i dajesz nowy log na forum Czyli dwa logi jeden z usuwania drugi z nowego skanowania po usuwaniu.

Uwagi co do skanu Malwarebytes W związku z tym http://www.threatexpert.com/report.aspx … 1177f41e82 wszystko co znalazł Malwarebytes do usunięcia

[modano188 (Mrx188)]

Zalecenie zostalo wykonane.

Foldery usuniete.

log z usuwania http://wklej.org/id/471226/

log ze skanowania http://wklej.org/id/471560/

[spandaupol (Spandau)]

Zalecenie zostalo wykonane.

Tak log OTL to potwierdza

log z usuwania http://wklej.org/id/471226/

Plik został podmieniony Wszystko powinno być dobrze

log ze skanowania http://wklej.org/id/471560/

Uruchom OTL klikasz Sprzątanie

O33 - MountPoints2{6c7f0fb0-25bc-11df-8574-00e04df42832}\Shell\explore\command - “” = \RECYCLER\S-6-4-02-4318113201-6342704588-002411673-3813\FiPKKNPQ.exe O33 - MountPoints2{6c7f0fb0-25bc-11df-8574-00e04df42832}\Shell\Open\command - “” = \RECYCLER\S-6-4-02-4318113201-6342704588-002411673-3813\FiPKKNPQ.exe

Podłącz wszystkie urządzenia przenośne Pobierz i zastosuj USBFIx [http://www.fixitpc.pl/topic/8-dezynfekc … 74#entry74](http://www.fixitpc.pl/topic/8-dezynfekcja-zbior-narzedzi-usuwajacych/page p 74#entry74) z opcją Deletion zaprezentuj powstały raport

Wykonaj pełny skan Dr.WEB CureIt! Jeśli coś znajdzie podaj log na forum Jeśli nic nie znajdzie zainstaluj jakieś oprogramowanie zabezpieczające (antywirus firewall)

Po tym zaktualizuj IE

Internet Explorer 8.0

[modano188 (Mrx188)]

Sprzątanie wykonane.

Raport USBFix http://wklej.org/id/471979/

Dr.WEB CureIt! nic nie wykrył.

IE zaktualizowany.

[spandaupol (Spandau)]

Uruchom USBFix wybierz opcje Usinstall

Dr.WEB CureIt! nic nie wykrył. IE zaktualizowany.

To wszystko, powinno być dobrze.

[modano188 (Mrx188)]

Dziękuje za poświęcony czas i pozdrawiam:)