Wirus zaatakował oprogramowanie

Dla specjalistów Bezpieczeństwo
#1

Witam.
Nie mam możliwości używania laptopa w normalnym trybie, nawet tryb awaryjny odpalony dopiero po kilku próbach. Trochę poczytałem o mojej sytuacji i wychodzi na to, że wirus zaatakował oprogramowanie.
Wrzuciłem OTL i przeskanowałem, wstawiam tutaj logi. Proszę o pomoc

 

P.S.: wiem, że mam na komputerze, więcej niż jeden program antywirusowy. Jak doprowadzę laptopa do normalnego użytku to usunę zbędne … i combofixa też.

 

OTL.Txt

Extras.Txt

 

Prosiłbym o dokładne tłumaczenie co mam robić, bo nie jestem nawet przeciętny w tej tematyce

#2

Na forum obowiązują raporty FRST wykonane i zaprezentowane zgodnie z instrukcją https://forum.dobreprogramy.pl/farbar-recovery-scan-tool-raport-obowiazkowy-478727t.html

 

#3

FRST http://www.wklej.org/id/2383759/

Addition http://www.wklej.org/id/2383761/

Shortcut http://www.wklej.org/id/2383762/

#4

Potrzebny ci będzie puppy linux, płyta cd i pendrive.

Pobierz sobie puppy linux: http://distro.ibiblio.org/puppylinux/puppy-slacko-6.3.0/32/slacko-6.3.0.iso
Wypal na płytce, włóż do laptopa, i w biosie wybierz że ma się odpalić z płytki.

Pliki które chcesz odzyskać przenieś na pendrive, a potem reinstall systemu(windows, a nie puppy linux.).

#5 
AV: Norton Security (Enabled - Up to date) {53C7D717-52E2-B95E-FA61-6F32ECC805DB}

AV: AVG AntiVirus Free Edition (Disabled - Up to date) {4D41356F-32AD-7C42-C820-63775EE4F413}

AS: AVG AntiVirus Free Edition (Disabled - Up to date) {F620D48B-1497-73CC-F290-58052563BEAE}

Jakiego używasz antywirusa? Odinstaluj AVG używając AVGRemover http://www.avg.com/pl-pl/utilities

Odinstaluj także Norton Security używając Norton Removal Tool https://support.norton.com/sp/pl/pl/home/current/solutions/kb20080710133834EN_EndUserProfile_pl_pl

Po tym spróbuj normalnie uruchomić komputer i wykonać nowe raporty FRST zgodnie z instrukcją

#6

Antywisrusy: AVG, McAfee, Norton Security Scan i Norton Security. Ten ostatni jako jedyny działający, reszta już przeterminowana

Udało mi się odinstalować AVG tak jak kazałeś, po czym nastąpiło ponowne uruchomienie i teraz ciężko wejść choćby w tryb awaryjny. Jak już po 10 minutach uda mi się otrzymać wgląd na ekran w trybie awaryjnym, to po chwili wywala jakiś błąd i konieczne jest ponowne uruchomienie. Najpierw wywaliło błąd, że niepoprawnie otwarto Plug & Play, a następnym razem, że niepoprawnie otwarto Program obsługujący DCOM, czasami przerwie wczytywanie trybu awaryjnego i zaczyna wczytywać się w trybie normalnym (sądząc po wielkości kursora) walczę już ponad godzinę i nic :frowning:

Dziś i jutro nie będę miał za wiele czasu, więc mogę się nie oddzywać. Jak uda mi się odinstalować nortona, to wróce do tematu.

Właśnie udało się włączyć tryb awaryjny, po włączeniu wyskoczyło coś takiego https://zapodaj.net/3c546a9802020.jpg.html, myślę że może być istotne, sorry za zdjęcia telefonem, ale tylko tak miałem pewność, że nie przepadnie. Uprzedzam, że nie ściągałem takiego programu, bo nie oglądam filmów na laptopie, tym bardziej żadnych nie pobieram. Wszelka muzyka czy wideo z winampa lub windows media player

#7

Usunąłem antywirusy. Nie udało się uruchomić laptopa w normalnym trybie więc skanowanie wykonałem w trybie awaryjnym

Addition http://wklej.org/id/2384690/

FRST http://wklej.org/id/2384691/

Shortcut http://www.wklej.org/id/2384693/

#8

Wklej do notatnika:

HKLM-x32\...\Run: [AvgUi] => "C:\Program Files (x86)\AVG\Framework\Common\avguirnx.exe" /lps=fmw

HKLM-x32\...\Run: [Adobe Reader Speed Launcher] => C:\Program Files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe [38872 2012-07-31] (Adobe Systems Incorporated)

HKLM-x32\...\Run: [Adobe ARM] => C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe [919008 2012-07-11] (Adobe Systems Incorporated)

HKU\S-1-5-18\...\RunOnce: [] => [X]

ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => Brak pliku

Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\FancyStart daemon.lnk [2010-09-26]

ShortcutTarget: FancyStart daemon.lnk -> C:\Windows\Installer\{2B81872B-A054-48DA-BE3B-FA5C164C303A}\_C4A2FC3E3722966204FDD8.exe ()

Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\McAfee Security Scan Plus.lnk [2016-04-13]

ShortcutTarget: McAfee Security Scan Plus.lnk -> C:\Program Files\McAfee Security Scan\3.11.309\SSScheduler.exe (McAfee, Inc.)

Startup: C:\Users\Szybowski\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Autochartist MT4 plugin - Auto Update.lnk [2013-02-22]

ShortcutTarget: Autochartist MT4 plugin - Auto Update.lnk -> C:\Program Files (x86)\GO4X\AutochartistPlugin_AutoUpdaterGO4X.exe (Pantaray Research Ltd.)

HKU\.DEFAULT\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://securityresponse.symantec.com/avcenter/fix_homepage

HKU\S-1-5-19\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://securityresponse.symantec.com/avcenter/fix_homepage

HKU\S-1-5-20\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://securityresponse.symantec.com/avcenter/fix_homepage

HKU\S-1-5-21-3104731166-1536150435-452289959-1001\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.gazeta.pl/0,0.html?p=153

HKU\S-1-5-21-3104731166-1536150435-452289959-1001\Software\Microsoft\Internet Explorer\Main,Search Bar = hxxp://www.google.com/ie

HKU\S-1-5-21-3104731166-1536150435-452289959-1001\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.google.com/ie

SearchScopes: HKLM-x32 -> {67A2568C-7A0A-4EED-AECC-B5405DE63B64} URL = hxxp://www.google.com/search?sourceid=ie7&q={searchTerms}&rls=com.microsoft:{language}:{referrer:source?}&ie={inputEncoding}&oe={outputEncoding}&rlz=1I7ASUT

SearchScopes: HKU\S-1-5-21-3104731166-1536150435-452289959-1001 -> {67A2568C-7A0A-4EED-AECC-B5405DE63B64} URL = hxxp://www.google.com/search?sourceid=ie7&q={searchTerms}&rls=com.microsoft:{language}:{referrer:source?}&ie={inputEncoding}&oe={outputEncoding}&rlz=1I7ASUT

Toolbar: HKU\S-1-5-21-3104731166-1536150435-452289959-1001 -> Brak nazwy - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - Brak pliku

Toolbar: HKLM - avast! WebRep - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} - Brak pliku

Toolbar: HKLM - Brak nazwy - {CC1A175A-E45B-41ED-A30C-C9B1D7A0C02F} - Brak pliku

FF Extension: AVG SafeGuard by Ask - C:\Users\Szybowski\AppData\Roaming\Mozilla\Firefox\Profiles\q6ukk95i.default\Extensions\toolbar_AVGSP3-SG@apn.ask.com.xpi [2016-03-09]

CHR DefaultSearchURL: Default -> hxxp://isearch.babylon.com/?q={searchTerms}&affID=119816&tt=070313_9111pl&babsrc=SP_ss_d2g&mntrId=907369ac0000000000004e5d6039c2b8

CHR DefaultSearchKeyword: Default -> babylon.com

S2 APNMCP; "C:\Program Files (x86)\AskPartnerNetwork\Toolbar\apnmcp.exe" [X]

S3 hwdatacard; system32\DRIVERS\ewusbmdm.sys [X]

S1 prodrv06; \SystemRoot\System32\drivers\prodrv06.sys [X]

U3 tmlwf; Brak ImagePath

U3 tmwfp; Brak ImagePath

2016-05-12 18:19 - 2016-05-12 18:21 - 00000000 ____ D C:\AVG_Remover

2016-05-12 18:14 - 2016-05-12 18:14 - 00894960 _____ C:\Users\Szybowski\Desktop\Norton_Removal_Tool.exe

2016-05-10 09:25 - 2016-05-10 17:13 - 00003218 _____ C:\Windows\System32\Tasks\Norton WSC Integration

2016-05-10 09:12 - 2016-05-10 17:13 - 00000000 ___RD C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Norton Security

2016-05-10 09:12 - 2016-05-10 17:13 - 00000000 ____ D C:\Windows\system32\Drivers\NSx64

2016-05-10 09:12 - 2016-05-10 09:12 - 00000000 ____ D C:\Program Files (x86)\Norton Security

2016-05-11 16:10 - 2016-05-11 16:10 - 00000000 __SHD C:\found.001

2016-05-10 17:18 - 2016-05-10 17:18 - 00000000 ____ D C:\Windows\System32\Tasks\Norton Security

2016-04-13 17:14 - 2016-04-13 17:14 - 00000000 __SHD C:\found.000

2015-12-08 21:01 - 2015-12-08 21:01 - 0000016 _____ () C:\ProgramData\mntemp

2013-06-25 10:14 - 2013-06-25 10:14 - 0197120 _____ () C:\ProgramData\obtqbunqbyxfojs

2013-06-24 19:38 - 2013-06-25 10:10 - 0000000 _____ () C:\ProgramData\rroypstjkebmxkw

2015-12-08 21:01 - 2015-12-08 21:01 - 0004133 _____ () C:\ProgramData\rxsmznjf.zcp

2013-06-24 19:44 - 2013-06-24 19:44 - 0028160 _____ () C:\ProgramData\xqlfnbeacvctqyf

2010-09-26 19:58 - 2010-09-26 19:59 - 0000105 _____ () C:\ProgramData\{40BF1E83-20EB-11D8-97C5-0009C5020658}.log

2010-09-26 19:58 - 2010-09-26 19:58 - 0000107 _____ () C:\ProgramData\{C59C179C-668D-49A9-B6EA-0121CCFC1243}.log

Task: {113650CA-0A15-4B75-8B85-9C457C209FB1} - System32\Tasks\{7E6DF0AC-A4AF-4468-8F9F-D72773F460B3} => pcalua.exe -a "E:\USB Driver\Samsung_USB_Driver_Installer.exe" -d "E:\USB Driver"

Task: {68D3E913-EF90-44E7-A944-BF6A291BDD14} - System32\Tasks\{BA822B6F-3771-4FA5-9575-C245D28833DD} => pcalua.exe -a C:\Users\Szybowski\Downloads\Faithful-Setup.exe -d C:\Users\Szybowski\Downloads

Task: {B8574927-E449-480F-AC28-552BEE85A536} - System32\Tasks\{81343603-9D3B-4EA7-AA0C-B3B5EE6F7713} => pcalua.exe -a E:\Install.exe -d E:\

Task: {D322A652-C7D6-4E0A-90F9-9B8B6909A474} - System32\Tasks\Norton Security Scan for Szybowski => C:\Program Files (x86)\Norton Security Scan\Engine\4.3.0.43\Nss.exe [2015-10-16] (Symantec Corporation)

Task: C:\Windows\Tasks\Norton Security Scan for Szybowski.job => C:\PROGRA~2\NORTON~2\Engine\430~1.43\Nss.exe

EmptyTemp:

Plik zapisz jako fixlist.txt i umieść w tym samym katalogu co FRST Uruchom FRST klikasz Napraw Raport z usuwania pokaż na forum. Następnie ponownie uruchom FRST klikasz Skanuj pokaż nowy raport FRST.txt na forum

#9

fixlog http://wklej.org/id/2388592/

 

 

ponowne skanowanie

frst http://www.wklej.org/id/2388593/

addition http://www.wklej.org/id/2388595/

shortcut http://wklej.org/id/2388596/

#10

Dobrze widzę że komputer uruchomił się w trybie normalnym więc kolejna porcja rzeczy do wykonania.

Najpierw usuń stare sterowniki Starforce

Deinstalator powyższych sterowników znajdziesz tutaj http://www.star-force.com/support/drivers/

Wklej do notatnika:

Plik zapisz jako fixlist.txt i umieść w tym samym katalogu co FRST Uruchom FRST klikasz Napraw Raport z usuwania pokaż na forum. Następnie ponownie uruchom FRST klikasz Skanuj pokaż nowy raport FRST.txt na forum

 

Użyj AdwCleaner z opcji Skanuj (nie Usuń) pokaż powstały raport na forum https://forum.dobreprogramy.pl/dezynfekcja-narzedzia-usuwajace-402063t.html?do=findComment&comment=3327763

 

#11

fixlog http://www.wklej.org/id/2395518/

 

nowy frst http://wklej.org/id/2395519/

nowy addition http://www.wklej.org/id/2395555/

nowy shortcut http://wklej.org/id/2395556/

 

adwcleaner http://wklej.org/id/2395530/

#12

Kroki końcowe

Uruchom AdwCleaner po skanowaniu wybierz opcje Usuń

Wklej do notatnika:

Plik zapisz jako fixlist.txt i umieść w tym samym katalogu co FRST Uruchom FRST klikasz Napraw Raport z usuwania pokaż na forum.

 

Zastosuj Delfix zgodnie z instrukcją https://forum.dobreprogramy.pl/dzialania-konczace-temat-dezynfekcji-528283t.html

Przez Panel sterowania odinstaluj stare wersje

Zainstaluj

Zainstaluj sobie jakiś darmowy program antywirusowy

Adobe FP https://get.adobe.com/pl/flashplayer/ Przed instalacją odznacz sponsorów w ofercie specjalnej

Adobe Reader https://get.adobe.com/pl/reader/ Przed instalacją odznacz sponsorów w ofercie specjalnej

Java https://www.java.com/pl/download/

Podaj odczyt pliku dmp https://forum.dobreprogramy.pl/szukanie-przyczyny-bsod-a-za-pomoca-bluescreenview-313445t.html

 

#13

fixlog http://www.wklej.org/id/2401373/

DelFix http://wklej.org/id/2401374/

 

Adobe Flash, Adobe Reader, Java, McAfee usunięte
przez panel sterowania nie mogę usunąć AVG SafeGuard by ASK, przy próbie odinstalowania wyskakuje komunikat “Określone konto już istnieje” i mogę jedynie kliknąć OK, a AVG pozostaje w komputerze
z programów antywirusowych mam jeszcze Norton Security Scan (nie uwzględniony do usunięcia), gdy klikam w odinstaluj, to okno się zamyka i nic się nie dzieje

 

odczyt dmp http://wklej.org/id/2401440/

#14

Spróbuj odinstalować używając do tego Geek Uninstaller Free opcja wymuszonej deinstalacji

Podaj odczyt CrystalDiskInfo http://www.dobreprogramy.pl/CrystalDiskInfo,Program,Windows,27691.html poczekaj aż ktoś sprawdzi

#15

CrystalDiskInfo

https://zapodaj.net/d14b61a5bd513.jpg.html
https://zapodaj.net/884403027034c.jpg.html
https://zapodaj.net/598d6619d52e6.jpg.html

#16

To nie wirus zaatakował Twoje oprogramowanie, to dysk powoduje Twoje problemy. Nie wiem czy remap i zerowanie dysku pomoże, sugeruje więc założyć temat w odpowiednim dziale i poczekać na opinie innych.

#17

Dziękuję za pomoc