XP Security ciąg dalszy

[rog1201]

Nie wiem dlaczego, ale nie mogę otworzyć swojego wątku tego o: security-2012-t474022.html. Wszystkie inne mi się wyświetlają a ten nie chce… Dlatego ciągnę to tutaj. Do moderatorów, może wykasujcie tamten wątek a zostawcie ten, będę wdzięczny, bo będę mógł zobaczyć odpowiedzi

W skrócie zaatakowało mnie XP Security 2012 udawało program antywirusowy. Zrobiłem tak jak radził miki25:

Skorzystaj z pomocy skanera CCE. Spróbuj pobrać z http://forums.comodo.com/polski-polish/ … #msg572836. Uruchom w trybie Aggressive Mode Aby uruchomić CCE w Aggressive Mode należy najpierw nacisnąć i przytrzymać klawisz SHIFT a następnie uruchomić plik CCE.exe z folderu programu. Czasem, aby uruchomić CCE w trybie Aggressive Mode należy podjąć kilka prób (czasem wystarczy jedna; trzymając klawisz Shift uruchamiamy CCE.exe do skutku). Można też przygotować cały skaner CCE na innym komputerze, po aktualizacji baz, skopiować folder CCE na zainfekowany komputer i uruchomić jw. http://forums.comodo.com/polski-polish/ … #msg572836 http://forums.comodo.com/polski-polish/ … #msg573012

Trojan zniknął, ale teraz MAM INNY PROBLEM. Przy włączaniu programów wyświetla się okno “otwieranie za pomocą - wybierz programu, którego chcesz użyć do otwarcia pliku”. Niektóre programy w ogóle nie chcą się otworzyć np. Paint, Word (komunikat “nie można odnaleźć aplikacji”), przy zegarze nie ma połowy ikonek

Log z CCE: http://wklejto.pl/113218

OTL: http://wklejto.pl/113214

Extras: http://wklejto.pl/113215

Bardzo proszę o pomoc

[spandaupol (Spandau)]

No początek to a później usuniemy to co pozostało

Przez Panel Sterowania - Aplet Dodaj Usuń Programy odinstaluj

Conduit Engine SFT_Polska Toolbar

W okno Własne opcje skanowania / skrypt w OTL wklej:

:OTL O37 - HKCU…exe [@ = 2n] – “C:\Documents and Settings\SysOp\Ustawienia lokalne\Dane aplikacji\hew.exe” -a “%1” %* :Files C:\Documents and Settings\SysOp\Ustawienia lokalne\Dane aplikacji\kx4cy18yuh75663ts0f26g2k053k7b350366o8x4i6xop C:\Documents and Settings\All Users\Dane aplikacji\kx4cy18yuh75663ts0f26g2k053k7b350366o8x4i6xop :Commands [emptytemp]

Klikasz na Wykonaj skrypt. Zgadzasz się na restart komputera. Log z usuwania na forum

Następnie ponownie uruchamiasz OTL klikasz raz jeszcze Skanuj i dajesz nowy log na forum Czyli dwa logi jeden z usuwania drugi z nowego skanowania po usuwaniu.

Error - 2012-01-05 18:43:26 | Computer Name = WINDT_09 | Source = Service Control Manager | ID = 7000 Description = Nie można uruchomić usługi Usługa bramy warstwy aplikacji z powodu następującego błędu: %%2

Pobierz SystemLook http://jpshortstuff.247fixes.com/SystemLook.html Wklej do niego

:filefind alg.exe

Klikasz Look pokaż log na forum

[Acorus]

Odinstaluj McAfee Security Scan Plus,SFT_Polska Toolbar.Uruchom OTL i w okno (Własne opcje skanowania/Script)wklej:

:OTL IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://search.conduit.com?SearchSource= … =CT3031817 IE - HKCU…\URLSearchHook: {5c5b9468-d672-4eb7-b52f-b5afabf28c5b} - C:\Program Files\SFT_Polska\prxtbSFT_.dll (Conduit Ltd.) FF - prefs.js…browser.search.defaultthis.engineName: “SFT_Polska Customized Web Search” FF - prefs.js…browser.search.defaulturl: “http://search.conduit.com/ResultsExt.aspx?ctid=CT3031817&SearchSource=3&q={searchTerms}” FF - prefs.js…extensions.enabledItems: vshare@toolbar:1.0.0 [2011-04-16 20:48:45 | 000,000,000 | —D | M] (vShare) – C:\Documents and Settings\SysOp\Dane aplikacji\Mozilla\Firefox\Profiles\pnfl1fkl.default\extensions\vshare@toolbar [2011-08-04 08:31:04 | 000,000,923 | ---- | M] () – C:\Documents and Settings\SysOp\Dane aplikacji\Mozilla\Firefox\Profiles\pnfl1fkl.default\searchplugins\conduit.xml O2 - BHO: (Conduit Engine ) - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files\ConduitEngine\prxConduitEngine.dll (Conduit Ltd.) O2 - BHO: (SFT_Polska Toolbar) - {5c5b9468-d672-4eb7-b52f-b5afabf28c5b} - C:\Program Files\SFT_Polska\prxtbSFT_.dll (Conduit Ltd.) O3 - HKLM…\Toolbar: (Conduit Engine ) - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files\ConduitEngine\prxConduitEngine.dll (Conduit Ltd.) O3 - HKLM…\Toolbar: (SFT_Polska Toolbar) - {5c5b9468-d672-4eb7-b52f-b5afabf28c5b} - C:\Program Files\SFT_Polska\prxtbSFT_.dll (Conduit Ltd.) O3 - HKCU…\Toolbar\WebBrowser: (SFT_Polska Toolbar) - {5C5B9468-D672-4EB7-B52F-B5AFABF28C5B} - C:\Program Files\SFT_Polska\prxtbSFT_.dll (Conduit Ltd.) O37 - HKCU…exe [@ = 2n] – “C:\Documents and Settings\SysOp\Ustawienia lokalne\Dane aplikacji\hew.exe” -a “%1” %* :Files C:\Documents and Settings\SysOp\Ustawienia lokalne\Dane aplikacji\kx4cy18yuh75663ts0f26g2k053k7b350366o8x4i6xop C:\Documents and Settings\All Users\Dane aplikacji\kx4cy18yuh75663ts0f26g2k053k7b350366o8x4i6xop :Commands [emptytemp]

Kliknij Wykonaj skrypt.Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie. Następnie uruchom OTL ponownie, tym razem kliknij (Skanuj).

Pokaż nowy log OTL.txt oraz raport z usuwania.

[rog1201]

Czy odpowiedź Acorus’a łączy się z odpowiedzą spandaupol’a? Co mam robić najpierw?

spandaupol przy otwieraniu “dodaj usuń programy” wyświetla się, że nie można odnaleźć rundll32 i nie chce się otworzyć.

[spandaupol (Spandau)]

rog1201 , Jeśli na dysku D masz słownik angielskiego

F3 - HKCU WinNT: Load - (d:\YDPDict\watch.exe) -d:\YDPDICT\WATCH.EXE ()

nie wykonuj zaleceń Acorus ,

Wykonaj skrypt OTL’em i pokaż raport systemlook

[rog1201]

OK, spandaupol zastosuję się do twoich poleceń

– Dodane 06.01.2012 (Pt) 11:34 –

log z usuwania: http://www.wklejto.pl/113238

OTL: http://www.wklejto.pl/113239

Extras: http://www.wklejto.pl/113240

systemlook: http://www.wklejto.pl/113241

Ten YDPD to słownik angielskiego. Po restarcie komputera z pulpitu zniknęła mi połowa ikonek. Programy uruchamiają się już normalnie.

– Dodane 06.01.2012 (Pt) 11:37 –

Odinstalowałem

Conduit Engine

SFT_Polska Toolbar

[spandaupol (Spandau)]

Pobierz plik alg.exe dla Twojego systemu http://sendfile.pl/125665/alg.exe Skopiuj go do lokalizacji c:\windows\system32

Następnie zrestartuj system Po restarcie uruchom ponownie OTL klikasz Skanuj pokaż nowy raport OTL.txt na forum

[rog1201]

http://wklejto.pl/113243

Dalej na pulpicie nie ma połowy ikonek, folderów

[spandaupol (Spandau)]

W okno Własne opcje skanowania / skrypt w OTL wklej:

:OTL IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://search.conduit.com?SearchSource= … =CT3031817 FF - prefs.js…browser.search.defaultthis.engineName: “SFT_Polska Customized Web Search” FF - prefs.js…browser.search.defaulturl: “http://search.conduit.com/ResultsExt.aspx?ctid=CT3031817&SearchSource=3&q={searchTerms}” FF - prefs.js…extensions.enabledItems: vshare@toolbar:1.0.0 :Commands [emptytemp]

Klikasz na Wykonaj skrypt. Zgadzasz się na restart komputera. Log z usuwania na forum

Uruchom OTL klikasz Sprzątanie to usunie OTL’a i jego kwarantanne

Dalej na pulpicie nie ma połowy ikonek, folderów

Wykonaj pełny skan Malwarebytyes http://www.dobreprogramy.pl/Malwarebyte … 13117.html Jak program coś wykryje pokaż raport na forum

[rog1201]

http://wklejto.pl/113246

zaraz jeszcze malwarebytes

– Dodane 06.01.2012 (Pt) 13:01 –

log malwarebytes: http://wklejto.pl/113247

[spandaupol (Spandau)]

Usuń co znalazł Malwarebytes Jesli będzie wymagany restart zgadzasz się na niego.

Wyłącz i włącz przywracanie systemu na wszystkich dyskach. Instrukcja

[rog1201]

Zrobiłem. Ale dalej nie mam połowy plików, folderów z pulpitu, da się coś z tym zrobić?

[spandaupol (Spandau)]

Pliki i foldery z pulpitu nie były usuwane. Prawym przyciskiem myszy na pulpit i Odśwież

Sprawdź co masz w tej lokalizacji (katalogu) C:\Documents and Settings\SysOp\Pulpit Czy są tam te pliki i foldery?

[rog1201]

Odświeżanie nic nie daje. W C:\Documents and Settings\SysOp\Pulpit mam to samo co na pulpicie, czyli bez brakujących plików. Jeszcze przed pierwszym działaniem dzisiaj w OTL były wszystkie, nie pamiętam dokładnie, w którym momencie zniknęły, ale wydaje mi się, że było to gdzieś przy działaniu systemlook’iem

[spandaupol (Spandau)]

Sprawdziłem pierwszy raport OTL w tym temacie i rzeczywiście są tam foldery

[2012-01-05 22:29:05 | 000,000,000 | —D | C] – C:\Documents and Settings\SysOp\Pulpit\cce_2.3.219500.176_x32 [2012-01-05 22:19:15 | 000,000,000 | —D | C] – C:\Documents and Settings\SysOp\Pulpit\cce_2.3.219500.176_x64 [2012-01-05 16:42:25 | 000,000,000 | —D | C] – C:\Documents and Settings\SysOp\Pulpit\gimp [2012-01-01 18:50:45 | 000,000,000 | —D | C] – C:\Documents and Settings\SysOp\Pulpit\Maciek święta [2011-12-21 21:29:13 | 000,000,000 | —D | C] – C:\Documents and Settings\SysOp\Pulpit\Świąteczne [2011-12-21 17:29:52 | 000,000,000 | —D | C] – C:\Documents and Settings\SysOp\Pulpit\Programy [2011-12-12 16:08:57 | 000,000,000 | —D | C] – C:\Documents and Settings\SysOp\Pulpit\Maciek przed świętami

W drugim raporcie OTL niektórych nie ma ale jak widać w skrypcie do usuwania nie ma żadnego z tych folderów. Systemlook tylko skanuje system w poszukiwaniu określonych plików, folderów itp, ale nic nie usuwa. Więc użyjesz go ponownie

Pobierz SystemLook http://jpshortstuff.247fixes.com/SystemLook.html Wklej do niego

:folderfind cce_2.3.219500.176_x32 cce_2.3.219500.176_x64 gimp Maciek święta Świąteczne Programy Maciek przed świętami

Klikasz Look pokaż log na forum

[rog1201]

http://wklejto.pl/113265

[spandaupol (Spandau)]

Niektórych rzeczywiście nie ma. Przyznam, że nie wiem co się stało. Żaden z tych folderów nie był usuwany skryptem do OTL’a.

[rog1201]

OK, dzięki za pomoc bardzo Popytam gdzieś jeszcze, a nuż może… Bo czy da się cofnąć teraz z systemem? I czy dałoby to coś na plus, czy tylko więcej szkód by było (wirus)?

[spandaupol (Spandau)]

To zależy, czy zgodnie z moją radą wcześniej wyłączyłeś przywracanie systemu. Bo jeśli tak, to już go nie cofniesz, bo nie ma punktów przywracania. Oczywiście i tak byłby z tym problem bo skaner znalazł infekcje w tych plikach i niektóre wywalił więc nie wiadomo czy byłbyś w stanie przywrócić system, ale możesz to przecież sprawdzić czy masz jakieś punkty przywracania.

[rog1201]

Włączyłem i wyłączyłem przywracanie jak napisałeś także nici…