Abnow i nie działające odnośniki w przeglądarkach

[do4love]

Witam,

Na początku przekierowywało z przeglądarki na abnow.com Teraz po prostu np. po wyszukaniu frazy "dom" i kliknięcu aby otworzył w nowym oknie/karcie, w pasku zadań widać, że mieli tylko tę frazę "dom" i nic się dalej nie dzieje.

Przeglądałem inne posty, próbowałem sie zastosować do podanych wskazówek, ale nic z tego. Z tego co zauważyłem, każdy problem jest też trochę inny. Jak trzeba wrzucić jakieś logi z OTLa to proszę o wskazówki.

Oczywiście McAfee za którego płacę kasę rocznie, kompletnie z problemem nie jest w stanie sobie poradzić, mówi, że wszystko jest "git".

Będę wdzięczny za pomoc.

Pozdrawiam

P.S. W mordę, ale zimno.

[wojtas]

Proszę zastosować się do obowiązkowych zasad w dziale bezpieczeństwo
- wstaw wymagane logi zgodnie ze swoim systemem
- wykonaj skan: Kaspersky TDSSKiller, (zaznacz wszystkie opcje do skanowania ),jeśli coś znajdzie dajesz Skip
- wrzuć logi na forum w formie załącznika,

[do4love]

Logi oraz raport z Kasperskyego w załączeniu.

[wojtas]

Uruchom jeszcze raz Kaspersky TDSSKiller, gdy coś znajdzie wybierz opcję Cure i wklej raport

Daj loga z Combofixa i na koniec daj nowy log z OTL

[do4love]

Logi w załączeniu.

Z Combofixem było tak:
Sciągnąłem najpierw z pierwszego linka. Znikł dosłownie z pulpitu po kilku sekundach, potem już ten link nie działał.
Ściągnąłem z drugiego linka, zainstalowałem. Krzyczał o McAfee to wywaliłem całe. W końcu się włączył i zaczął pracę. W połowie powiedział, że znalazł coś w rootkicie i musi zresetować kompa.
Potem dalej pracował i zaczął resetować, aż ciągle pojawiał się niebieski ekran, że dla mojego dobra nie można włączyć, zrzut pamięci fizycznej, crash dump itd. W końcu uruchomiłem w awaryjnym i wtedy zakończył pracę.

Obecnie komputera nie da się normalnie uruchomić, tylko w trybie awaryjnym.

[wojtas]

Uruchom narzędzie GrantPerms, w oknie wklej :

c:\windows\$NtUninstallKB44266$

i kliknij Unlock
Uruchom OTL i w sekcji własne opcje skanowania / skrypt wklej:

:OTL
SRV - File not found [Auto | Stopped] -- -- (veteboot)
SRV - File not found [Auto | Stopped] -- -- (TOSHIBA Bluetooth Service)
SRV - File not found [Auto | Stopped] -- -- (nvenetfd)
SRV - File not found [Auto | Stopped] -- -- (dlapoolm)
O2 - BHO: (IEPluginBHO Class) - {F5CC7F02-6F4E-4462-B5B1-394A57FD3E0D} - C:\ProgramData\Gadu-Gadu 10\_userdata\ggbho.2.dll File not found

:Files
c:\windows\$NtUninstallKB44266$
c:\windows\system32\dds_log_trash.cmd
c:\users\ola\AppData\Local\5eca0ddf
c:\windows\system32\%APPDATA%

:Services
veteboot

:Commands
[emptytemp]
[emptyflash]

Kliknij wykonaj skrypt. I potwierdź reset komputera .

wklej do notatnika:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost]
"netsvcs"=-
"netsvcs"=hex(7):36,00,74,00,6f,00,34,00,00,00,41,00,70,00,70,00,4d,00,67,00,\
6d,00,74,00,00,00,41,00,75,00,64,00,69,00,6f,00,53,00,72,00,76,00,00,00,42,\
00,72,00,6f,00,77,00,73,00,65,00,72,00,00,00,43,00,72,00,79,00,70,00,74,00,\
53,00,76,00,63,00,00,00,44,00,4d,00,53,00,65,00,72,00,76,00,65,00,72,00,00,\
00,44,00,48,00,43,00,50,00,00,00,45,00,52,00,53,00,76,00,63,00,00,00,45,00,\
76,00,65,00,6e,00,74,00,53,00,79,00,73,00,74,00,65,00,6d,00,00,00,46,00,61,\
00,73,00,74,00,55,00,73,00,65,00,72,00,53,00,77,00,69,00,74,00,63,00,68,00,\
69,00,6e,00,67,00,43,00,6f,00,6d,00,70,00,61,00,74,00,69,00,62,00,69,00,6c,\
00,69,00,74,00,79,00,00,00,48,00,69,00,64,00,53,00,65,00,72,00,76,00,00,00,\
49,00,61,00,73,00,00,00,49,00,70,00,72,00,69,00,70,00,00,00,49,00,72,00,6d,\
00,6f,00,6e,00,00,00,4c,00,61,00,6e,00,6d,00,61,00,6e,00,53,00,65,00,72,00,\
76,00,65,00,72,00,00,00,4c,00,61,00,6e,00,6d,00,61,00,6e,00,57,00,6f,00,72,\
00,6b,00,73,00,74,00,61,00,74,00,69,00,6f,00,6e,00,00,00,4d,00,65,00,73,00,\
73,00,65,00,6e,00,67,00,65,00,72,00,00,00,4e,00,65,00,74,00,6d,00,61,00,6e,\
00,00,00,4e,00,6c,00,61,00,00,00,4e,00,74,00,6d,00,73,00,73,00,76,00,63,00,\
00,00,4e,00,57,00,43,00,57,00,6f,00,72,00,6b,00,73,00,74,00,61,00,74,00,69,\
00,6f,00,6e,00,00,00,4e,00,77,00,73,00,61,00,70,00,61,00,67,00,65,00,6e,00,\
74,00,00,00,52,00,61,00,73,00,61,00,75,00,74,00,6f,00,00,00,52,00,61,00,73,\
00,6d,00,61,00,6e,00,00,00,52,00,65,00,6d,00,6f,00,74,00,65,00,61,00,63,00,\
63,00,65,00,73,00,73,00,00,00,53,00,63,00,68,00,65,00,64,00,75,00,6c,00,65,\
00,00,00,53,00,65,00,63,00,6c,00,6f,00,67,00,6f,00,6e,00,00,00,53,00,45,00,\
4e,00,53,00,00,00,53,00,68,00,61,00,72,00,65,00,64,00,61,00,63,00,63,00,65,\
00,73,00,73,00,00,00,53,00,52,00,53,00,65,00,72,00,76,00,69,00,63,00,65,00,\
00,00,54,00,61,00,70,00,69,00,73,00,72,00,76,00,00,00,54,00,68,00,65,00,6d,\
00,65,00,73,00,00,00,54,00,72,00,6b,00,57,00,6b,00,73,00,00,00,57,00,33,00,\
32,00,54,00,69,00,6d,00,65,00,00,00,57,00,5a,00,43,00,53,00,56,00,43,00,00,\
00,57,00,6d,00,69,00,00,00,57,00,6d,00,64,00,6d,00,50,00,6d,00,53,00,70,00,\
00,00,77,00,69,00,6e,00,6d,00,67,00,6d,00,74,00,00,00,54,00,65,00,72,00,6d,\
00,53,00,65,00,72,00,76,00,69,00,63,00,65,00,00,00,77,00,75,00,61,00,75,00,\ 73,00,65,00,72,00,76,00,00,00,42,00,49,00,54,00,53,00,00,00,53,00,68,00,65,\
00,6c,00,6c,00,48,00,57,00,44,00,65,00,74,00,65,00,63,00,74,00,69,00,6f,00,\
6e,00,00,00,68,00,65,00,6c,00,70,00,73,00,76,00,63,00,00,00,78,00,6d,00,6c,\
00,70,00,72,00,6f,00,76,00,00,00,77,00,73,00,63,00,73,00,76,00,63,00,00,00,\
57,00,6d,00,64,00,6d,00,50,00,6d,00,53,00,4e,00,00,00,00,00

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.REG, uruchom powstały plik



Następnie uruchamiasz OTL wklej do okienka programu

/md5start
afd.sys
netbt.sys
/md5stop

z opcją skanuj. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia (zawartość notatnika, która otworzy się po restarcie).
zrób też skan Kaspersky TDSS (opcja Cure) i zobacz czy coś znalazł..

czyli jak włączasz w normalnym jest bluescreen ? jaka treść błędu na dole ?

[do4love]

Logi w załączeniu.

Komp w końcu się uruchomił, ale jest czarny ekran (w sensie pulpit) i od razu wyskakuje komunikat, że ścieżka Windows/System32 itd Desktop jest niedostępna lokalizacja. Połączenia z siecią też nie ma.

Dodano Dzisiaj, 23:36:
Podaję jeszcze na wszelki wypadek treści komunikatów. W okienku na środku wyskakuje:

C:\Windows\System32\config\systemprofile\desktop odwołuje się do lokalizacji, która jest niedostępna. Może ona znajdować się na dysku twardym tego komputera lub w sieci. Upewnij się, że dysk jest właściwie włożony i że masz połączenie z internetem lub siecią, a następnie spróbuj ponownie. Jeśli nadal nie będzie można zlokalizować informacji, być może zostały one przeniesione w inne położenie.

A w prawym dolnym rogu przy zegarze:

Nie można nawiązać połączenia z usługą systemu Windows.
System Windows nie może połączyć z usługą Usługa profilów użytkowników. Uniemożliwia to logowanie się do systemu użytkownikom z ograniczonymi uprawnieniami. Jako użytkownik administracyjny możesz przejrzeć szczegóły dotyczące braku odpowiedzi usługi w dzi i się urywa.

[wojtas]

Uruchom OTL i w sekcji własne opcje skanowania / skrypt wklej:

:OTL
O4 - HKLM..\Run: [00TCrdMain] E File not found
O4 - HKLM..\Run: [Adobe ARM] E" File not found
O4 - HKLM..\Run: [Adobe Reader Speed Launcher] E" File not found
O4 - HKLM..\Run: [Camera Assistant Software] E" /START File not found
O4 - HKLM..\Run: [CardDetectorICON225] E File not found
O4 - HKLM..\Run: [cfFncEnabler.exe] E File not found
O4 - HKLM..\Run: [Google EULA Launcher] E IE PA File not found
O4 - HKLM..\Run: [HDMICtrlMan] E File not found
O4 - HKLM..\Run: [HotKeysCmds] E File not found
O4 - HKLM..\Run: [HSON] E File not found
O4 - HKLM..\Run: [IgfxTray] E File not found
O4 - HKLM..\Run: [ITSecMng] E /START File not found
O4 - HKLM..\Run: [NDSTray.exe] E File not found
O4 - HKLM..\Run: [openvpn-gui] E File not found
O4 - HKLM..\Run: [Persistence] E File not found
O4 - HKLM..\Run: [RtHDVCpl] E File not found
O4 - HKLM..\Run: [Skytel] E File not found
O4 - HKLM..\Run: [SmoothView] E File not found
O4 - HKLM..\Run: [SunJavaUpdateSched] E" File not found
O4 - HKLM..\Run: [SynTPEnh] E File not found
O4 - HKLM..\Run: [TkBellExe] E" -OSBOOT File not found
O4 - HKLM..\Run: [topi] E -STARTUP File not found
O4 - HKLM..\Run: [Toshiba Registration] E File not found
O4 - HKLM..\Run: [Toshiba TEMPO] E File not found
O4 - HKLM..\Run: [TPwrMain] E File not found
O4 - HKLM..\Run: [WinampAgent] E" File not found
[2011-10-06 11:42:48 | 000,000,158 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\Search the web.src

:Files
C:\Windows\System32\drivers\afd.sys |C:\Windows\winsxs\x86_microsoft-windows-winsock-core_31bf3856ad364e35_6.0.6001.18000_none_d7e842925e6d1f50\afd.sys /replace
C:\Windows\winsxs\x86_microsoft-windows-winsock-core_31bf3856ad364e35_6.0.6002.18005_none_d9d3bb9e5b8eea9c\afd.sys |C:\Windows\winsxs\x86_microsoft-windows-winsock-core_31bf3856ad364e35_6.0.6001.18000_none_d7e842925e6d1f50\afd.sys /replace

:Commands
[emptytemp]
[emptyflash]

Kliknij wykonaj skrypt. I potwierdź reset komputera .

start > w polu szukania wpisz cmd ( prawym przyciskiem myszy i uruchom jako administrator)> wpisz komendę netsh winsock reset i daj enter
potem

Klikamy w przycisk Start, a następnie w pasku wyszukiwania wpisujemy komendę cmd (okno wyszukiwania otworzymy również kombinacją klawiszy Windows + R). Z listy wyników wybieramy cmd.exe, wciskamy prawy klawisz myszy i wybieramy polecenie Uruchom jako administrator, a następnie klikamy Kontynuuj.

W nowo otworzonym oknie wpisujemy polecenie sfc /scannow ( jest tam spacja po sfc) i wciskamy klawisz Enter. Windows rozpocznie sprawdzanie plików systemowych – może to potrwać do kilku minut. Jeśli zostaniemy poproszeni o włożenie płyty instalacyjnej systemu zróbmy to.

Następnie uruchamiasz OTL z opcją skanuj. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia (zawartość notatnika, która otworzy się po restarcie). i nowy log z Combofixa

[do4love]

Logi w załączeniu. Wszystko musiałem robić w trybie awaryjnym, bo w zwykłym nie da się uruchomić ani OTL ani Combofix.

Po zrobieniu skryptu i skanu w OTL, włączyłem Combofixa, który rozpoczął pracę.

Potem pojawił się komunikat:

You are infected with Rootkit.Zero.Access! It has insterted itself into the tcp/ip stack.
This is a particularly difficult infection. If for any reason that you are unable to connect to the internet after running combofix, reboot once and see if that fixes it.
If it's not fixed, run combofix one more time.

Potem pojawiło się w osobnym oknie:

Program pev.3XE przestał działać. Program przestał działać poprawnie z powodu wystąpienia problemu.
System Windows zamknie program i powiadomi cię, jeśli istnieje odstępne rozwiązanie.

Potem znowu z Combofixa.
Rootkit is detected. Be patient as this may take some moments.

Potem kliknąłem ok, Combofix zaczął i znowu, że musi zrestartować kompa.

Po restarcie nic się nie stało, dodam, że ja w tym trybie awaryjnym ani zwykłym nie mam sieci w ogóle, więc tak jak pisał, spróbowałem odpalić Combofixa jeszcze raz. Combofix się odpalił po czym zrestartował kompa i nic się nie stało.

[wojtas]

plik od sieci afd.sys był zainfekowany, lecz został podmieniony na oryginalny...

czy robiłeś sfc /scannow ? jakieś rezultaty ? chciało płytkę ?

nie ma logu z Combo ?

Uruchom OTL i w sekcji własne opcje skanowania / skrypt wklej:

:OTL
O4 - Startup: C:\Windows\System32\config\systemprofile\AppData [2012-02-01 23:02:56 | 000,000,000 | ---D | M]
O4 - Startup: C:\Windows\System32\config\systemprofile\Desktop [2012-02-02 17:18:52 | 000,000,000 | R--D | M]
O4 - Startup: C:\Windows\System32\config\systemprofile\Favorites [2012-02-02 17:18:51 | 000,000,000 | R--D | M]
@Alternate Data Stream - 115 bytes -> C:\ProgramData\TEMP:A8ADE5D8
@Alternate Data Stream - 109 bytes -> C:\ProgramData\TEMP:DFC5A2B2

:Commands
[emptytemp]
[emptyflash]

Kliknij wykonaj skrypt. I potwierdź reset komputera .

zobacz czy TDSSKiller coś znajduje ?
Następnie uruchamiasz OTL z opcją skanuj. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia (zawartość notatnika, która otworzy się po restarcie).

[do4love]

Jeśli chodzi o sfc/scannow to nie robiłem. Zrobiłem teraz, ale w trybie awaryjnym bo w zwykłym nawet wiersz poleceń nie chce się odpalić.
Płytki nie chciał, wynik:
Funkcja Ochronna zasobów systemu Windows odnalazła uszkodzone pliki, ale nie może naprawić niektórych z tych plików. Zrobił jakiś CBS.log ale go nie wrzucę bo waży 22 mega.

Co do Combo to nie ma loga, ale teraz skumałem, że może to przez to, że Combo nie był na pulpicie? Zapomniałem o tym, bo nie ściągałem z sieci tylko z gwizdka przerzucałem.

Kaspersky teoretycznie znalazł 238 zagrożeń. Logi w załączeniu.

W trybie normalnym zrobiło się trochę lepiej, w sensie pojawiło się więcej okien na pulpicie, ale i tak połowę z wczoraj wcięło, m. in. OTL, KAspersky itd.
Niestety w normalnym ciągle nie da się uruchomić np. OTL. Sieci nie ma zarówno w trybie normalnym jak i awaryjnym.

[wojtas]

hmm czemu tak dużo plików zainfekowanych... daj dla wszystkich Cure.. i nowy skan po tym wykonaj...

ale nie da się uruchomić jest jakiś błąd czy coś ?

p.s zagadaj do mnie na gg

[do4love]

Nie da się Cure. Można Skip, Copy to quarantine albo Delete.

Po próbie uruchomienia programu w trybie normalnym, wyświetla się komunikat:
Ścieżka do programu, czyli np. E:\Progsy\OTL.exe
Uruchomienie usługi zależności lub grupy nie powiodło się.

[wojtas]

hmm jak damy delete to może być po systemie.. zainfekowane są pliki systemowe i może skończyć się formatem kompa.

[do4love]

To jak? Bo może po prostu lepiej faktycznie zainstalować nowy system, bo coś mi się widzi, że słabo to rokuje...

[wojtas]

no spróbuj dać to delete.. ale ostrzegam system może nie wstać...

[do4love]

Dobra to potem spróbuję, jak najpierw gdzieś zabezpieczę dane z dysku.
A nie orientujesz się jak to jest z OEM-owymi windami? W sensie jest tam coś takiego jak Toshiba Recovery, tylko czy on tworzy płytkę instalacyjną czy jakąś kopię zapasową?
Bo jak zapasową, to możliwe, że zrobi kopię tego zainfekowanego systemu?

[wojtas]

z tego co się orientuje, taką kopię robi się na początku stawiania systemu więc nie jest zainfekowana..

http://www.elektroda.pl/rtvforum/topic1208041.html

Autor postu otrzymał pochwałę

[do4love]

Dobra dzięki za pomoc, ale znalazłem rozwiązanie.

Trzeba tam, gdzie się wybiera tryb awaryjny wejść w napraw komputer. Potem przywracanie kopii z przeszłości. Wybrałem datę z 26 stycznia.
Wszystko elegancko przywrócił łącznie z tapetą i rozmieszczeniem ikon na pulpicie. Wszystko działa, nie ma już tych przekierowań abnow itd.