Problem z awesomehp

**Posty:** 6 · przez **maciolko** 15 Mar 2014, 10:36

Witam,
podobnie jak w przypadku http://forum.programosy.pl/awesomehp-problem-z-usunieciem-vt139480.html mam problem dotyczący usunięcia złośliwego oprogramowania. Nie jestem pewien czy wszystkie kroki podane w przytoczonym temacie mogę wykonać również u siebie. Problem dotyczy kilku przeglądarek, jak Opera, Firefox, IE, Chrome.
Dorzucam logi z OTL i bardzo proszę o pomoc.

**Posty:** 4765 · przez **ordynat** 15 Mar 2014, 12:04

1) Odinstaluj:
"IePlugins" = IePluginService12.27.0.3326
"SupTab" = SupTab
"V9Software" = Deinstalator Strony V9
"WPM" = WPM17.8.0.3442
"{79A765E1-C399-405B-85AF-466F52E918B0}" = Ask Toolbar Updater
"UnityWebPlayer" = Unity Web Player
"BabylonToolbar" = Babylon toolbar
"{86D4B82A-ABED-442A-BE86-96357B70F4FE}" = Ask Toolbar
"PacFunction" = PacFunction

2) Użyj >Adw-cleaner (aby pobrać kliknij na dużą zieloną strzałkę po prawej).
najpierw kliknij na SZUKAJ, a dopiero po zakończeniu skanowania, gdy uaktywni się przycisk USUŃ, to kliknij na niego.
Pokaż raport z niego C:\AdwCleaner\AdwCleaner[S].txt

3) Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:OTL
SRV - [2014-03-15 08:34:21 | 000,348,960 | ---- | M] () [Auto | Running] -- C:\Program Files (x86)\PacFunction\bin\utilPacFunction.exe -- (Util PacFunction)
SRV - [2014-03-15 08:31:07 | 000,348,960 | ---- | M] () [Auto | Running] -- C:\Program Files (x86)\PacFunction\updatePacFunction.exe -- (Update PacFunction)
SRV - [2014-03-14 06:39:37 | 000,496,640 | ---- | M] (Cherished Technololgy LIMITED) [Auto | Running] -- C:\ProgramData\WPM\wprotectmanager.exe -- (Wpm)
SRV - [2014-02-26 07:44:20 | 000,508,016 | ---- | M] (Cherished Technololgy LIMITED) [Auto | Running] -- C:\ProgramData\IePluginService\PluginService.exe -- (IePluginService)
FF - HKLM\Software\MozillaPlugins\@Apple.com/iTunes,version=: File not found
FF - HKLM\Software\MozillaPlugins\@esn/esnlaunch,version=1.110.0: C:\Program Files (x86)\Battlelog Web Plugins\1.110.0\npesnlaunch.dll File not found
FF - HKLM\Software\MozillaPlugins\@esn/esnlaunch,version=1.122.0: C:\Program Files (x86)\Battlelog Web Plugins\1.122.0\npesnlaunch.dll File not found
FF - HKLM\Software\MozillaPlugins\@esn/esnlaunch,version=1.138.0: C:\Program Files (x86)\Battlelog Web Plugins\1.138.0\npesnlaunch.dll File not found
FF - HKLM\Software\MozillaPlugins\@esn/esnlaunch,version=2.1.3: C:\Program Files (x86)\Battlelog Web Plugins\2.1.3\npesnlaunch.dll File not found
FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\quick_start@gmail.com: C:\Users\A\AppData\Roaming\Mozilla\Firefox\Profiles\egtm3fbv.default\extensions\quick_start@gmail.com [2014-03-14 06:39:22 | 000,000,000 | ---D | M]
O2:64bit: - BHO: (HDvid-Codec V9.0) - {11111111-1111-1111-1111-110511131156} - C:\Program Files (x86)\HDvid-Codec V9.0\HDvid-Codec V9.0-bho64.dll (installdaddy)
O2 - BHO: (HDvid-Codec V9.0) - {11111111-1111-1111-1111-110511131156} - C:\Program Files (x86)\HDvid-Codec V9.0\HDvid-Codec V9.0-bho.dll (installdaddy)
O2 - BHO: (CescrtHlpr Object) - {2EECD738-5844-4a99-B4B6-146BF802613B} - C:\Program Files (x86)\BabylonToolbar\BabylonToolbar\1.4.19.19\bh\BabylonToolbar.dll (Babylon BHO)
O2 - BHO: (Conduit Engine) - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files (x86)\ConduitEngine\prxConduitEngine.dll (Conduit Ltd.)
O2 - BHO: (IETabPage Class) - {3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C} - C:\Program Files (x86)\SupTab\SupTab.dll (Thinknice Co. Limited)
O2 - BHO: (PacFunction) - {9aa72d95-59d7-4421-a02c-f93a1187a165} - C:\Program Files (x86)\PacFunction\PacFunctionbho.dll (PacFunction)
O2 - BHO: (MyAshampoo Toolbar) - {a1e75a0e-4397-4ba8-bb50-e19fb66890f4} - C:\Program Files (x86)\MyAshampoo\prxtbMyAs.dll (Conduit Ltd.)
O2 - BHO: (WinDealist) - {B8F10001-9552-4F40-8F61-6765CD22DD9E} - C:\Program Files (x86)\windealist\Internet Explorer\windealist.dll ()
O2 - BHO: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files (x86)\Ask.com\GenericAskToolbar.dll (Ask)
O3 - HKLM\..\Toolbar: (Conduit Engine) - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files (x86)\ConduitEngine\prxConduitEngine.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (Babylon Toolbar) - {98889811-442D-49dd-99D7-DC866BE87DBC} - C:\Program Files (x86)\BabylonToolbar\BabylonToolbar\1.4.19.19\BabylonToolbarTlbr.dll (Babylon Ltd.)
O3 - HKLM\..\Toolbar: (MyAshampoo Toolbar) - {a1e75a0e-4397-4ba8-bb50-e19fb66890f4} - C:\Program Files (x86)\MyAshampoo\prxtbMyAs.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files (x86)\Ask.com\GenericAskToolbar.dll (Ask)
O3 - HKLM\..\Toolbar: (free-downloads.net Toolbar) - {ecdee021-0d17-467f-a1ff-c7a115230949} - C:\Program Files (x86)\free-downloads.net\tbfree.dll (Conduit Ltd.)
O3 - HKCU\..\Toolbar\WebBrowser: (free-downloads.net Toolbar) - {ECDEE021-0D17-467F-A1FF-C7A115230949} - C:\Program Files (x86)\free-downloads.net\tbfree.dll (Conduit Ltd.)
O4 - HKLM..\Run: [] File not found
O4 - HKLM..\Run: [ApnUpdater] C:\Program Files (x86)\Ask.com\Updater\Updater.exe (Ask)
O4 - HKLM..\Run: [mobilegeni daemon] C:\Program Files (x86)\Mobogenie\DaemonProcess.exe File not found
2014-03-14 06:40:34 | 000,000,000 | ---D | C] -- C:\Users\A\.android
[2014-03-14 06:40:33 | 000,000,000 | ---D | C] -- C:\Users\A\AppData\Local\cache
[2014-03-14 06:40:31 | 000,000,000 | ---D | C] -- C:\Users\A\AppData\Local\31128
[2014-03-14 06:40:27 | 000,000,000 | ---D | C] -- C:\Users\A\Documents\Mobogenie
[2014-03-14 06:40:27 | 000,000,000 | ---D | C] -- C:\Users\A\AppData\Local\Mobogenie
[2014-03-14 06:39:45 | 000,000,000 | ---D | C] -- C:\ProgramData\IePluginService
[2014-03-14 06:39:44 | 000,000,000 | ---D | C] -- C:\Users\A\AppData\Roaming\SupTab
[2014-03-14 06:39:43 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\SupTab
[2014-03-14 06:39:40 | 000,000,000 | ---D | C] -- C:\ProgramData\WPM
[2014-03-14 06:36:53 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\PacFunction
[2014-03-14 06:35:25 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\HDvid-Codec V9.0
[2014-03-14 06:35:01 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\hdvidcodec.com
[2014-03-15 08:33:31 | 000,003,126 | ---- | M] () -- C:\WINDOWS\tasks\HDvid-Codec V9.0-chromeinstaller.job
[2014-03-15 08:33:14 | 000,001,550 | ---- | M] () -- C:\WINDOWS\tasks\HDvid-Codec V9.0-updater.job
[2014-03-15 08:33:08 | 000,002,436 | ---- | M] () -- C:\WINDOWS\tasks\HDvid-Codec V9.0-firefoxinstaller.job
[2014-03-15 08:33:07 | 000,000,328 | ---- | M] () -- C:\WINDOWS\tasks\AmiUpdXp.job
[2014-03-15 08:33:05 | 000,001,494 | ---- | M] () -- C:\WINDOWS\tasks\HDvid-Codec V9.0-codedownloader.job
[2014-03-15 08:33:05 | 000,001,384 | ---- | M] () -- C:\WINDOWS\tasks\HDvid-Codec V9.0-enabler.job

:Files
C:\Users\A\AppData\Local\Google\Chrome\User Data\Default\Extensions\pelmeidfhdlhlbjimpabfcbnnojbboma
C:\Users\wangzhisong

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania Skryptem.

4) Zrób logi z FRST > http://www.fixitpc.pl/topic/61-diagnostyka-og%C3%B3lne-raporty-systemowe/#entry119294

================================================================================================

]Error - 2014-03-15 03:29:00 | Computer Name = A-Komputer | Source = disk | ID = 262155
Description = Sterownik wykrył błąd kontrolera na \Device\Harddisk3\DR3.

Error - 2014-03-15 03:29:00 | Computer Name = A-Komputer | Source = disk | ID = 262155
Description = Sterownik wykrył błąd kontrolera na \Device\Harddisk4\DR4.

Error - 2014-03-15 03:29:00 | Computer Name = A-Komputer | Source = disk | ID = 262155
Description = Sterownik wykrył błąd kontrolera na \Device\Harddisk5\DR5.

>http://www.fixitpc.pl/topic/5553-blad-sterownik-wykryl-blad-kontrolera-na-deviceharddiskxdrx-i-jego-interpretacja/
>http://www.fixitpc.pl/topic/20676-w-urz%C4%85dzeniu-deviceharddisk0dr0-wystapi%C5%82-z%C5%82y-blok/
.

Autor postu otrzymał pochwałę

**Posty:** 6 · przez **maciolko** 15 Mar 2014, 17:17

Zrobione krok po kroku, oto pliki:

**Posty:** 4765 · przez **ordynat** 15 Mar 2014, 17:52

Otwórz Notatnik i wklej w nim:

Task: {1033401E-C468-4441-9391-1441CB3C6234} - \HDvid-Codec V9.0-firefoxinstaller No Task File
Task: {4448271E-26DB-4B0F-AD44-A9BEC81E2CDB} - \AmiUpdXp No Task File
Task: {801D4058-5991-4121-8411-EDD01A0833BB} - \HDvid-Codec V9.0-chromeinstaller No Task File
Task: {8DF253F6-66AE-4676-A983-A092066E91A6} - \HDvid-Codec V9.0-enabler No Task File
Task: {AB94F384-E0DC-440A-ADE6-49AEE1C50871} - \HDvid-Codec V9.0-updater No Task File
Task: {AEEE9060-D8E9-4B80-9F96-FB463BAB2770} - System32\Tasks\windealistSWU => Cscript.exe "C:\Program Files (x86)\windealist\Internet Explorer\swu.vbs" <==== ATTENTION
Task: {D9D1D159-19F9-4605-A684-DCC37C728B34} - \HDvid-Codec V9.0-codedownloader No Task File
SearchScopes: HKCU - 1E4CABB769F24C84BB84068F1F8BD9F1 URL = http://search.babylon.com/?babsrc=SP_ss&q={searchTerms}&mntrId=70cd85f00000000000000016448b952b&tlver=1.4.19.19&ss=1&affID=18047
SearchScopes: HKCU - {6DCF15C6-BA7C-45B1-8736-8AEF47966DCE} URL = http://websearch.ask.com/redirect?client=ie&tb=ORJ&o=&src=kw&q={searchTerms}&locale=&apn_ptnrs=U3&apn_dtid=OSJ000YYPL&apn_uid=19B03518-B913-414B-9106-BBDC5B2CEB75&apn_sauid=9DF2A685-2721-406C-968B-F3A86441A616
FF SearchPlugin: C:\Program Files (x86)\mozilla firefox\searchplugins\awesomehp.xml
CHR DefaultSearchProvider: awesomehp
CHR Plugin: (Default Plug-in) - default_plugin No File
CHR Extension: (Ask Toolbar) - C:\Users\A\AppData\Local\Google\Chrome\User Data\Default\Extensions\aaaaojmikegpiepcfdkkjaplodkpfmlo [2013-02-15]
CHR Extension: (WinDealist) - C:\Users\A\AppData\Local\Google\Chrome\User Data\Default\Extensions\cogkkcgdhndddhnkcebakjmifjllamkb [2014-01-11]
CHR Extension: (Babylon Translator) - C:\Users\A\AppData\Local\Google\Chrome\User Data\Default\Extensions\dhkplhfnhceodhffomolpfigojocbpcb [2011-06-12]
CHR Extension: (HDvid-Codec V9.0) - C:\Users\A\AppData\Local\Google\Chrome\User Data\Default\Extensions\iilfecopjcmjdgfffklfdkhbkpkmcglh [2014-03-14]
CHR HKLM-x32\...\Chrome\Extension: [cogkkcgdhndddhnkcebakjmifjllamkb] - C:\Program Files (x86)\windealist\Chrome\windealist-1.0.crx [2013-11-18]
CHR HKLM-x32\...\Chrome\Extension: [pelmeidfhdlhlbjimpabfcbnnojbboma] - C:\Users\A\AppData\Local\Google\Chrome\User Data\Default\Extensions\newtabv3.crx [2014-03-14]
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
C:\WINDOWS\system32\ApnDatabase.xml
C:\Users\A\Downloads\HDvid-codec-IE.exe
Reboot:

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt. Daj ten log.

Google Chrome

> Naciśnij klawisze: lewy Alt+F i kliknij przycisk Ustawienia >
> w sekcji Wyszukiwanie wybierz: Zarządzaj wyszukiwarkami >
> z prawokliku ustaw nową domyślną wyszukiwarkę (np. Google),
> z prawokliku usuń: Awesomehp.com i kliknij przycisk: Gotowe

Napisz, czy problem znikł?
.

**Posty:** 6 · przez **maciolko** 15 Mar 2014, 18:24

Zrobiłem te czynności w Chrome, ale problem nie znikł. Z tą różnicą, że gdy z powrotem wszedłem do opcji "Zarządzaj wyszukiwarkami" nie ma już awesomehp.

**Posty:** 4765 · przez **ordynat** 15 Mar 2014, 18:46

Do >SystemLook-64 wklej:

:filefind
awesomehp*.*

:regfind
awesomehp

Naciśnij Look i pokaż raport.

(zajrzę tu dopiero jutro)

**Posty:** 6 · przez **maciolko** 15 Mar 2014, 19:04

Oto raport:

**Posty:** 4765 · przez **ordynat** 15 Mar 2014, 22:56

Z tego logu wynika, że zarażone są skróty przeglądarek.
Ciekawi mnie, dlaczego FRST tego nie dostrzegł (a powinien!).

Najprawdopodobniej trzeba będzie odinstalować przeglądarki, usunąć wszystkie ślady po nich (ikonki, foldery, zakładki, itp), zrestartować komputer, potem zainstalować je od nowa.

Ale najpierw spróbujemy:
Do Notatnika wklej:

Kod: Zaznacz wszystko: Windows Registry Editor Version 5.00 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\UFH\SHC] "2"="C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox\Mozilla Firefox (Tryb awaryjny).lnk C:\Program Files (x86)\Mozilla Firefox\firefox.exe" [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\UFH\SHC] "3"="C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox\Mozilla Firefox.lnk C:\Program Files (x86)\Mozilla Firefox\firefox.exe" [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\UFH\SHC] "4"="C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Opera.lnk C:\Program Files (x86)\Opera\opera.exe" [HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\Opera\shell\open\command] @="C:\Program Files (x86)\Opera\Opera.exe" [-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\awesomehpSoftware] [-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\awesomehpSoftware\awesomehphp] [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Clients\StartMenuInternet\Opera\shell\open\command] @="C:\Program Files (x86)\Opera\Opera.exe" [HKEY_USERS\S-1-5-21-4257965714-1640949006-749555022-1000\Software\Microsoft\Windows\CurrentVersion\UFH\SHC] "2"="C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox\Mozilla Firefox (Tryb awaryjny).lnk C:\Program Files (x86)\Mozilla Firefox\firefox.exe" [HKEY_USERS\S-1-5-21-4257965714-1640949006-749555022-1000\Software\Microsoft\Windows\CurrentVersion\UFH\SHC] "3"="C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox\Mozilla Firefox.lnk C:\Program Files (x86)\Mozilla Firefox\firefox.exe" [HKEY_USERS\S-1-5-21-4257965714-1640949006-749555022-1000\Software\Microsoft\Windows\CurrentVersion\UFH\SHC] "4"="C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Opera.lnk C:\Program Files (x86)\Opera\opera.exe"

Z Menu Notatnika >> Plik >> Zapisz jako >> Ustaw rozszerzenie na Wszystkie pliki >> Zapisz jako> FIX.REG >>
plik uruchom (dwuklik i OK).
Zrestartuj komputer.

Zrób log z SystemLook, i sam sprawdź, czy w "Reg" występuje jeszcze "awesomehp".
Jeśli występuje, to zabierzesz się za usuwanie przeglądarek i ponowne ich zainstalowanie.
.

Autor postu otrzymał pochwałę

**Posty:** 6 · przez **maciolko** 16 Mar 2014, 12:35

Problem tkwił nadal, dlatego odinstalowałem a następnie zainstalowałem ponownie przeglądarki. Jak narazie wirus znikł. Na koniec mam jeszcze pytanie: co zrobić z programami typu FRST, SystemLook czy adwcleaner ?

**Posty:** 4765 · przez **ordynat** 16 Mar 2014, 13:02

Otwórz Notatnik i wklej w nim:

DeleteQuarantine:

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix.
przez SHIFT+DEL usuń pozostały folder C:\FRST

W Adw-Cleaner kliknij na przycisk Odinstaluj (UNINSTALL)

SystemLook - usuń ręcznie.

W OTL kliknij na przycisk Sprzątanie - to go usunie razem z jego Kwarantanną.

Fix.Reg - usuń ręcznie.
.

Autor postu otrzymał pochwałę

**Posty:** 6 · przez **maciolko** 16 Mar 2014, 13:08

Wszystko zrobione. Bardzo dziękuję za szybką, przejrzystą i profesjonalną pomoc oraz za poświęcony czas.
Pozdrawiam

Kto jest na forum