Wirus z facebooka (i inne)

**Posty:** 4 · przez **Arya9** 05 Sie 2012, 16:28

Proszę o pomoc, ściągnęłam wczoraj niechcący jakiegoś wirusa z facebooka w pliku .exe, ustawia mi stronę startową na domredi.com. Mam bezpłatną wersję Spyware Doctor, który wykrywa mi: Application StarLogger, parę infekcji Tracking cookies, Spyware Known Bad Sites oraz Application RK Market Store (być może to jest właśnie ten wirus, bo nie przypominam sobie by wcześniej to wykrywał).
Logi z OTL:
http://www.wklej.org/id/804313/
http://www.wklej.org/id/804318/
Zrobiłam też skanowanie Malwarebytes AntiMalware, oto log: http://www.wklej.org/id/804560/. Proszę o pomoc, jak to pousuwać?

**Posty:** 18165 · przez **wojtas** 05 Sie 2012, 19:20

Skasuj co znalazł Mbam ( chyba że jest coś Ci znane , to tego nie kasuj )

odinstaluj w dodaj usuń : TheBflix .

znasz aplikację PC Tools Security ?

jakiego antywirusa używasz ?

Uruchom OTL i w sekcji własne opcje skanowania / skrypt wklej:

:OTL
IE - HKU\S-1-5-21-2957920381-1753396131-833497720-1000\..\URLSearchHook: {472734EA-242A-422b-ADF8-83D1E48CC825} - C:\Program Files (x86)\PC Tools Security\BDT\PCTBrowserDefender.dll (Threat Expert Ltd.)
IE - HKU\S-1-5-21-2957920381-1753396131-833497720-1000\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = http://search.babylon.com/?q={searchTerms}&AF=111358&babsrc=SP_ss&mntrId=97a1d380000000000000deaf782ef380
FF - prefs.js..browser.search.defaultenginename: "Search the web (Babylon)"
FF - prefs.js..browser.search.order.1: "Search the web (Babylon)"
FF - prefs.js..keyword.URL: "http://search.babylon.com/?AF=111358&babsrc=adbartrp&mntrId=97a1d380000000000000deaf782ef380&q="
[2012/03/10 14:18:39 | 000,000,000 | ---D | M] (TheBflix) -- C:\Users\Alicja\AppData\Roaming\mozilla\Firefox\Profiles\eo0xq47d.default\extensions\info@bflix.info
[2012/03/11 15:58:16 | 000,002,310 | ---- | M] () -- C:\Program Files (x86)\mozilla firefox\searchplugins\babylon.xml
CHR - homepage: http://domredi.com/1/
O2 - BHO: (PC Tools Browser Guard BHO) - {2A0F3D1B-0909-4FF4-B272-609CCE6054E7} - C:\Program Files (x86)\PC Tools Security\BDT\PCTBrowserDefender.dll (Threat Expert Ltd.)
O3:64bit: - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - {0EBBBE48-BAD4-4B4C-8E5A-516ABECAE064} - No CLSID value found.
O3 - HKLM\..\Toolbar: (PC Tools Browser Guard) - {472734EA-242A-422B-ADF8-83D1E48CC825} - C:\Program Files (x86)\PC Tools Security\BDT\PCTBrowserDefender.dll (Threat Expert Ltd.)
O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O4 - HKLM..\Run: [mcui_exe] "C:\Program Files\McAfee.com\Agent\mcagent.exe" /runkey File not found
O4 - HKU\S-1-5-21-2957920381-1753396131-833497720-1000..\Run: [qmnachi] C:\Users\Alicja\AppData\Local\pbyqkp.exe ()
O4 - HKU\S-1-5-19..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe File not found
O4 - HKU\S-1-5-20..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe File not found
O4 - Startup: C:\Users\Alicja\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\nooix.exe ()
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktopChanges = 1
O8 - Extra context menu item: Wyślij &do programu OneNote - res://C:\PROGRA~2\MICROS~4\Office14\ONBttnIE.dll/105 File not found
O8:64bit: - Extra context menu item: E&ksportuj do programu Microsoft Excel - res://C:\PROGRA~2\MICROS~4\Office14\EXCEL.EXE/3000 File not found
@Alternate Data Stream - 145 bytes -> C:\ProgramData\Temp:DFC5A2B2
@Alternate Data Stream - 136 bytes -> C:\ProgramData\Temp:2430E4FC
@Alternate Data Stream - 127 bytes -> C:\ProgramData\Temp:430C6D84
@Alternate Data Stream - 124 bytes -> C:\ProgramData\Temp:1D6686D8

:Files
C:\Users\Alicja\AppData\Local\Temp*.html

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

:Commands
[emptytemp]

Kliknij wykonaj skrypt. I potwierdź reset komputera .

Użyj AdwCleaner i kliknij w nim Delete (w przypadku Visty/Windows7 uruchom z prawokliku jako Administrator)
Pokaż raport z niego

Następnie uruchamiasz OTL z opcją skanuj. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia (zawartość notatnika, która otworzy się po restarcie).

**Posty:** 4 · przez **Arya9** 05 Sie 2012, 21:56

PC Tools to program Spyware Doctor.
Jako antywirusa używam avasta.

Skasowałam większość tego co znalazł Malwarebytes. Następnie wkleiłam w OTL to, co napisałeś, jednak po naciśnięciu "Wykonaj skrypt" pojawil się Blue Screen z informacją o tym, że system ma jakiś poważny problem, nie zdążyłam przeczytać. Komputer się zresetował, wyświetliło się okienko że "System Windows odzyskał sprawność po nieoczekiwanym zamknięciu", nazwa zdarzenia: BlueScreen, i wyświetliło jeszcze coś takiego:

"Dodatkowe informacje o problemie:
BCCode: f4
BCP1: 0000000000000006
BCP2: FFFFFA8008C78B50
BCP3: FFFFFA8008C80970
BCP4: FFFFF8000398F4E0
OS Version: 6_1_7601
Service Pack: 1_0
Product: 768_1

Pliki pomagające opisać problem:
C:\Windows\Minidump\080512-23446-01.dmp
C:\Users\Alicja\AppData\Local\Temp\WER-55489-0.sysdata.xml".

Czy to jakiś błąd? Póki co nie widzę by system działał źle, ale przestraszyłam się, tak miało być?
Aha, żadne nowe logi z OTL się nie utworzyły.

**Posty:** 18165 · przez **wojtas** 06 Sie 2012, 15:34

czasami zdarza się że wywala błąd, pokaż nowy log z OTL ( stwórz go )

Spyware Doctor możesz odinstalować, program jest dość wątpliwej reputacji

**Posty:** 4 · przez **Arya9** 06 Sie 2012, 21:40

Nowe logi z OTL:
http://www.wklej.org/id/805414/
http://www.wklej.org/id/805416/

**Posty:** 18165 · przez **wojtas** 06 Sie 2012, 21:46

Uruchom OTL i w sekcji własne opcje skanowania / skrypt wklej: ( jeśli będą błędy, wykonaj skrypt w trybie awaryjnym )

:OTL
O2:64bit: - BHO: (McAfee Phishing Filter) - {27B4851A-3207-45A2-B947-BE8AFE6163AB} - c:\PROGRA~1\mcafee\msk\MSKAPB~1.DLL File not found
O2 - BHO: (McAfee Phishing Filter) - {27B4851A-3207-45A2-B947-BE8AFE6163AB} - c:\progra~1\mcafee\msk\mskapbho.dll File not found
O3:64bit: - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - {0EBBBE48-BAD4-4B4C-8E5A-516ABECAE064} - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O4 - HKU\S-1-5-21-2957920381-1753396131-833497720-1000..\Run: [qmnachi] C:\Users\Alicja\AppData\Local\pbyqkp.exe ()
O4 - HKU\S-1-5-19..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe File not found
O4 - HKU\S-1-5-20..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe File not found
O4 - Startup: C:\Users\Alicja\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\nooix.exe ()
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktopChanges = 1
O4 - HKLM..\Run: [mcui_exe] "C:\Program Files\McAfee.com\Agent\mcagent.exe" /runkey File not found
@Alternate Data Stream - 145 bytes -> C:\ProgramData\Temp:DFC5A2B2
@Alternate Data Stream - 136 bytes -> C:\ProgramData\Temp:2430E4FC
@Alternate Data Stream - 127 bytes -> C:\ProgramData\Temp:430C6D84
@Alternate Data Stream - 124 bytes -> C:\ProgramData\Temp:1D6686D8

:Files
C:\Users\Alicja\AppData\Local\pbyqkp.exe
C:\Users\Alicja\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\nooix.exe
C:\Users\Alicja\AppData\Roaming\mozilla\Firefox\Profiles\eo0xq47d.default\extensions\info@bflix.info
C:\Users\Alicja\AppData\Local\Temp*.html

:Commands
[emptytemp]

Kliknij wykonaj skrypt. I potwierdź reset komputera .

odinstaluj Spyware Doctorwa, Zmień w opcjach Chroma stronę startową.

Robiony był Skan ADWCleaner ?

Następnie uruchamiasz OTL z opcją skanuj. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia (zawartość notatnika, która otworzy się po restarcie).

**Posty:** 4 · przez **Arya9** 07 Sie 2012, 00:10

Raport z czyszczenia: http://www.wklej.org/id/805511/

Spyware Doctor odinstalowany.
Zmienić stronę startową w Chrome? Mam ustawione normalnie, Google.

Zrobiłam skanowanie ADWCleaner: http://www.wklej.org/id/805526/

Nowy log OTL: http://www.wklej.org/id/805530/

**Posty:** 18165 · przez **wojtas** 07 Sie 2012, 18:53

ok teraz jest lepiej :

*Uruchom OTL z opcji sprzątanie.
* wykonaj optymalizację Windowsa ( instrukcja dla Windowsa XP, lecz w innych systemach jest podobnie )
* zrób pełny skan Malwarebytes Anti-Malware (zaktualizuj, gdy coś znajdzie pokaż raport, i usuń wszystko za pomocą tego programu )
* Skasuj stan przywracania systemu

napisz jak sytuacja

Kto jest na forum