Проблем с adware [РЕШЕН]

9 юни 201016 г.

Имам проблем с adware. Ползвам Firefox и около 10 пъти на ден ме препраща в сайтове. Един от тези сайтове е този http://www.directcpv.com/. Сканирах с MBAM, SuperAntiSpyware, Spybot, но проблема си остава. Другия проблем е, че Firefox постоянно крашва, предполагам е от адуера. OS: Windows 7. Антивирусна - ESET NOD32. (не е кракната, фиксната) Вируса който бях пипнал беше FLV Direct PLayer, който беше изчистен с MBAM. Ето скрийншот от засеченето

Прилагам лог от hijackthis

Logfile of Trend Micro HijackThis v2.0.4

Scan saved at 01:37:41 ч., on 10.06.2010

Platform: Windows 7 (WinNT 6.00.3504)

MSIE: Internet Explorer v8.00 (8.00.7600.16385)

Boot mode: Normal

Running processes:

C:\Program Files (x86)\ASUS\SmartDoctor\SmartDoctor.exe

C:\Program Files (x86)\Skype\Phone\Skype.exe

E:\Programs\mIRC\mIRC\mirc.exe

C:\Program Files (x86)\Skype\Plugin Manager\skypePM.exe

C:\Program Files (x86)\uTorrent\uTorrent.exe

C:\Program Files (x86)\Mozilla Firefox\firefox.exe

C:\Users\plamen\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft....k/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft....k/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft....k/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft....k/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft....k/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

O2 - BHO: IE 4.x-6.x BHO for Download Master - {9961627E-4059-41B4-8E0E-A7D6B3854ADF} - C:\PROGRA~2\DOWNLO~1\dmiehlp.dll

O4 - HKCU\..\Run: [sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun

O4 - HKUS\S-1-5-19\..\Run: [sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'LOCAL SERVICE')

O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'LOCAL SERVICE')

O4 - HKUS\S-1-5-20\..\Run: [sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'NETWORK SERVICE')

O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'NETWORK SERVICE')

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~2\MICROS~1\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Закачать ВСЕ при помощи Download Master - C:\Program Files (x86)\Download Master\dmieall.htm

O8 - Extra context menu item: Закачать при помощи Download Master - C:\Program Files (x86)\Download Master\dmie.htm

O8 - Extra context menu item: Передать на удаленную закачку DM - C:\Program Files (x86)\Download Master\remdown.htm

O9 - Extra button: Download Master - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - C:\Program Files (x86)\Download Master\dmaster.exe

O9 - Extra 'Tools' menuitem: &Download Master - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - C:\Program Files (x86)\Download Master\dmaster.exe

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~2\MICROS~1\OFFICE11\REFIEBAR.DLL

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.m...ash/swflash.cab

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~2\COMMON~1\Skype\SKYPE4~1.DLL

O20 - Winlogon Notify: !SASWinLogon - C:\Program Files (x86)\SUPERAntiSpyware\SASWINLO.dll

O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)

O23 - Service: ASDR - Unknown owner - C:\Windows\SysWOW64\ASDR.exe

O23 - Service: ASP.NET State Service (aspnet_state) - Unknown owner - C:\Windows\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe (file missing)

O23 - Service: ATK Fast User Switch Service (ATKFUSService) - Unknown owner - C:\Windows\system32\ATKFUSService.exe (file missing)

O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\Windows\System32\lsass.exe (file missing)

O23 - Service: ESET HTTP Server (EhttpSrv) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\EHttpSrv.exe

O23 - Service: ESET Service (ekrn) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\x86\ekrn.exe

O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing)

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files (x86)\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)

O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)

O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)

O23 - Service: NVIDIA Display Driver Service (nvsvc) - Unknown owner - C:\Windows\system32\nvvsvc.exe (file missing)

O23 - Service: PnkBstrA - Unknown owner - C:\Windows\system32\PnkBstrA.exe

O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)

O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)

O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)

O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)

O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)

O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - C:\Windows\system32\sppsvc.exe (file missing)

O23 - Service: NVIDIA Stereoscopic 3D Driver Service (Stereo Service) - NVIDIA Corporation - C:\Program Files (x86)\NVIDIA Corporation\3D Vision\nvSCPAPISvr.exe

O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)

O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)

O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)

O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)

O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing)

O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)

O23 - Service: @%PROGRAMFILES%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - C:\Program Files (x86)\Windows Media Player\wmpnetwk.exe (file missing)

--

End of file - 6815 bytes

Редактирано 10 юни 201016 г. от nologo (преглед на промените)

10 юни 201016 г.

Привет! Ще може ли малко логове, както следва:

Стъпка 1

Ще може ли да обновиш и да дадеш резултати от (бързо) Quick сканиране с MBAM. Трябва ми лог файл, не снимка.

Стъпка 2

Следвайте следната инструкция за работа с DDS:

Изтеглете DDS: от bleepingcomputer.
След изтегляне на файла го запишете (бутон Save -> Save as) DDS на вашия десктоп, снимка:
След като изтеглите DDS на десктопа, иконката на програмата би трябвало да изглежда така:
Прекратете временно работата на всички скрипт блокиращи приложения, ако има такива или разрешете изпълнението на dds.scr. След това стартирайте DDS с двоен клик на иконката, като потвърдите с Run.
След приключване на работата на DDS копирайте с Copy текста от двата файлови лога, които ще се появят в Notepad: DDS.txt и Attach.txt и ги запазете (бутон Save -> Save as) на десктопа.

Стъпка 3

Следвайте следната инструкция за работа с GMER:

Изтеглете този файл и го разархивирайте на десктопа.
Временно спрете Интернет и всички работещи програми, както и антивирусната си програма (ако има такава).
Преименувайте GMER.exe на Tool.exe и го стартирайте.
Забележки:
1. Сканирането може да доведе до грешки, затова не предприемайте никакви действия върху редовете маркирани с "<--- ROOKIT" без да имате инструкция за това.
2. Ако GMER не се стартира или не работи коректно, не предприемайте повторен опит за стартиране.
Ако бъде открит Rootkit, ще последва въпрос дали желаете пълно сканиране на системата. Изберете NO.
В десния панел на програмата ще видите какво е проверено, но не променяйте нищо. Убедете се, че на Show All няма отметка.
Маркирайте всички устройства: C:, D: и пр.
Натиснете бутона Scan и изчакайте програмата да завърши сканирането.
Когато завърши сканирането, натиснете бутона Save и запишете (save as) резултатите на десктопа с име: Results.log
Вече можете да включите Интернет.

Стъпка 4

Копирайте и поставете (само ако логовете не са много дълги) или прикачете в следващия си коментар (погледнете опцията "прикачени файлове", когато публикувате мнение):

Лог от MBAM
Лог от DDS: DDS.txt
Лог от GMER: Results.log

1

10 юни 201016 г.

Автор

Прикачих логовете то MBAM, DDS. При GMER ми дава грешка. C:\WIndows\System32\config\system: The system cannot find the file specified

DDS.txt

mbam-log-2010-06-10 (11-24-34).txt

Attach.txt

Редактирано 10 юни 201016 г. от plamen_dikov (преглед на промените)

10 юни 201016 г.

Добре. Не се опитвай да пускаш GMER отново. Следва:

Стъпка 1

Следвайте следната инструкция за работа с OTL:

Изтеглете OTL.exe и го запазете на десктопа.
Стартирайте файла с двукратен клик на мишката.
Направете следните настройки:

Под с Copy/ Paste въведете следната информация от цитата по-долу:

netsvcs

msconfig

safebootminimal

safebootnetwork

activex

drivers32

%ALLUSERSPROFILE%\Application Data\*.

%ALLUSERSPROFILE%\Application Data\*.exe /s

%APPDATA%\*.

%APPDATA%\*.exe /s

%SYSTEMDRIVE%\*.*

%SYSTEMDRIVE%\*.exe

%systemroot%\*. /mp /s

CREATERESTOREPOINT

%systemroot%\system32\*.dll /lockedfiles

%systemroot%\Tasks\*.job /lockedfiles

%systemroot%\System32\config\*.sav

%systemroot%\system32\user32.dll /md5

%systemroot%\system32\ws2_32.dll /md5

Натиснете маркираният в синьо бутон: .
Като приключи проверката, ще се създадат два файла - OTL.Txt и Extras.Txt.

Стъпка 2

Прикачете в следващия си коментар (погледнете опцията "прикачени файлове", когато публикувате мнение) логовете от OTL: OTL.Txt, Extras.Txt.

1

10 юни 201016 г.

Автор

Ето

Extras.Txt

OTL.Txt

10 юни 201016 г.

Докато огледам логовете, може ли да пуснеш Sophos Anti-Rootkit? Изтегли го (иска се регистрация), стартирай sarsfx.exe, пусни да сканира (Start scan). Когато сканирането завърши, пусни Windows Explorer и отиди в папка %temp%. Там трябва да има файл с име sarscan.log. Публикувай или го прикачи към следващия си коментар.

1

10 юни 201016 г.

Автор

В момента се извършва сканирането. Резултатите ще ги публикувам по-късно.

Редактирано 10 юни 201016 г. от plamen_dikov (преглед на промените)

10 юни 201016 г.

Пусни на virustotal този файл: C:\Windows\SysWOW64\vbscript.dll и дай линк.

1

10 юни 201016 г.

Автор

Ето лог-а.

http://www.virustota...2e7c-1274088462

До като прикачвах лог-а, отново ме препрати в този сайт.

sarscan.txt

Редактирано 10 юни 201016 г. от plamen_dikov (преглед на промените)

10 юни 201016 г.

Сега следва:

Стъпка 1

Стартирайте пак OTL.exe и с Copy/ Paste под колонката Custom Scans/Fixes въведете скриптовия текст от цитата по-долу, като не забравяте да копирате скрипта 1 към 1, както и двете точки преди OTL!

:OTL
O3 - HKU\S-1-5-21-3174123041-3613595215-2789480688-1000\..\Toolbar\WebBrowser: (no name) - {0E1230F8-EA50-42A9-983C-D22ABC2EED3C} - No CLSID value found.
O3 - HKU\S-1-5-21-3174123041-3613595215-2789480688-1000\..\Toolbar\WebBrowser: (no name) - {C55BBCD6-41AD-48AD-9953-3609C48EACC7} - No CLSID value found.
O4 - HKU\S-1-5-19..\RunOnce: [mctadmin] C:\Windows\SysWow64\mctadmin.exe File not found
O4 - HKU\S-1-5-20..\RunOnce: [mctadmin] C:\Windows\SysWow64\mctadmin.exe File not found
O13 - gopher Prefix: missing
O13 - gopher Prefix: missing
:Commands
[clearallrestorepoints]
[createrestorepoint]
[purity]
[resethosts]
[emptytemp]
[emptyflash]
[Reboot]

След като въведете скрипта от цитата по-горе натиснете бутона, маркиран в червено: Run Fix. Ще се създаде лог файл.

Стъпка 2

Поставете или прикачете в следващия си коментар лога от OTL

1

10 юни 201016 г.

Автор

Ето

06102010_160012.txt

10 юни 201016 г.

Сега стартирай пак OTL и натисни Quick scan. Дай да видим резултата - OTL.txt. Да не би System Restore да е изключен при теб?

10 юни 201016 г.

Автор

Да, изключен е.

OTL2.Txt

10 юни 201016 г.

Сега пак с OTL:

Стъпка 1

Стартирайте пак OTL.exe и с Copy/ Paste под колонката Custom Scans/Fixes въведете скриптовия текст от цитата по-долу, като не забравяте да копирате скрипта 1 към 1, както и двете точки в скрипта на първия ред!


:processes

killallprocesses


:files

C:\32788R22FWJFW

c:\recycler

d:\recycler

e:\recycler


:Commands

[purity]

[emptytemp]

[Reboot]

След като въведете скрипта от цитата по-горе натиснете бутона, маркиран в червено: Run Fix. Ще се създаде лог файл.

Стъпка 2

Поставете или прикачете в следващия си коментар лога от OTL

10 юни 201016 г.

Автор

Готово

06102010_164116.txt

10 юни 201016 г.

Докато прегледам логовете, пусни пак един бърз скан с MBAM и дай лог. Сега има ли проблем с браузърите и редиректване?

10 юни 201016 г.

Автор

В момента няма проблем. Трябва да мине повечко време да разберем. Ако възникне отново, ще пиша. Благодаря за отделеното време! Пролагам лог-а от MBAM.

Malwarebytes' Anti-Malware 1.46

www.malwarebytes.org

Database version: 4186

Windows 6.1.7600

Internet Explorer 8.0.7600.16385

10.06.2010 16:51:22

mbam-log-2010-06-10 (16-51-22).txt

Scan type: Quick scan

Objects scanned: 124840

Time elapsed: 3 minute(s), 17 second(s)

Memory Processes Infected: 0

Memory Modules Infected: 0

Registry Keys Infected: 0

Registry Values Infected: 0

Registry Data Items Infected: 0

Folders Infected: 0

Files Infected: 0

Memory Processes Infected:

(No malicious items detected)

Memory Modules Infected:

(No malicious items detected)

Registry Keys Infected:

(No malicious items detected)

Registry Values Infected:

(No malicious items detected)

Registry Data Items Infected:

(No malicious items detected)

Folders Infected:

(No malicious items detected)

Files Infected:

(No malicious items detected)

10 юни 201016 г.

Добре, сега деинсталирай OTL. Ето как:

Стартирайте OTL.exe още веднъж и натиснете бутона CleanUp!

При дeинсталацията на OTL ще бъдат почистени инструменти и файлове, които използвахме в темата. Ще последва рестарт на Windows.

Може да деинсталираш Sophos Anti-Rootkit.

Ако искаш може да направиш скан с Dr.Web CureIt или Kaspersky Online Scanner.

P.S. Аз ще огледам пак логовете. Ако има нещо подозрително, пиши!

10 юни 201016 г.

Автор

Dr.Web CureIt намери промени в HOST файла на windows и уж го оправи. Друго няма.

Някой знае ли как точно трябва да изглежда файла?

10 юни 201016 г.

Мога да ти дам малко инфо за един хост файл (виж hosts.zip) от mvps.org. Ето Blocking Unwanted Parasites with a Hosts File. Специално как става това за WIndows 7: Updating the HOSTS file in Windows 7.

10 юни 201016 г.

Автор

Благодарско. Мисля, че проблема вече е решен.

10 юни 201016 г.

Добре, ще го маркирам в заглавието на темата.

P.S. Може да погледнеш и програмата HostsMan, безплатна е и с нея може да оправяш хост файла. Но трябва да знаеш какво правиш.

Добре дошли!

Проблем с adware [РЕШЕН]

Featured Replies

Регистрирайте се или влезете в профила си за да коментирате

Разглеждащи това в момента 0

Дарение

Бюлетин

Профил

Навигация

Търсене

Конфигуриране на push известия в браузъра

Chrome (Android)

Chrome (Desktop)

Safari (iOS 16.4+)

Safari (macOS)

Edge (Android)

Edge (Desktop)

Firefox (Android)

Firefox (Desktop)