Infikovaný Facebook

[wokie]

Odstraněno

[vyosek]

Free reseni (Avast, Avira ci MSE) nainstalovano?

[wokie]

Mám tam pořád tu 30denní trial verzi Noda, nevadí?

[vyosek]

Ja jsem podminky pomoci napsal, pokud se Vam nelibi, tlacitko Odhlasit je vlevo nahore

[wokie]

Avast nainstalován...

[vyosek]

Stahnete SecurityCheck http://screen317.spywareinfoforum.org/SecurityCheck.exe

• Ulozte nejlepe na Plochu
• Spustte tradicne dvouklikem a postupujte dle pokynu utility
• Po dokonceni skenu se vytvori a otevre log, ten mi sem vlozte

[wokie]

Results of screen317's Security Check version 0.99.58
Windows 7 Service Pack 1 x64 (UAC is disabled!)
Internet Explorer 9
``````````````Antivirus/Firewall Check:``````````````
avast! Antivirus
Antivirus up to date!
`````````Anti-malware/Other Utilities Check:`````````
Malwarebytes Anti-Malware verze 1.70.0.1100
Java 7 Update 13
Adobe Reader 10.1.5 Adobe Reader out of Date!
Google Chrome 24.0.1312.57
````````Process Check: objlist.exe by Laurent````````
Malwarebytes Anti-Malware mbamservice.exe
Malwarebytes Anti-Malware mbamgui.exe
Malwarebytes' Anti-Malware mbamscheduler.exe
AVAST Software Avast AvastSvc.exe
AVAST Software Avast AvastUI.exe
`````````````````System Health check`````````````````
Total Fragmentation on Drive C:
````````````````````End of Log``````````````````````

[wokie]

Nějaký nápady ?

[vyosek]

Napady jsou, ale i ja bych rad sel rozumne spat

Pokud nemate, tak presunte Combofix na plochu

• Spustte poznamkovy blok (Start-spustit-notepad)
• Zkopirujte skript nize

• Kód: Vybrat vše

  KillAll::
  
  Folder::
  c:\program files (x86)\ESET
  c:\program files\ESET
  d:\program files (x86)\TNod User & Password Finder
  
  Registry::
  [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
  "DAEMON Tools Pro Agent"=-
  "KiesPreload"="-
  "KiesAirMessage"=-
  [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]
  "Adobe Reader Speed Launcher"=-
  "Adobe ARM"=-
  "KiesTrayAgent"=-
  "SunJavaUpdateSched"=-
  [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce]
  "Malwarebytes Anti-Malware"=-
  
  File::
  c:\windows\Tasks\Adobe Flash Player Updater.job
  c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-3327670859-2487924511-2925853085-1000Core1ce0e0fd86f99ce.job
  c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-3327670859-2487924511-2925853085-1000UA1ce0e0fd88d5b6e.job
  
  RegLock::
  [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}]
  [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}]
  [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}]
  [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}]
  [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}]
  [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VideoLAN.VLCPlugin.*1*]
  [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VideoLAN.VLCPlugin.*1*\CLSID]
  [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VideoLAN.VLCPlugin.*2*]
  [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VideoLAN.VLCPlugin.*2*\CLSID]
  [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}]
  [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]
  
  RegNull::
  [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VideoLAN.VLCPlugin.*1*]
  [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VideoLAN.VLCPlugin.*2*]
  
  ClearJavaCache::
  
  Reboot::

• Ulozte vytvoreny TXT jako CFScript.txt
• Pretahnete vytvoreny CFScript.txt nad Combofix a pustte (viz obrazek nize)
  
• Po aplikaci skriptu (a pripadnem restartu) na Vas vypadne log, jeho obsah sem vlozte

Pokud vyskoci hlaska "Pokus pouzit neplatnou operaci na klic registru, ktery je oznacen pro odstraneni", tak jen restartujte PC - registr se da do kupy - jedna se o vnitrni chybu, kterou zpusobuje CF a autor ji zatim neumi bohuzel opravit

Muze se stat, ze po aplikaci skriptu nenabehnou windows, v tomto pripade restartuje PC a mackejte F8 a zvolte Posledni znamou konfiguraci

[wokie]

Já myslel, že tady na fóru jsou všichni noční ptáci

Už jsem našel ten "vir". Do prohlížeče (Chrome) se mi nainstaloval zásuvný modul, který se aktivoval vždy při zadání adresy facebook.com. Jmenovalo se to "BusinessAdobe" nebo nějak podobně. Systém ho považoval za normální součást prohlížeče. Problém byl, že pozměnil i záložku "rozšíření" v prohlížeči tak, že při kliknutí na tuto záložku vás automaticky přesměroval na obchod Googleplay. Pokud jsem klikl na tlačítko "zpět", pak mi tam problikl seznam modulů, ale ihned se opět načetl Googleplay. Takže jsem odinstaloval Chrome, opět nainstaloval, nejprve klikl na záložku "rozšíření", a až poté dal synchronizovat s Google účtem. V tu chvíli se tam opět objevil "BusinessAdobe" a ten jsem dal okamžitě smazat.

Od té doby naprosto bez problémů

BTW: Avast tenhle modul nedetekuje, takže doporučuji Nod32

[wokie]

Prosím o lock a označení tohoto topicu jako vyřešeného.

[vyosek]

Diky za info, ja bych tam jeste par kroku udelal pro lepsi beh PC, ale jak chcete...

Ano nocni ptaci jsme, ale kdyz mam byt v osm na fakulte, tak se rad aspon trochu vyspim...

Na vasi zadost