Jak odblokować strony Google po usunięciu wirusów i trojanów?

Witam. Złapałem jakiegoś wirusa, mimo że miałem zainstalowany program Avira i firewall Sygate. Powiadomił mnie o tym program antywirusowy na serwerze zakładowym. Zainstalowałem nowy antyvir: Node32 i przeskanowałem komputer. Wykrył on kilka trojanów i usunął toolbar Babylon ale od tej pory nie mogę wejść na strony googla. Stosowałem też CCleaner, Spybot ale problem nadal pozostaje. Wiem że nadpisany jest plik Hosts ale nie mogę do zmienić mimo, że loguję się jako administrator albo w trybie awaryjnym. Poza Node wykrył też trojana "gg1.temp" na dwóch pendriwach podłączonych do komputera. Może mógłby ktoś coś poradzić. Dołączam logi z OTL.

jeszcze OTL.txt

Nie pisz post pod postem, uzywaj zmien.



Java(TM) 6 Update 24, do aktualizacji -> www.java.com

Odinstaluj:
pdfforge Toolbar v4.9
Adobe Reader 9.2 - Polish, zmien na Foxit


Zrob skan przy pomocy mbam oraz cureit.

Wykonaj skrypt w OTL:

:OTL
IE - HKU\S-1-5-21-1143301839-866079722-275171776-1005\..\URLSearchHook: {1392b8d2-5c05-419f-a8f6-b9f15a596612} - C:\Program Files\Freecorder\prxtbFre2.dll (Conduit Ltd.)
IE - HKU\S-1-5-21-1143301839-866079722-275171776-1005\..\URLSearchHook: {B922D405-6D13-4A2B-AE89-08A030DA4402} - C:\Program Files\pdfforge Toolbar\IE\4.9\pdfforgeToolbarIE.dll (Spigot, Inc.)
IE - HKU\S-1-5-21-1143301839-866079722-275171776-1005\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
IE - HKU\S-1-5-21-1143301839-866079722-275171776-1005\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = http=127.0.0.1:51192
FF - prefs.js..extensions.enabledItems: engine(_at_)conduit.com:3.3.2.1
FF - prefs.js..keyword.URL: "209.85.229.104"
FF - prefs.js..network.proxy.ftp: ":0"
FF - prefs.js..network.proxy.gopher: ":0"
FF - prefs.js..network.proxy.http: "127.0.0.1"
FF - prefs.js..network.proxy.http_port: 51192
FF - prefs.js..network.proxy.share_proxy_settings: true
FF - prefs.js..network.proxy.socks: ":0"
FF - prefs.js..network.proxy.ssl: ":0"
FF - prefs.js..network.proxy.type: 0
[2011-04-14 12:49:54 | 000,002,354 | ---- | M] () -- C:\Documents and Settings\Andrzej Pawlak\Dane aplikacji\Mozilla\Firefox\Profiles\mj7v9off.default\searchplugins\aol-web-search.xml
[2012-01-03 16:27:44 | 000,002,333 | ---- | M] () -- C:\Documents and Settings\Andrzej Pawlak\Dane aplikacji\Mozilla\Firefox\Profiles\mj7v9off.default\searchplugins\askcom.xml
[2010-01-20 11:14:24 | 000,000,923 | ---- | M] () -- C:\Documents and Settings\Andrzej Pawlak\Dane aplikacji\Mozilla\Firefox\Profiles\mj7v9off.default\searchplugins\conduit.xml
O2 - BHO: (Freecorder Toolbar) - {1392b8d2-5c05-419f-a8f6-b9f15a596612} - C:\Program Files\Freecorder\prxtbFre2.dll (Conduit Ltd.)
O2 - BHO: (pdfforge Toolbar) - {B922D405-6D13-4A2B-AE89-08A030DA4402} - C:\Program Files\pdfforge Toolbar\IE\4.9\pdfforgeToolbarIE.dll (Spigot, Inc.)
O3 - HKLM\..\Toolbar: (Freecorder Toolbar) - {1392b8d2-5c05-419f-a8f6-b9f15a596612} - C:\Program Files\Freecorder\prxtbFre2.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (pdfforge Toolbar) - {B922D405-6D13-4A2B-AE89-08A030DA4402} - C:\Program Files\pdfforge Toolbar\IE\4.9\pdfforgeToolbarIE.dll (Spigot, Inc.)
O3 - HKU\.DEFAULT\..\Toolbar\WebBrowser: (Freecorder Toolbar) - {1392B8D2-5C05-419F-A8F6-B9F15A596612} - C:\Program Files\Freecorder\prxtbFre2.dll (Conduit Ltd.)
O3 - HKU\S-1-5-18\..\Toolbar\WebBrowser: (Freecorder Toolbar) - {1392B8D2-5C05-419F-A8F6-B9F15A596612} - C:\Program Files\Freecorder\prxtbFre2.dll (Conduit Ltd.)
O3 - HKU\S-1-5-21-1143301839-866079722-275171776-1005\..\Toolbar\WebBrowser: (Freecorder Toolbar) - {1392B8D2-5C05-419F-A8F6-B9F15A596612} - C:\Program Files\Freecorder\prxtbFre2.dll (Conduit Ltd.)
O32 - AutoRun File - [2010-11-22 14:08:16 | 000,000,110 | -H-- | M] () - E:\autorun.inf -- [ FAT32 ]
[2011-07-20 12:55:06 | 000,000,000 | ---D | M] -- C:\Documents and Settings\All Users\Dane aplikacji\Babylon
[2012-02-23 14:39:33 | 000,000,000 | ---D | M] -- C:\Documents and Settings\Andrzej Pawlak\Dane aplikacji\A00E0
[2011-07-20 12:55:05 | 000,000,000 | ---D | M] -- C:\Documents and Settings\Andrzej Pawlak\Dane aplikacji\Babylon
[2012-02-24 15:26:11 | 000,000,000 | ---D | M] -- C:\Documents and Settings\Andrzej Pawlak\Dane aplikacji\PriceGong
[2011-12-28 14:30:54 | 000,000,000 | ---D | M] -- C:\Documents and Settings\Andrzej Pawlak\Dane aplikacji\Search Settings

:Commands
[resethosts]


Po wykonaniu daj nowy log, tym razem bez grzebania w opcjach.

Witam ponownie. Bardzo dziękuję za pomoc i przepraszam, że tak długo to trwało. Odinstalowałem wskazane programy i przeskanowałem kompa cureit, który nic nie wykrył (ale było to ponoć szybkie skanowanie bo ok. 25 min. i może powinienem włączyć jeszcze pełen skan. Malwerebytes wykrył14 trojanów oto log z tego skanu:

"Wykrytych wartości rejestru: 2
HKCU\Software\Microsoft|adver_id (Malware.Trace) -> Data: 0 -> Nie wykonano akcji.
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings|ProxyServer (PUM.Bad.Proxy) -> Data: http=127.0.0.1:51192 -> Nie wykonano akcji.

Wykryte wpisy rejestru systemowego: 0
(Nie znaleziono zagrożeń)

wykrytych folderów: 0
(Nie znaleziono zagrożeń)

Wykrytych plików: 14
C:\System Volume Information\_restore{43A21017-CA89-41F7-B94A-E6D30351AEB0}\RP385\A0058956.exe (Trojan.Agent.H) -> Nie wykonano akcji.
C:\System Volume Information\_restore{43A21017-CA89-41F7-B94A-E6D30351AEB0}\RP386\A0058981.exe (Trojan.Agent.H) -> Nie wykonano akcji.
C:\System Volume Information\_restore{43A21017-CA89-41F7-B94A-E6D30351AEB0}\RP386\A0059056.exe (Trojan.Agent.H) -> Nie wykonano akcji.
C:\System Volume Information\_restore{43A21017-CA89-41F7-B94A-E6D30351AEB0}\RP387\A0059142.exe (Trojan.Agent.H) -> Nie wykonano akcji.
C:\System Volume Information\_restore{43A21017-CA89-41F7-B94A-E6D30351AEB0}\RP388\A0059340.exe (Trojan.Downloader.BH) -> Nie wykonano akcji.
C:\System Volume Information\_restore{43A21017-CA89-41F7-B94A-E6D30351AEB0}\RP388\A0059343.exe (Trojan.Agent.H) -> Nie wykonano akcji.
C:\System Volume Information\_restore{43A21017-CA89-41F7-B94A-E6D30351AEB0}\RP389\A0059413.exe (Trojan.Agent.H) -> Nie wykonano akcji.
C:\System Volume Information\_restore{43A21017-CA89-41F7-B94A-E6D30351AEB0}\RP389\A0059497.exe (Trojan.Agent.H) -> Nie wykonano akcji.
C:\System Volume Information\_restore{43A21017-CA89-41F7-B94A-E6D30351AEB0}\RP390\A0059732.exe (Trojan.Agent.H) -> Nie wykonano akcji.
C:\System Volume Information\_restore{43A21017-CA89-41F7-B94A-E6D30351AEB0}\RP390\A0059755.exe (Trojan.Agent.PE5) -> Nie wykonano akcji.
C:\System Volume Information\_restore{43A21017-CA89-41F7-B94A-E6D30351AEB0}\RP390\A0059846.exe (Trojan.Agent.H) -> Nie wykonano akcji.
C:\System Volume Information\_restore{43A21017-CA89-41F7-B94A-E6D30351AEB0}\RP391\A0059875.exe (Trojan.Agent.H) -> Nie wykonano akcji.
C:\System Volume Information\_restore{43A21017-CA89-41F7-B94A-E6D30351AEB0}\RP391\A0059957.exe (Trojan.Agent.H) -> Nie wykonano akcji.
C:\Documents and Settings\Andrzej Pawlak\uidsave.dat (Malware.Trace) -> Nie wykonano akcji."

Potem wykonałem skrypt w OTL a oto log



P.S. Jest jeszcze jeden problem którego nie rozumiem. Gdy tylko zrestartuję komputer to znika plik OTL.exe. Teraz przypominam sobie, że gdy zaczęły się kłopoty z wirusem to nagle nie moglem odnaleźć programu Sygate, który miał przecież chronić komputer.

Usun to co wykryl mbam o ile jeszcze tego nie zrobiles.

Dales log z usuwania, a prosilem o nowy log ze skanowania.

Witam. Sorry ze tak późno ale taka praca. Najpierw dokonałem jeszcze pełnego skanu przez cureit, oto
wynik:

"A0060211.exe C:\System Volume Information\_restore{43A21017-CA89-41F7-B94A-E6D30351AEB0}\RP393 Trojan.Siggen3.49161 Niewyleczalny.Przeniesiony.
A0061551.exe C:\System Volume Information\_restore{43A21017-CA89-41F7-B94A-E6D30351AEB0}\RP393 Trojan.Siggen3.49161 Niewyleczalny.Przeniesiony.
A0061578.exe C:\System Volume Information\_restore{43A21017-CA89-41F7-B94A-E6D30351AEB0}\RP393 Trojan.Siggen3.49161 Niewyleczalny.Przeniesiony.
A0062015.exe C:\System Volume Information\_restore{43A21017-CA89-41F7-B94A-E6D30351AEB0}\RP397 Trojan.Siggen3.49161 Niewyleczalny.Przeniesiony.
A0062016.exe C:\System Volume Information\_restore{43A21017-CA89-41F7-B94A-E6D30351AEB0}\RP397 Trojan.Inject.61998 Usunięty.
dqqrqulk.js C:\Moje_Dokumenty\Czytelnia\pieniadze\wykup dzialek\393225,dzialki_za_10_jeszcze_tylko_przez_18_miesiecy_pliki\connect_data\a_d Prawdopodobnie SCRIPT.Virus
JavaStream[00000001][000009DC] C:\Program Files\MiKTeX 2.8\doc\latex\rangen Kontener zawiera zainfekowane obiekty
JavaStream[00000003][00000FB1] C:\Program Files\MiKTeX 2.8\doc\latex\rangen Kontener zawiera zainfekowane obiekty
JavaStream[00000005][00001902] C:\Program Files\MiKTeX 2.8\doc\latex\rangen Kontener zawiera zainfekowane obiekty
NeroStartSmart.exe C:\Program Files\ahead\Nero StartSmart Trojan.Inject.61998 Usunięty.
OTL.exe C:\Downloads\OTL Trojan.Siggen3.49161 Niewyleczalny.Przeniesiony.
OTL.exe F:\download\OTL Trojan.Siggen3.49161 Niewyleczalny.Przeniesiony.
rangen_man.pdf C:\Program Files\MiKTeX 2.8\doc\latex\rangen Kontener zawiera zainfekowane obiekty Przeniesiony.
rangen_man.pdf/JavaStream[00000001][000009DC]\JSTAG_1[20][e0f] C:\Program Files\MiKTeX 2.8\doc\latex\rangen\rangen_man.pdf/JavaStream[00000001][000009DC] Prawdopodobnie SCRIPT.Virus
rangen_man.pdf/JavaStream[00000003][00000FB1]\JSTAG_1[20][1301] C:\Program Files\MiKTeX 2.8\doc\latex\rangen\rangen_man.pdf/JavaStream[00000003][00000FB1] Prawdopodobnie SCRIPT.Virus
rangen_man.pdf/JavaStream[00000005][00001902]\JSTAG_1[20][dfa] C:\Program Files\MiKTeX 2.8\doc\latex\rangen\rangen_man.pdf/JavaStream[00000005][00001902] Prawdopodobnie SCRIPT.Virus"

Wywalił mi OTL-a choć ściągnąłem go ze strony www.dobreprogramy ale może to fałszywy alarm. Teraz dołączam plik ze skanu OTL-em jaki wykonałem potem. Jednak z googlem nie łączy. Łączy bez przeszkód z http://209.85.229.104.

Odinstaluj:
Freecorder Toolbar

Nowy skrypt, przed jego wykonaniem zmien (malpa) na @

:OTL
IE - HKLM\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A}
IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = http://search.live.com/results.aspx?q={searchTerms}&src={referrer:source?}
IE - HKCU\..\SearchScopes,DefaultScope = {EEE7E0A3-AE64-4dc8-84D1-F5D7BAF2DB0C}
IE - HKCU\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = http://search.live.com/results.aspx?q={searchTerms}&src=IE-SearchBox&Form=IE8SRC
IE - HKCU\..\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}: "URL" = http://websearch.ask.com/redirect?client=ie&tb=BA2&o=APN10138&src=crm&q={searchTerms}&locale=en_US&apn_ptnrs=^A65&apn_dtid=^YYYYYY^YY^PL&apn_uid=a8e18495-80aa-42aa-8084-460f0981d694&apn_sauid=B279E7FF-5194-43AE-B4AC-3F7C3402FC9F
IE - HKCU\..\SearchScopes\{48B04D21-ED3D-441B-B514-471A776C2BF7}: "URL" = http://search.yahoo.com/search?fr=chr-greentree_ie&ei=utf-8&ilc=12&type=827316&p={searchTerms}
IE - HKCU\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT1060933
IE - HKCU\..\SearchScopes\{EEE7E0A3-AE64-4dc8-84D1-F5D7BAF2DB0C}: "URL" = http://slirsredirect.search.aol.com/redirector/sredir?sredir=2685&query={searchTerms}&invocationType=tb50-ie-winamp-chromesbox-en-us&tb_uuid=20110414113854703&tb_oid=14-04-2011&tb_mrud=14-04-2011
FF - prefs.js..extensions.enabledItems: engine(_at_)conduit.com:3.3.2.1
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {D4027C7F-154A-4066-A1AD-4243D8127440} - No CLSID value found.


Sprobuj zmienic dns na 8.8.8.8 i zobacz czy google zacznie dzialac.

Daj tez log z TDSSKiller oraz AntiZeroAccess.

1) Freecorder Toolbar nie bardzo daje się odinstalować. W zasadzie odinstalowałem go już 3 razy ale w Dodaj/usuń programy jeszcze pozostaje

2) wykonałem skrypt na OTL po czym otrzymałem następującu log:

"========== OTL ==========
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\DefaultScope| /E : value set successfully!
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}\ not found.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\DefaultScope| /E : value set successfully!
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{48B04D21-ED3D-441B-B514-471A776C2BF7}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{48B04D21-ED3D-441B-B514-471A776C2BF7}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{afdbddaa-5d3f-42ee-b79c-185a7020515b}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{EEE7E0A3-AE64-4dc8-84D1-F5D7BAF2DB0C}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{EEE7E0A3-AE64-4dc8-84D1-F5D7BAF2DB0C}\ not found.
Prefs.js: engine(_at_)conduit.com:3.3.2.1 removed from extensions.enabledItems
Registry value HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{D4027C7F-154A-4066-A1AD-4243D8127440} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}\ not found.

OTL by OldTimer - Version 3.2.34.0 log created on 03012012_170726
"
3) próbowałem zmieniać mu adresy serwerów DNS ale nic nie pomagało więc zostawiłem tak jak jest "uzyskaj adres serwera DNS automatycznie. Problem nie zniknął
4) Przeskanowałem AntiZeroAccess ale nic nie wykrył
5) skanowałem TDSSKiller ale mój antyvir Node32 zgłasza że tam jest w środku koń trojański "Agent.Soc.Gen". Za pierwszym razem się wystraszyłem i skasowałem ten plik ale po namyśle ściągnąłem i puściłem jeszcze raz mimo oporów ze strony Nod32. Wykrył jednego wirusa. Wklejam odpowiedniego loga




6) Wykonałem potem skan przy pomocy OTL oto log

No i
7) po restarcie kompa po akcji TDSkiller strony googla wchodzą bez problemu czyli w zasadzie sukces ale mam pytania:

czy sygnały że w OTL jest trojan albo że TDSkiller też zawiera wirusa są fałszywe i je zignorować czy problem jest poważniejszy. Mam też zeskanować pendrivy? Dziękuję i pozdrawiam

Tak, to falszywe alarmy. Co do OTL to zglaszalem to juz tyle razy do Cureit, ze mam dosc. Z kazda kolejna nowa wersja ponownie wykrywa go jako szkodliwy plik.

Wszystko juz wyglada ok. Dziwne, ze cureit nie wykryl tej infekcji.

Wybierz Sprzatanie w OTL i to wszystko.

Przede wszystkim wielkie dzięki Mistrzu. Wygląda, że jest teraz o.k. ale na strony bankowe nie będę wchodził z tego komputera bo się jeszcze trochę boję.

Nie wiem jednak czy nie mam teraz za dużo programów antywirusowych bo teraz Nod32 i Malwerebytes działają równolegle razem (i o dziwo na razie się nie gryzą) i mam włączonego SpyBota?
Pojawiło się też dziwne zjawisko gdy wybieram "Start->Ustawienia->Panel sterowania" to zawiesza mi się komputer na kilka minut. Menadżer zadań pokazuje, że program searchfilterhost.exe zajmuje ok. 50% CPU. Gdy zabiję ten proces to wszystko wraca do normy. Po kilku takich próbach
nawet zabijać nie muszę i PS pojawia się po kilku sekundach ale na początku zawsze jest zwiecha. Panel sterowania otwiera się bez problemów, gdy wybieram go z paska szybkiego uruchamiania. Tego nie rozumiem.

W każdym razie jeszcze raz dziękuję i pozdrawiam

Mbam to nie antywirus, wiec moze dzialac razem z nodem. Spybot mozna odinstalowac.

Co do panelu sterownia to nie wiem co moze powodowac ten problem.