logi z OTL i malwarebytes

[muniek]

witam

Prosiłbym o sprawdzenie logów. Mam laptopa z vistą i od jakiegoś miesiąca mam problem z zawieszaniem. Przez 3 lata używałem tylko jednego programu do ochrony Eset Smart Security

OTL.Txt
Dostępne tylko dla zarejestrowanych użytkowników

Extras.Txt
Dostępne tylko dla zarejestrowanych użytkowników

mbam-log
Dostępne tylko dla zarejestrowanych użytkowników

[kominekl]

Mam laptopa z vistą i od jakiegoś miesiąca mam problem z zawieszaniem.

To i tak dobrze, bo infekcje tu siedzą co najmniej od 23 czerwca 2011 od godziny 22:30:35.

mbam-log

Opróżnij kwarantannę Malwarebytes`a (usuń wszystko). Potem, po sprawdzeniu logów jeszcze trzeba będzie podziałać Malwarebytes`em, gdyż wykonałeś tylko Szybkie Skanowanie, a tylko pełne jest naprawdę głębokie, ale to później.

SRV - [2008-01-21 04:23:32 | 000,272,952 | ---- | M] (Microsoft Corporation) [Auto | Running] -- C:\Program Files\Windows Defender\MpSvc.dll -- (WinDefend)
O4 - HKLM..\Run: [00TCrdMain] C:\Program Files\TOSHIBA\FlashCards\TCrdMain.exe (TOSHIBA Corporation)
O4 - HKLM..\Run: [SmoothView] C:\Program Files\TOSHIBA\SmoothView\SmoothView.exe (TOSHIBA Corporation)
O4 - HKLM..\Run: [topi] C:\Program Files\TOSHIBA\Toshiba Online Product Information\topi.exe (TOSHIBA)
O4 - HKLM..\Run: [Toshiba Registration] C:\Program Files\TOSHIBA\Registration\ToshibaRegistration.exe (Toshiba)
O4 - HKLM..\Run: [Toshiba TEMPRO] C:\Program Files\Toshiba TEMPRO\TemproTray.exe (Toshiba Europe GmbH)
O4 - HKLM..\Run: [Windows Defender] C:\Program Files\Windows Defender\MSASCui.exe (Microsoft Corporation)
O4 - HKU\S-1-5-19..\Run: [WindowsWelcomeCenter] C:\Windows\System32\oobefldr.dll (Microsoft Corporation)
O4 - HKU\S-1-5-20..\Run: [WindowsWelcomeCenter] C:\Windows\System32\oobefldr.dll (Microsoft Corporation)
O4 - Startup: C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\TRDCReminder.lnk = C:\Program Files\TOSHIBA\TRDCReminder\TRDCReminder.exe (TOSHIBA Europe)
O4 - Startup: C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\TRDCReminder.lnk = C:\Program Files\TOSHIBA\TRDCReminder\TRDCReminder.exe (TOSHIBA Europe)

To tak naprawdę zbędniki w autostarcie. Część usunę skryptem, a część inaczej.

"free-downloads.net Toolbar" = free-downloads.net Toolbar
"Veetle TV" = Veetle TV 0.9.16

Free-downloads.net Toolbar to zbędny pasek narzędzie. Veetle TV jest oprogramowaniem z grupy vShare`a. Odinstaluj to oprogramowanie.

Logi.

Uruchom OTL -> w oknie Własne opcje skanowania/skrypt wklej:

:Processes
killallprocesses

:OTL

DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\ewusbmdm.sys -- (hwdatacard)
DRV - File not found [Kernel | On_Demand | Unknown] -- -- (al6lkckl)
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Secondary_Page_URL = [Binary data over 100 bytes]
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Secondary Start Pages = [Binary data over 100 bytes]
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}&mntrId=4cc754eb0000000000000080c6e887ef&tlver=1.4.19.19&affID=17160
IE - HKLM\..\URLSearchHook: {ecdee021-0d17-467f-a1ff-c7a115230949} - C:\Program Files\free-downloads.net\tbfree.dll (Conduit Ltd.)
IE - HKLM\..\SearchScopes,DefaultScope = {afdbddaa-5d3f-42ee-b79c-185a7020515b}
IE - HKLM\..\SearchScopes\{48256017-7CF9-4B3F-84F8-AC1E524531E5}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}&rls=com.microsoft:{language}:{referrer:source?}&ie={inputEncoding}&oe={outputEncoding}&rlz=1I7TSEA;
IE - HKLM\..\SearchScopes\{8947AAD9-EF9E-4DA7-90BE-6AE8DBA49058}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}
IE - HKLM\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}&SearchSource=4&ctid=CT2233703
IE - HKU\S-1-5-21-1837680684-1237777834-3771188211-1000\SOFTWARE\Microsoft\Internet Explorer\Main,SearchDefaultBranded = 1
IE - HKU\S-1-5-21-1837680684-1237777834-3771188211-1000\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = Dostępne tylko dla zarejestrowanych użytkowników
IE - HKU\S-1-5-21-1837680684-1237777834-3771188211-1000\SOFTWARE\Microsoft\Internet Explorer\Main,StartPageCache = 1
IE - HKU\S-1-5-21-1837680684-1237777834-3771188211-1000\..\SearchScopes,DefaultScope = {8947AAD9-EF9E-4DA7-90BE-6AE8DBA49058}
IE - HKU\S-1-5-21-1837680684-1237777834-3771188211-1000\..\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}&locale=
IE - HKU\S-1-5-21-1837680684-1237777834-3771188211-1000\..\SearchScopes\{1F096B29-E9DA-4D64-8D63-936BE7762CC5}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}&mntrId=4cc754eb0000000000000080c6e887ef&tlver=1.4.19.19&affID=17160
IE - HKU\S-1-5-21-1837680684-1237777834-3771188211-1000\..\SearchScopes\{48256017-7CF9-4B3F-84F8-AC1E524531E5}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}&rls=com.microsoft:{language}:{referrer:source?}&ie={inputEncoding}&oe={outputEncoding}&rlz=1I7GGLL_pl
IE - HKU\S-1-5-21-1837680684-1237777834-3771188211-1000\..\SearchScopes\{70D46D94-BF1E-45ED-B567-48701376298E}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}
IE - HKU\S-1-5-21-1837680684-1237777834-3771188211-1000\..\SearchScopes\{8947AAD9-EF9E-4DA7-90BE-6AE8DBA49058}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}
IE - HKU\S-1-5-21-1837680684-1237777834-3771188211-1000\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}&SearchSource=4&ctid=CT2233703
IE - HKU\S-1-5-21-1837680684-1237777834-3771188211-1000\..\SearchScopes\{BABAE827-572E-42EA-9584-F08B8B5BC60D}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}&src=IE-SearchBox&Form=IE8SRC
IE - HKU\S-1-5-21-1837680684-1237777834-3771188211-1000\..\SearchScopes\{E88E0043-C9D4-4e33-8555-FEE4F5B63060}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}&utf8in=1&fr=ietb
FF - prefs.js..browser.search.defaultenginename: "Web Search"
FF - prefs.js..browser.search.order.1: "Ask.com"
FF - HKLM\Software\MozillaPlugins\@real.com/nsJSRealPlayerPlugin;version=: File not found
FF - HKLM\Software\MozillaPlugins\@veetle.com/vbp;version=0.9.16: C:\Program Files\Veetle\VLCBroadcast\npvbp.dll (Veetle Inc)
FF - HKLM\Software\MozillaPlugins\@veetle.com/veetleCorePlugin,version=0.9.16: C:\Program Files\Veetle\plugins\npVeetle.dll (Veetle Inc)
FF - HKLM\Software\MozillaPlugins\@veetle.com/veetlePlayerPlugin,version=0.9.16: C:\Program Files\Veetle\Player\npvlc.dll (Veetle Inc)
[2012-03-30 08:13:31 | 000,000,000 | ---D | M] (DownloadHelper) -- C:\Users\Marcin\AppData\Roaming\mozilla\Firefox\Profiles\qecscvlc.default\extensions\{b9db16a4-6edc-47ec-a1f4-b86292ed211d}
[2012-02-14 12:28:04 | 000,000,000 | ---D | M] (Iplex to ALLPlayer) -- C:\Users\Marcin\AppData\Roaming\mozilla\Firefox\Profiles\qecscvlc.default\extensions\IplextoALL@ALLPlayer.org
[2010-04-10 22:25:40 | 000,002,425 | ---- | M] () -- C:\Users\Marcin\AppData\Roaming\Mozilla\Firefox\Profiles\qecscvlc.default\searchplugins\askcom.xml
[2010-06-02 22:10:47 | 000,000,897 | ---- | M] () -- C:\Users\Marcin\AppData\Roaming\Mozilla\Firefox\Profiles\qecscvlc.default\searchplugins\conduit.xml
[2011-12-22 19:58:43 | 000,000,792 | ---- | M] () -- C:\Users\Marcin\AppData\Roaming\Mozilla\Firefox\Profiles\qecscvlc.default\searchplugins\startsear.xml
O3 - HKLM\..\Toolbar: (no name) - {338B4DFE-2E2C-4338-9E41-E176D497299E} - No CLSID value found.
O4 - HKLM..\Run: [cfFncEnabler.exe] cfFncEnabler.exe File not found
O4 - HKLM..\Run: [NDSTray.exe] NDSTray.exe File not found
O9 - Extra Button: eBay - {76577871-04EC-495E-A12B-91F7C3600AFA} - Dostępne tylko dla zarejestrowanych użytkowników File not found
O9 - Extra Button: Amazon.co.uk - {8A918C1D-E123-4E36-B562-5C1519E434CE} - Dostępne tylko dla zarejestrowanych użytkowników File not found
O15 - HKU\S-1-5-21-1837680684-1237777834-3771188211-1000\..Trusted Domains: localhost ([]http in Lokalny intranet)
O15 - HKU\S-1-5-21-1837680684-1237777834-3771188211-1000\..Trusted Ranges: GD ([http] in Lokalny intranet)
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} Dostępne tylko dla zarejestrowanych użytkowników (Reg Error: Key error.)
@Alternate Data Stream - 12 bytes -> C:\Windows\System32:{4B9A1497-0817-47C4-9612-D6A1C53ACF57}

:Files
C:\Users\Marcin\AppData\Local\Temp
C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\TRDCReminder.lnk
C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\TRDCReminder.lnk
C:\Temp
C:\Windows\tasks\*.job
C:\Users\Marcin\AppData\Roaming\FCD3.exe
C:\Users\Marcin\AppData\Roaming\BF6A.exe
C:\Users\Marcin\AppData\Roaming\34F7.exe
C:\Users\Marcin\AppData\Roaming\297F.exe
C:\Users\Marcin\AppData\Roaming\CF45.exe
C:\Users\Marcin\AppData\Roaming\1224.exe
C:\Users\Marcin\AppData\Roaming\FB7F.exe
C:\Users\Marcin\AppData\Roaming\9D1A.exe
C:\Users\Marcin\AppData\Roaming\D9B4.exe
C:\Users\Marcin\AppData\Roaming\5215.exe
C:\Users\Marcin\AppData\Roaming\B46A.exe
C:\Users\Marcin\AppData\Roaming\5D0.exe
C:\Users\Marcin\AppData\Local\{35D1368C-6651-4C8D-842C-B541F44D2D04}

:Reg
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"00TCrdMain"=-
"SmoothView"=-
"topi"=-
"Toshiba Registration"=-
"Toshiba TEMPRO"=-
"Windows Defender"=-
[HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Run]
"WindowsWelcomeCenter"=-
[HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Run]
"WindowsWelcomeCenter"=-
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules]

:Commands
[clearallrestorepoints]
[emptytemp]

Klikasz Wykonaj skrypt. Dajesz log z usuwania. Następnie podajesz nowe logi z OTL. Po tym podajesz jeszcze log z Autoruns -> http://www.hotfix.pl/optymalizacja-auto ... s-a128.htm.

[muniek]

ok zrobione

OTL log z usuwania
Dostępne tylko dla zarejestrowanych użytkowników

OTL.Txt
Dostępne tylko dla zarejestrowanych użytkowników

Extras.Txt
Dostępne tylko dla zarejestrowanych użytkowników

log z Autoruns
Dostępne tylko dla zarejestrowanych użytkowników

[kominekl]

log z Autoruns

W Autoruns odznacz, a następnie usuń (co się będzie dało) kolejno wpisy (jeśli coś już jest odznaczone to tylko spróbuj to usunąć) -> rdpclip, IgfxTray, Persistence, SunJavaUpdateSched, Tworzenie wycinków ekranu i uruchamianie programu OneNote 2007.lnk, Microsoft Windows, AlcoholAutomount, Adobe PDF Reader Link Helper, IplexToALLPlayer, Java(tm) Plug-In 2 SSV Helper, Java(tm) Plug-In SSV Helper, wszystko z zakładki -> Task Scheduler, GoogleDesktopManager-110309-193829, SmartFaceVWatchSrv, WinDefend, IpInIp, NwlnkFlt i NwlnkFwd.

Logi.

Uruchom OTL -> w oknie Własne opcje skanowania/skrypt wklej:

:Processes
killallprocesses

:OTL

DRV - File not found [Kernel | On_Demand | Unknown] -- -- (a8bb0xfw)
O3 - HKU\S-1-5-21-1837680684-1237777834-3771188211-1000\..\Toolbar\WebBrowser: (no name) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No CLSID value found.
O3 - HKU\S-1-5-21-1837680684-1237777834-3771188211-1000\..\Toolbar\WebBrowser: (no name) - {338B4DFE-2E2C-4338-9E41-E176D497299E} - No CLSID value found.

:Files
C:\Users\Marcin\AppData\Local\Temp

:Commands
[clearallrestorepoints]
[emptytemp]

Klikasz Wykonaj skrypt. Dajesz log z usuwania. Następnie podajesz nowe logi z OTL.

[muniek]

Pojawił się wczoraj problem, bo wiatrak przestał działać i zupełnie nie chłodzi chłodzenie. Everest teraz nie pokazuje temperatur i dopiero hdtune pro pokazał 50°C (po 1h pracy). Wcześniej miałem temp. ok 40°C. Nie znam się, ale pewnie jakaś aplikacja Toshiby była za to odpowiedzialna. Tylko co mam teraz zrobić, żeby przywrócić działanie wiatraka? Nie wykonałem jeszcze tego co wczoraj mi napisałeś.

[kominekl]

Nie znam się, ale pewnie jakaś aplikacja Toshiby była za to odpowiedzialna

Nic takiego tu ruszane nie było.

bo wiatrak przestał działać i zupełnie nie chłodzi chłodzenie.

Wiesz mi chodzi.

pokazał 50°C

Jak na laptop to nie tak dużo. Wzrost temperatury spowodowany jest zapewne operacjami na systemie. Sprawdzimy to później, bo temperatura jest OK.

Poprzednie instrukcje.

Wykonaj .

[muniek]

tego usunąć się nie dało:
Adobe PDF Reader Link Helper, IplexToALLPlayer, Java(tm) Plug-In 2 SSV Helper, Java(tm) Plug-In SSV Helper

OTL log z usuwania
Dostępne tylko dla zarejestrowanych użytkowników

OTL.Txt
Dostępne tylko dla zarejestrowanych użytkowników

Extras.Txt
Dostępne tylko dla zarejestrowanych użytkowników

log z Autoruns
Dostępne tylko dla zarejestrowanych użytkowników

[kominekl]

Autoruns.

W Autoruns odznacz, a następnie usuń (co się będzie dało) kolejno wpisy -> Adobe Reader Speed Launcher, Google Desktop Search, Google EULA Launcher i RtHDVCpl.

Logi.

Uruchom OTL -> w oknie Własne opcje skanowania/skrypt wklej:

:Processes
killallprocesses

:OTL

DRV - File not found [Kernel | On_Demand | Unknown] -- -- (alb1c8rg)
[2012-02-09 10:58:51 | 000,001,533 | ---- | M] () -- C:\Users\Marcin\AppData\Roaming\Mozilla\Firefox\Profiles\qecscvlc.default\searchplugins\mailru---.xml
O2 - BHO: (no name) - AutorunsDisabled - No CLSID value found.

:Files
C:\Users\Marcin\AppData\Local\Temp
C:\Users\Marcin\Desktop\AutoRuns.arn
C:\Users\Marcin\Desktop\AutoRuns.rar

:Commands
[clearallrestorepoints]
[emptytemp]

Klikasz Wykonaj skrypt. Dajesz log z usuwania. Następnie podajesz nowe logi z OTL.

[muniek]

OTL log z usuwania
Dostępne tylko dla zarejestrowanych użytkowników

OTL.Txt
Dostępne tylko dla zarejestrowanych użytkowników

Extras.Txt
Dostępne tylko dla zarejestrowanych użytkowników

log z Autoruns
Dostępne tylko dla zarejestrowanych użytkowników

[kominekl]

Logi.

Uruchom OTL -> w oknie Własne opcje skanowania/skrypt wklej:

:OTL

:Files
C:\Users\Marcin\AppData\Local\Temp
C:\Users\Marcin\Desktop\setup.exe
C:\Users\Marcin\Desktop\AutoRuns.rar
C:\Users\Marcin\Desktop\AutoRuns.rar

:Commands
[emptyflash]
[clearallrestorepoints]
[emptytemp]

Klikasz Wykonaj skrypt. Dajesz log z usuwania. Następnie w OTL -> Sprzątanie.

Windows Vista Home Premium Edition Service Pack 1 (Version = 6.0.6001) - Type = NTWorkstation

Koniecznie zainstaluj SP2 -> Dostępne tylko dla zarejestrowanych użytkowników.

Internet Explorer (Version = 8.0.6001.19088)

Zaktualizuj IE do najnowszej wersji (nawet, jeśli Go nie używasz) -> Dostępne tylko dla zarejestrowanych użytkowników.

"{26A24AE4-039D-4CA4-87B4-2F83216031FF}" = Java(TM) 6 Update 31

Odinstaluj i zainstaluj najnowszą wersję -> Dostępne tylko dla zarejestrowanych użytkowników.

"{AC76BA86-7AD7-1045-7B44-A81200000003}" = Adobe Reader 8 - Polish

Odinstaluj i zainstaluj najnowszą wersję -> Dostępne tylko dla zarejestrowanych użytkowników.

"KLiteCodecPack_is1" = K-Lite Codec Pack 6.2.0 (Basic)

Odinstaluj i zainstaluj najnowszą wersję -> http://www.hotfix.pl/infusions/pro_down ... k-p155.htm.

Kroki Finalizujące.

Przeczyść dysk i rejestr CCleaner`em -> http://www.hotfix.pl/infusions/pro_down ... r-p158.htm.
Wykonaj pełne skanowanie Malwarebytes`em Anti-Malware (nie gódź się na wersję testową) -> http://www.hotfix.pl/infusions/pro_down ... e-p164.htm, jeśli coś znajdzie usuń i daj raport.

[muniek]

OTL log z usuwania
Dostępne tylko dla zarejestrowanych użytkowników

Windows Vista Home Premium Edition Service Pack 1 (Version = 6.0.6001) - Type = NTWorkstation
Koniecznie zainstaluj SP2 -> Dostępne tylko dla zarejestrowanych użytkowników ... P2-PLK.exe.

Pobrałem i pisze, że jest to dla Windowsa XP, a ja mam Vistę więc nie wiem czy instalacja coś pomoże?

Internet Explorer (Version = 8.0.6001.19088)
Zaktualizuj IE do najnowszej wersji (nawet, jeśli Go nie używasz) -> Dostępne tylko dla zarejestrowanych użytkowników ... 86-plk.exe.

Ta aktualizacja dotyczy chyba Windows 7-x86? a ja mam Viste (32-bit)

"{26A24AE4-039D-4CA4-87B4-2F83216031FF}" = Java(TM) 6 Update 31
Odinstaluj i zainstaluj najnowszą wersję -> Dostępne tylko dla zarejestrowanych użytkowników ... 01626.html.

Nie wiem co dokładnie mam pobrać, bo nie mogę znaleźć javy dla visty.

"KLiteCodecPack_is1" = K-Lite Codec Pack 6.2.0 (Basic)
Odinstaluj i zainstaluj najnowszą wersję -> http://www.hotfix.pl/infusions/pro_down ... k-p155.htm.

Chyba jest już nowsza wersja. Dostępne tylko dla zarejestrowanych użytkowników

[kominekl]

Pobrałem i pisze, że jest to dla Windowsa XP, a ja mam Vistę więc nie wiem czy instalacja coś pomoże?

Tak jest to mój błąd linkowania. Miało być -> Dostępne tylko dla zarejestrowanych użytkowników.

Ta aktualizacja dotyczy chyba Windows 7-x86? a ja mam Viste (32-bit)

To ta sama w tym przypadku. Zainstaluj.

Nie wiem co dokładnie mam pobrać, bo nie mogę znaleźć javy dla visty.

Pobierasz po prostu Java`ę dla Windows`a.

Chyba jest już nowsza wersja. Dostępne tylko dla zarejestrowanych użytkowników

Zainstaluj tą, co podałem. Wskazana wersja przez Ciebie jest jeszcze nie sprawdzona.

[muniek]

Internet Explorer (Version = 8.0.6001.19088)
Zaktualizuj IE do najnowszej wersji (nawet, jeśli Go nie używasz) -> Dostępne tylko dla zarejestrowanych użytkowników ... 86-plk.exe.

Pobrałem i nie da się zainstalować.
Dostępne tylko dla zarejestrowanych użytkowników

[kominekl]

Pobrałem i nie da się zainstalować.

Ciekawe. Pobierz stąd -> Dostępne tylko dla zarejestrowanych użytkowników. Tym razem się uda na pewno.

[muniek]

ok wczoraj już pobrałem ten plik.
Wszystko już mam zainstalowane.