Problem Luckystarting. dziwny ikona nazwa i ikona "GMER"

[Biauko91 2]

Witam. Problem wyglada tak, wiem, ze komputer jest zainfekowany luckystarting. Pobralem program FRST ze strony pclab. Gdy chce sciagnac GMER, za kazdym razem pokazuje mi sie inna nazwa pliku np "b1fn9q04" i przy wlaczaniu tego "b1fn9q04" avast od razu piszczy, ze wykryl problem. Wlaczylem tego niby "GMER" ale moge zaznaczyc ptaszkiem tylko- uslugi, rejest i pliki a kojarze, ze powinienem zaznaczyc wszystkie opcje w owym programie. Moze ten luckystarting blokuje pobranie prawdziwego GMER tylko podsuwa jakis swoj plik??

 

prosze o rade.

 

Windows 7 home premium edition SP1

 

edit:

Przepraszam, teraz doczytalem, ze GMER zmienia nazwe automatycznie. zaraz zrobie logi. przykleic do tego tematu czy stworzyc nowy?

 

Avast : zablokowane przed modul samoobrony Avast : gmer.sys (pid 4).

Dodam, ze wylaczylem wszystkie oslony ale on nadal dziala, jak go uciszyc aby nieblokowal>?

[Gość]

Zostaw w spokoju GMER-a. Zrób logi z FRST. Przed skanowaniem zaznacz jak na zrzucie.

 

[Biauko91 2]

Zrobilem jak napisales.

 

FRST : http://www.wklej.org/id/3111750/

shortcut : http://www.wklej.org/id/3111751/

addition : http://www.wklej.org/id/3111752/

[Gość]

Shortcut: C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk -> C:\Program Files (x86)\Bookness\Application\chrome.exe (Google Inc.)

Shortcut: C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Google Chrome.lnk -> C:\Program Files (x86)\Bookness\Application\chrome.exe (Google Inc.)

Shortcut: C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\5d696d521de238c3\Google Chrome.lnk -> C:\Program Files (x86)\Bookness\Application\chrome.exe (Google Inc.)

Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk -> C:\Program Files (x86)\Bookness\Application\chrome.exe (Google Inc.)

Shortcut: C:\Users\Public\Desktop\Google Chrome.lnk -> C:\Program Files (x86)\Bookness\Application\chrome.exe (Google Inc.)

 

W miejsce Google Chrome podstawiona jest fałszywa przeglądarka, która wygląda jak Chrome ale jest trojanem. Daję do usunięcia skróty kierujące do tej fałszywki. Później, w razie potrzeby, utworzysz sobie nowe skróty w tych samych lokalizacjach.

 

1. Uruchom FRST a następnie (poprzez skrót klawiszowy CTRL + Y) otwórz notatnik. Wklej w nim poniższą zawartość:

 

HKU\S-1-5-21-2286228726-4273474922-1041163010-1000\...\ChromeHTML: -> C:\Program Files (x86)\Bookness\Application\chrome.exe (Google Inc.) <==== UWAGA
RemoveDirectory: C:\Program Files (x86)\Bookness
C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk
C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Google Chrome.lnk
C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\5d696d521de238c3\Google Chrome.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk
C:\Users\Public\Desktop\Google Chrome.lnk
FirewallRules: [{83ACFC54-068E-4D57-ADB4-BFA3645BDFA1}] => (Allow) C:\Program Files (x86)\Bookness\Application\chrome.exe
HKU\S-1-5-21-2286228726-4273474922-1041163010-1000\Control Panel\Desktop\\SCRNSAVE.EXE ->
FF Plugin: @microsoft.com/GENUINE -> disabled [brak pliku]
FF Plugin-x32: @microsoft.com/GENUINE -> disabled [brak pliku]
CHR HKLM-x32\...\Chrome\Extension: [eofcbnmajmjmplflapaojjnihcjkigck] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gomekmidlodglbbmalcneegieacbdmki] - hxxps://clients2.google.com/service/update2/crx
U3 agtiraoc; \??\C:\Users\Admin\AppData\Local\Temp\agtiraoc.sys [X] <==== UWAGA
2017-05-12 19:12 - 2017-05-12 19:12 - 00000000 ____D C:\ProgramData\SWCUTemp
2017-05-08 14:14 - 2017-05-08 14:14 - 00000000 ____D C:\Users\Public\Documents\Google
2017-05-08 14:14 - 2017-05-08 14:14 - 00000000 ____D C:\Users\Admin\AppData\Local\Bookness
2017-05-08 14:13 - 2017-05-08 14:14 - 00000000 ____D C:\Users\Public\Documents\temp
2017-05-08 14:13 - 2017-05-08 14:13 - 00000000 ____D C:\Users\Public\Documents\chrome
2017-04-21 17:34 - 2017-04-21 17:34 - 00000000 _____ C:\Windows\SysWOW64\33
2017-04-21 17:34 - 2017-04-21 17:34 - 00000000 _____ C:\Windows\SysWOW64\11
EmptyTemp:

 

Poprzez skrót klawiszowy CTRL + S zapisz zmiany w notatniku a następnie w FRST kliknij na Napraw. Na zakończenie naprawy wymagany restart systemu.

 

2. Uruchom FRST. W polu SEARCH (SZUKAJ) wklej:

user32.dll

 

Kliknij na przycisk "Search Files (Szukaj Plików)".

Raport z tego będzie tam, gdzie jest FRST.

[Biauko91 2]

Witam zrobilem wszystko wedlug instrukcji.

 

search : http://wklej.org/id/3111960/

fixlog : http://wklej.org/id/3111961/

 

 

W przeciagu miesiaca problem z luckystarting mam juz kolejny raz. nie wiem, skad to sie bierze.

 

Czekam na odpowiedz co robic dalej. dzieki, pozdrawiam

[Gość]

Uruchom FRST a następnie (poprzez skrót CTRL +Y) otwórz notatnik. Wklej w nim poniższą zawartość:

 

Replace: C:\Windows\winsxs\wow64_microsoft-windows-user32_31bf3856ad364e35_6.1.7601.23594_none_35e609f7d1bb80db\user32.dll C:\Windows\SysWOW64\user32.dll
Replace: C:\Windows\winsxs\amd64_microsoft-windows-user32_31bf3856ad364e35_6.1.7601.23594_none_2b915fa59d5abee0\user32.dll C:\Windows\System32\user32.dll

 

Poprzez CTRL + S zapisz zmiany w notatniku a następnie w FRST kliknij na Napraw.

Napisz czy problem ustąpił.

[Biauko91 2]

Uruchom FRST a następnie (poprzez skrót CTRL +Y) otwórz notatnik. Wklej w nim poniższą zawartość:

 

Replace: C:\Windows\winsxs\wow64_microsoft-windows-user32_31bf3856ad364e35_6.1.7601.23594_none_35e609f7d1bb80db\user32.dll C:\Windows\SysWOW64\user32.dll
Replace: C:\Windows\winsxs\amd64_microsoft-windows-user32_31bf3856ad364e35_6.1.7601.23594_none_2b915fa59d5abee0\user32.dll C:\Windows\System32\user32.dll

 

Poprzez CTRL + S zapisz zmiany w notatniku a następnie w FRST kliknij na Napraw.

Napisz czy problem ustąpił.

 

 

Dziekuje, przeniesiono pomyslnie. normalnie wlacza sie chrome startowa strona google a nie luckystarting.

Wielkie dzieki za poswiecony czas. pozdrawiam

 

Moge w jakis sposob dac pozytywna ocene za pomoc czy +?