Infekcja?

[Art]

Witam.

 

Ostatnio, kilka razy zdarzyło się że musiałem wymusić "ręcznie" uruchomienie Nortona (IS 2013), co mnie trochę zaniepokoiło. Nie zdarza się to zawsze, ale nie był to też odosobniony przypadek. Nie wiem czy to jakiś dziwny zbieg okoliczności, ale po pewnym wymuszonym starcie postanowiłem przeskanować system i Norton zawiesił się na skanowaniu pliku/procesu o nazwie runctf bądź podobnej. Po restarcie ponownie przeszedłem do skanowania (tym razem Norton uruchomił się automatycznie), ale Norton niczego nie wykrył. Skanowałem też komputer programem tdsskiller, ale i on niczego nie wykrył.

 

Nie wiem sam czy w tym przypadku założenie tematu jest konieczne, jednak dla własnego spokoju wolę to zrobić, może znajdzie ktoś trochę czasu na przyjrzenie się raportom.

GMER_02.03.13.txt

OTL.Txt

Extras.Txt

[picasso]

Nie widzę tu żadnych oznak infekcji, tylko drobne adware 22find. Pod tym kątem dodaj mi skan dodatkowy. Uruchom SystemLook x64 i w oknie wklej:

:regfind
22find

:dir
C:\Users\Art\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

Klik w Look.

 

po pewnym wymuszonym starcie postanowiłem przeskanować system i Norton zawiesił się na skanowaniu pliku/procesu o nazwie runctf bądź podobnej. Po restarcie ponownie przeszedłem do skanowania (tym razem Norton uruchomił się automatycznie), ale Norton niczego nie wykrył.

 

Plik runctf.lnk to skrót uruchomieniowy infekcji "policyjnej" blokującej system. Nie widzę jednak takiego obiektu w raportach. Na wszelki wypadek daję ręczne sprawdzanie katalogu Autostartu w skanie SystemLook.


.

[Art]

Dziękuję za szybką odpowiedź. Oto skan o który prosiłaś:

SystemLook.txt

[picasso]

Tego pliku runctf.lnk infekcji nie ma. Zajmijmy się adware 22find.

 

1. Otwórz Notatnik i wklej w nim:

 

Windows Registry Editor Version 5.00
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Default_Page_URL"=-
"Start Page"="about:blank"
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86}]
 
[HKEY_CURRENT_USER\Software\Wow6432Node\Microsoft\Internet Explorer\Main]
"Default_Page_URL"=-
"Start Page"="about:blank"
 
[-HKEY_CURRENT_USER\Software\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86}]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\AboutURLs]
"Tabs"=-
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Main]
"Default_Page_URL"="http://go.microsoft.com/fwlink/?LinkId=69157"
"Start Page"="about:blank"
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command]
@="C:\\Program Files (x86)\\Internet Explorer\\iexplore.exe"
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command]
@="C:\\Program Files (x86)\\Internet Explorer\\iexplore.exe"

 

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.REG

 

Kliknij prawym na plik i z menu wybierz opcję Scal. Potwierdź import do rejestru.

 

2. Adware 22find modyfikuje skróty przeglądarek. Usuń wszystkie skróty Internet Explorer (z Pulpitu / Menu Start / Paska zadań).

 

3. Uruchom Internet Explorer i sprawdź czy gdzieś jeszcze widać tego śmiecia: otwieranie strony startowej, nowej karty oraz wyszukiwanie. Potwierdź też, że problem nie występuje w Google Chrome.

 

 

 

.

[Art]

Nie wiem jak wyglądało to wcześniej w przypadku IE, jednak teraz wygląda to jak najbardziej w porządku. Z Google Chrome "walczyłem" od razu gdy pojawiło się u mnie to adware, bo strasznie mnie to irytowało i chyba już wtedy wszystko usunąłem. Nie modyfikowałem rejestru, tylko wyłączyłem/usunąłem z rozszerzeń przeglądarki, usunąłem adres strony startowej oraz adres tej samej strony który został zapisany w skrócie na pulpicie. Po tym już nie miałem problemów z 22find na Chrome. Dziękuję bardzo za pomoc! Temat można chyba uznać za zamknięty.

[picasso]

Na zakończenie:

 

1. W OTL uruchom Sprzątanie.

 

2. Masz zainstalowaną starą dziurawą Java 7 Update 11 (luki m.in. powodem infekcji policyjnej). Odinstaluj i zastąp najnowszą bezpieczniejszą wersją: KLIK.

 

3. Wyczyść foldery Przywracania systemu: KLIK.

 

Temat rozwiązany. Zamykam.

 

 

.