Zawirusowanie/zarobaczenie Chrome, zawieszająca się przeglądarka, dziwne komunikaty MBAM

[Gość]

Witam serdecznie

 

Mam od kilku dni problem z Chrome na komputerze z Windows 7 x64. Wszystko zostało opisane na PClabie, tutaj macie link:

 

http://forum.pclab.pl/topic/887409-Przeglądarka-Google-Chrome-zawiesza-się-po-kilkunastu-minutach-pracy-zwłaszcza-w-tle/

 

Ostatnio browser już się nie zawiesza, ale mam problemy z dziwnymi próbami dostępu do strony 217.149.251.13.

 

Oto log z MBAM:

2013/06/29 13:17:11 +0200	ASUSDROID	RK	IP-BLOCK	217.149.251.13 (Type: outgoing, Port: 52719, Process: chrome.exe)
2013/06/29 13:17:20 +0200	ASUSDROID	RK	MESSAGE	Executing scheduled update:  Daily
2013/06/29 13:18:06 +0200	ASUSDROID	RK	MESSAGE	Starting database refresh
2013/06/29 13:18:06 +0200	ASUSDROID	RK	MESSAGE	Stopping IP protection
2013/06/29 13:18:07 +0200	ASUSDROID	RK	MESSAGE	IP Protection stopped successfully
2013/06/29 13:18:06 +0200	ASUSDROID	RK	MESSAGE	Scheduled update executed successfully:  database updated from version v2013.06.27.09 to version v2013.06.29.01
2013/06/29 13:18:16 +0200	ASUSDROID	RK	MESSAGE	Database refreshed successfully
2013/06/29 13:18:16 +0200	ASUSDROID	RK	MESSAGE	Starting IP protection
2013/06/29 13:18:28 +0200	ASUSDROID	RK	MESSAGE	IP Protection started successfully
2013/06/29 13:19:08 +0200	ASUSDROID	RK	IP-BLOCK	217.149.251.13 (Type: outgoing, Port: 52785, Process: chrome.exe)
2013/06/29 14:33:04 +0200	ASUSDROID	RK	IP-BLOCK	217.149.251.13 (Type: outgoing, Port: 53370, Process: chrome.exe)
2013/06/29 14:51:53 +0200	ASUSDROID	RK	MESSAGE	Stopping protection
2013/06/29 14:51:53 +0200	ASUSDROID	RK	MESSAGE	Protection stopped successfully
2013/06/29 14:51:53 +0200	ASUSDROID	RK	MESSAGE	Stopping IP protection
2013/06/29 14:51:54 +0200	ASUSDROID	RK	MESSAGE	IP Protection stopped successfully
2013/06/29 14:51:55 +0200	ASUSDROID	RK	MESSAGE	Protection stopped

Pomożecie?

[picasso]

1. Od razu skomentuję tę wypowiedź z tamtego forum:

 

 

OTL dalej pokazuje brak plików explorer i userinit mimo że są, to podejrzane.

Jest więcej braków:

 

O18:64bit: - Protocol\Filter\application/octet-stream {1E66F26B-79EE-11D2-8710-00C04F79ED0D} - mscoree.dll File not found

O18:64bit: - Protocol\Filter\application/x-complus {1E66F26B-79EE-11D2-8710-00C04F79ED0D} - mscoree.dll File not found

O18:64bit: - Protocol\Filter\application/x-msdownload {1E66F26B-79EE-11D2-8710-00C04F79ED0D} - mscoree.dll File not found

O18 - Protocol\Filter\application/octet-stream {1E66F26B-79EE-11D2-8710-00C04F79ED0D} - mscoree.dll File not found

O18 - Protocol\Filter\application/x-complus {1E66F26B-79EE-11D2-8710-00C04F79ED0D} - mscoree.dll File not found

O18 - Protocol\Filter\application/x-msdownload {1E66F26B-79EE-11D2-8710-00C04F79ED0D} - mscoree.dll File not found

O20:64bit: - HKLM Winlogon: Shell - (explorer.exe) - File not found

O20 - HKLM Winlogon: Shell - (explorer.exe) - File not found

O20 - HKLM Winlogon: UserInit - (userinit.exe) - File not found

O20 - HKLM Winlogon: VMApplet - (SystemPropertiesPerformance.exe) - File not found

O29:64bit: - HKLM SecurityProviders - (credssp.dll) - File not found

O29 - HKLM SecurityProviders - (credssp.dll) - File not found

 

Oczywiście plików nie brakuje, w przeciwnym wypadku system nie załadowałby Pulpitu. To są uszkodzone Zmienne środowiskowe i mają to na obrazku. Problem stanowi zmienna PATH. Panel sterowania > System i zabezpieczenia > System > Zaawansowane ustawienia systemu > Zmienne środowiskowe > w sekcji Zmienne systemu kliknij w zmienną PATH i Edytuj wklejając ten ciąg:

 

%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\System32\Wbem;%SYSTEMROOT%\System32\WindowsPowerShell\v1.0\

 

Zresetuj system. Następnie:

 

2. Tutaj należy podawać nowe logi zrobione z dnia dzisiejszego, ja nie pracuję na starych logach z innego forum. Proszę o pełny wachlarz obowiązkowych tu logów (OTL włącznie z Extras + GMER). Logi umieść tu jako Załączniki forum a nie na Dropboxie.

 

 

.

[Gość]

Dziękuję za odpowiedź.

 

Zmienne środowiskowe ustawione już poprawnie.

 

Logi z GMER i OTL w załączniku.

 

Dodam także, że używam intensywnie synchronizacji z Chrome, stąd ew. zainfekowane ustawienia mogą pobierac się z serwera (o ile są zainfekowane). Wolę powiedzieć wcześniej, słyszałem o podobnych przypadkach.

 

Pozdrawiam

OTL.Txt

gmer2.txt

GMER-quick.txt

Extras.Txt

[picasso]

Zmienne środowiskowe ładnie odbudowane, zniknęły te adnotacje o brakach plików. Infekcji tu żadnej nie widać. Zrób tylko drobne korekty:

 

1. Mini-poprawka na zresetowane wyszukiwarki IE (wyzerował je AdwCleaner) oraz wpisy puste. Otwórz Notatnik i wklej w nim:

 

Windows Registry Editor Version 5.00
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
[-HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\MozillaPlugins\@tools.google.com/Google Update;version=3]
 
[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\MozillaPlugins\@tools.google.com/Google Update;version=9]

 

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.REG

 

Kliknij prawym na plik i z menu wybierz opcję Scal. Potwierdź import do rejestru.

 

2. Przez SHIFT+DEL skasuj podejrzany folder:

 

C:\Users\RK\AppData\Roaming\(6C-F3-73-BD-1B-EB)

 

 

Dodam także, że używam intensywnie synchronizacji z Chrome, stąd ew. zainfekowane ustawienia mogą pobierac się z serwera (o ile są zainfekowane). Wolę powiedzieć wcześniej, słyszałem o podobnych przypadkach.

Google Chrome nie jest obecnie zainstalowane, więc nie jestem w stanie nic powiedzieć na jego temat na podstawie raportu OTL. Co do synchronizacji: o tak, wiele razy tu na forum był ten aspekt = po czyszczeniu z adware i wadliwych ustawień wszystkie śmieci były ponownie ładowane z serwera. Czyszczenie lokalnego Google Chrome mija się z celem, jeśli jest włączona synchronizacja. W pierwszej kolejności należy wyłączyć synchronizację, dopiero wtedy wyczyścić Google Chrome, nie włączać synchronizacji dopóki dane nie znikną całkowicie z serwera (o ile dobrze pamiętam, czyszczenie na serwerze trwa do kilkunastu godzin, a może i kilka dni?)

 

 

Ostatnio browser już się nie zawiesza, ale mam problemy z dziwnymi próbami dostępu do strony 217.149.251.13.

+ to co mówiłeś na tamtym forum:

 

Co do MBAM, to coś musi być na rzeczy - Chrome samodzielnie chce uzyskać do tej samej strony, leżąc odłogiem w tle. Ja nic na nim nie robię a dzieją się takie rzeczy. I nie jest to na pewno pingowanie Gmaila, Feedly czy czegokolwiek innego - od kiedy takie strony są podejrzane? Firefox nawet po kilku godzinach nie zgłasza takich problemów. Od początku wieszał się jedynie Chrome, i to na Chrome nastąpiło zarażenie (jakiś miesiąc temu V9 mi się dostało poprzez Chrome, Brow2See tak samo o ile kojarzę). I to gdzieś w Chrome musi być jakieś świństwo.

Wg WHOIS adres IP 217.149.251.13 = storage.gery.pl. Tak więc: czy w Google Chrome miałeś gdzieś zdefiniowany adres gery.pl?

 

 

 

.

[Gość]

Polecenia wykonane. Chyba wszystko jest w porządku.

 

Co do gery.pl - nie, nie korzystam z tego serwisu i nie miałem go ani w zakładkach, ani w żadnym rozszerzeniu. Jesli coś się będzie działo, będę na bieżąco uzupełniał temat. Załączam logi z OTL zrobione po zainstalowaniu i synchronizacji 2 kont Chrome.

 

Dzięki wielkie za pomoc!

OTL.Txt

Extras.Txt

[picasso]

Te drobne zadania pomyślnie wykonane. Nie widzę nic niepokojącego w preferencjach Google Chrome. Na teraz wykonaj kroki finalizujące:

 

1. W OTL uruchom Sprzątanie.

 

2. Wyczyść foldery Przywracania systemu: KLIK.

 

3. Zaktualizuj systemowy IE (nawet jeśli nie używasz) oraz odinstaluj stare 64-bitowe Java:

 

Internet Explorer (Version = 8.0.7601.17514)
 

========== HKEY_LOCAL_MACHINE Uninstall List ==========
 

64bit: [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]

"{26A24AE4-039D-4CA4-87B4-2F86416034FF}" = Java™ 6 Update 34 (64-bit)

"{26A24AE4-039D-4CA4-87B4-2F86417021FF}" = Java 7 Update 21 (64-bit)

 

 

.