Królewskie coś

[dominator1984]

tam, Mam problem z pozbyciem się strony startowej  "Royal Search"w przeglądarce Chrome. Przesyłam raport skanowania programu OTL. Proszę o pomoc w pozbyciu się natrętnego i wyłudzającego dane intruza.

OTL.Txt

[picasso]

Temat założony w złym dziale, przenoszę do diagnostyki infekcji. Zestaw logów kiepski, tylko niepełny OTL (brak pliku Extras). Proszę się dostosować do zasad działu i dostarczyć wymagane raporty: KLIK. Czyli FRST (trzy logi) + OTL (dwa logi): KLIK.

 

 

 

.

[dominator1984]

No to przesyłam raporty z FRST. Niestety z programu OTL nie jest generowany raport Extras. Nie wiem dlaczego, pewnie zaraz dostanę ochrzan, że coś robię nie tak, ale na tym forum to nawet mi się to podoba, to taki mały fetysz.

Addition.txt

FRST.txt

Shortcut.txt

[picasso]

Niestety z programu OTL nie jest generowany raport Extras. Nie wiem dlaczego

Masz wyraźnie napisane w instrukcji, do której kierowałam, dlaczego tak się dzieje. Informacja jest zakreślona na różowym tle. Przeczytaj ją proszę.

 

Dodatkowo, log z FRST jest zrobiony z kontekstu złego konta, czyli Gość (bez uprawnień by pobrać pewne dane i inne ścieżki) a nie Dominik:

 

Ran by Gość (ATTENTION: The logged in user is not administrator) on DDKOMP on 23-04-2014 21:03:24

Running from C:\Users\Dominik\Downloads

 

Wyloguj się kompletnie, zaloguj na właściwe konto Dominik i zrób nowe raporty z FRST (nie zapomnij zaznaczyć pól Addition + Shortcut).

 

 

 

.

[dominator1984]

No to daję co trzeba

Addition.txt

FRST.txt

Shortcut.txt

Extras.Txt

[picasso]

Owszem, widzę śmieci w Google Chrome. Dodatkowo do usunięcia są różne wpisy odpadkowe i szczątki programów. Przeprowadź następujące działania:

 

1. Otwórz Notatnik i wklej w nim:

 

CHR HKLM-x32\...\Chrome\Extension: [acaoakiamfeidcmgooclgeleejkbaecf] - C:\Program Files (x86)\WinToFlash Suggestor\WinToFlashSuggestor.crx [2014-01-20]
CHR HKLM-x32\...\Chrome\Extension: [cfmfcdlgkegoblkmhfbglnmemlkngapa] - C:\Users\Dominik\AppData\Local\Temp\Vuze_Toolbar.crx [2014-01-20]
CHR HKLM-x32\...\Chrome\Extension: [dcmagccbogebndpoodhhhafmofelpffh] - C:\Users\Dominik\AppData\Local\RewardsArcade\498\Chrome\rewardsarcade.crx [2014-01-20]
CHR HKLM-x32\...\Chrome\Extension: [mpieaakhacmfleokhjcjnpcnmnmpfkid] - C:\Program Files (x86)\fbphotozoom\fbphotozoom16.crx [2014-04-15]
FF HKLM-x32\...\Thunderbird\Extensions: [eplgTb@eset.com] - C:\Program Files\ESET\ESET Smart Security\Mozilla Thunderbird
FF Plugin-x32: @microsoft.com/WLPG,version=15.4.3502.0922 - C:\Program Files (x86)\Windows Live\Photo Gallery\NPWLPG.dll No File
SearchScopes: HKCU - DefaultScope {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = http://go.mail.ru/search?utf8in=1&fr=ietb&q={SearchTerms}
SearchScopes: HKCU - {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = http://go.mail.ru/search?utf8in=1&fr=ietb&q={SearchTerms}
BHO-x32: No Name - {8984B388-A5BB-4DF7-B274-77B879E179DB} - No File
Toolbar: HKLM - avast! Online Security - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} - No File
Toolbar: HKLM - No Name - {CC1A175A-E45B-41ED-A30C-C9B1D7A0C02F} - No File
Toolbar: HKCU - No Name - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - No File
DPF: HKLM-x32 {1241F20B-0688-45A5-ADB2-208AFE4A5DDC}
HKU\S-1-5-21-3208515226-2010266281-175035788-1001\...\Run: [] => [X]
Startup: C:\Users\Dominik\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Folding@home.lnk
S3 catchme; \??\C:\ComboFix\catchme.sys [X]
S3 Passthru; system32\DRIVERS\PPFlt.sys [X]
S3 SliceDisk5; \??\C:\Users\Dominik\AppData\Local\Temp\HBCD\PartitionFindAndMount\slicedisk-x64.sys [X]
S3 usbbus; system32\DRIVERS\lgx64bus.sys [X]
S3 UsbDiag; system32\DRIVERS\lgx64diag.sys [X]
S3 USBModem; system32\DRIVERS\lgx64modem.sys [X]
S3 vserial; System32\DRIVERS\vserial.sys [X]
C:\Program Files\Enigma Software Group
C:\Program Files (x86)\Mozilla Firefox\extensions
C:\Program Files (x86)\mozilla firefox\plugins
C:\Program Files (x86)\fbphotozoom
C:\Program Files (x86)\WinToFlash Suggestor
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\FL Studio 11.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Image-Line
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ODEON
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\SpeedFan
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\WinGrub
C:\Users\Dominik\AppData\Local\RewardsArcade
C:\Users\Dominik\AppData\Roaming\mozilla\Extensions\home2@tomtom.com
C:\Users\Dominik\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Image-Line
C:\Users\Dominik\Desktop\Dokumenty pod ręką\Pendrive 7.11.2012\OLT raporty\Skrót do OTL.Txt.lnk
C:\Users\Dominik\Downloads\SpyHunter-Installer.exe
C:\Users\Gość\Desktop\*.lnk
C:\Users\Gość\Desktop\*.txt
C:\Users\Gość\Downloads\*.exe
C:\Users\UpdatusUser\Desktop\*.lnk
C:\Windows\ACF5FE1B377240688B872D2A6EFD0A05.TMP
CMD: netsh advfirewall reset
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Akamai NetSession Interface" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\BlazeServoTool" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\cacaoweb" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Family Tree Builder Update" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\RSS Alert" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SDTray" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Sony PC Companion" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Spotify Web Helper" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Spybot-S&D Cleaning" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Steam" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\TomTomHOME.exe" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Yontoo Desktop" /f
Reg: reg delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Search" /f
Reg: reg delete "HKCU\SOFTWARE\Microsoft\Internet Explorer\Search" /f
Reg: reg add "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes" /v DefaultScope /t REG_SZ /d {0633EE93-D776-472f-A0FF-E1416B8B2E3A} /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt.

 

2. W Google Chrome:

• Ustawienia > karta Rozszerzenia > sprawdź czy widać na liście (może tego nie być): fbphotozoom, RewardsArcade, Vuze, WinToFlash Suggestor
• Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Zresetuj ustawienia przeglądarki. Zakładki i hasła nie zostaną naruszone.
• Ustawienia > karta Ustawienia > sekcja Wyszukiwanie > klik w Zarządzanie wyszukiwarkami > skasuj z listy niedomyślne śmieci (o ile będą).
• Ustawienia > karta Historia > wyczyść
• Zresetuj cache wtyczek. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie Włącz.

3. Przez Panel sterowania odinstaluj stary Spybot - Search & Destroy.

 

4. Uruchom TFC - Temp Cleaner.

 

5. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt. Wypowiedz się czy nadal notujesz problemy w Google Chrome.

 

 

 

 

.

[dominator1984]

Zrobiłem po kolei to co miało być zrobione zgodnie z instrukcją. Dołączam pliki w załączniku, problem z przeglądarką Chrome już nie występuje. Dzięki za profesjonalną pomoc.

FRST.txt

Fixlog.txt

[picasso]

Wszystko wykonane. Kończymy.

 

1. Drobnostka w Google Chrome się ostała:

 

CHR StartupUrls: "hxxp://www.searchgol.com/?babsrc=HP_ss&mntrId=78E1001BB1F320CA&affID=121565&tsp=5020"

 

Ustawienia > karta Ustawienia > Po uruchomieniu > usuń adres searchgol.com.

 

2. Usuń używane narzędzia za pomocą DelFix. Dokasuj ręcznie z Pulpitu folder FRST-OlderVersion oraz C:\Program Files (x86)\Spybot - Search & Destroy 2.

 

3. Wyczyść foldery Przywracania systemu: KLIK.

 

4. Drobne aktualizacje, konkretnie te trzy programy:

 

==================== Installed Programs ======================
 

Adobe Reader X (10.1.9) (HKLM-x32\...\{AC76BA86-7AD7-1033-7B44-AA1000000001}) (Version: 10.1.9 - Adobe Systems Incorporated)

Java 7 Update 51 (64-bit) (HKLM\...\{26A24AE4-039D-4CA4-87B4-2F86417051FF}) (Version: 7.0.510 - Oracle)

Java 7 Update 51 (HKLM-x32\...\{26A24AE4-039D-4CA4-87B4-2F83217051FF}) (Version: 7.0.510 - Oracle)

 

 

 

.