Przypadkowe pobranie wirusa, natarczywe reklamy, za mało programów na liście

[ala0201]

Witam, moja siostra ma problem z komputerem, jak w temacie. Dokładnie opisała to tak:

 

"Zaczęło się jak na chromie jakąś wtyczkę ściągałam przy oglądaniu meczu na streamie. Na wszystkich przeglądarkach jako strona główna, wyszukiwarka ustawiło się iStartSurf. Wyłączałam to w ustawieniach przeglądarek i w avaście, i chyba to zniknęło. Skanowałam spybotem, adwcleanerem i dr webem. 

Potem w przeglądarkach włączały się reklamy jakieś natarczywe mimo adblocka, w avaście robiłam parę razy czyszczenie przeglądarek i parę razy musiałam usuwać to samo.

Teraz chciałam odinstalować chroma, i zauważyłam że na liście programów jest ich tylko siedem.

Skanowałam adwcleaner, były chyba 2 wirusy w przeglądarkach i 2 gdzieś w systemie.

MalwareBytes wykrył to coś, dzięki czemu stream miał działać (wirus, jak się okazało), termtutor, reszta to PUPy. 

Drweb nie znalazł nic.

Te okienka na chromie co mi wyskakują to "zym.toolbahsuburban.com". Adblock blokuje wyświetlanie treści, ale okienka wyskakują.

I te inne reklamy natarczywe to z 'Info", nawet na tym forum do niektórych słów robił odnośniki. "

 

Dołączam logi w załącznikach.

OTL (2).Txt

Extras (1).Txt

Shortcut.txt

FRST.txt

Addition.txt

gmer-log.txt

checkup.txt

[picasso]

W Firefox i Google Chrome nadal są obiekty adware. Są też znaki pobytu Opera (żadne z narzędzi jej nie skanuje), ale trudno stwierdzić, czy ona istnieje, gdyż:

 

Teraz chciałam odinstalować chroma, i zauważyłam że na liście programów jest ich tylko siedem.

Tak, lista programów jest bardzo krótka, nie widać żadnej z przeglądarek. Nie wiadomo co się stało, ale tego już nie da się naprawić w sposób poprzez proste odtworzenie wpisów. Sugeruję cofnąć system do czasu gdy nie było problemu. W systemie są wykryte następujące punkty:

 

 

==================== Restore Points =========================
 

04-08-2014 15:34:03 avast! antivirus system restore point

29-08-2014 12:10:09 Installed Java 7 Update 67

13-09-2014 21:52:57 Installed SpyHunter

13-09-2014 22:29:35 Removed SpyHunter

 

Proponuję wybrać punkt "Installed Java 7 Update 67" (wydaje się dostatecznie "stary"). Po przywróceniu systemu poproszę o nowe raporty z FRST (wszystkie trzy). Jeśli adware zostanie odtworzone, zajmę się tym, nie podejmować dodatkowych działań.

 

PS. A SpyHunter to wąpliwy program, z daleka od niego.

 

 

 

 

.

[ala0201]

Zrobiłam przywracanie systemu, w sumie 3 razy :/

Po pierwszym razie wyświetlił się komunikat, że przywracanie systemu nie powiodło się, pliki nie zostały przywrócone. Spróbowałam drugi raz tak samo, znowu ów komunikat. Przed trzecim razem wyłączyłam antywirus, tym razem udało się bez żadnych problemów.
Programy na liście są już  w porządku ( właściwie to były już chyba po pierwszym razie), ale Google Chrome nie włącza się. Wyskakuje komunikat " Program Google Chrome przestał działać. Wyszukaj rozwiązanie (...) [lub] Zamknij program".

Nic z Chromem na razie nie robię, dołączam logi z FRST.

 

A co do wątpliwości działania SpyHunter, przekonałam się o tym na własnej skórze: długi czas skanowania, horrendalna liczba błędów - ale usunąć je można tylko przez rejestrację.. dlatego tak szybko go usunęłam.

Addition.txt

FRST.txt

Shortcut.txt

[picasso]

Tak, programy zostały odtworzone. Są też pewne drobne różnice, ale nie są to zmiany wybitne. Notuję odpadki adware jedynie w Firefox (Term Tutor). Natomiast w Google Chrome nie widzę jawnych manipulacji, choć są dwa rozszerzenia nie odczytane poprawnie, tak jakby były uszkodzone, a także jest podejrzenie naruszenia pliku Preferences. Nie wiadomo jednak skąd ten błąd przy uruchomieniu Google. Wstępnie przeprowadź następujące działania:

 

1. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
StartMenuInternet: IEXPLORE.EXE - C:\Program Files (x86)\Internet Explorer\iexplore.exe
SearchScopes: HKLM-x32 - DefaultScope value is missing.
Toolbar: HKLM - No Name - {CC1A175A-E45B-41ED-A30C-C9B1D7A0C02F} - No File
Toolbar: HKCU - No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No File
FF Plugin-x32: @videolan.org/vlc,version=2.1.3 -> F:\Programy\VLC\npvlc.dll No File
FF SearchPlugin: C:\Users\komputerek\AppData\Roaming\Mozilla\Firefox\Profiles\9onw30mg.default\searchplugins\yahoo-avast.xml
FF Extension: Term Tutor - C:\Program Files (x86)\Mozilla Firefox\extensions\termtutor@termtutor.com [2014-09-19]
CHR Extension: (hgmnkflcjcohihpdcniifjbafcdelhlm) - C:\Users\komputerek\AppData\Local\Google\Chrome\User Data\Default\Extensions\hgmnkflcjcohihpdcniifjbafcdelhlm [2014-09-17]
CHR Extension: (namcaplenodjnggbfkbopdbfngponici) - C:\Users\komputerek\AppData\Local\Google\Chrome\User Data\Default\Extensions\namcaplenodjnggbfkbopdbfngponici [2014-09-17]
S3 IntcAzAudAddService; system32\drivers\RTKVHD64.sys [X]
C:\Program Files\Enigma Software Group
C:\Program Files\TermTutor
C:\Program Files (x86)\IObit
C:\Program Files (x86)\Opera
C:\Program Files (x86)\Temp
C:\ProgramData\Doctor Web
C:\ProgramData\IObit
C:\ProgramData\Malwarebytes
C:\ProgramData\Spybot - Search & Destroy
C:\Users\komputerek\AppData\Local\*.tmp
C:\Users\komputerek\AppData\Local\Opera Software
C:\Users\komputerek\AppData\Roaming\IObit
C:\Users\komputerek\AppData\Roaming\Opera Software
C:\Windows\SysWOW64\sqlite3.dll
C:\Windows\System32\Tasks\Safer-Networking
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. System zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Uruchom Google Software removal tool (jedna z procedur to reset ustawień przeglądarki). Następnie pobierz nowy instalator Google i nadpisz nim obecną instalację, bo wg listy zainstalowanych jest tu starsza wersja 36.0.1985.143.

 

3. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt.

 

 

 

 

.

[ala0201]

Po wykonanych czynnościach wszystko chyba jest w porządku

Dołączam logi.

Fixlog.txt

FRST.txt

[picasso]

Mimo, że log z wykonania skryptu pokazuje usunięcie Term Tutor z Firefox, on wrócił... Poprawki pod tym kątem:

 

1. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
RemoveDirectory: C:\Program Files (x86)\Mozilla Firefox\extensions\termtutor@termtutor.com
DeleteQuarantine:

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. System zostanie zresetowany. Powstanie kolejny plik fixlog.txt.

 

2. Na wszelki wypadek:

- W Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox. Zakładki i hasła nie zostaną naruszone ale Ad-block trzeba będzie przeinstalować.

- W Google Chrome: Zresetuj cache wtyczek. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie Włącz.

 

3. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt.

 

 

 

.

[ala0201]

Oto logi:

Fixlog.txt

FRST.txt

[picasso]

Tym razem uporczywy "Term Tutor" został pomyślnie usunięty. Wszystko zrobione i finalizujemy sprawy:

 

1. Przez SHIFT+DEL skasuj z Pulpitu folder Stare dane programu Firefox, a z folderu Pobrane to narzędzie od Google. Zastosuj DelFix.

 

2. Wyczyść foldery Przywracania systemu: KLIK.

 

3. Zaktualizuj poniżej wyliczone programy: KLIK.

 

Internet Explorer Version 8
 

==================== Installed Programs ======================
 

Adobe Flash Player 12 ActiveX (HKLM-x32\...\Adobe Flash Player ActiveX) (Version: 12.0.0.77 - Adobe Systems Incorporated) ----> wtyczka dla IE

Adobe Flash Player 14 Plugin (HKLM-x32\...\Adobe Flash Player Plugin) (Version: 14.0.0.145 - Adobe Systems Incorporated) ----> wtyczka dla Firefox

Adobe Reader XI (11.0.07) - Polish (HKLM-x32\...\{AC76BA86-7AD7-1045-7B44-AB0000000001}) (Version: 11.0.07 - Adobe Systems Incorporated)

Java 7 Update 65 (HKLM-x32\...\{26A24AE4-039D-4CA4-87B4-2F83217051FF}) (Version: 7.0.650 - Oracle)

Mozilla Firefox 31.0 (x86 pl) (HKLM-x32\...\Mozilla Firefox 31.0 (x86 pl)) (Version: 31.0 - Mozilla)

 

 

 

.

[ala0201]

Wszystko zrobione, dołączam log z DelFix.

 

Dziękuję bardzo za pomoc!

DelFix.txt

[picasso]

OK, możesz już skasować DelFix. Temat rozwiązany. Zamykam.