Komputer zainfekowany wirusem URL:Mal

[bulma89]

Antywirus Avast co chwilke pokazuje,że komputer zainfekowany jest infekcją URL:Mal. Również co chwilę otwierają się niechciane strony/reklamy w przeglądarce.

Przedstawiam wymagane LOGI oraz bardzo proszę o pomoc

 

Pozdrawiam

Addition.txt

Extras.Txt

FRST.txt

OTL.Txt

Shortcut.txt

[picasso]

Tak, jest w systemie zainstalowane adware, które na dodatek przekonwertowało typ przeglądarki Google Chrome z wersji bezpiecznej "stabilnej" do otwartej na modyfikacje adware "development" i będzie wymagana reinstalacja całej przeglądarki. Dodatkowo, używany skaner SpyHunter - to skaner wątpliwej reputacji z czarnej listy, reklamiarz naciskający na instalacje, po czym się okazuje, że opłaty należy uiszczać. On niby został odinstalowany, a ja go nadal widzę na liście zainstalowanych....

 

 

Przeprowadź następujące działania:

 

1. Przez Panel sterowania odinstaluj adware App Lid, Minecraft Packages, nieszczęsne Google Chrome oraz SpyHunter. Przy deinstalacji przeglądarki zaznacz Usuń także dane przeglądarki, a resztę doczyści mój skrypt.

 

2. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
HKU\S-1-5-21-3448794057-2279744148-3698898670-1000\Software\Classes\.exe: exefile => 
HKU\S-1-5-21-3448794057-2279744148-3698898670-1000\Software\Classes\exefile: 
GroupPolicy: Group Policy on Chrome detected 
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction 
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction 
HKU\S-1-5-21-3448794057-2279744148-3698898670-1000\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction 
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.sweet-page.com/web/?type=ds&ts=1415133035&from=cor&uid=HitachiXHTS547550A9E384_J2100050DPN3VBDPN3VBX&q={searchTerms
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.sweet-page.com/web/?type=ds&ts=1415133035&from=cor&uid=HitachiXHTS547550A9E384_J2100050DPN3VBDPN3VBX&q={searchTerms}
StartMenuInternet: IEXPLORE.EXE - C:\Program Files (x86)\Internet Explorer\iexplore.exe
SearchScopes: HKLM -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKLM-x32 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKU\S-1-5-21-3448794057-2279744148-3698898670-1000 -> {724893F4-3AC6-4B99-8599-45F2BDBB2D42} URL = http://www.search.ask.com/web?tpid=ORJ-SPE&o=APN11406&pf=V7&p2=^BBE^OSJ000^YY^PL&gct=&itbv=12.18.0.82&apn_uid=20202F2B-4269-4607-8DD3-D93BA14CE88B&apn_ptnrs=BBE&apn_dtid=^OSJ000^YY^PL&apn_dbr=Launcher.exe_0_25.0.1614.68&doi=2014-11-05&trgb=IE&q={searchTerms}&psv=&pt=tb
BHO: couponpeak -> {04c4d6ff-f8fd-42b5-b48f-35fc4b933822} -> C:\ProgramData\couponpeak\zkLHllg5dyPZdJ.x64.dll No File
Toolbar: HKLM - avast! Online Security - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} - No File
Toolbar: HKU\S-1-5-21-3448794057-2279744148-3698898670-1000 -> No Name - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - No File
Toolbar: HKU\S-1-5-21-3448794057-2279744148-3698898670-1000 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No File
Toolbar: HKU\S-1-5-21-3448794057-2279744148-3698898670-1000 -> No Name - {4F524A2D-5350-4500-76A7-7A786E7484D7} - No File
Task: {67734A5B-CB63-4097-A58F-54178EED332E} - System32\Tasks\{634D9B69-1634-4909-87C5-2D5E59B31A0A} => Iexplore.exe http://ui.skype.com/ui/0/5.10.0.115/pl/go/help.faq.installer?source=lightinstaller&LastError=1618
C:\Program Files\Google
C:\Program Files (x86)\App Lid
C:\Program Files (x86)\Google
C:\Program Files (x86)\Mozilla Firefox
C:\Program Files (x86)\Opera
C:\ProgramData\ee67026fc86de1d
C:\ProgramData\APN
C:\ProgramData\boost_interprocess
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\AppsHat
C:\ProgramData\Norton
C:\ProgramData\Partner
C:\ProgramData\Symantec
C:\Users\Gizela\AppData\Local\Google
C:\Users\Gizela\AppData\Local\Opera Software
C:\Users\Gizela\AppData\Roaming\0I0M0D1F2W1G1I1F1T1Q1P1C
C:\Users\Gizela\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\PriceFountain
C:\Users\Gizela\AppData\Roaming\Mozilla
C:\Users\Gizela\AppData\Roaming\Opera Software
C:\Users\Gizela\AppData\Roaming\PriceFountain
C:\Users\Gizela\AppData\Roaming\Systweak
C:\Users\Gizela\Downloads\*(*)-dp*.exe
C:\Users\Gizela\Downloads\*.opdownload
C:\Users\Gizela\Downloads\chromeinstall*.exe
C:\Users\Gizela\Downloads\farming_simulator_*.exe
C:\Users\Gizela\Downloads\minecraft*.exe
C:\Users\Gizela\Downloads\Niepotwierdzony*.crdownload
C:\Users\Gizela\Downloads\pobierz_*.exe
C:\Users\Gizela\Downloads\SpyHunter 4.17.6.4336 + SCREEN.rar
C:\Users\Gizela\Downloads\SpyHunter 4.17.6.4336 + SCREEN
C:\Windows\AF54923662584AC6A0435B5B89C6EB61.TMP
C:\Windows\system32\Drivers\kgpcpy.cfg
C:\Windows\SysWOW64\Drivers\kgpfr2.cfg
Reg: reg delete HKCU\Software\Google /f
Reg: reg delete HKCU\Software\Mozilla /f
Reg: reg delete HKCU\Software\MozillaPlugins /f
Reg: reg delete HKLM\SOFTWARE\MozillaPlugins /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Google /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Mozilla /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\mozilla.org /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\MozillaPlugins /f
Reg: reg add "HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes" /v DefaultScope /t REG_SZ /d {00C9AC02-9004-431F-A2EB-9E912595B2CA} /f
Reg: reg add "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes" /v DefaultScope /t REG_SZ /d {00C9AC02-9004-431F-A2EB-9E912595B2CA} /f
CMD: dir /a "C:\Program Files"
CMD: dir /a "C:\Program Files (x86)"
CMD: dir /a C:\ProgramData
CMD: dir /a C:\Users\Gizela\AppData\Local
CMD: dir /a C:\Users\Gizela\AppData\LocalLow
CMD: dir /a C:\Users\Gizela\AppData\Roaming
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

3. Zainstaluj najnowszą stabilną wersję Google Chrome: KLIK.

 

4. Zrób nowy log FRST z opcji Scan, zaznacz ponownie pole Addition, by powstały dwa logi. Dołącz też plik fixlog.txt.

 

 

 

 

.

[bulma89]

Dziekuję ślicznie za pomoc. Zaraz zabiorę się za ten komputer i prześle wymagane logi. Mam jeszcze drugi komputer (ahh te dzieci:)) z identycznym problemem, w związku z tym nie wiem teraz czy utworzyć nowy temat czy wkleić logi w tym temacie? 

[bulma89]

Załączam logi po naprawie  

Addition.txt

Fixlog.txt

FRST.txt

[picasso]

Wszystko zrobione. Poprawki:

1. Otwórz Notatnik i wklej w nim:

Task: {2D4724B6-F323-44A7-BEED-A454E4236A79} - System32\Tasks\15a95899-4597-4892-b9fc-55ff763ceba5-1 => C:\Program Files (x86)\App Lid\App Lid-codedownloader.exe Task: {37B01AE4-DBA0-4FF0-9B71-29E0489AA463} - System32\Tasks\41cc74a2-f9e1-42ce-b674-9b073cebf85d => C:\Program Files (x86)\App Lid\41cc74a2-f9e1-42ce-b674-9b073cebf85d.exe Task: {46DC9BFD-B548-482A-A212-B3FB599C2A55} - System32\Tasks\15a95899-4597-4892-b9fc-55ff763ceba5-11 => C:\Program Files (x86)\App Lid\15a95899-4597-4892-b9fc-55ff763ceba5-11.exe Task: {6218ABFE-5B18-47CF-B84C-46107215B666} - System32\Tasks\15a95899-4597-4892-b9fc-55ff763ceba5-2 => C:\Program Files (x86)\App Lid\15a95899-4597-4892-b9fc-55ff763ceba5-2.exe Task: {7E62BFFB-B689-41E6-90B9-174C736C4362} - System32\Tasks\15a95899-4597-4892-b9fc-55ff763ceba5-7 => C:\Program Files (x86)\App Lid\15a95899-4597-4892-b9fc-55ff763ceba5-7.exe Task: {A2814395-F36A-4498-98BC-BA27A5D1A97F} - System32\Tasks\15a95899-4597-4892-b9fc-55ff763ceba5-6 => C:\Program Files (x86)\App Lid\15a95899-4597-4892-b9fc-55ff763ceba5-6.exe Task: {B463169F-4DDE-44FC-90D7-1519AB33B924} - System32\Tasks\15a95899-4597-4892-b9fc-55ff763ceba5-4 => C:\Program Files (x86)\App Lid\15a95899-4597-4892-b9fc-55ff763ceba5-4.exe Task: {BBED1248-27A0-499D-811B-4263E37D3D27} - System32\Tasks\15a95899-4597-4892-b9fc-55ff763ceba5-5 => C:\Program Files (x86)\App Lid\15a95899-4597-4892-b9fc-55ff763ceba5-5.exe Task: {BCE42ECF-001D-4AA6-AA1C-26C4BB021889} - System32\Tasks\6070a7d1-1af5-40e0-b8d0-b739e1342b90 => C:\Program Files (x86)\App Lid\6070a7d1-1af5-40e0-b8d0-b739e1342b90.exe Task: {C4B19A72-971A-4541-9E5D-C48BFEF37846} - System32\Tasks\15a95899-4597-4892-b9fc-55ff763ceba5-5_user => C:\Program Files (x86)\App Lid\15a95899-4597-4892-b9fc-55ff763ceba5-5.exe Task: C:\Windows\Tasks\15a95899-4597-4892-b9fc-55ff763ceba5-1.job => C:\Program Files (x86)\App Lid\App Lid-codedownloader.exe Task: C:\Windows\Tasks\15a95899-4597-4892-b9fc-55ff763ceba5-11.job => C:\Program Files (x86)\App Lid\15a95899-4597-4892-b9fc-55ff763ceba5-11.exe Task: C:\Windows\Tasks\15a95899-4597-4892-b9fc-55ff763ceba5-2.job => C:\Program Files (x86)\App Lid\15a95899-4597-4892-b9fc-55ff763ceba5-2.exe Task: C:\Windows\Tasks\15a95899-4597-4892-b9fc-55ff763ceba5-4.job => C:\Program Files (x86)\App Lid\15a95899-4597-4892-b9fc-55ff763ceba5-4.exe Task: C:\Windows\Tasks\15a95899-4597-4892-b9fc-55ff763ceba5-5.job => C:\Program Files (x86)\App Lid\15a95899-4597-4892-b9fc-55ff763ceba5-5.exe Task: C:\Windows\Tasks\15a95899-4597-4892-b9fc-55ff763ceba5-5_user.job => C:\Program Files (x86)\App Lid\15a95899-4597-4892-b9fc-55ff763ceba5-5.exe Task: C:\Windows\Tasks\15a95899-4597-4892-b9fc-55ff763ceba5-6.job => C:\Program Files (x86)\App Lid\15a95899-4597-4892-b9fc-55ff763ceba5-6.exe Task: C:\Windows\Tasks\15a95899-4597-4892-b9fc-55ff763ceba5-7.job => C:\Program Files (x86)\App Lid\15a95899-4597-4892-b9fc-55ff763ceba5-7.exe Task: C:\Windows\Tasks\41cc74a2-f9e1-42ce-b674-9b073cebf85d.job => C:\Program Files (x86)\App Lid\41cc74a2-f9e1-42ce-b674-9b073cebf85d.exe Task: C:\Windows\Tasks\6070a7d1-1af5-40e0-b8d0-b739e1342b90.job => C:\Program Files (x86)\App Lid\6070a7d1-1af5-40e0-b8d0-b739e1342b90.exe S3 esgiguard; \??\C:\Program Files (x86)\Enigma Software Group\SpyHunter\esgiguard.sys [X]
S2 sbapifs; system32\DRIVERS\sbapifs.sys [X]
C:\Program Files (x86)\Enigma Software Group
C:\Program Files (x86)\Temp
C:\ProgramData\McAfee
C:\ProgramData\Mozilla
C:\ProgramData\NortonInstaller
C:\Users\Gizela\.fls1668.log
C:\Users\Gizela\AppData\Local\Symantec
C:\Users\Gizela\AppData\LocalLow\App Lid
C:\Users\Gizela\AppData\Roaming\*.txt
C:\Users\Gizela\AppData\Roaming\Mozilla
C:\Users\Gizela\Downloads\backups
C:\Users\Gizela\Downloads\farming*.exe
C:\Users\Gizela\Downloads\farming*.rar
C:\Users\Gizela\Downloads\STOPzillaAVM_Setup.exe
C:\spyhunter.log
C:\spyhunter.fix
C:\shldr
C:\shldr.mbr
CMD: for /d %f in (C:\Users\Gizela\AppData\Local\{*}) do rd /s /q "%f"

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Przedstaw wynikowy fixlog.txt.

2. Uruchom AdwCleaner. Wybierz opcję Szukaj i dostarcz wynikowy log z folderu C:\AdwCleaner.