Problem z wirusami w tablecie z systemem Windows

[aggie71]

W dniu dzisiejszym po uruchomieniu tabletu Avast wykrył: VIN32EVO-gen(sysp)

Podjęte próby

skanowanie Avast,

skanowanie Malwarbytes

Skanowanie i czyszczenie YAC

i problem dalej istnieje

 

Załączam logi które udało mi się zrobić. Niestety GMER nie przechodzi. Jeżeli będą potrzebne zrzuty ekranu przy uruchamianiu GMER, dołączę na prośbę.

Dziękuję za pomoc

Agnieszka

FRST.txt

Shortcut.txt

Addition.txt

[aggie71]

No i nikt nie chce mi pomóc. Szkoda

[picasso]

No i nikt nie chce mi pomóc. Szkoda

Proszę przeczytaj zasady na temat autoryzowanych pomocników. Jestem jedyną osobą mogącą prowadzić pomoc w tym dziale, a to oznacza, że gdy jestem nieobecna (np. z powodu choroby) nie jestem w stanie zająć się tematem błyskawicznie.

 

 

W dniu dzisiejszym po uruchomieniu tabletu Avast wykrył: VIN32EVO-gen(sysp)

Zasady działu - jest wyraźnie powiedziane, by podać w czym antywirus wykrywa zagrożenie, tzn. konkretną ścieżkę dostępu.

 

 

Skanowanie i czyszczenie YAC

YAC (Yet Another Cleaner) to podejrzany program wątpliwej reputacji. Pisałam o nim np. tu: KLIK. Z daleka od niego. Na dodatek robi masowe przekierowania na search.yac.mx.

 

FRST został uruchomiony ze złej lokalizacji, czyli tymczasowych plików:

 

Running from C:\Users\marek_000\AppData\Local\Microsoft\Windows\INetCache\IE\5WEWR2KB

 

 

Działania wstępne:

 

1. Przez Panel sterowania odinstaluj wątpliwe programy i adware: Softonic Assistant, VidPlaya wersja 1.0.1, YAC(Yet Another Cleaner!).

 

2. Pobierz ponownie FRST, ale zapisz go na Pulpicie. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
CreateRestorePoint:
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => No File
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction 
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.yac.mx/?utm_source=b&utm_medium=iSafe&from=iSafe&uid=3219913727_198264_12483508
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://search.yac.mx/?utm_source=b&utm_medium=iSafe&from=iSafe&uid=3219913727_198264_12483508
HKU\.DEFAULT\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.yac.mx/?utm_source=b&utm_medium=iSafe&from=iSafe&uid=3219913727_198264_12483508
HKU\.DEFAULT\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://search.yac.mx/?utm_source=b&utm_medium=iSafe&from=iSafe&uid=3219913727_198264_12483508
HKU\S-1-5-21-676754089-1097009511-3930790267-1001\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.yac.mx/?utm_source=b&utm_medium=iSafe&from=iSafe&uid=3219913727_198264_12483508
HKU\S-1-5-21-676754089-1097009511-3930790267-1001\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://search.yac.mx/?utm_source=b&utm_medium=iSafe&from=iSafe&uid=3219913727_198264_12483508
StartMenuInternet: IEXPLORE.EXE - iexplore.exe
SearchScopes: HKLM -> DefaultScope {425ED333-6083-428a-92C9-0CFC28B9D1BF} URL = http://search.yac.mx/web/?q={searchTerms}&type=ds&from=yac&uid=3219913727_198264_12483508&ts=1421618437
SearchScopes: HKLM -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = http://Vosteran.com/results.php?f=4&q={searchTerms}&a=vst_ir_14_52_ch&cd=2XzuyEtN2Y1L1QzuyDyEtByBtC0E0D0FtAyCzzyDtAyDtDzztN0D0Tzu0StCtDzzzytN1L2XzutAtFyCtFtCyDtFtAtN1L1CzutCyEtBzytDyD1V1BtN1L1G1B1V1N2Y1L1Qzu2StAzzyByDzyzzyEtAtGtAyD0DyDtG0B0F0DyBtG0B0E0EtDtGyDyEtDtCyEtCtCzztA0C0CyC2QtN1M1F1B2Z1V1N2Y1L1Qzu2SyDyCyByCyDzytC0FtG0F0E0BzztGyEyDzyyCtG0BzyyC0CtG0EyCtB0EtAtCzzzz0E0F0AtD2Q&cr=1508793227&ir=
SearchScopes: HKLM -> {425ED333-6083-428a-92C9-0CFC28B9D1BF} URL = http://search.yac.mx/web/?q={searchTerms}&type=ds&from=yac&uid=3219913727_198264_12483508&ts=1421618437
SearchScopes: HKLM -> {AA9A4890-4262-4441-8977-E2FFCBFB706C} URL = http://at.yhs4.search.yahoo.com/yhs/search?hspart=acer&hsimp=yhs-acer_001&p={searchTerms}
SearchScopes: HKU\S-1-5-21-676754089-1097009511-3930790267-1001 -> DefaultScope {425ED333-6083-428a-92C9-0CFC28B9D1BF} URL = http://search.yac.mx/web/?q={searchTerms}&type=ds&from=yac&uid=3219913727_198264_12483508&ts=1421617539
SearchScopes: HKU\S-1-5-21-676754089-1097009511-3930790267-1001 -> {425ED333-6083-428a-92C9-0CFC28B9D1BF} URL = http://search.yac.mx/web/?q={searchTerms}&type=ds&from=yac&uid=3219913727_198264_12483508&ts=1421617539
SearchScopes: HKU\S-1-5-21-676754089-1097009511-3930790267-1001 -> {AA9A4890-4262-4441-8977-E2FFCBFB706C} URL = http://at.yhs4.search.yahoo.com/yhs/search?hspart=acer&hsimp=yhs-acer_001&p={searchTerms}
HKU\S-1-5-21-676754089-1097009511-3930790267-1001\...\Run: [RemoteFilesTrayIcon] => "C:\Program Files\Acer\abFiles\abFilesTrayIcon.exe"
Task: {5FA7E8FD-006F-4BA8-9C7B-5D22EF50019B} - System32\Tasks\Microsoft OneDrive Auto Update Task-S-1-5-21-676754089-1097009511-3930790267-1001 => %localappdata%\Microsoft\SkyDrive\SkyDrive.exe
Task: {DE911CF7-1DA1-4BD0-BA19-3159D07E4910} - System32\Tasks\avastBCLRestartS-1-5-21-676754089-1097009511-3930790267-1001 => Chrome.exe
C:\Program Files\Google
C:\ProgramData\AVAST Software
C:\ProgramData\OEM_YAHOO
C:\Users\marek_000\AppData\Local\Google
C:\Users\marek_000\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\avast! antivirus.lnk
C:\Users\marek_000\Desktop\VidPlayaSetup_v2.exe
C:\Users\marek_000\Desktop\yet_another_cleaner_sfto_5_6_105.exe
Reg: reg delete HKCU\Software\Google /f
Reg: reg delete HKLM\SOFTWARE\Google /f
Reg: reg delete "HKLM\SOFTWARE\Clients\StartMenuInternet\Google Chrome" /f
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

3. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt.