Search protect & istartsurf - problem z usunięciem

[domiskra]

Czołem Wszystkim!

 

Wczoraj przy okazji korzystania z asystenta pobierania ze strony dobreprogramy.pl (pobierałem Vista Codec Shark), zainstalowały się przynajmniej 2 niechciane rzeczy - Istartsurf i Search Protect. O tym drugim słyszałem, że jest szczególnie niebezpieczny, bowiem śledzi historię przeglądania, w tym hasła itd.

 

Działania, które podjąłem:

1) ręczna zmiana strony głównej w Mozilli i IE

2) kliknięcie "unistall" w katalogu, gdzie umieścił się szkodnik (C:\Program Files\ ... i tutaj był folder na "X" zaczynający się; był, bo dziś już go nie ma...)  - skutkiem było zniknięcie ikonki Search Protect z paska zadań.

 

Generalnie po kliknięciu pliku "unistall" skasowała się cała zawartość folderu oprócz jednego pliku Sub....dll, którego nie dało się ruszyć z uwagi na "brak uprawnień". Dziś już nie ma tego katalogu w ogóle, nie wiem, czy on się przemieszcza za każdym uruchomieniem komputera, czy co.

 

3) dwukrotna próba przywrócenia systemu - nieudana (błąd x..... jakiś tam).

 

Załączam potrzebne logi (przy uruchomieniu GMER - za pierwszym razem przy pełnym skanowaniu program zakończył pracę z uwagi na błąd.... (tutaj długi numer). Za drugim razem poszło ok.

 

Po raz kolejny zgłaszam się do Was z prośbą o pomoc,

pozdrawiam,

 

Dominik

 

Addition.txt

FRST.txt

Shortcut.txt

Gmer.txt

[picasso]

Obecnie portal dobreprogramy.pl nie jest bezpiecznym godnym zaufania miejscem: KLIK. Całkowicie odradzam pobieranie czegokolwiek stamtąd, nawet jeśli nie zostanie wybrany "Asystent". W raportach nie widać już czynnego "Search Protect" (to jest ochrona przekierowań istartsurf.com, by nie dało się ich usunąć), pozostały jednak powiązane foldery oraz liczne odniesienia do istartsurf.com.

 

Akcja:

 

1. Odinstaluj stare niebezpieczne wersje: Adobe Flash Player 9 ActiveX, Adobe Reader 8 - Polish.

 

2. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
CreateRestorePoint:
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.istartsurf.com/?type=hppp&ts=1426434272&from=smt&uid=WDCXWD3200BEVT-22ZCT0_WD-WXE808S5019350193
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.istartsurf.com/web/?type=dspp&ts=1426434272&from=smt&uid=WDCXWD3200BEVT-22ZCT0_WD-WXE808S5019350193&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.istartsurf.com/?type=hppp&ts=1426434272&from=smt&uid=WDCXWD3200BEVT-22ZCT0_WD-WXE808S5019350193
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.istartsurf.com/web/?type=dspp&ts=1426434272&from=smt&uid=WDCXWD3200BEVT-22ZCT0_WD-WXE808S5019350193&q={searchTerms}
HKU\S-1-5-21-2321440703-4263156153-367547396-1000\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.istartsurf.com/web/?type=dspp&ts=1426434272&from=smt&uid=WDCXWD3200BEVT-22ZCT0_WD-WXE808S5019350193&q={searchTerms}
HKU\S-1-5-21-2321440703-4263156153-367547396-1000\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.istartsurf.com/?type=hppp&ts=1426434272&from=smt&uid=WDCXWD3200BEVT-22ZCT0_WD-WXE808S5019350193
HKU\S-1-5-21-2321440703-4263156153-367547396-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.istartsurf.com/?type=hppp&ts=1426434272&from=smt&uid=WDCXWD3200BEVT-22ZCT0_WD-WXE808S5019350193
HKU\S-1-5-21-2321440703-4263156153-367547396-1000\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.istartsurf.com/web/?type=dspp&ts=1426434272&from=smt&uid=WDCXWD3200BEVT-22ZCT0_WD-WXE808S5019350193&q={searchTerms}
SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.istartsurf.com/web/?type=dspp&ts=1426434272&from=smt&uid=WDCXWD3200BEVT-22ZCT0_WD-WXE808S5019350193&q={searchTerms}
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.istartsurf.com/web/?type=dspp&ts=1426434272&from=smt&uid=WDCXWD3200BEVT-22ZCT0_WD-WXE808S5019350193&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2321440703-4263156153-367547396-1000 -> DefaultScope {2023ECEC-E06A-4372-A1C7-0B49F9E0FFF0} URL = http://www.istartsurf.com/web/?utm_source=b&utm_medium=smt&utm_campaign=install_ie&utm_content=ds&from=smt&uid=WDCXWD3200BEVT-22ZCT0_WD-WXE808S5019350193&ts=1426434299&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2321440703-4263156153-367547396-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = http://www.istartsurf.com/web/?utm_source=b&utm_medium=smt&utm_campaign=install_ie&utm_content=ds&from=smt&uid=WDCXWD3200BEVT-22ZCT0_WD-WXE808S5019350193&ts=1426434299&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2321440703-4263156153-367547396-1000 -> {2023ECEC-E06A-4372-A1C7-0B49F9E0FFF0} URL = http://www.istartsurf.com/web/?utm_source=b&utm_medium=smt&utm_campaign=install_ie&utm_content=ds&from=smt&uid=WDCXWD3200BEVT-22ZCT0_WD-WXE808S5019350193&ts=1426434299&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2321440703-4263156153-367547396-1000 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.istartsurf.com/web/?utm_source=b&utm_medium=smt&utm_campaign=install_ie&utm_content=ds&from=smt&uid=WDCXWD3200BEVT-22ZCT0_WD-WXE808S5019350193&ts=1426434299&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2321440703-4263156153-367547396-1000 -> {E733165D-CBCF-4FDA-883E-ADEF965B476C} URL = http://www.istartsurf.com/web/?utm_source=b&utm_medium=smt&utm_campaign=install_ie&utm_content=ds&from=smt&uid=WDCXWD3200BEVT-22ZCT0_WD-WXE808S5019350193&ts=1426434299&type=default&q={searchTerms}
StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe http://www.istartsurf.com/?type=sc&ts=1426434200&from=smt&uid=WDCXWD3200BEVT-22ZCT0_WD-WXE808S5019350193
FF HKLM\...\Firefox\Extensions: [{20a82645-c095-46ed-80e3-08825760534b}] - c:\Windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension
FF SearchPlugin: C:\Program Files\mozilla firefox\browser\searchplugins\istartsurf.xml [2015-03-16]
C:\Program Files\XTab
C:\ProgramData\IHProtectUpDate
C:\Users\Mężczyzna\Downloads\*(*)-dp*.exe
C:\Windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

3. Wyczyść Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj / Odśwież program Firefox. Zakładki i hasła nie zostaną naruszone, ale używane rozszerzenia (Perapera Chinese i YouTube mp3) należy przeinstalować.

 

4. Napraw uszkodzony specjalny skrót IE. W pasku eksploratora wklej poniższą ścieżkę i ENTER:

 

C:\Users\Mężczyzna\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools

 

Prawoklik na zlokalizowany tam skrót Internet explorer (bez dodatków) > Właściwości > w polu Element docelowy po ścieżce "C:\Program Files\Internet Explorer\iexplore.exe" dopisz dwie spacje i -extoff

 

5. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt.

[domiskra]

Zrobione.

 

Zarówno w IE, jak i w Firefoxie nie wyskakuje już istartsurf, przeglądarki działają z wyglądu normalnie.

 

Mam tylko wątpliwości, czy wpisałem dobrze tą modyfikację ścieżki do wadliwego skrótu IE - u mnie jest po cudzysłowiu, czyli tak:

<<"...\iexplore.exe"  -extoff>>.

 

No i raport z FRST jest zaskakująco krótki

 

Co do pobierania z portali; w czasie Twojej nieobecności poczytałem sobie forum i właśnie natrafiłem też na polecany temat; szkoda, że nie czytałem go wcześniej

Fixlog.txt

FRST.txt

[picasso]

Mam tylko wątpliwości, czy wpisałem dobrze tą modyfikację ścieżki do wadliwego skrótu IE - u mnie jest po cudzysłowiu, czyli tak

Wszystko jest OK.

 

 

No i raport z FRST jest zaskakująco krótki

Jest prawie pusty, zrób go na nowo.

[domiskra]

nowy log z FRST, tym razem chyba ok. Z tego, co tam mogłem dojrzeć, to instalator dobrych programów powinienem odinstalować. Co poza tym, to zamieniam się w słuch

FRST.txt

[picasso]

Uruchom AdwCleaner. Na razie wybierz tylko opcję Szukaj (nie wybieraj jeszcze Usuń) i dostarcz log wynikowy z folderu C:\AdwCleaner.

[domiskra]

Zrobione.

 

Aha, jeszcze pytanie - była mowa tu kiedyś, żeby w okresie Twojego czyszczenia/pomocy nie instalować samemu różnych rzeczy itd. Muszę zainstalować dziś aktualny adobe reader (potrzebuję go do pracy), mam nadzieję, że robiąc to ze strony producenta i odznaczając dodatki (McAfee Security itp.), komputer nie złapie czegoś nowego i nie popsuje Ci roboty.

AdwCleanerR0.txt