SalePlus, brak możliwości zainstalowania rozszerzeń Chrome, rootkit

[mulek10d]

Cześć, prosiłbym o pomoc. Otóż jakiś czas temu zaczęły wyskakiwać mi reklamy SalePlus w Chromie i straciłem wszystkie wtyczki w tej przeglądarce. Użyłem programu AdwCleaner (załączony raport) i reklamy się skończyły, ale nadal nie da się zainstalować rozszerzeń do Chroma - wyskakuje komunikat o błędzie sieci. System to Windows 8.1 64bit. GMER pokazał komunikat o możliwym rootkicie.

Z góry dzięki!

Addition.txt

FRST.txt

gmerlog.txt

Shortcut.txt

AdwCleanerS0.txt

[picasso]

Adware przekonwertowało całą przeglądarkę z wersji stabilnej do developerskiej i jest konieczna całkowita reinstalacja od zera. Do wykonania:

 

1. Z Google Chrome wyeksportuj tylko zakładki, następnie zresetuj synchronizację (o ile włączona): KLIK. Odinstaluj przeglądarkę, przy deinstalacji wbierz opcję Usuń także dane przeglądarki. Na razie nie instaluj ponownie przeglądarki.

 

2. Odinstaluj także stare wersje: Adobe AIR, Java 7 Update 67.

 

3. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
CreateRestorePoint:
S3 esgiguard; \??\C:\Program Files\Enigma Software Group\SpyHunter\esgiguard.sys [X]
Startup: C:\Users\Wojciech\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Download O.S.T.R - Podrż Zwana Życiem _2015_ [mp3@320kbps] Torrent - KickassTorrents.lnkŻyciem _2015_ [mp3@320kbps] Torrent - KickassTorrents.exe (No File)
Task: {88D20071-A493-4FF5-8AAE-8C9A24471C2D} - System32\Tasks\avast! Emergency Update => C:\Program Files\AVAST Software\Avast\AvastEmUpdate.exe
Task: C:\Windows\Tasks\0215avUpdateInfo.job => C:\ProgramData\Avg_Update_0215av\0215av_AVG-Secure-Search-Update.exe
Task: C:\Windows\Tasks\0614aUpdateInfo.job => C:\ProgramData\Avg_Update_0614a\0614a_AVG-Secure-Search-Update.exe
Task: C:\Windows\Tasks\0814avUpdateInfo.job => C:\ProgramData\Avg_Update_0814av\0814av_AVG-Secure-Search-Update.exe
Task: C:\Windows\Tasks\1114avUpdateInfo.job => C:\ProgramData\Avg_Update_1114av\1114av_AVG-Secure-Search-Update.exe
Task: C:\Windows\Tasks\1214avUpdateInfo.job => C:\ProgramData\Avg_Update_1214av\1214av_AVG-Secure-Search-Update.exe
Task: C:\Windows\Tasks\AVG_REG_0214c.job => C:\ProgramData\AVG 0214c Campaign\AVG-Secure-Search-Update-0214c.exe
Task: C:\Windows\Tasks\AVG_SYS_TASK_DELETE.job => C:\ProgramData\AVG 0214c Campaign\AVG-Secure-Search-Update-0214c.exe
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => No File
ShortcutWithArgument: C:\Users\Wojciech\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://www.sweet-page.com/?type=sc&ts=1391605310&from=cor&uid=ST9500325AS_S2W8WGT5
ShortcutWithArgument: C:\Users\Wojciech\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://www.sweet-page.com/?type=sc&ts=1391605310&from=cor&uid=ST9500325AS_S2W8WGT5
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.com
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = http://www.google.com
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = www.google.com
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = www.google.com
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = www.google.com
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.com
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = www.google.com
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.google.com
HKU\S-1-5-21-4225948802-2122742746-3075298040-1001\Software\Microsoft\Internet Explorer\Main,Start Page = http://here.com
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.sweet-page.com/web/?type=ds&ts=1391605310&from=cor&uid=ST9500325AS_S2W8WGT5&q={searchTerms}
StartMenuInternet: IEXPLORE.EXE - iexplore.exe
C:\Program Files\Google
C:\Program Files (x86)\Google
C:\ProgramData\{25d3b77b-69e6-e5db-25d3-3b77b69edded}
C:\ProgramData\8700427414304003993
C:\ProgramData\lbgkomjhaeakdlanjamgonacemjokjhe
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Adobe Update Management Tool.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Hearthstone
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Kolekcja Klasyki
C:\Users\Wojciech\AppData\Local\Google
C:\Users\Wojciech\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Image-Line
Folder: C:\Windows\system32\GroupPolicy
Folder: C:\Windows\SysWOW64\GroupPolicy
Reg: reg delete HKCU\Software\Google /f
Reg: reg delete HKLM\SOFTWARE\Google /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Google /f
Reg: reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2 /f
Reg: reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\Aff Packages" /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

4. Zrób nowy log FRST z opcji Scan, zaznacz ponownie pole Addition, by powstały dwa logi. Dołącz też plik fixlog.txt.

[mulek10d]

Dzięki! Oto logi.

Addition.txt

Fixlog.txt

FRST.txt

[picasso]

Wszystko zrobione. Teraz:

 

1. Przez SHIFT+DEL (omija Kosz) usuń ręcznie ten skrót po adware, gdyż ze względu na dziwne znaki FRST nie był w stanie tego przetworzyć:

 

C:\Users\Wojciech\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Download O.S.T.R - Podrż Zwana Życiem _2015_ [mp3@320kbps] Torrent - KickassTorrents.lnk

 

2. Zainstaluj świeże Google Chrome - linki w przyklejonym w sekcji aktualizacji programów: KLIK. Zrób nowy log FRST (bez Addition i Shortcut) mający potwierdzić, że nowa instalacja nie odziedziczyła żadnych złych ustawień.

[mulek10d]

Dzięki wielkie.

FRST.txt

[picasso]

Wszystko wygląda w porządku. Koniec zmagań. Ostatnie kroki:

 

Zastosuj DelFix oraz wyczyść foldery Przywracania systemu: KLIK.