Avast zarażenie URL:Mal Explorer.exe

[waszli01]

Witam,

Avast pokazuje co jakiś czas zarażenie z kilku miejsc.

W załączeniu potrzebne raporty.

Proszę o pomoc.

Addition.txt

FRST.txt

gmer.txt

Shortcut.txt

[picasso]

Działania do przeprowadzenia:

 

1. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
CreateRestorePoint:
CustomCLSID: HKU\S-1-5-21-3642197454-799934318-2658753277-1001_Classes\CLSID\{F6BF8414-962C-40FE-90F1-B80A7E72DB9A}\InprocServer32 -> C:\ProgramData\{9A88E103-A20A-4EA5-8636-C73B709A5BF8}\vmstorfltres.dll (rtrspocfMoa tonooiiCr) 
Task: {4942C3D8-7FF1-4218-85C9-02398D7D3FFA} - System32\Tasks\{5B25EDD2-9673-4278-A289-8EC7812A1655} => pcalua.exe -a C:\PROGRA~2\COMMON~1\INSTAL~1\Driver\11\INTEL3~1\IDriver.exe -c /M{809D7E6D-915D-4EAD-821F-E13D93F37161} /l1033
Task: {5382EC81-792C-408D-BD59-FE0A7D3F7E19} - System32\Tasks\{A9C6819C-125C-4363-AAB6-F5D2C0659951} => pcalua.exe -a K:\setup.exe -d K:\
Task: {6B66A13A-F85D-4ECE-AC0D-BF6752C3B88D} - System32\Tasks\YourFile DownloaderUpdate => C:\Program Files (x86)\YourFileDownloader\YourFileUpdater.exe 
Task: {B2FB3EAD-5850-4B86-9CAC-2E7BA31DF7CF} - System32\Tasks\{F9A8D1FE-E139-4F1E-B729-F7AA51B195A2} => pcalua.exe -a "G:\Solid\Solid 2013 x64\setup.exe" -d "G:\Solid\Solid 2013 x64"
Task: {B7E33B4C-DA47-415C-A0E6-5F152C7A71FE} - System32\Tasks\{B9C33EBB-A747-4276-A54E-1913543764AA} => pcalua.exe -a "C:\Users\CAD Create\Downloads\SYCODE.STEP.Import.for.SketchUp.v1.0-NoPE\n-isteps\SYCODE.STEP.Import.for.SketchUp.v1.0-NoPE\setup\step_import_su.exe" -d "C:\Users\CAD Create\Downloads\SYCODE.STEP.Import.for.SketchUp.v1.0-NoPE\n-isteps\SYCODE.STEP.Import.for.SketchUp.v1.0-NoPE\setup"
S3 gdrv; \??\C:\Windows\gdrv.sys [X]
U2 Remote Solver for Flow Simulation 2013; No ImagePath
U2 Remote Solver for Flow Simulation 2014; No ImagePath
HKLM\...\Run: [Nvtmru] => "C:\Program Files (x86)\NVIDIA Corporation\NVIDIA Update Core\nvtmru.exe"
HKU\S-1-5-21-3642197454-799934318-2658753277-1001\...\Run: [Galileo] => C:\Users\CAD Create\AppData\Local\Galileo\galileo.exe silent
HKU\S-1-5-21-3642197454-799934318-2658753277-1001\...\Run: [KiesAirMessage] => C:\Program Files (x86)\Samsung\Kies\KiesAirMessage.exe -startup
HKU\S-1-5-21-3642197454-799934318-2658753277-1001\...\Run: [infor Organizer] => "C:\Program Files (x86)\Infor PL\Infor Organizer\Infor.Organizer.exe"
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page =
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page =
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL =
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL =
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL =
HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Local Page =
HKU\S-1-5-21-3642197454-799934318-2658753277-1001\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.claro-search.com/?affID=116677&tt=5012_5&babsrc=HP_ss&mntrId=8ee7db390000000000006cf0490d6477
SearchScopes: HKU\S-1-5-21-3642197454-799934318-2658753277-1001 -> DefaultScope {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} URL = http://www.claro-search.com/?q={searchTerms}&affID=116677&tt=5012_5&babsrc=SP_ss&mntrId=8ee7db390000000000006cf0490d6477
SearchScopes: HKU\S-1-5-21-3642197454-799934318-2658753277-1001 -> {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} URL = http://www.claro-search.com/?q={searchTerms}&affID=116677&tt=5012_5&babsrc=SP_ss&mntrId=8ee7db390000000000006cf0490d6477
SearchScopes: HKU\S-1-5-21-3642197454-799934318-2658753277-1001 -> {32BEBF68-42E3-4585-890E-F26575E4AA3A} URL = http://search.yahoo.com/search?fr=chr-greentree_ie&ei=utf-8&ilc=12&type=302398&p={searchTerms}
SearchScopes: HKU\S-1-5-21-3642197454-799934318-2658753277-1001 -> {483830EE-A4CD-4b71-B0A3-3D82E62A6909} URL =
Toolbar: HKLM - avast! Online Security - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} - No File
Toolbar: HKLM - No Name - {CC1A175A-E45B-41ED-A30C-C9B1D7A0C02F} - No File
C:\ProgramData\{9A88E103-A20A-4EA5-8636-C73B709A5BF8}
C:\ProgramData\TEMP
C:\Program Files (x86)\Mozilla Firefox\extensions
C:\Users\CAD Create\AppData\Local\Google\Chrome\User Data\Default\Preferences
CMD: netsh advfirewall reset
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Zresetuj cache wtyczek Google Chrome, by usunąć puste wpisy. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie Włącz

 

3. Zrób nowy log FRST z opcji Scan - zaznacz pole Addition, by powstały dwa logi. Dołącz też plik fixlog.txt. Wypowiedz się czy problem ustąpił.

[waszli01]

Dziękuję bardzo za pomoc.

Po wykonaniu opisanych czynności problem ustał. W załączeniu logi.

Jeszcze raz dzięki!!!!

Addition.txt

Fixlog.txt

FRST.txt

[picasso]

Infekcja pomyślnie usunięta. Na zakończenie:

 

1. Usuń używane narzędzia za pomocą DelFix. Pobrany GMER dokasuj ręcznie.

 

2. Wyczyść foldery Przywracania systemu: KLIK

 

3. Zaktualizuj systemowy Internet explorer z wersji 9 do 11 (nawet jeśli go nie używasz): KLIK.