Google chrome i spory problem

[promyk]

Witam od paru tygodni mój chrom wyświetlał dymek "wyłącz tryb programisty..." lekceważyłem to a to właśnie mogła być oznaka wirusa. Jeszcze zapomniałem dodać, że nie mogłem zobaczyć moich rozszerzeń w chromie. Wczoraj wieczorem odpalam kompa i stało się coś dziwnego chrom zaczyna wyłączać sam po jakimś czasie, resetować (wyłącza się po czym się włącza) i chce przywracać ostatnią sesje po przywróceniu staniej sesji przenosi mnie na jakąś nieznaną stronę na FB (już niestety nie pamiętam nazwy) dodam, że na 100% nigdy tam nie wchodziłem jeszcze zapomniałem, że czasem się uruchamia z startem systemu. Najbardziej mnie dziwi to, że w ostatnim czasie nic nie instalowałem no chyba, że ten wirus działa z opóźnieniem. IE działa bez problemu aby chrom ma jakiś problem.

Co już zrobiłem:

-odinstalowałem chroma parę razy

-Użyłem skanowania avasta z poziomu systemu jak i skanowania plików przed startem systemu

-użyłem CClenera (kiedyś mi pomógł z czymś podobnym)

-użyłem kaspersky security disk (na podstawie Linuxa)

-Użyłem anti-malwer

-Użyłem Adw-Cleaner

-sprawdzałem każdy proces systemu za co odpowiada ;D

I męczę się 2 dzień i chyba czas poprosić o pomoc

Shortcut.txt

Addition.txt

FRST.txt

rootkit.txt

[Rucek]

przedstaw logi z Adw-Cleaner, powinny być na dysku C:

[promyk]

Niestety ich nie ma może dlatego, że odinstalowałem wcześniej Adw-C. Mam nadzieje, że da mi się pomóc bez nich

[picasso]

W systemie widoczna aktywna infekcja - wimsmrh.exe + startup.cmd w starcie. Widzę też, że aktualnie Google Chrome jest odinstalowane, ale nadal na dysku profil przeglądarki i ten będę także usuwać. Działania do przeprowadzenia:

 

1. Przywracanie systemu jest wyłączone:

 

==================== Restore Points =========================
 

ATTENTION: System Restore is disabled

 

Wejdź do konfiguracji Przywracania: KLIK. Zaznacz Ochronę dla dysku C.

 

2. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
CreateRestorePoint:
HKU\S-1-5-21-2634006867-1565456641-1371084864-1000\...\Run: [GalaxyClient] => [X]
HKU\S-1-5-21-2634006867-1565456641-1371084864-1000\...\RunOnce: [winmsr] => C:\Users\Bartek\AppData\Roaming\wimsmrh.exe [49152 2015-07-12] ()
Startup: C:\Users\Bartek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\startup.cmd [2015-05-24] ()
S0 atjr; System32\drivers\ujvifla.sys [X]
S3 EagleX64; \??\C:\Windows\system32\drivers\EagleX64.sys [X]
S3 MSICDSetup; \??\F:\CDriver64.sys [X]
S3 NTIOLib_1_0_3; \??\C:\Program Files (x86)\MSI\Super Charger\NTIOLib_X64.sys [X]
S3 NTIOLib_1_0_C; \??\F:\NTIOLib_X64.sys [X]
S3 pccsmcfd; system32\DRIVERS\pccsmcfdx64.sys [X]
Task: {44EFD393-4F29-4673-A993-969119185F5C} - \Microsoft\Windows\Windows Activation Technologies\ValidationTaskDeadline No Task File 
Task: {677CFDAD-9A70-40A4-BDDA-6169CBA78EFE} - System32\Tasks\{52B0BC1F-24A4-4709-84AA-EE7B6D106E53} => pcalua.exe -a "C:\Users\Bartek\Desktop\MP3 Player Utilities 4.15\Setup.exe" -d "C:\Users\Bartek\Desktop\MP3 Player Utilities 4.15"
Task: {C41C5F3E-281B-461A-835F-08542403DC42} - \Microsoft\Windows\Windows Activation Technologies\ValidationTask No Task File 
Task: {F2D72A1B-BC3A-49F6-B85D-F1B5882DF1FC} - \Bidaily Synchronize Task[pr] No Task File 
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\PEVSystemStart => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\procexp90.Sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\PEVSystemStart => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\procexp90.Sys => ""="Driver"
Folder: C:\Users\Bartek\AppData\Roaming\chext
Folder: C:\Users\Bartek\AppData\Roaming\chextensions
Folder: C:\Windows\PolicyDefinitions
Folder: C:\Windows\System32\GroupPolicy
Folder: C:\Windows\SysWOW64\GroupPolicy
C:\Program Files (x86)\Google
C:\Program Files (x86)\Mozilla Firefox
C:\Program Files (x86)\Opera
C:\Users\Bartek\AppData\Local\Google
C:\Users\Bartek\AppData\Roaming\updatecheck.bat
C:\Users\Bartek\AppData\Roaming\wimsmrh.exe
C:\Users\Bartek\AppData\Roaming\chext
C:\Users\Bartek\AppData\Roaming\chextensions
C:\Users\Bartek\AppData\Roaming\IGC
C:\Users\Bartek\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk
C:\Windows\system32\log
C:\Windows\SysWOW64\tmp*.tmp
Reg: reg delete HKCU\Software\Google /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Google /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f
CMD: netsh advfirewall reset
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

3. Na razie nie instaluj Google Chrome. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt.

[promyk]

Dziękuje za szybką odpowiedź.

Fixlog.txt

FRST.txt

[picasso]

Zadania wykonane pomyślnie, ale jeszcze nie koniec akcji. Otwórz Notatnik i wklej w nim:

 

CMD: type C:\Windows\System32\GroupPolicy\Machine\Registry.pol
C:\Windows\System32\GroupPolicy\GPT.INI
C:\Windows\System32\GroupPolicy\Machine
C:\Windows\System32\GroupPolicy\User
C:\Windows\SysWOW64\GroupPolicy\gpt.ini
Reboot:

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Nastąpi restart i powstanie kolejny fixlog.txt. Przedstaw go.

[promyk]

Już instalować chroma czy jeszcze czekać?

 

Fixlog.txt

[picasso]

1. Teraz możesz już zainstalować najnowszą wersję przeglądarki - link w przyklejonym: KLIK.

 

2. Następnie zrób dla pewności jeszcze jeden log FRST z opcji Scan (bez Addition i Shortcut).

[promyk]

Wszystko wydaje się ok.

Ta wszystko ok bo chrom się nie resetuje. WIELKIE DZIĘKI!

FRST.txt

[picasso]

Na zakończenie:

 

Usuń ręcznie pobrany GMER. Następnie zastosuj DelFix.

[promyk]

Postępuje tak jak było w instrukcji i przedstawiam Log DelFix'a

DelFix.txt

[picasso]

Skasuj z dysku raport C:\Delfix.txt.

 

Temat rozwiązany. Zamykam.