Prawdopodobnie infekcja popunderclick

[Maho3D]

Witam

 

Nie mogę się pozbyć prawdopodobnie popunderclick z jednego z komputerów. Skanowałem komputer AdwCleaner jednak ten nic nie wykrył - nie załączam loga bo jest pusty. Tutaj widoczna jest próba przekierowania strony z fixitpc na którąś z reklam:

 

 

Załączam pozostałe logi. Dodam, że komputer pracuje w domenie i konto na którym doszło do infekcji jest ograniczone. Logi GMER zostały utworzone z konta administratora (inaczej się nie dało), natomiast FRST64 z konta na którym doszło do infekcji.

 

Addition.txt FRST.txt GMER.txt Shortcut.txt

[picasso]

Problemem jest szkodliwe proxy:

 

AutoConfigURL: [s-1-5-21-633836772-2943853817-3888398784-1177] => hxxp://un-stop.info/wpad.dat?08aa67c1445446be3ce71dde23aa705311644551

ManualProxies: 0hxxp://un-stop.info/wpad.dat?08aa67c1445446be3ce71dde23aa705311644551

 

Jeden z wpisów jest po stronie konta, ale drugi globalny. Nie jest wykluczone, że komendę resetu ustawień proxy trzeba będzie powtórzyć dwa razy, na limitowanym + na administratorze, ze względu na ograniczenia konta limitowanego. Na razie podejście na koncie limitowanym:

 

1. Otwórz Notatnik i wklej w nim:

 

RemoveProxy:
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Zrób nowy log FRST z opcji Skanuj (Scan), bez Addition i Shortcut. Dołącz też plik fixlog.txt.