Brontok + Problem z Chrome

[InsideLucy]

Witam,

tym razem problem z komputerem moich rodziców. Już od długiego czasu grasuje na nim Brontok.

Jak wiemy osławiona zielona strona z groźnymi napisami to nie jest jedyny problem jaki nam funduje ten wirus.

Przy tym nie można uruchomić Chrome, ani go reinstalować. W razie potrzeby zrobię screen komunikatu odnośnie Chrome. Poza tym czasem coś pika i wyświetlają się przypadkowe okna w systemie lub klawiatura wariuje i wpisuje przypadkowe znaki.

System to 64 bitowy Windows 10 Pro. Nie mogę zrobić skanu GMER. Komputer się resetuje - screen w załączniku

Proszę o pomoc w rozwiązaniu problemów.

Pozdrawiam

Addition.txt

FRST.txt

Shortcut.txt

Edytowane 26 Listopada 2016 przez Rucek

[Rucek]

W trybie awaryjnym też się nie da zrobić GMERa?

[InsideLucy]

Dzięki - właśnie się robi. Zobaczymy.

EDIT: Mam. Coś mało tego. Nie wiem dlaczego.

GMER skan.txt

Edytowane 26 Listopada 2016 przez Rucek

[jessica]

1) Odinstaluj te programy:

Booking.com version 1.1.0.5019 (HKLM-x32\...\{F9B4E180-69C1-4414-81E6-DF79F5F971B1}_is1) (Version: 1.1.0.5019 - Booking.com) <==== UWAGA
ByteFence Anti-Malware (HKLM-x32\...\ByteFence) (Version: 2.1.1.6 - Byte Technologies LLC) <==== UWAGA

WarThunder (HKLM\...\WarThunder) (Version:  - WarThunder) <==== UWAGA

 

2) Otwórz Notatnik i wklej w nim:

 

Task: {043BE5CD-BC49-4B97-BE4A-30EA3ABDF80B} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> Brak pliku <==== UWAGA
Task: {1355EDA4-EF41-4B5E-A552-EBC31856A3E3} - System32\Tasks\{92A11C2F-9B99-439B-B045-506CFD468629} => pcalua.exe -a "C:\Users\Gmina Radziejowice\AppData\Roaming\DarkEra\Uninstaller.exe" -c /Run /ePN:0D1T1C1J0E1C1T
Task: {1AC82299-E7E1-489C-8A61-218792C21F9C} - System32\Tasks\AlphaSave => c:\programdata\{b0052325-9c7f-b65e-b005-523259c78c96}\2304888296590512280b.exe <==== UWAGA
Task: {250A8EE0-A7A5-4ECC-BB16-6A18F5CE69D5} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> Brak pliku <==== UWAGA
Task: {26D6089B-CDCB-4262-B3E4-0335B6486A85} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> Brak pliku <==== UWAGA
Task: {2A44E5BD-CB38-410C-9541-2F95EC0FAB0E} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> Brak pliku <==== UWAGA
Task: {390A6775-D0E3-4BAE-92D2-5A16D1EE4856} - System32\Tasks\{8F84A095-2F14-4E84-B0F9-F6F00E98EA75} => pcalua.exe -a "C:\Program Files (x86)\GTA San Andreas\Uninstal.exe"
Task: {54689C7B-3C27-40E2-80A9-CD81B2FDD399} - System32\Tasks\FactorTractor => c:\programdata\{caa32f17-cb1d-2f16-caa3-32f17cb1bc5f}\3500606645185183980b.exe <==== UWAGA
Task: {54FF049E-CAC2-4F7E-A606-E4AA7F7CE12B} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> Brak pliku <==== UWAGA
Task: {740F8E34-66CB-49D2-B61D-6A94B20522DB} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> Brak pliku <==== UWAGA
Task: {77C708EC-C771-4367-B40D-181E750CCA73} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> Brak pliku <==== UWAGA
Task: {9890409A-843F-418E-BB3A-B8CA810BDD7F} - System32\Tasks\PainSmack => c:\programdata\{a3cd72a8-7d2f-4437-a3cd-d72a87d2caa1}\8172496911889314853b.exe <==== UWAGA
Task: {9F466C42-ADF4-45C7-B192-9885AAE48D8C} - System32\Tasks\ByteFence Scan => C:\Program Files\ByteFence\ByteFence.exe [2016-03-29] (Byte Technologies LLC) <==== UWAGA
Task: {A96E1C01-8609-418E-984C-ADC4610AA0EC} - \Microsoft\Windows\Setup\GWXTriggers\OnIdle-5d -> Brak pliku <==== UWAGA
Task: {B169909E-9C33-467F-A765-344064AF772B} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> Brak pliku <==== UWAGA
Task: {BD76BF77-F0A2-4343-8CCC-2640D5D7BC35} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> Brak pliku <==== UWAGA
Task: {CAE9A22B-92E1-49CF-94C9-F7E5290225E3} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeReminderTime -> Brak pliku <==== UWAGA
Task: {E8D65068-7A78-42E0-A562-5C19100772D5} - System32\Tasks\{C4042C22-9F31-41E5-9379-BBC9DE99286C} => pcalua.exe -a E:\Setup\rsrc\Autorun.exe -d E:\
Task: {EC18B29E-B37F-463B-87F6-A258A077103E} - System32\Tasks\{80BE480B-04A5-43B7-A49B-75AF07D15042} => pcalua.exe -a G:\Autorun.exe -d G:\
Task: {EDAE9C0E-1DE2-486F-A82C-269073B60CB1} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeTime -> Brak pliku <==== UWAGA
Task: {EE079416-F73F-4A94-8982-45F8B22CFDD5} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> Brak pliku <==== UWAGA
Task: C:\WINDOWS\Tasks\AlphaSave.job => c:\programdata\{b0052325-9c7f-b65e-b005-523259c78c96}\2304888296590512280b.exe <==== UWAGA
Task: C:\WINDOWS\Tasks\FactorTractor.job => c:\programdata\{caa32f17-cb1d-2f16-caa3-32f17cb1bc5f}\3500606645185183980b.exe <==== UWAGA
Task: C:\WINDOWS\Tasks\PainSmack.job => c:\programdata\{a3cd72a8-7d2f-4437-a3cd-d72a87d2caa1}\8172496911889314853b.exe <==== UWAGA
RemoveDirectory: c:\programdata\{a3cd72a8-7d2f-4437-a3cd-d72a87d2caa1}
RemoveDirectory: c:\programdata\{caa32f17-cb1d-2f16-caa3-32f17cb1bc5f}
RemoveDirectory: c:\programdata\{b0052325-9c7f-b65e-b005-523259c78c96}
RemoveDirectory: C:\Program Files\ByteFence
RemoveDirectory: C:\Users\Gmina Radziejowice\AppData\Roaming\Browsers
RemoveDirectory: C:\Users\Gmina Radziejowice\AppData\Local\Loc.Mail.Bron.Tok
RemoveDirectory: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Booking.com
HKU\S-1-5-21-46203616-2505590485-3340163682-1001\...\Run: [bingSvc] => C:\Users\Gmina Radziejowice\AppData\Local\Microsoft\BingSvc\BingSvc.exe [144008 2016-04-03] (© 2015 Microsoft Corporation)
HKU\S-1-5-18\...\Winlogon: [shell] C:\WINDOWS\explorer.exe [4515256 2016-10-25] (Microsoft Corporation) <==== UWAGA
ShortcutWithArgument: C:\Users\Gmina Radziejowice\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\WarThunder\WarThunder.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) ->  --app=hxxp://mmotraffic.com/catalog/goplay/1000932/MTE3NjYvLy8xMDAwOTMy/?subid=1&click_id=a1bf8685c6b0bf9b15a2492bed54bd105f1a10a0 --app-window-size=1920,1080
ShortcutWithArgument: C:\Users\Gmina Radziejowice\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\WarThunder.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) ->  --app=hxxp://mmotraffic.com/catalog/goplay/1000932/MTE3NjYvLy8xMDAwOTMy/?subid=1&click_id=a1bf8685c6b0bf9b15a2492bed54bd105f1a10a0 --app-window-size=1920,1080
GroupPolicy: Ograniczenia - Chrome <======= UWAGA
CHR HKLM\SOFTWARE\Policies\Google: Ograniczenia <======= UWAGA
BHO: Brak nazwy -> {EE932B49-D5C0-4D19-A3DA-CE0849258DE6} -> Brak pliku
BHO-x32: Skype Click to Call for Internet Explorer -> {AE805869-2E5C-4ED4-8F7B-F1F7851A4497} -> C:\Program Files (x86)\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll => Brak pliku
R2 rtop; C:\Program Files\ByteFence\rtop\bin\rtop_svc.exe [254280 2016-11-18] ()
S2 c2cautoupdatesvc; "C:\Program Files (x86)\Skype\Toolbars\AutoUpdate\SkypeC2CAutoUpdateSvc.exe" /service [X]
S2 c2cpnrsvc; "C:\Program Files (x86)\Skype\Toolbars\PNRSvc\SkypeC2CPNRSvc.exe" /service [X]
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{F9B4E180-69C1-4414-81E6-DF79F5F971B1}_is1
DeleteKey: HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{F9B4E180-69C1-4414-81E6-DF79F5F971B1}_is1
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\ByteFence
DeleteKey: HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\ByteFence
C:\Users\Gmina Radziejowice\AppData\Roaming\appdataFr25.bin
C:\Users\Gmina Radziejowice\AppData\Local\Bron.tok.A8.em.bin
C:\Users\Gmina Radziejowice\AppData\Local\inetinfo.exe
C:\Users\Gmina Radziejowice\AppData\Local\Kosong.Bron.Tok.txt
C:\Users\Gmina Radziejowice\AppData\Local\smss.exe
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ByteFence Anti-Malware\ByteFence Anti-Malware.lnk
HOSTS:
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix (NAPRAW).

 

3) Zrób nowe logi FRST.

 

jessi
 

[InsideLucy]

Nie mogę odinstalować Booking.com - deinstalator się zawiesza. 

Nie wiem czy ma to bezpośredni związek, ale podczas deinstalacji Avast wyświetla komunikat - w załączniku.

Pozostałe programy odinstalowałam.

Jak mam go usunąć?

[Miszel03]

Nie prowadzę tematu, ale Jessica pewnie powiedziała by Ci to samo co ja.

 

Spróbuj odinstalować program Booking.com z poziomu tryby awaryjnego.

[InsideLucy]

Dziękuję za pomoc, ale próbowałam z trybu awaryjnego. Nie da się. Co teraz?

[Zappa]

Wykonaj skrypt Jessici i zrób nowe logi z FRST. Szkoda czasu na pogaduchy.

[InsideLucy]

Zrobione.

Addition.txt

FRST.txt

Shortcut.txt

[jessica]

C:\Users\Gmina Radziejowice\Desktop\ОPERAТIОN7.lnk -> C:\Users\Gmina Radziejowice\AppData\Roaming\Browsers\exe.rehcnual7po.bat (Brak pliku) <===== Cyrillic

Shortcut: C:\Users\Gmina Radziejowice\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\WarThunder\WаrThundеr.lnk -> C:\Users\Gmina Radziejowice\AppData\Roaming\Browsers\exe.emorhc.bat (Brak pliku) <===== Cyrillic

Shortcut: C:\Users\Gmina Radziejowice\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\MgameEU\OPERATION7\ОРЕRAТIОN7.lnk -> C:\Users\Gmina Radziejowice\AppData\Roaming\Browsers\exe.rehcnual7po.bat (Brak pliku) <===== Cyrillic

Shortcut: C:\Users\Gmina Radziejowice\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\Intеrnеt Exрlоrer.lnk -> C:\Users\Gmina Radziejowice\AppData\Roaming\Browsers\exe.erolpxei.bat (Brak pliku) <===== Cyrillic

Shortcut: C:\Users\Gmina Radziejowice\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Gоogle Chrоmе.lnk -> C:\Users\Gmina Radziejowice\AppData\Roaming\Browsers\exe.emorhc.bat (Brak pliku) <===== Cyrillic

Shortcut: C:\Users\Gmina Radziejowice\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Lаunch Intеrnet Exрlorеr Вrowsеr.lnk -> C:\Users\Gmina Radziejowice\AppData\Roaming\Browsers\exe.erolpxei.bat (Brak pliku) <===== Cyrillic

Shortcut: C:\Users\Gmina Radziejowice\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\WаrThunder.lnk -> C:\Users\Gmina Radziejowice\AppData\Roaming\Browsers\exe.emorhc.bat (Brak pliku) <===== Cyrillic

Shortcut: C:\Users\Gmina Radziejowice\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Gоogle Сhrоmе (2).lnk -> C:\Users\Gmina Radziejowice\AppData\Roaming\Browsers\exe.emorhc.bat (Brak pliku) <===== Cyrillic

Shortcut: C:\Users\Gmina Radziejowice\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnеt Exрlоrer (2).lnk -> C:\Users\Gmina Radziejowice\AppData\Roaming\Browsers\exe.erolpxei.bat (Brak pliku) <===== Cyrillic

Shortcut: C:\Users\Gmina Radziejowice\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnеt Exрlоrer (3).lnk -> C:\Users\Gmina Radziejowice\AppData\Roaming\Browsers\exe.erolpxei.bat (Brak pliku) <===== Cyrillic

Shortcut: C:\Users\Gmina Radziejowice\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnеt Exрlоrer.lnk -> C:\Users\Gmina Radziejowice\AppData\Roaming\Browsers\exe.erolpxei.bat (Brak pliku) <===== Cyrillic

Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Gооglе Сhrome.lnk

 

Dam zaraz te skróty do usunięcia - potem w tym samych lokalizacjach zrobisz nowe skróty.

 

Otwórz Notatnik i wklej w nim:

 

 

C:\Users\Gmina Radziejowice\AppData\Roaming\Browsers

C:\Users\Gmina Radziejowice\Desktop\ОPERAТIОN7.lnk

C:\Users\Gmina Radziejowice\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\WarThunder\WаrThundеr.lnk

C:\Users\Gmina Radziejowice\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\MgameEU\OPERATION7\ОРЕRAТIОN7.lnk

C:\Users\Gmina Radziejowice\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\Intеrnеt Exрlоrer.lnk

C:\Users\Gmina Radziejowice\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Gоogle Chrоmе.lnk

C:\Users\Gmina Radziejowice\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Lаunch Intеrnet Exрlorеr Вrowsеr.lnk

C:\Users\Gmina Radziejowice\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\WаrThunder.lnk

C:\Users\Gmina Radziejowice\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Gоogle Сhrоmе (2).lnk

C:\Users\Gmina Radziejowice\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnеt Exрlоrer (2).lnk

C:\Users\Gmina Radziejowice\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnеt Exрlоrer (3).lnk

C:\Users\Gmina Radziejowice\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnеt Exрlоrer.lnk

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Gооglе Сhrome.lnk

Reg: reg delete HKU\S-1-5-21-46203616-2505590485-3340163682-1001\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\StartupFolder /v Empty.pif /f

BHO: Skype Click to Call for Internet Explorer -> {AE805869-2E5C-4ED4-8F7B-F1F7851A4497} -> C:\Program Files (x86)\Skype\Toolbars\Internet Explorer x64\skypeieplugin.dll => Brak pliku

S3 hwdatacard; \SystemRoot\system32\DRIVERS\ewusbmdm.sys [X]

C:\WINDOWS\Minidump\112616-21531-01.dmp

C:\ProgramData\mntemp

C:\Users\Gmina Radziejowice\Desktop\ОPERAТIОN7.lnk

EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe

Uruchom FRST i kliknij przycisk Fix (NAPRAW).

 

Zrób nowe skróte w miejsce tych usuniętych.

 

Zrób nowe logi FRST - już bez Shortcut.

 

jessi

[InsideLucy]

Nie mogę zapisać fixlist - zdjęcie w załączniku.

 

Dam zaraz te skróty do usunięcia - potem w tym samych lokalizacjach zrobisz nowe skróty.

Zrób nowe skróte w miejsce tych usuniętych.

 

Przepraszam, ale jak?

[jessica]

>>Menu Notatnika >> Plik >>
>>Zapisz jako >>
Nazwa pliku: fixlist
Zapisz jako typ: Dokumenty tekstowe
Kodowanie: Unicode
>>Zapisz
Plik umieść w folderze C:\Users\Gmina Radziejowice\Desktop\WIRUS - NIE RUSZAĆ
Uruchom FRST i kliknij przycisk Fix (NAPRAW).

 

jessi

[InsideLucy]

Dziękuję za wyjaśnienie. Zrobiłam.

Addition.txt

FRST.txt

[jessica]

W nowych logach nie widzę już niczego podejrzanego, więc chyba możemy kończyć:

Otwórz Notatnik i wklej w nim:

 

DeleteQuarantine:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST. Uruchom FRST i kliknij w Fix (NAPRAW).
przez SHIFT+DEL usuń pozostały folder C:\FRST.

 

 

Jeśli natomiast nie będzie OK, to zgłosisz temat w https://www.fixitpc.pl/topic/29279-zg%C5%82oszenia-temat%C3%B3w-bez-odpowiedzi/

 

jessi

[InsideLucy]

Na razie wszystko super. Dziękuję ogromnie!   

[InsideLucy]

Nie podziałało. Zgłoszę to.