Minsigno Opublikowano 31 Marca 2017 Zgłoś Udostępnij Opublikowano 31 Marca 2017 Witam. Podłączam się pod temat. Ten sam robal zainfekował mój komputer . Cokolwiek wpiszę w wyszukiwarkę google to wynik jest przekierowany do tego Ramblera. Proszę o pomoc. Nie podpinamy się pod tematy. Postawiona zasada jest jasna: jeden problem = jedne temat. Posty wydzielam z tematu podobnego. //Miszel03 Addition.txt FRST.txt Shortcut.txt Odnośnik do komentarza
Miszel03 Opublikowano 31 Marca 2017 Zgłoś Udostępnij Opublikowano 31 Marca 2017 Dostarcz jeszcze raport GMER. Odnośnik do komentarza
Minsigno Opublikowano 31 Marca 2017 Autor Zgłoś Udostępnij Opublikowano 31 Marca 2017 Trochę to trwało. Proszę. GMER.txt Odnośnik do komentarza
Miszel03 Opublikowano 1 Kwietnia 2017 Zgłoś Udostępnij Opublikowano 1 Kwietnia 2017 Sztywno nie widać konkretnie tego wariantu, oczywiście pomijając resztki po innym adware. Sadzę, że on siedzi gdzieś w preferencjach przeglądarki - łatwo się z tym uporamy. Do poczytania: KLIK. Dezynfekcja. 1. Otwórz Notatnik w nim wklej:CloseProcesses:CreateRestorePoint:Task: {3F8283E6-BB51-42B5-AA06-BF567CB4AA64} - \Microsoft\Windows\Setup\EOSNotify -> Brak pliku Task: {BF48AE0A-915E-47E5-B3F8-5E17EB8D4B8E} - \896M269M920t149 -> Brak pliku HKLM-x32\...\Run: [] => [X]HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = SearchScopes: HKLM -> {4ACD6455-78D0-403D-B2CF-5AB8B8BA3556} URL = hxxp://www.amazon.co.uk/s/ref=azs_osd_ieauk?ie=UTF-8&tag=hp-uk3-vsb-21&link%5Fcode=qs&index=aps&field-keywords={searchTerms}SearchScopes: HKLM -> {b7fca997-d0fb-4fe0-8afd-255e89cf9671} URL = hxxp://pl.search.yahoo.com/search?p={searchTerms}&ei={inputEncoding}&fr=chr-hp-psg&type=HPNTDFSearchScopes: HKLM-x32 -> {4ACD6455-78D0-403D-B2CF-5AB8B8BA3556} URL = hxxp://www.amazon.co.uk/s/ref=azs_osd_ieauk?ie=UTF-8&tag=hp-uk3-vsb-21&link%5Fcode=qs&index=aps&field-keywords={searchTerms}SearchScopes: HKLM-x32 -> {b7fca997-d0fb-4fe0-8afd-255e89cf9671} URL = hxxp://pl.search.yahoo.com/search?p={searchTerms}&ei={inputEncoding}&fr=chr-hp-psg&type=HPNTDFSearchScopes: HKU\S-1-5-21-2767056382-3334839136-4099837286-1002 -> {4ACD6455-78D0-403D-B2CF-5AB8B8BA3556} URL = hxxp://www.amazon.co.uk/s/ref=azs_osd_ieauk?ie=UTF-8&tag=hp-uk3-vsb-21&link%5Fcode=qs&index=aps&field-keywords={searchTerms}SearchScopes: HKU\S-1-5-21-2767056382-3334839136-4099837286-1002 -> {b7fca997-d0fb-4fe0-8afd-255e89cf9671} URL = hxxp://pl.search.yahoo.com/search?p={searchTerms}&ei={inputEncoding}&fr=chr-hp-psg&type=HPNTDFS2 pproupd; "D:\Programy\PIT pro 2016\pproupd.exe" [X]S2 MBAMChameleon; \SystemRoot\system32\drivers\MBAMChameleon.sys [X]C:\Users\KrzysztofN\Desktop\Komputer — skrót.lnkC:\ProgramData\Microsoft\Windows\Start Menu\Programs\Bohemia Interactive\ArmA 2\BattlEye\Uninstall BattlEye.lnkC:\ProgramData\Intel\ExtremeGraphics\CUI\Resource\Grafika HD Intel®.lnkC:\Users\KrzysztofN\AppData\Local\Microsoft\Windows\ConnectedSearch\History\set_2958273420_pl.lnkC:\Users\KrzysztofN\AppData\Local\Microsoft\Windows\Application Shortcuts\SAMSUNGELECTRONICSCO.LTD.SamsungPrinterExperience_3c1yjt4zspk6g\SamsungPrinterExperience.lnC:\Users\KrzysztofN\AppData\Local\Microsoft\Windows\Application Shortcuts\Microsoft.WindowsPhone_8wekyb3d8bbwe\windowsphone.App.lnkC:\Users\KrzysztofN\AppData\Local\Microsoft\Windows\Application Shortcuts\microsoft.windowscommunicationsapps_8wekyb3d8bbwe\Microsoft.WindowsLive.Calendar.lnkC:\Users\KrzysztofN\AppData\Local\Microsoft\Windows\Application Shortcuts\microsoft.windowscommunicationsapps_8wekyb3d8bbwe\Microsoft.WindowsLive.Mail.lnkC:\Users\KrzysztofN\AppData\Local\Microsoft\Windows\Application Shortcuts\microsoft.windowscommunicationsapps_8wekyb3d8bbwe\Microsoft.WindowsLive.People.lnkDeleteKey: HKCU\Software\MozillaDeleteKey: HKCU\Software\MozillaPluginsDeleteKey: HKLM\SOFTWARE\MozillaDeleteKey: HKLM\SOFTWARE\MozillaPluginsDeleteKey: HKLM\SOFTWARE\Wow6432Node\MozillaDeleteKey: HKLM\SOFTWARE\Wow6432Node\mozilla.orgDeleteKey: HKLM\SOFTWARE\Wow6432Node\MozillaPluginsC:\Users\KrzysztofN\AppData\Local\MozillaC:\Users\KrzysztofN\AppData\Roaming\MozillaC:\Users\KrzysztofN\AppData\Roaming\ProfilesEmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.2. Wyczyść i zabezpiecz przeglądarkę Google Chrome: Zresetuj synchronizację (o ile włączona): KLIK. Ustawienia > karta Rozszerzenia > odinstaluj wszystkie nieznane i niepotrzebne Ci rozszerzenia. Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Resetowanie ustawień. Zakładki i hasła nie zostaną naruszone. Ustawienia > karta Ustawienia > sekcja Szukaj > klik w Zarządzanie wyszukiwarkami > skasuj z listy wszystko z wyjątkiem Google. Zainstaluj rozszerzenie blokujące reklamy o podłożu nieinfekcyjnym, polecam rozszerzenie uBlock Origin. 3. Pobierz AdwCleaner uruchom go i kliknij Skanuj, kiedy skanowanie zakończy się wydobądź z niego raport, znajduję się on w folderze C:\AdwCleaner. Raport zaprezentuj na forum. 4. Zrób nowy log FRST z opcji Skanuj (Scan), wraz z Addition i Shortcut. Dołącz też plik fixlog.txt. Odnośnik do komentarza
Minsigno Opublikowano 1 Kwietnia 2017 Autor Zgłoś Udostępnij Opublikowano 1 Kwietnia 2017 Załączam pliki. Na chwilę obecną po wykonaniu wszystkich czynności problem nie zniknął. Dodatkowo nie zależnie od strony klikając w okolicach paska przesuwania strony lub na niego próbują wyskakiwać jakieś reklamy, które próbuje blokować uBlock Origin. AdwCleanerS4.txt Addition.txt Fixlog.txt FRST.txt Shortcut.txt Odnośnik do komentarza
Miszel03 Opublikowano 1 Kwietnia 2017 Zgłoś Udostępnij Opublikowano 1 Kwietnia 2017 Dziwne...nie widać niczego podejrzanego już. Sprawdzimy globalnie rejestr i wszystkie pliki. Na której przeglądarce to występuję? Kojarzysz adres 172.168.0.2? Jest amerykański i ustawiony, lecz wygląda na martwy. Celowo go kiedyś tam dawałeś? Uruchom FRST, w polu Szukaj (Search) wklej poniższą frazę i kliknij w Szukaj w rejestrze (Search Registry). nova.rambler.ru;.ru;nova Obok FRST powstanie raport SearchReg.txt - zaprezentuj go na forum. Powtórz to działania również dla opcji Szukaj w Plikach (Search Files), raport też dostarcz (SearchFiles.txt). Odnośnik do komentarza
Minsigno Opublikowano 1 Kwietnia 2017 Autor Zgłoś Udostępnij Opublikowano 1 Kwietnia 2017 (edytowane) Czy opcje shortcut.txt też zaznaczyć w FRST? Nie znam tego adresu IP. Ciągle mi wyskakuje okienko z adresem http://pl.reimageplus.com/lp/tef/index.php?tracking=XML&banner=Feed1_Open1_PL_0.26_TEFNMS2_none&adgroup=fixitpc.pl&ads_name=problem%20z%20novaramblerru&keyword=direct&xml_uuid=2BB5B64B-57FF-4137-968B-68E6A339B455&nms=2 EDIT: Podsyłam raporty. Searchreg.txt ma ponad 2mb i nie mogę go dodać. Search.txt Edytowane 3 Kwietnia 2017 przez Rucek Odnośnik do komentarza
Miszel03 Opublikowano 1 Kwietnia 2017 Zgłoś Udostępnij Opublikowano 1 Kwietnia 2017 Używaj opcji Edytuj. Posty łącze. Wklej jego zawartość na wklej.org Odnośnik do komentarza
Minsigno Opublikowano 1 Kwietnia 2017 Autor Zgłoś Udostępnij Opublikowano 1 Kwietnia 2017 Na stronie wklej.org jest jakiś problem, ponieważ po kilkukrotnej próbie pojawia się komunikat 502 gateway. http://wklejto.pl/274013 Problem rozwiązany, manualnie wyszukałem ukryte pliki na dysku C związane z nova rambler. Zajęło mi to 4 godziny ale mam spokój. Pozdrawiam. Odnośnik do komentarza
Rekomendowane odpowiedzi
Jeśli chcesz dodać odpowiedź, zaloguj się lub zarejestruj nowe konto
Jedynie zarejestrowani użytkownicy mogą komentować zawartość tej strony.
Zarejestruj nowe konto
Załóż nowe konto. To bardzo proste!
Zarejestruj sięZaloguj się
Posiadasz już konto? Zaloguj się poniżej.
Zaloguj się