Samootwierająca się strona w przeglądarce

[kamkow]

Czołem,

Problem przedstawia się tak, że po uruchomieniu komputera samoczynnie włącza się przeglądarka (FF) i odpala pojedynczą, najczęściej rosyjską stronę z reklamami. Strony są różne. Log w załączeniu.

Addition.txt

FRST.txt

Shortcut.txt

[Miszel03]

Wpisałem Cię na listę tematów priorytetowych, bo czekałeś 5 dni. 
 
Problem przez Ciebie opisany tworzy wpis w rejestrze uruchamiający przy starcie systemu losowe, rosyjskie reklamy. Oprócz tego niestety widoczne są inne infekcje. Wyglądają na standardowe koparki BitCoin. Domyślam się, że wolno chodzi Ci komputer? 
Przy okazji: czyszczę komputer z resztek po odinstalowanym wcześniej oprogramowaniu.  

Od razu przechodzimy do działań.
 
1. Za pomocą Program Install and Uninstall Troubleshooter odinstaluj dwie pozycje o nazwie Google Update Helper (to ogólny aktualizator produktów Google, których Ty nie posiadasz). 
 
2. Uruchom FRST. Z klawiatury CTRL+Y, zostanie otworzony plik fixlist.txt. Wklej do pliku następującą treść:
 

CloseProcesses:
CreateRestorePoint:
HKLM\...\Winlogon: [userinit] C:\Users\Kamil Kowalczyk\AppData\Local\Kometa\StartButton\kometastartvx64.exe,C:\windows\system32\userinit.exe,
HKU\S-1-5-21-696178943-1244779741-494401308-1001\...\Run: [cqdbtbuhke] => explorer "hxxp://khovymush.ru/?utm_source=uoua03&utm_content=295e913c7eb43d006191a7eeee61c5ce&utm_term=D8E957798745964B948E3505AF0E8E8A&utm_d=20170321" HKU\S-1-5-21-696178943-1244779741-494401308-1001\...\Run: [Java x86 applicate] => C:\Users\Kamil Kowalczyk\AppData\Roaming\Java\x86-64bits Windows\Config-DefaultMain\SysUtils SDK v2.49\svhcost.exe [ ] ()
HKU\S-1-5-21-696178943-1244779741-494401308-1001\...\RunOnce: [Flash Inc.] => C:\Users\Kamil Kowalczyk\AppData\Roaming\Adobe\syssl.exe [509952 2017-10-03] ()
C:\Users\Kamil Kowalczyk\AppData\Roaming\Java
C:\Users\Kamil Kowalczyk\AppData\Local\Kometa
C:\Users\Kamil Kowalczyk\AppData\Roaming\Adobe\syssl.exe
ShortcutTarget: Wysyłanie do programu OneNote.lnk -> C:\Program Files (x86)\Microsoft Office\root\Office16\ONENOTEM.EXE (Brak pliku)
GroupPolicy: Ograniczenia GroupPolicy\User: Ograniczenia HKU\S-1-5-21-696178943-1244779741-494401308-1001\Software\Microsoft\Internet Explorer\Main,Start Page = 
SearchScopes: HKU\S-1-5-21-696178943-1244779741-494401308-1001 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 
SearchScopes: HKU\S-1-5-21-696178943-1244779741-494401308-1001 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 
R2 ibtsiva; %SystemRoot%\system32\ibtsiva [X]
ContextMenuHandlers5: [igfxcui] -> {3AB1675A-CCFF-11D2-8B20-00A0C93CB1F4} =>  -> Brak pliku
C:\ProgramData\Microsoft\Windows\GameExplorer\{E48C0AD5-44D5-40E4-979C-F5EC3239172A}\PlayTasks\0\Play.lnk 
C:\Users\Kamil Kowalczyk\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Wysyłanie do programu OneNote.lnk
DeleteKey: HKCU\Software\Google
DeleteKey: HKCU\SOFTWARE\Google
DeleteKey: HKLM\SOFTWARE\Wow6432Node\Google
VirusTotal: C:\Users\Kamil Kowalczyk\AppData\Roaming\Java\x86-64bits Windows\Config-DefaultMain\SysUtils SDK v2.49\svhcost.exe
VirusTotal: C:\Users\Kamil Kowalczyk\AppData\Local\Kometa\StartButton\kometastartvx64.exe
CMD: dir /a "C:\Program Files"
CMD: dir /a "C:\Program Files (x86)"
CMD: dir /a "C:\Program Files\Common Files\System"
CMD: dir /a "C:\Program Files (x86)\Common Files\System"
CMD: dir /a C:\ProgramData
CMD: dir /a C:\Users\Kamil Kowalczyk\AppData\Local
CMD: dir /a C:\Users\Kamil Kowalczyk\AppData\LocalLow
CMD: dir /a C:\Users\Kamil Kowalczyk\AppData\Roaming
CMD: netsh advfirewall reset 
Powershell: wevtutil el | Foreach-Object {wevtutil cl "$_"}
EmptyTemp:

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

Z klawiatury CTRL+S, by zapisać zmiany. Następnie w oknie FRST klik w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

2. Wyczyść przeglądarkę Mozilla FireFox:

• Odłącz synchronizację (o ile włączona): KLIK.
• Menu Pomoc > Informacje dla pomocy technicznej > Odśwież program Firefox. Zakładki i hasła nie zostaną naruszone.
• Menu Historia > Wyczyść historię przeglądania.

3. Całościowo przeskanuj system za pomocą Malwarebytes AntiMalware. Jeśli coś wykryje to niczego nie usuwaj, a dostarcz raport. 
 
4. Zrób nowy log FRST z opcji Skanuj (Scan) wraz z Addition i Shortcut. Dołącz też plik fixlog.txt.

[kamkow]

Po restarcie systemu przeglądarka ani żadna dodatkowa karta się nie otworzyły, zatem sukces.

Przyznam, że nie zauważyłem żeby komputer wolniej chodził. Jednakowoż od dawna miałem problemy z Firefoxem, który często łapał zwiechy.

Raporty w załączeniu. Malwarebytes coś znalazł, ale nic nie usuwałem. Z tego co widzę jedno rzekome zagrożenie odnosi się do gry która była modowana i mówiąc szczerze nie sądzę, żeby tam siedział jakiś robak.

Addition.txt

Fixlog.txt

FRST.txt

raport malwarebytes.txt

Shortcut.txt

[Miszel03]

Wszystko pomyślnie wykonane, infekcje usunięte, system wyczyszczony z resztek. Wygląda to już w porządku.

 

Detekcje z MBAM o nazwie PUP.Optional.StartPage daj do kasacji, resztę zostaw.

 

Plik od tej gry tj. C:\PROGRAM FILES (X86)\MOUNT BLADE WARBAND\MBREG_FIANNA_PROPER.EXE sprawdź w serwisie VirusTotal.com i dostarcz link do analizy.

[kamkow]

https://www.virustotal.com/#/file/5b9160537026192a9f597da4be6a1cef1f62b0c362a972e85d10d4c215d98f22/detection

[Miszel03]

Z analizy wynika, że czołowi producenci oprogramowania zabezpieczającego znaleźli w tym złośliwe oprogramowanie.

Moje zalecenie jest następujące: odinstalować grę i wszystkie jej komponenty. Upewnić się, że ten plik został również skasowany. 

 

Jak ta gra i skąd znalazła się na Twoim komputerze (była pobrana z oficjalnych źródeł producenta, modyfikacje również?).

[kamkow]

Gra jest oryginalna. Mod z istoty rzeczy pochodzi ze źródeł fanowskich czyli nieoficjalnych, ściągnięty z któregoś serwisu z hostingiem plików. Aczkolwiek dziwię się, bo to jest modyfikacja znana i funkcjonująca wśród graczy od lat. No nic, odpuszczę na wszelki wypadek i odinstaluję. Dziękuję bardzo za całą udzieloną pomoc!

[Miszel03]

W porządku, w takim razie uznaję, że możemy kończyć. 

 

Na koniec zastosuj DelFix oraz odpal aktualizacje systemu i ważnych programów.