Custom Search Engine Google

[Misza]

Witam, od jakiegoś czasu na mojej przeglądarce (Opera), a także na pozostałych (Chrome, Edge, Explorer) z wyjątkiem Firefoxa pojawia się automatyczne przekierowanie z wyszukiwania w google na cse.google.com. Dołączam odpowiedniego screena. Skanowałem komputer AdwCleanerem, CCleanerem, MalwareBytes oraz innymi programami, ale nie pomogło. Z ciekawostek dodam fakt, że podczas uruchomienia VPN w operze problem zostaje naprawiony. 

 

---

 

Dodam jeszcze, że przy użyciu np tego znaku ' wyszukiwanie nie działa, nic się nie dzieje i przekierowanie nie następuje. Problemu nie ma też, jeśli po uruchomieniu ponownie komputera przeglądarka włączy się automatycznie (poprzednia sesja). 

FRST.txt

Addition.txt

Shortcut.txt

[Misza]

Odświeżam temat, przy okazji wrzucam nowe raporty. Problem dalej nierozwiązany.

 

 

 

 

FRST.txt

Addition.txt

Shortcut.txt

[jessica]

Odświeżam temat, przy okazji wrzucam nowe raporty. Problem dalej nierozwiązany.

Odświezanie nic nie przyspieszy, bo Moderator szuka przyczyny:

 

Zgłosił się kolejny użytkownik - Custom Search Engine Google. Jestem w trakcie analizy jego raportów, muszę dodatkowo wykonać tzw. analizę porównawczą i znaleźć punkt wspólny, by móc ustalić przyczynę.

 

EDIT:

https://www.google.pl/

czy na tej stronie też jest przekierowanie?

 

Nawiasem mówiąc: "cse" to legalna usługa Google.

 Korzystają z niej właściciele niektórych stron internetowych, którzy chcą, by wyszukiwanie przez użytkowników na tych konkretnych stronach było przekierowywane na "cse".

 

jessi

[Misza]

Nie ma przekierowania.

[jessica]

Czyli to jest wina stron, z których próbujesz korzystać z Google.

Twój komputer nie ma z tym nic wspólnego.

 

jessi

[Misza]

Nie rozumiem. Czyli to nie jest wirus? Nie da się z tego zrezygnować i wrócić do normalnej postaci wyszukiwarki?

[jessica]

Nie rozumiem. Czyli to nie jest wirus? Nie da się z tego zrezygnować i wrócić do normalnej postaci wyszukiwarki?

Wg mnie, i mojej wiedzy o tej usłudze Google - to nie jest żaden "wirus".

 

Nie da się z tego zrezygnować i wrócić do normalnej postaci wyszukiwarki?

Jeśli to jest naprawdę ta usługa Google, to Użytkownik nie ma żadnej możliwości zrezygnowania, może to uczynić wyłącznie własciciel strony.

 

Podaj mi link strony, z której korzystałeś z wyszukiwarki Google - zobaczę, czy u mnie też przekieruje.

 

jessi

[Misza]

Nie korzystałem z żadnej wbudowanej wyszukiwarki Google na jakiejkolwiek stronie (podejrzewam, że taka jest idea Custom Search Engine). Wszystko wyszukuję z poziomu pasku adresu.

[jessica]

Aha, czyli jednak jest jakaś inna przyczyna.

W takim razie trzeba czekać, co Moderator wymyśli.

 

jessi

[picasso]

Opis wskazuje, że jest ustawione jakieś ogólne "proxy" sieciowe, tylko w raportach nic nie widać. Tak jak podałam w innym temacie, spróbuj zresetować niektóre ustawienia sieciowe. Dodatkowo dołączę usuwanie szczątków po odinstalowanych programach.

1 Uruchom FRST. Z klawiatury CTRL+Y, zostanie otworzony plik tekstowy. Wklej do pliku następującą treść:

CloseProcesses:
CreateRestorePoint:
RemoveProxy:
StartBatch:
ipconfig /flushdns
netsh advfirewall reset
netsh int ipv4 reset all
netsh int ipv6 reset all
netsh int httpstunnel reset all
netsh int portproxy reset all
netsh int tcp reset all
netsh winsock reset
EndBatch:
SearchScopes: HKU\S-1-5-21-4104627804-584984733-3715976581-1001 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
BootExecute: autocheck autochk * sdnclean64.exe
MSCONFIG\Services: clsid10474 => 2
HKLM\...\StartupApproved\StartupFolder: => "ResumeInstall.exe"
HKLM\...\StartupApproved\Run: => "ShadowPlay"
HKLM\...\StartupApproved\Run: => "Launch LCore"
HKU\S-1-5-21-4104627804-584984733-3715976581-1001\...\StartupApproved\Run: => "AceStream"
HKU\S-1-5-21-4104627804-584984733-3715976581-1001\...\StartupApproved\Run: => "Discord"
HKU\S-1-5-21-4104627804-584984733-3715976581-1001\...\StartupApproved\Run: => "uTorrent"
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Safer-Networking
R1 ZAM_Guard; C:\WINDOWS\System32\drivers\zamguard64.sys [203680 2018-04-18] (Zemana Ltd.)
U1 avgbdisk; Brak ImagePath
S1 ZAM; \??\C:\WINDOWS\System32\drivers\zam64.sys [X]
C:\Program Files\Bitdefender
C:\Program Files\Bitdefender Agent
C:\Program Files\Common Files\AVG
C:\Program Files\Common Files\Bitdefender
C:\Program Files (x86)\Avira
C:\Program Files (x86)\Google
C:\Program Files (x86)\Spybot - Search & Destroy 2
C:\Program Files (x86)\Zemana AntiMalware
C:\ProgramData\AVG
C:\ProgramData\Avira
C:\ProgramData\HitmanPro
C:\ProgramData\Spybot - Search & Destroy
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Adobe
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Adobe Application Manager.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Adobe Premiere Pro CC 2015.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Моzillа Firеfох.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Рrzеglądаrkа Ореrа.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Tokyo Dawn Labs\TDR Nova\User manual.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Native Instruments\Service Center\Native Instruments Homepage.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Native Instruments\Massive\Native Instruments Homepage.lnk
C:\Users\Maciek\AppData\Local\Avg
C:\Users\Maciek\AppData\Local\Google
C:\Users\Maciek\AppData\LocalLow\uTorrent
C:\Users\Maciek\AppData\Roaming\AVAST Software
C:\Users\Maciek\AppData\Roaming\QuickScan
C:\Users\Maciek\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Моzillа Firеfох.lnk
C:\Users\Maciek\Desktop\Avira PC Cleaner.lnk
C:\Users\Maciek\Desktop\Remove Avira PC Cleaner.lnk
C:\Users\Maciek\Desktop\Pulpit V3\XMind 8 Update 5.lnk
C:\Users\Maciek\Desktop\Pulpit V3\pulpit\Acrobat Reader DC.lnk
C:\Users\Maciek\Desktop\Pulpit V3\pulpit\Adobe Application Manager.lnk
C:\Users\Maciek\Desktop\Pulpit V3\pulpit\Моzillа Firеfох.lnk
C:\Users\Maciek\Desktop\Pulpit V3\pulpit\pulpit v2\Ace Player.lnk
C:\Users\Maciek\Desktop\Pulpit V3\pulpit\pulpit v2\Ace Stream Media Center.lnk
C:\Users\Maciek\Desktop\Pulpit V3\pulpit\pulpit v2\LibreOffice 5.3.lnk
C:\Users\Maciek\Desktop\Pulpit V3\pulpit\pulpit v2\Origin.lnk
C:\Users\Maciek\Desktop\Pulpit V3\pulpit\pulpit v2\pulpit\Cheat Engine.lnk
C:\Users\Maciek\Desktop\Pulpit V3\pulpit\pulpit v2\pulpit\DSJ4.lnk
C:\Users\Maciek\Desktop\Pulpit V3\pulpit\pulpit v2\pulpit\Euro Truck Simulator 2(x32).lnk
C:\Users\Maciek\Desktop\Pulpit V3\pulpit\pulpit v2\pulpit\Euro Truck Simulator 2(x64).lnk
C:\Users\Maciek\Desktop\Pulpit V3\pulpit\pulpit v2\pulpit\NBA 2K17.lnk
C:\Users\Maciek\Desktop\Pulpit V3\pulpit\pulpit v2\pulpit\SWIMBI.lnk
C:\Users\Maciek\Desktop\Pulpit V3\pulpit\pulpit v2\pulpit\Uplay.lnk
C:\Users\Maciek\Desktop\Pulpit V3\pulpit\pulpit v2\pulpit\µTorrent.lnk
C:\Users\Maciek\Downloads\Box Mockup - by Christian\SUPPORT ME.lnk
C:\Users\Maciek\Documents\Euro Truck Simulator 2\readme.rtf.lnk
C:\Users\defaultuser0\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\OneDrive.lnk
C:\WINDOWS\system32\drivers\bdelam.sys
C:\WINDOWS\system32\drivers\zamguard64.sys
C:\WINDOWS\system32\Drivers\etc\hosts.20180729-223118.backup
C:\WINDOWS\ZAM_Guard.krnl.trace
C:\WINDOWS\ZAM.krnl.trace
Powershell: wevtutil el | Foreach-Object {wevtutil cl "$_"}
EmptyTemp:

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

Z klawiatury CTRL+S, by zapisać zmiany. Następnie w oknie FRST klik w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

2. Zrób nowy log FRST z opcji Skanuj (Scan), bez Shortcut. Dołącz też plik fixlog.txt. Wypowiedz się czy wystąpiły jakieś zmiany w przeglądarkach.

[Misza]

 Brak zmian. Dalej tak jak było, tylko usunęło mi Firefoxa, a raczej nie mam do niego dostępu, choć widnieje w panelu sterowania jako zainstalowany program. 

 

EDIT: Co rozumiesz pod pojęciem zmian ustawień sieciowych? Na drugim komputerze podłączonym do tego samego routera nie ma tego problemu. 

Fixlog.txt

FRST.txt

Addition.txt

[picasso]

Dalej tak jak było, tylko usunęło mi Firefoxa.

 

Firefox nie został usunięty, tylko jego skróty zawierające ukrytą Cyrylicę (odpadek po jakiejś infekcji). Wystarczy, że skrót do Firefox stworzysz ręcznie.

 

Skoro brak zmian, sprawdź czy problem występuje na innym urządzeniu w Twojej sieci (jakiś inny komputer/laptop), o ile to możliwe.

- Jeśli tak, to oznacza infekcję sieci / routera.

- Jeśli nie: nagraj log z Process Monitor co się dzieje podczas używania przeglądarki Firefox. Uruchom program, następnie otwórz Firefox i doprowadź do efektu pokazania się tych wyników wyszukiwania. Zakończ nagrywanie w Process Monitor klikając w ikonę lupki na pasku narzędzi (ma się przekreślić). Zapisz log w formacie *.PML. Log spakuj do ZIP i shostuj gdzieś podając link. Materiały będą spore i nie mogę obiecać szybkiej analizy.

[Misza]

Nie ma problemu na innym komputerze, ani laptopie.

Mam nagrać log z używania przeglądarki Firefox? Wyraźnie napisałem, że problem nie występuje na tej przeglądarce (patrz pierwszy post), więc nie mam jak doprowadzić do pokazania się tych wyników wyszukiwania.

[picasso]

Przepraszam, wpisałam Firefox na zasadzie reakcji Pawłowa. Chodzi mi oczywiście o dowolną przeglądarkę która pokazuje ten defekt.

[picasso]

U Ciebie do wykonania podobny skrypt FRST jak w drugim temacie:

 

CloseProcesses:
CreateRestorePoint:
R1 ntknsv; C:\WINDOWS\System32\drivers\ntknsv.sys [126880 2018-04-11] ()
C:\WINDOWS\System32\drivers\ntknsv.sys

 

Przedstaw wynikowy fixlog.txt.

[ibiza]

Cześć,

ja miałam do dzisiaj identyczny problem, po długich poszukiwaniach pomocy na zagranicznych forach już prawie odpuściłam, ale pomocny okazał się wpis o programie kaspersky virus removal tool. Wiem, że to nie jest wytłumaczenia skąd ten wirus się bierze, ale dopiero wyżej wspomniany program go usunął. Wcześniej próbowałam wszystkich rekomendowanych programów i solucji odnośnie tego problemu, ale nic nie pomagało. Spróbuj, może akurat

[Miszel03]

Ibiza, sterownik malware został już odnaleziony (picasso zadała go do usunięcia w swoim poście). To on jest przyczyną tego przekierunkowania.

[Misza]

Witam po przerwie,

 

Dzisiaj miałem nagrywać tym ProcessMonitorem, a tu się okazuje, że MalwareBytes coś znalazło i usunąłem. Przekierowania nie ma.

To samo co napisała picasso.

Dziękuje za pomoc i chęci!

[Miszel03]

Cieszę się, że problem rozwiązany. 
 
Na koniec zastosuj DelFix (kasacja używanych narzędzi) oraz zaktualizuj oprogramowanie zewnętrzne jak i system Windows. 
 
W razie pytań pozostaje do dyspozycji.