Złosliwe oprogramowanie w przeglądarce (Ruski wirus)

[kamilox2200]

Witam ,mam 14 lat w "komputerach" nie jestem jakiś wybitny. Dzisiaj pobrałem patch do pewnego programu, który nagle zaczął instalować jakieś Rosyjskie programy (nie dało ich się usunąć ,bo automatycznie znów się instalowały. Uruchamiając chrome'a (bo z niego korzystam) stroną główna zmieniła się na mail.RU domyślam się ,że ruską. A wokół niego pełno reklam o grzybicy, łatwej kasie i innych clickbeitów. Od razu zabrałem się za "próbę" pobrania Adw cleanera, ale gdy wpisywałem to w wyszukiwarce ona wyłączyła się (i to parę razy z rzędu). Przeniosłem się n a explorer, gdzie na szczęście udało się go pobrać. Robiłem +/- 7,8 skanów. Z powodzeniem programy zniknęły z komputera został tylko problem w przeglądarce. W tej sekcji adw cleaner nie pomaga. Próbowałem przeinstalować chrome, lecz to na nic. Proszę pomóżcie !

Edytowane 26 lipca 2017 przez kamilox2200

[Youki]

Temat został przeniesiony z Internet i sieci komputerowe > Obsługa Internetu do Oprogramowanie > Bezpieczeństwo

[Twój_Anioł_Stróż]

Zrób logi z FRST > http://www.forumpc.pl/topic/277786-nieingerencyjne-narzędzia-do-tworzenia-logów-systemowych/?p=2010191
przed skanem zaznacz: Additional.txt Shortcut.txt,

[kamilox2200]

 

 

 

here rly thanks

 

Shortcut.txt

Addition.txt

FRST.txt

Edytowane 26 lipca 2017 przez kamilox2200

[Twój_Anioł_Stróż]

1) Uruchom FRST. NA klawiaturze naciśnij jednocześnie CTRL+Y.Otworzy się Notatnik - wklej do niego:

RemoveDirectory: C:\Users\Kamil\AppData\Local\yc

RemoveDirectory: C:\Users\Kamil\AppData\Roaming\SETUPS~1
RemoveDirectory: C:\Program Files (x86)\YeuAskIE
RemoveDirectory: C:\Users\Kamil\AppData\LocalLow\TutubeBl
Task: {0916E8DD-F1B5-469C-9E39-FE77313C5F99} - System32\Tasks\{089EDC83-4535-436B-98A9-BE0F86549AAB} => C:\Windows\system32\pcalua.exe -a C:\PROGRA~2\COMMON~1\INSTAL~1\Driver\11\INTEL3~1\IDriver.exe -c /M{C75FAD21-EC08-42F3-92D6-C9C0AB355345}
Task: {27026F5C-1449-4E1E-B357-6C2404EC8C93} - System32\Tasks\MSI => C:\Users\Kamil\AppData\Roaming\Microsoft\msi.exe
C:\Users\Kamil\AppData\Roaming\Microsoft\msi.exe
Task: {75F42B45-A1CE-4402-A793-BD1C7AD0C3F1} - System32\Tasks\{161D6FAD-A1C6-48D7-BA75-D615EA589F27} => C:\Windows\system32\pcalua.exe -a C:\Users\Kamil\Downloads\ScreenShooter5-Setup.exe -d C:\Users\Kamil\Downloads
Task: {B9A61042-D859-42CC-ACB4-9E0094CC4AA6} - System32\Tasks\{E2B2D64E-5F40-4BB7-9E32-9A1115BA16D3} => C:\Windows\system32\pcalua.exe -a "C:\Users\Kamil\Downloads\Realtek High Definition Audio Codecs R2.81 [1].exe" -d C:\Users\Kamil\Downloads
FirewallRules: [{5AB10EEC-4A43-439D-B00B-E23D7641CA6A}] => (Allow) C:\Users\Kamil\AppData\Local\yc\Application\yc.exe
Task: {8523A9BD-23DC-4215-ADFE-09540DF17B96} - System32\Tasks\setupsk_upd => C:\Users\Kamil\AppData\Roaming\SETUPS~1\python\pythonw.exe
Task: {33140D01-AC37-4587-9693-0F5E8C940BB7} - System32\Tasks\setupsk => C:\Users\Kamil\AppData\Roaming\setupsk\python\pythonw.exe
HKU\S-1-5-21-2802628307-3775784293-351356622-1000\...\Run: [ycAutoLaunch_24EDAE64DA1779CC6D4B044E88B2A9A8] => C:\Users\Kamil\AppData\Local\yc\Application\yc.exe [850432 2017-06-21] (The Chromium Authors)
HKU\S-1-5-21-2802628307-3775784293-351356622-1003\...\Run: [GoogleChromeAutoLaunch_46BF133ACA8BEB7ACDB8F921980892DB] => C:\Program Files (x86)\Google\Chrome\Application\chrome.exe [1397592 2017-07-25] (Google Inc.)
GroupPolicy: Ograniczenia - Chrome <==== UWAGA
GroupPolicy\User: Ograniczenia <==== UWAGA
Tcpip\..\Interfaces\{A1DAFF68-9B1B-4BBF-8880-06FBB859D4FF}: [NameServer] 82.202.226.203
BHO: YoutubeAdBlock -> {C0D38E5A-7CF8-4105-8FE8-31B81443A114} -> C:\Program Files (x86)\YeuAskIE\tjNSMlN.dll => Brak pliku
BHO-x32: YoutubeAdBlock -> {C0D38E5A-7CF8-4105-8FE8-31B81443A114} -> C:\Program Files (x86)\YeuAskIE\k6H4ApaH.dll => Brak pliku
CHR StartupUrls: Default -> "hxxp://www.google.com/","hxxp://www.interia.pl/#utm_source=instalki&utm_medium=installer&utm_campaign=instalki","hxxp://www.mystartsearch.com/?type=hp&ts=1423257359&from=epom3&uid=395049983_6295314_7E1F263D","hxxp://www.mystartsearch.com/?type=hppp&ts=1423257443&from=epom3&uid=395049983_6295314_7E1F263D","hxxp://www.mystartsearch.com/?type=hp&ts=1425199414&from=epom3&uid=SAMSUNGXHD161HJ_S0V3J9BPA41623","hxxp://www.mystartsearch.com/?type=hp&ts=1425199488&from=epom3&uid=SAMSUNGXHD161HJ_S0V3J9BPA41623","hxxp://do-search.com/?type=hp&ts=1429101651&from=cor&uid=WDCXWD10EARX-00N0YB0_WD-WMC0S050247902479","hxxp://www.mystartsearch.com/?type=hp&ts=1435740822&z=e53df1fa24135a285a48150gfzdc7w2mezfe3b0o1g&from=wpc&uid=WDCXWD10EARX-00N0YB0_WD-WMC0S050247902479","hxxp://www.istartsurf.com/?type=hp&ts=1436808510&z=544f619cf509429bfb563c3g4zcc3q7b9efb3z0teq&from=cor&uid=WDCXWD10EARX-00N0YB0_WD-WMC0S050247902479","hxxp://searchinterneat-a.akamaihd.net/h?eq=U0EeCFZVBB8SRghFIg9cWAgTFhhBdFoITA1ERQMOIVxeAxRGRQRAdlgAUQpCEFYFIk0FA1oDB0VXfV5bFElXTwhwL1dRAm0DQFxN","hxxp://www.mylucky123.com/?type=hp&ts=1476189069&z=ebb9a8a01d98387d291f444g1z8m7q0g0b1t9e6q5b&from=che0812&uid=WDCXWD10EARX-00N0YB0_WD-WMC0S050247902479","hxxp://mail.ru/cnt/10445?gp=811009","hxxps://www.duckduckgo.com"
CHR Extension: (Adblocker for Youtube™) - C:\Users\Kamil\AppData\Local\Google\Chrome\User Data\Default\Extensions\agalokjhnhheienloigiaoohgmjdpned [2017-07-26]
OPR Extension: (Brak nazwy) - C:\Users\Kamil\AppData\Roaming\Opera Software\Opera Stable\Extensions\ahggfmgiidlaceichjfemgbaggnbaloe [2017-07-26]
OPR Extension: (Brak nazwy) - C:\Users\Kamil\AppData\Roaming\Opera Software\Opera Stable\Extensions\clliemkgoekbejfjjaodogdfimdgapdf [2017-07-26]
OPR Extension: (Brak nazwy) - C:\Users\Kamil\AppData\Roaming\Opera Software\Opera Stable\Extensions\okffikhmikllegpnamokbacoeijooigo [2017-07-26]
S3 TBPanel; Brak ImagePath
2017-07-26 09:21 - 2017-07-26 09:21 - 00000000 ____D C:\Users\Kamil\AppData\Local\Tempzxpsign262edda1cb6c9b34
2017-07-26 09:14 - 2017-07-26 09:14 - 00000000 ____D C:\Users\Kamil\AppData\Local\Tempzxpsign0a218457ad17a1b3
2017-07-25 12:59 - 2017-07-25 12:59 - 00000000 ____D C:\Users\Kamil\AppData\Local\Tempzxpsignca8831f269156000
2017-07-25 12:29 - 2017-07-25 12:29 - 00000000 ____D C:\Users\Kamil\AppData\Local\Tempzxpsign5a9bae567e26fd05
2017-07-23 21:36 - 2017-07-23 21:36 - 00000000 ____D C:\Users\Kamil\AppData\Local\Tempzxpsign71b56aae07c84b46
017-07-21 21:50 - 2017-07-21 21:50 - 00000000 ____D C:\Users\Kamil\AppData\Local\Tempzxpsign0048c24e3ca141d3
C:\Users\Kamil\Favorites\Links\Интернет.url
EmptyTemp:

Na klawiaturze naciśnij jednocześnie CTRL+S. W FRST kliknij na Fix (NAPRAW).

 

2) Zrób nowe logi FRST.

 

3) Napisz, jaka sytuacja po tym usuwaniu?

[kamilox2200]

okej z góry wielkie dzięki

 

FRST.txt

niestety nic się nie zmieniło reklamy zostały.

Edytowane 26 lipca 2017 przez kamilox2200

[Twój_Anioł_Stróż]

Cytuj

CHR StartupUrls: Default -> "hxxp://www.google.com/","hxxp://www.interia.pl/#utm_source=instalki&utm_medium=installer&utm_campaign=instalki","hxxp://www.mystartsearch.com/?type=hp&ts=1423257359&from=epom3&uid=395049983_6295314_7E1F263D","hxxp://www.mystartsearch.com/?type=hppp&ts=1423257443&from=epom3&uid=395049983_6295314_7E1F263D","hxxp://www.mystartsearch.com/?type=hp&ts=1425199414&from=epom3&uid=SAMSUNGXHD161HJ_S0V3J9BPA41623","hxxp://www.mystartsearch.com/?type=hp&ts=1425199488&from=epom3&uid=SAMSUNGXHD161HJ_S0V3J9BPA41623","hxxp://do-search.com/?type=hp&ts=1429101651&from=cor&uid=WDCXWD10EARX-00N0YB0_WD-WMC0S050247902479","hxxp://www.mystartsearch.com/?type=hp&ts=1435740822&z=e53df1fa24135a285a48150gfzdc7w2mezfe3b0o1g&from=wpc&uid=WDCXWD10EARX-00N0YB0_WD-WMC0S050247902479","hxxp://www.istartsurf.com/?type=hp&ts=1436808510&z=544f619cf509429bfb563c3g4zcc3q7b9efb3z0teq&from=cor&uid=WDCXWD10EARX-00N0YB0_WD-WMC0S050247902479","hxxp://searchinterneat-a.akamaihd.net/h?eq=U0EeCFZVBB8SRghFIg9cWAgTFhhBdFoITA1ERQMOIVxeAxRGRQRAdlgAUQpCEFYFIk0FA1oDB0VXfV5bFElXTwhwL1dRAm0DQFxN","hxxp://www.mylucky123.com/?type=hp&ts=1476189069&z=ebb9a8a01d98387d291f444g1z8m7q0g0b1t9e6q5b&from=che0812&uid=WDCXWD10EARX-00N0YB0_WD-WMC0S050247902479","hxxp://mail.ru/cnt/10445?gp=811009","hxxps://www.duckduckgo.com"

Uruchom Google Chrome
> Naciśnij klawisze: lewy Alt+F i kliknij przycisk Ustawienia >
> Sekcja: Po uruchomieniu > wybierz: Otwórz konkretną stronę lub zestaw stron >
> Kliknij: Wybierz strony >
> Usuń: te powyższe strony, wpisz nowy adres strony głównej i kliknij przycisk OK.

 

Uruchom FRST. NA klawiaturze naciśnij jednocześnie CTRL+Y.Otworzy się Notatnik - wklej do niego:

RemoveDirectory: C:\Users\Kamil\AppData\Local\yc

RemoveDirectory: C:\Users\Kamil\AppData\Local\Chromium
EmptyTemp:

Na klawiaturze naciśnij jednocześnie CTRL+S. W FRST kliknij na Fix (NAPRAW).

.

[kamilox2200]

Pamiętam ,że jak sprawdzałem procesy w menedżerze było cos o nazwie chromium

 

nadal nic

 

[Twój_Anioł_Stróż]

Cytuj

jak sprawdzałem procesy w menedżerze było cos o nazwie chromium

Działała fałszywa przeglądarka o nazwie "YC", która udawała, że jest ...Google Chrome.

 

Ale skoro usunięcie jej nie poprawiło sytuacji, to całkowicie pozbądź się Chrome, bo po co ci przeglądarka, która jest trwale zainfekowana.

Reinstalacja nie pomaga, bo Chrome ma domyślnie włączoną synchronizację, co w praktyce oznacza, że zawsze będzie ściągać z serwera infekcję, która była ostatnio na Twoim Chrome.

 

.

[kamilox2200]

A f

4 godziny temu, Twój_Anioł_Stróż napisał:

Działała fałszywa przeglądarka o nazwie "YC", która udawała, że jest ...Google Chrome.

 

Ale skoro usunięcie jej nie poprawiło sytuacji, to całkowicie pozbądź się Chrome, bo po co ci przeglądarka, która jest trwale zainfekowana.

Reinstalacja nie pomaga, bo Chrome ma domyślnie włączoną synchronizację, co w praktyce oznacza, że zawsze będzie ściągać z serwera infekcję, która była ostatnio na Twoim Chrome.

 

.

a formatowanie dysku nie pomoże ?

 

Uwaga uwaga. Ostatecznie przeskanowałem cały komputer programem malware bytes Anti-malware wykazał on 3 lub 4 trojany w sumie 400 zagrożen o nazwie PUP.Optional cos tam dalej ... teraz cały czas Anti-malware blokuje jakieś dziwne domeny z zakończeniem .ru mam nadzieje że ten anti wirus naprawi :/

Co chwilę Malwarebytes blokuje domeny o nazwie "5iswy5qjmp31p.ru" mam nadzieje że ta informacja jakoś wpłynie na ewentualna naprawę .

 

 

pliki odpowiedzialne za to są w folderach chrome'a

 

[Twój_Anioł_Stróż]

p

Cytuj

pliki odpowiedzialne za to są w folderach chrome'a

próbowałeś je usunąć?

[kamilox2200]

najgorzej że nie wiem jak sie nazywają

 

 

 

Edytowane 27 lipca 2017 przez kamilox2200

[Twój_Anioł_Stróż]

to skąd wiesz, że są?

[mgie45]

masz jakiegoś antywirusa na swoim kompie? Każdy lepszy by sobie z tym syfem poradził...