Pozostałości po wirusach, chińskich reklamiarzach, ciągle infekujące się skróty przeglądarek, nieusuwalny element w AdwCleaner

[WrongNumber]

Witam, kuzyni dali mi do wyczyszczenia z wirusów, reklamiarzy, trojanów laptopa i bardzo dużo skasowałem, w tym przez ręczne deinstalacje, ale chyba mnie to przerosło, bo widzę jakieś pozostałości, np.

skróty na pulpicie mają przypisane ładowanie jakiegoś rozszerzania, nawet jak to zmienię dla Chrome to nawraca, a skrót Opery prowadzi do Chrome. AdwCleaner też sobie z tym nie poradził, nie może też usunąć czegoś na karcie WMI. Załączam log z ostatniego skanowania i wpisy z kwarantanny. 

Na dysku są dziwne ukryte foldery, których nie mogę usunąć "_nazwa_taka_sama_jak_katalog_który_nie_jest_ukryty" a w nich pliki local64spl.dll i local64spl.dll.ini

Może po kolei co robiłem. Na początku komputer był w tak złym stanie, że nie chciał się za bardzo włączyć, potem się udało i cały ekran zajęły reklamiarze i inne aplikacje. Nie mogłem nawet nic pobrać w przeglądarce, bo przekierowywało po chwili na własne adresy. Próbowałem ubić trochę rzeczy w menadżerze, ale nie wszystko się dało i część uruchamiała chyba wyłączone procesy, ale pobrałem w końcu AdwCleaner. Niestety on sobie nie radził, chyba się zawieszał, bo po kilku godzinach nic się nie działo. Co chwilę padała sieć, więc sprawdziłem ustawienia i były zmienione adresy DNS. Ustawiłem na 8.8.8.8, ubiłem trochę procesów i pobrałem parę innych skanerów, a wcześniej usunąłem przez deinstalatory kilka tych reklamiarzy chińskich. Zainstalowałem Avast Free i odpaliłem skanowanie, ale tak jakby się zwiesił podobnie jak wcześniej AdwCleaner, więc przerwałem je, i odpaliłem DrWeb CureIt. Ten znalazł chyba około 60 elementów i je usunął. Wrzucę log jak potrzebny i jeśli dostanę wskazówkę gdzie jest. W międzyczasie wyskoczyło chyba trzy razy okno, że znaleziono rootkity. Upewniłem się przez RepairDNS, że DNS są ok, CCleaner do usunięcia śmieci i rejestru, autostartu, itd. Tam zobaczyłem parę wpisów po szkodnikach w zaplanowanych zadaniach i je wyłączyłem. Na koniec pełne skanowanie Avast - tym razem sukces, AdwCleaner - niby skasował prawie wszystko z wyjątkiem w WMI, ale skróty powróciły. I jeszcze był skan Malwarebytes Anti-Rootkit, ale nic nie znalazł. To chyba wszystkie podjęte kroki mniej więcej. 

AdwCleanerS12.txt

Addition.txt

FRST.txt

gmer2016.10.20.txt

Shortcut.txt

AdwCleaner - Quarantine.txt

[picasso]

Problem ze skrótami powoduje infekcja zaszyta we WMI systemowym, skrypt tam osadzony w predefiniowanych odstępach czasu reinfekuje wszystkie skróty przeglądarek. Ale to nie jedyne problemy z adware - są tu też aktywne obiekty malware w Print Providers, samoistne autoryzacje malware w programach antywirusowych i różne inne śmieci.

 

Operacje do wdrożenia:

 

1. Deinstalacje:

- Klawisz z flagą Windows + X >Programy i funkcje > odinstaluj potwornie stary Adobe Reader 6.0 CE. To niebezpieczna wersja, dziurawa jak sito, silne zagrożenie infekcjami (w tym szyfrującymi dane).

- Uruchom Program Install and Uninstall Troubleshooter i za jego pomocą usuń dwa ukryte i zbędne śledzące programy Lenovo: Metric Collection SDK + Metric Collection SDK 35.

 

2. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
CreateRestorePoint:
WMI_ActiveScriptEventConsumer_ASEC: 
ShortcutWithArgument: C:\Users\myy\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://9o0gle.com/
ShortcutWithArgument: C:\Users\myy\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> --load-extension="C:\Users\myy\AppData\Local\kemgadeojglibflomicgnfeopkdfflnk" hxxp://9o0gle.com/
ShortcutWithArgument: C:\Users\myy\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://9o0gle.com/
ShortcutWithArgument: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> --load-extension="C:\Users\myy\AppData\Local\kemgadeojglibflomicgnfeopkdfflnk" hxxp://9o0gle.com/
ShortcutWithArgument: C:\Users\Public\Desktop\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> --load-extension="C:\Users\myy\AppData\Local\kemgadeojglibflomicgnfeopkdfflnk" hxxp://9o0gle.com/
HKLM\...\Providers\6s0rrtre: C:\drivers\\local64spl.dll [143360 2016-10-19] ()
HKLM\...\Providers\7cex2nn0: C:\Gry\\local64spl.dll [143360 2016-10-19] ()
HKLM\...\Providers\8cisg264: C:\Fifa\\local64spl.dll [143360 2016-10-19] ()
HKLM\...\Providers\9f3te1cv: C:\Users_\local64spl.dll [143360 2016-10-19] ()
HKLM\...\Providers\9pfsretp: C:\Program Files (x86)\\local64spl.dll
HKLM\...\Providers\hnq3zruc: C:\\local64spl.dll
HKLM\...\Providers\hofdfux9: C:\drivers_\local64spl.dll [143360 2016-10-19] ()
HKLM\...\Providers\j2kuhb1x: C:\Program Files (x86)_\local64spl.dll [143360 2016-10-19] ()
HKLM\...\Providers\mwyc24vk: C:\_\local64spl.dll [143360 2016-10-19] ()
HKLM\...\Providers\o4v17d23: C:\Downloads\\local64spl.dll [143360 2016-10-19] ()
HKLM\...\Providers\qiybsgh4: C:\Downloads_\local64spl.dll [143360 2016-10-19] ()
HKLM\...\Providers\qjevioom: C:\Gry_\local64spl.dll [143360 2016-10-19] ()
HKLM\...\Providers\sm8iznf8: C:\Users\\local64spl.dll
HKLM\...\Providers\xul8d7gf: C:\Fifa_\local64spl.dll [143360 2016-10-19] ()
HKU\S-1-5-18\...\Run: [] => 0
HKU\S-1-5-21-2343515901-1995961693-3041986844-1001\...\StartupApproved\Run: => "BingSvc"
HKU\S-1-5-21-2343515901-1995961693-3041986844-1001\...\StartupApproved\Run: => "DAEMON Tools Lite Automount"
HKU\S-1-5-21-2343515901-1995961693-3041986844-1001\...\StartupApproved\Run: => "svchost0"
NETSVCx32: HpSvc -> Brak ścieżki do pliku.
S0 mfeelamk; C:\WINDOWS\System32\drivers\mfeelamk.sys [82072 2015-08-10] (McAfee, Inc.)
TasksDetails:
Task: {03F68544-AA8E-45C8-AA0F-C92BA9123BE5} - System32\Tasks\psv_Fax-Bam => /c regedit.exe /s "C:\ProgramData\Quoteex\Alphaex.reg" & del "C:\ProgramData\Quoteex\Alphaex.reg" & SCHTASKS /Delete /TN "psv_Fax-Bam" /F 
Task: {0524F820-0A67-468A-AEBA-D0E1FD8242F9} - System32\Tasks\psv_IceTech => /c regedit.exe /s "C:\ProgramData\Quoteex\Geocom.reg" & del "C:\ProgramData\Quoteex\Geocom.reg" & SCHTASKS /Delete /TN "psv_IceTech" /F 
Task: {1C73827B-871E-4E83-95C3-01952B7E73FB} - System32\Tasks\Lenovo\Lenovo Customer Feedback Program => C:\Program Files\Lenovo\Customer Feedback Program\Lenovo.TVT.CustomerFeedback.Agent.exe
Task: {1FF7AD7D-329A-48AE-9688-9E646A9BF294} - System32\Tasks\psv_GreenDom => /c regedit.exe /s "C:\ProgramData\Quoteex\Soncof.reg" & del "C:\ProgramData\Quoteex\Soncof.reg" & SCHTASKS /Delete /TN "psv_GreenDom" /F 
Task: {42AB9ED0-ED66-4C75-B9F4-472D57E22F02} - System32\Tasks\psv_Movehome => /c regedit.exe /s "C:\ProgramData\Quoteex\Hometom.reg" & del "C:\ProgramData\Quoteex\Hometom.reg" & SCHTASKS /Delete /TN "psv_Movehome" /F 
Task: {560A7581-DF99-4679-8E13-466E1266DCB4} - System32\Tasks\Lenovo\Lenovo Customer Feedback Program 64 => C:\Program Files (x86)\Lenovo\Customer Feedback Program\Lenovo.TVT.CustomerFeedback.Agent.exe [2015-07-08] (Lenovo)
Task: {5CFA38CE-0B6C-4321-A11A-04FC1CC17661} - System32\Tasks\psv_Softtip => /c regedit.exe /s "C:\ProgramData\Quoteex\PhysZuming.reg" & del "C:\ProgramData\Quoteex\PhysZuming.reg" & SCHTASKS /Delete /TN "psv_Softtip" /F 
Task: {651CB129-AD5D-4180-BF30-07E56A0835C7} - System32\Tasks\{2A362A6F-E012-4DA8-9D3D-8A8EB6FE6CE3} => pcalua.exe -a E:\dx9\dxsetup.exe -d E:\dx9
Task: {67C00B66-FB41-453A-8A65-932C09A08F77} - System32\Tasks\psv_Superlax => /c regedit.exe /s "C:\ProgramData\Quoteex\Hat-Dox.reg" & del "C:\ProgramData\Quoteex\Hat-Dox.reg" & SCHTASKS /Delete /TN "psv_Superlax" /F 
Task: {68F04126-57D8-495F-AD1D-332AA7372046} - System32\Tasks\Plavey Agent => C:\Program Files (x86)\Preniy\arakut.exe [2016-10-14] (Glarysoft Ltd)
Task: {859C57B7-D9A9-4ADC-86AA-4620DAE93ACE} - System32\Tasks\93aa3668456c544e837b18bf555c602f => Rundll32.exe "C:\Program Files (x86)\mpck\hv6bg8.dll",e62dc6c6547f46bda862da2d05af6862
Task: {89B18B47-FB9B-490E-8798-B3692648FBBC} - System32\Tasks\psv_Qvola => /c regedit.exe /s "C:\ProgramData\Quoteex\Rannix.reg" & del "C:\ProgramData\Quoteex\Rannix.reg" & SCHTASKS /Delete /TN "psv_Qvola" /F 
Task: {B28A99A7-765F-4B9F-BFDF-186EF499F97A} - System32\Tasks\psv_Ranktone => /c regedit.exe /s "C:\ProgramData\Quoteex\GoldDonlight.reg" & del "C:\ProgramData\Quoteex\GoldDonlight.reg" & SCHTASKS /Delete /TN "psv_Ranktone" /F 
Task: {C02A7478-054F-4712-B077-A45C846836DD} - System32\Tasks\psv_Stanity => /c regedit.exe /s "C:\ProgramData\Quoteex\NewCom.reg" & del "C:\ProgramData\Quoteex\NewCom.reg" & SCHTASKS /Delete /TN "psv_Stanity" /F 
Task: {DA9741AD-0F09-464F-95D9-F44EB0294894} - System32\Tasks\psv_Tipfresh => /c regedit.exe /s "C:\ProgramData\Quoteex\Tranex.reg" & del "C:\ProgramData\Quoteex\Tranex.reg" & SCHTASKS /Delete /TN "psv_Tipfresh" /F 
Task: {E6CEEBF6-4A7B-4F46-9A9C-BCB071C80475} - System32\Tasks\psv_TrippleDublux => /c regedit.exe /s "C:\ProgramData\Quoteex\K-air.reg" & del "C:\ProgramData\Quoteex\K-air.reg" & SCHTASKS /Delete /TN "psv_TrippleDublux" /F 
CHR HKLM\SOFTWARE\Policies\Google: Ograniczenia 
CHR HKLM-x32\...\Chrome\Extension: [eofcbnmajmjmplflapaojjnihcjkigck] - hxxps://clients2.google.com/service/update2/crx
HKU\S-1-5-21-2343515901-1995961693-3041986844-1001\Software\Microsoft\Internet Explorer\Main,Start Page =
SearchScopes: HKLM-x32 -> DefaultScope - brak wartości
DeleteKey: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2
DeleteKey: HKLM\SOFTWARE\Microsoft\Microsoft Antimalware
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run32
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths
DeleteKey: HKLM\SOFTWARE\Mozilla
DeleteKey: HKLM\SOFTWARE\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions
DeleteKey: HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{749716AD-5C7B-4C25-BD02-92EE9F1572E1}
DeleteKey: HKLM\SOFTWARE\Wow6432Node\Mozilla
DeleteKey: HKLM\SOFTWARE\Wow6432Node\MozillaPlugins
DeleteKey: HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes
DeleteKey: HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes
DeleteKey: HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes
C:\_
C:\Downloads_
C:\drivers_
C:\Fifa_
C:\Gry_
C:\Program Files (x86)_
C:\Program Files (x86)\local64spl.dll.ini
C:\Program Files (x86)\Atabickcherjertain
C:\Program Files (x86)\Preniy
C:\ProgramData\Avg
C:\ProgramData\Avira
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Opera.lnk
C:\TOSTACK
C:\Users_
C:\Users\local64spl.dll.ini
C:\Users\myy\AppData\Local\{2EDFA256-042A-4627-820B-F631D48896BF}
C:\Users\myy\AppData\Local\{550BB3CD-3C8E-4726-AB1B-8891EEBDB36A}
C:\Users\myy\AppData\Local\BTServer.log
C:\Users\myy\AppData\Local\CEF
C:\Users\myy\AppData\Local\Kurery
C:\Users\myy\AppData\Local\Pojuwardperciied
C:\Users\myy\AppData\Local\svchost
C:\Users\myy\AppData\Local\Tempfolder
C:\Users\myy\AppData\Local\Google\Chrome\User Data\Guest Profile
C:\Users\myy\AppData\Local\Google\Chrome\User Data\System Profile
C:\Users\myy\AppData\LocalLow\Company
C:\Users\myy\AppData\LocalLow00729AB0
C:\Users\myy\AppData\LocalLow00D31640
C:\Users\myy\AppData\LocalLow00D57000
C:\Users\myy\AppData\LocalLow00E0C958
C:\Users\myy\AppData\LocalLow011042E0
C:\Users\myy\AppData\LocalLow0130C380
C:\Users\myy\AppData\LocalLow00000016036BCDD8
C:\Users\myy\AppData\LocalLow0000005C533ACCE8
C:\Users\myy\AppData\LocalLow0000008A5347C598
C:\Users\myy\AppData\LocalLow00000090E826A078
C:\Users\myy\AppData\LocalLow00000098487AA3B8
C:\Users\myy\AppData\LocalLow0000009F11E2A3B8
C:\Users\myy\AppData\Roaming\*.*
C:\Users\myy\AppData\Roaming\Arosphernoph
C:\Users\myy\AppData\Roaming\DAEMON Tools Lite
C:\Users\myy\AppData\Roaming\Microleaves
C:\Users\myy\AppData\Roaming\Mozilla
C:\Users\myy\AppData\Roaming\WarThunder
C:\Users\myy\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\UC浏览器
C:\Users\Public\Desktop\Opera.lnk
C:\Users\Public\Thunder Network
C:\WINDOWS\system32\dihn
C:\WINDOWS\System32\drivers\mfeelamk.sys
C:\WINDOWS\SysWOW64\kz.exe
C:\WINDOWS\SysWOW64\Number of results
Folder: C:\Users\myy\AppData\Local\Apps\2.0
CMD: ipconfig /flushdns
CMD: netsh advfirewall reset
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Z menu Notatnika > Plik > Zapisz jako > wprowadź nazwę fixlist.txt > Kodowanie zmień na UTF-8

 

Plik fixlist.txt umieść w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

3. Są tu ślady malware manipulującego w wykluczeniach programów antywirusowych. Sztucznie dorobione do Windows Defender i nieistniejących programów AVG i Avira już zaadresowane w/w skryptem. Inna sprawa jest jednak z zainstalowanym i aktywnym Avast - nie można usunąć ani zmanipulować jego pliku exclusions.ini, gdy jest aktywny. Dlatego też musisz ręcznie w konfiguracji Avast sprawdzić listę wykluczeń i usunąć z niej wszystko.

 

4. Usunięte skróty Opera odtwórz ręcznie w wybranych miejscach.

 

5. Zrób nowy log FRST z opcji Skanuj (Scan), bez Shortcut. Dołącz też plik fixlog.txt.

[WrongNumber]

Wszystkie kroki wykonane, oto nowe logi. 

Addition.txt

Fixlog.txt

FRST.txt

[picasso]

Wszystko zrobione, ale jeszcze drobne poprawki, bo przetwarzałeś skrypt w momencie gdy go jeszcze korygowałam dodając pewne wpisy (myślałam, że zdążyłam to zrobić przed Twoim przeczytaniem tematu) + usuwanie używanych narzędzi.

 

Otwórz Notatnik i wklej w nim:

 

HKU\S-1-5-21-2343515901-1995961693-3041986844-1001\...\StartupApproved\Run: => "BingSvc"
HKU\S-1-5-21-2343515901-1995961693-3041986844-1001\...\StartupApproved\Run: => "DAEMON Tools Lite Automount"
HKU\S-1-5-21-2343515901-1995961693-3041986844-1001\...\StartupApproved\Run: => "svchost0"
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run32
RemoveDirectory: C:\AdwCleaner
RemoveDirectory: C:\FRST\Quarantine
RemoveDirectory: C:\MATS
RemoveDirectory: C:\ProgramData\Malwarebytes' Anti-Malware (portable)
RemoveDirectory: C:\Users\myy\Doctor Web
RemoveDirectory: C:\Users\myy\AppData\Roaming\DAEMON Tools Lite
RemoveDirectory: C:\Users\myy\AppData\Roaming\WarThunder
RemoveDirectory: C:\Users\myy\Desktop\mbar
StartBatch:
del /q "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Opera.lnk"
del /q C:\Users\myy\Desktop\RepairDNS.txt
del /q C:\Users\myy\Downloads\BootkitRemoval_x64.exe
del /q C:\Users\myy\Downloads\bqfvl8xg.exe
del /q C:\Users\myy\Downloads\gmer*.txt
del /q C:\Users\myy\Downloads\mbam-setup-2.2.1.1043.exe
del /q C:\Users\myy\Downloads\mbar-1.09.3.1001.exe
del /q C:\Users\myy\Downloads\MicrosoftProgram_Install_and_Uninstall.meta.diagcab
del /q C:\Users\myy\Downloads\RepairDNS*.exe
del /q C:\Users\myy\Downloads\SPTDinst-v189-x64.exe
del /q C:\Users\myy\Downloads\xly9plor.exe
del /q C:\WINDOWS\Minidump\*.dmp
EndBatch:

 

Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Tym razem nie powinno być restartu. Przedstaw wynikowy fixlog.txt. Nowe skany FRST nie są potrzebne.

[WrongNumber]

A to przepraszam Chyba już ok!

Pamiętam Cię sprzed lat, jak jeszcze działałaś na poprzednim forum i od tamtej pory mam do Ciebie ogromny respekt, szacunek i byłaś dla mnie wzorem, przez jakiś czas dążyłem, żeby mieć chociaż podobne umiejętności, ale to zaniedbałem. Pamiętam też, że dość szybko i kompleksowo odpisywałaś, więc sprawdzałem parę razy, czy jest odpowiedź i myślałem, że to wszystko jak już odpisałaś. Ale dość podlizywania się!

W pobranych i na pulpicie i tak jeszcze zrobię porządek, ale i tak dzięki, że pomyślałaś o tym w skrypcie. Jeśli faktycznie jest już ok, chciałbym jeszcze spytać, jak mogę dodatkowo zabezpieczyć ten komputer przed takimi szkodnikami? Swego czasu był tu Avast, Unchecky, a w przeglądarkach WOT i uBlock i nie wydaje mi się, że zostały umyślnie usunięte (Avast i Unchecky), ale i tak wydają mi się kiepskim zabezpieczeniem nawet jeśli to nie wirus je skasował.

Komputera używa cała rodzina, często goście, cały przekrój wiekowy i w zasadzie w innym niż polskim języku kompletnie sobie nie radzą, no i sam sprzęt bardzo wolno działa, więc nie chcę go obciążyć zbyt mocno. Da się go jakoś dodatkowo zabezpieczyć oprogramowaniem w j. polskim i nie ograniczyć go za bardzo oraz nie skomplikować pewnych czynności? Głównie służy do Internetu, gier, filmów i filmików w przeglądarce, czasem jakieś dokumenty. Najsłabsze ogniowo to użytkownicy tego komputera, a przyswajanie pewnych zasad wchodzi im opornie, no i nie do wszystkich dotrę z tymi zasadami... 

 

Fixlog.txt

[picasso]

Wszystko zrobione. Na koniec zastosuj DelFix oraz wyczyść foldery Przywracania systemu: KLIK.

 

 

W pobranych i na pulpicie i tak jeszcze zrobię porządek, ale i tak dzięki, że pomyślałaś o tym w skrypcie. Jeśli faktycznie jest już ok, chciałbym jeszcze spytać, jak mogę dodatkowo zabezpieczyć ten komputer przed takimi szkodnikami? Swego czasu był tu Avast, Unchecky, a w przeglądarkach WOT i uBlock i nie wydaje mi się, że zostały umyślnie usunięte (Avast i Unchecky), ale i tak wydają mi się kiepskim zabezpieczeniem nawet jeśli to nie wirus je skasował.

Wg raportów Avast i Unchecky zostały zainstalowane już po fakcie (tzn. w trakcie procesu czyszczenia, gdy już były obiekty adware aktywne), więc pojawiły się za późno. uBlock Origin dobry dodatek, ale jego rola jest po prostu ograniczona i już nic nie zdziała w momencie, gdy użytkownik uruchomił ręcznie "downloader" ze sponsorami. Natomiast WOT to ma niestety nikły wpływ na redukcję problemu, to tylko dodatek stricte informacyjny.

 

Jeśli chodzi o zatrzymanie niepożądanych instalacji, to tu sugerowanym rozwiązaniem byłby raczej program mocno orientowany na instalacje adware/PUP, a takim jest komercyjna wersja MBAM czy Emsisoft.

 

 

Pamiętam Cię sprzed lat, jak jeszcze działałaś na poprzednim forum i od tamtej pory mam do Ciebie ogromny respekt, szacunek i byłaś dla mnie wzorem, przez jakiś czas dążyłem, żeby mieć chociaż podobne umiejętności, ale to zaniedbałem.

Bardzo mi miło, że mnie zapamiętałeś (tyle lat!) i doceniasz moje działania.

[WrongNumber]

Ok, więc wszystko wykonane, wygląda na to, że czysto. Loga z DelFix przypadkiem usunąłem przedwcześnie, więc nie wrzucę już. 

Dziękuję za tą profesjonalną pomoc i porady!