picasso

To nie jest problem infekcji. Skan MBAM owszem wykrył odpadki adware i inne, ale to nie ma związku z objawami. Temat przenoszę do działu Hardware. Dostarcz dane wymagane działem: KLIK. I jedna z ostatnich akcji to aktualizacja sterowników nVidia: 2015-12-18 16:21 - 2015-12-18 18:48 - 00000000 ____D C:\ProgramData\NVIDIA 2015-12-18 16:21 - 2015-11-14 07:12 - 00102520 _____ (NVIDIA Corporation) C:\WINDOWS\SysWOW64\nvStreaming.exe 2015-12-18 16:15 - 2015-11-14 07:20 - 06358648 _____ (NVIDIA Corporation) C:\WINDOWS\system32\nvcpl.dll 2015-12-18 16:15 - 2015-11-14 07:20 - 02983216 _____ (NVIDIA Corporation) C:\WINDOWS\system32\nvsvc64.dll 2015-12-18 16:15 - 2015-11-14 07:20 - 02554488 _____ (NVIDIA Corporation) C:\WINDOWS\system32\nvsvcr.dll 2015-12-18 16:15 - 2015-11-14 07:20 - 00938616 _____ (NVIDIA Corporation) C:\WINDOWS\system32\nvvsvc.exe 2015-12-18 16:15 - 2015-11-14 07:20 - 00523384 _____ (NVIDIA Corporation) C:\WINDOWS\system32\nv3dappshext.dll 2015-12-18 16:15 - 2015-11-14 07:20 - 00385144 _____ (NVIDIA Corporation) C:\WINDOWS\system32\nvmctray.dll 2015-12-18 16:15 - 2015-11-14 07:20 - 00114296 _____ (NVIDIA Corporation) C:\WINDOWS\SysWOW64\oemdspif.dll 2015-12-18 16:15 - 2015-11-14 07:20 - 00074872 _____ (NVIDIA Corporation) C:\WINDOWS\system32\nv3dappshextr.dll 2015-12-18 16:15 - 2015-11-14 07:20 - 00062584 _____ (NVIDIA Corporation) C:\WINDOWS\system32\nvshext.dll 2015-12-18 16:15 - 2015-10-28 08:39 - 06027430 _____ C:\WINDOWS\system32\nvcoproc.bin 2015-12-18 16:14 - 2015-11-17 07:27 - 11228816 _____ (NVIDIA Corporation) C:\WINDOWS\system32\Drivers\nvlddmkm.sys 2015-12-18 16:14 - 2015-11-16 04:54 - 42913912 _____ C:\WINDOWS\system32\nvcompiler.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 37881976 _____ C:\WINDOWS\SysWOW64\nvcompiler.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 22345848 _____ (NVIDIA Corporation) C:\WINDOWS\system32\nvoglv64.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 18487360 _____ (NVIDIA Corporation) C:\WINDOWS\system32\nvwgf2umx.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 18390832 _____ (NVIDIA Corporation) C:\WINDOWS\SysWOW64\nvoglv32.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 16561320 _____ (NVIDIA Corporation) C:\WINDOWS\system32\nvopencl.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 15933400 _____ (NVIDIA Corporation) C:\WINDOWS\SysWOW64\nvwgf2um.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 15839200 _____ (NVIDIA Corporation) C:\WINDOWS\system32\nvd3dumx.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 14844112 _____ (NVIDIA Corporation) C:\WINDOWS\system32\nvcuda.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 13533608 _____ (NVIDIA Corporation) C:\WINDOWS\SysWOW64\nvopencl.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 12870192 _____ (NVIDIA Corporation) C:\WINDOWS\SysWOW64\nvd3dum.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 12040952 _____ (NVIDIA Corporation) C:\WINDOWS\SysWOW64\nvcuda.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 03540544 _____ (NVIDIA Corporation) C:\WINDOWS\system32\nvapi64.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 03126800 _____ (NVIDIA Corporation) C:\WINDOWS\SysWOW64\nvapi.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 02876536 _____ (NVIDIA Corporation) C:\WINDOWS\system32\nvcuvid.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 02496632 _____ (NVIDIA Corporation) C:\WINDOWS\SysWOW64\nvcuvid.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 01905456 _____ (NVIDIA Corporation) C:\WINDOWS\system32\nvdispco6435900.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 01564792 _____ (NVIDIA Corporation) C:\WINDOWS\system32\nvdispgenco6435900.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 01016544 _____ (NVIDIA Corporation) C:\WINDOWS\system32\nvEncMFTH264.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 00877688 _____ (NVIDIA Corporation) C:\WINDOWS\system32\NvFBC64.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 00861816 _____ (NVIDIA Corporation) C:\WINDOWS\system32\NvIFR64.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 00823232 _____ (NVIDIA Corporation) C:\WINDOWS\SysWOW64\nvEncMFTH264.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 00689784 _____ (NVIDIA Corporation) C:\WINDOWS\SysWOW64\NvFBC.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 00674096 _____ (NVIDIA Corporation) C:\WINDOWS\SysWOW64\NvIFR.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 00501056 _____ (NVIDIA Corporation) C:\WINDOWS\system32\nvEncodeAPI64.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 00422752 _____ (NVIDIA Corporation) C:\WINDOWS\SysWOW64\nvEncodeAPI.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 00413816 _____ (NVIDIA Corporation) C:\WINDOWS\system32\NvIFROpenGL.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 00369456 _____ (NVIDIA Corporation) C:\WINDOWS\SysWOW64\NvIFROpenGL.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 00177600 _____ (NVIDIA Corporation) C:\WINDOWS\system32\nvinitx.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 00155792 _____ (NVIDIA Corporation) C:\WINDOWS\SysWOW64\nvinit.dll 2015-12-18 16:14 - 2015-11-16 04:54 - 00034494 _____ C:\WINDOWS\system32\nvinfo.pb 2015-12-18 13:10 - 2015-12-18 13:11 - 303122384 _____ (NVIDIA Corporation) C:\Users\Paulina\Downloads\359.00-notebook-win10-64bit-international-whql.exe PS. Gdy się uporacie z problemem głównym, potem do wykonania drobny skrypt kosmetyczny na wpisy odpadkowe. To nie ma żadnego związku z problemem i nie pomoże w jego rozwiązaniu.

Brakuje trzeciego obowiązkowego raportu FRST Shortcut. Problem tworzy zadanie FusesFountainsV2 w Harmonogramie, i w raporcie jest potwierdzone, że adware definitywnie nabyłeś przy "pomocy" portalu dobreprogramy.pl i "Asystent pobierania". Na dysku widać nie budzącą wątpliwości sekwencję czasową plik Asystenta > powstanie obiektów adware. Na temat pobierania z tego portalu: KLIK. 2015-12-15 21:39 - 2015-12-15 21:42 - 00000000 ____D C:\Users\LCK\AppData\Local\FusesFountains 2015-12-15 21:39 - 2015-12-15 21:39 - 00003432 _____ C:\Windows\System32\Tasks\FusesFountainsV2 2015-12-15 21:38 - 2015-12-15 21:38 - 00962128 _____ (Installer Soft Program ) C:\Users\LCK\Downloads\HD-Tune-12177-dp.exe Operacje do przeprowadzenia: 1. Odinstaluj crack aktywacji KMSpico v9.1.3. Wygląda na uszkodzony jakimiś działaniami. 2. Otwórz Notatnik i wklej w nim: CloseProcesses: CreateRestorePoint: Task: {868A63A1-8CB5-4753-99B6-C7392120AF86} - System32\Tasks\FusesFountainsV2 => Rundll32.exe CoalitionerRamblers.dll,main 7 1 Task: {BEB6F7EE-E84C-42EC-998C-5EC29BC1ED64} - System32\Tasks\{A8057B96-2E90-4475-A24C-5880E8148EAE} => pcalua.exe -a C:\Users\LCK\Downloads\FIFA00\3DSetup\3DSetup.exe -d C:\Users\LCK\Downloads\FIFA00\3DSetup Task: {C56EFF53-5D88-40C9-85DD-DDCF10498360} - System32\Tasks\AutoPico Daily Restart => C:\Program Files\KMSpico\AutoPico.exe HKU\S-1-5-21-3300732354-3664789897-2884040049-1001\...\Run: [ASRockXTU] => [X] HKU\S-1-5-21-3300732354-3664789897-2884040049-1001\...\Policies\system: [DisableLockWorkstation] 0 HKU\S-1-5-21-3300732354-3664789897-2884040049-1001\...\MountPoints2: {747a59c9-7adf-11e5-8255-d0509963832c} - "I:\setup.exe" ShellIconOverlayIdentifiers: [###MegaShellExtPending] -> {056D528D-CE28-4194-9BA3-BA2E9197FF8C} => No File ShellIconOverlayIdentifiers: [###MegaShellExtSynced] -> {05B38830-F4E9-4329-978B-1DD28605D202} => No File ShellIconOverlayIdentifiers: [###MegaShellExtSyncing] -> {0596C850-7BDD-4C9D-AFDF-873BE6890637} => No File ShellIconOverlayIdentifiers-x32: [###MegaShellExtPending] -> {056D528D-CE28-4194-9BA3-BA2E9197FF8C} => No File ShellIconOverlayIdentifiers-x32: [###MegaShellExtSynced] -> {05B38830-F4E9-4329-978B-1DD28605D202} => No File ShellIconOverlayIdentifiers-x32: [###MegaShellExtSyncing] -> {0596C850-7BDD-4C9D-AFDF-873BE6890637} => No File GroupPolicyScripts: Restriction S3 AxtuDrv; \??\C:\Windows\SysWOW64\Drivers\AxtuDrv.sys [X] DeleteKey: HKCU\Software\1Q1F1S1C1P1E1C1F1N1C1T1H2UtF1E1I DeleteKey: HKCU\Software\dobreprogramy RemoveDirectory: C:\AdwCleaner RemoveDirectory: C:\Users\LCK\AppData\Local\FusesFountains RemoveDirectory: C:\Users\LCK\AppData\Local\Google C:\Users\LCK\Downloads\*-dp*.exe C:\Users\LCK\AppData\Local\*.* C:\Windows\SysWOW64\*.tmp CMD: netsh advfirewall reset EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 3. Wyczyść Firefox: Odłącz synchronizację (o ile włączona): KLIK. Menu Pomoc > Informacje dla pomocy technicznej > Odśwież program Firefox. Zakładki i hasła nie zostaną naruszone, ale Adblock Plus trzeba będzie przeinstalować. Menu Historia > Wyczyść całą historię przeglądania. 4. Zrób nowy log FRST z opcji Skanuj (Scan), pola Addition i Shortcut zaznaczone, czyli 3 logi dostarcz. Dołącz też plik fixlog.txt.

Nic się nie stanie, zatwierdź komunikat. To plik wyekstraktowany przez GMER i zbędny już po jego skanie, z Twojego raportu FRST: 2015-12-08 15:45 - 2015-12-08 15:45 - 00104960 _____ (GMER) C:\pxddypow.sys 2015-12-08 04:29 - 2015-12-08 04:29 - 00380416 _____ C:\Users\Lucynka\Downloads\xz0ufrpx.exe 2015-12-08 03:14 - 2015-12-18 14:41 - 00000000 ____D C:\FRST

Ale to nie jest rozwiązanie problemu tylko jego ukrycie. To jest ustawianie serwerów DNS Windows, te pobierane z routera są nadal zainfekowane. Polecili Ci to, gdyż ustawienie serwerów spod Windows bierze precedens nad serwerami routera, co nie zmienia faktu że infekcja w routerze nadal jest. Nie musiałeś kropkować danych, one są powszechnie znane. Z raportu wynika, że ustawiłeś serwer Orange spod Windows (NameServer), reszta pobierana z routera (DhcpNameServer) to nadal adresy infekcji. Tcpip\Parameters: [DhcpNameServer] 31.3.252.70 31.3.252.76 Tcpip\..\Interfaces\{15210E97-0B8D-4637-8A6F-1DAD74EEBA5B}: [NameServer] 194.204.152.34 Tcpip\..\Interfaces\{15210E97-0B8D-4637-8A6F-1DAD74EEBA5B}: [DhcpNameServer] 31.3.252.70 31.3.252.76 I prosiłam o: PS. Ad napisałeś = jestem kobietą.

Z pośpiechu zlinkowałam zły adres. W międzyczasie już zedytowałam mój post i powyżej jest już poprawny link.

Nadal jedna kopia pliku zła. Kolejne podejście. Do Notatnika wklej: Unlock: C:\Windows\winsxs\x86_microsoft-windows-a..structure.resources_31bf3856ad364e35_6.0.6000.16386_pl-pl_f539d28b07e02b53\aelupsvc.dll.mui Replace: E:\FRST\aelupsvc.dll.mui C:\Windows\winsxs\x86_microsoft-windows-a..structure.resources_31bf3856ad364e35_6.0.6000.16386_pl-pl_f539d28b07e02b53\aelupsvc.dll.mui Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Przedstaw wynikowy fixlog.txt.

1. Uruchom AdwCleaner ponownie, tym razem po kolei wybierz opcje Skanuj i Usuń. Gdy program ukończy czyszczenie: 2. Przez SHIFT+DEL (omija Kosz) skasuj folder C:\MATS z dysku. Zastosuj DelFix oraz wyczyść foldery Przywracania systemu: KLIK. 3. Do czytania na co uważać, by ograniczyć podobne problemy: KLIK.

SFC niby mówi, że naprawił, a zaraz po tym że nie może naprawić. Poproszę o kolejny odczyt. Uruchom FRST, w polu Szukaj wklej: aelupsvc.dll.mui Klik w Szukaj plików i dostarcz wynikowy log.

Brakuje nowego głównego raportu FRST.txt.

vs. Co to konkretnie znaczy "nie działa"? To samo co przed leczeniem, czy jakieś inne objawy teraz? Czy na pewno Recovery było wcześniej pod F8? Czy w ogóle działało wcześniej? Czy zmieniałeś kiedyś układ partycji jakimś narzędziem (to odcina dostęp do Recovery)? ==================== Dyski ================================ Drive c: (WINDOWS) (Fixed) (Total:149.04 GB) (Free:38.39 GB) NTFS Drive d: (Data) (Fixed) (Total:148.65 GB) (Free:51.69 GB) NTFS Drive e: (GRMCPRXFRER_PL_DVD) (CDROM) (Total:2.91 GB) (Free:0 GB) UDF Drive f: () (Removable) (Total:3.72 GB) (Free:3.14 GB) FAT32 Drive g: () (Removable) (Total:14.54 GB) (Free:14.36 GB) FAT32 ==================== MBR & Tablica partycji ================== ======================================================== Disk: 0 (MBR Code: Windows 7 or 8) (Size: 298.1 GB) (Disk ID: 64ABF50A) Partition 1: (Active) - (Size=400 MB) - (Type=27) Partition 2: (Not Active) - (Size=149 GB) - (Type=07 NTFS) Partition 3: (Not Active) - (Size=148.7 GB) - (Type=07 NTFS) ======================================================== Disk: 1 (Size: 3.7 GB) (Disk ID: 002EEFDA) Partition 1: (Active) - (Size=3.7 GB) - (Type=0C) ======================================================== Disk: 2 (Size: 14.6 GB) (Disk ID: 001644FB) Partition 1: (Active) - (Size=14.6 GB) - (Type=0C) ==================== Koniec Addition.txt ============================ Poproszę jeszcze o log z ListParts. Te trojany szyfrują tylko specyficzne rozszerzenia plików, nie spowoduje to braku działania czegoś, ale jakiś ubytki w obrazkach czy dokumentacji owszem. Przy czym jak mówię, tu w ogóle nie wiadomo co się działo z Recovery i czy cokolwiek jest naruszone.

Wszystko zrobione. Problem usunięty. Na wszelki wypadek jeszcze: Uruchom AdwCleaner. Wybierz opcję Skanuj i dostarcz log wynikowy z folderu C:\AdwCleaner.

Kończymy: 1. Zastosuj narzędzie Fix-it usuwające drobny błąd WMI: KLIK. 2. Zastosuj DelFix oraz wyczyść foldery Przywracania systemu: KLIK. 3. I jeszcze Internet Explorer do aktualizacji, nawet jeśli nie jest używany wcale.

Drobne poprawki: 1. Uruchom narzędzie Microsoftu: KLIK. Zaakceptuj > Wykryj problemy i pozwól mi wybrać poprawki do zastosowania > Odinstalowywanie > zaznacz na liście wpis Google Update Helper > Dalej. 2. Otwórz Notatnik i wklej w nim: HKU\S-1-5-21-1757981266-562591055-1801674531-1003\...\Run: [] => C:\Program Files\Samsung\Kies\External\FirmwareUpdate\KiesPDLR.exe Reg: reg delete "HKLM\SOFTWARE\Microsoft\Internet Explorer\Main" /v "Start Default_Page_URL" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Internet Explorer\Main" /v "Search Bar" /f Reg: reg delete "HKLM\SOFTWARE\Microsoft\Internet Explorer\Search" /f Reg: reg delete HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run /f RemoveDirectory: C:\AdwCleaner RemoveDirectory: C:\ComboFix RemoveDirectory: C:\Documents and Settings\user\Pulpit\Stare dane programu Firefox RemoveDirectory: C:\FRST\Quarantine RemoveDirectory: C:\MATS RemoveDirectory: C:\WINDOWS\erdnt RemoveDirectory: C:\WINDOWS\system32\config\systemprofile\Ustawienia lokalne\Dane aplikacji\Programs\Google CMD: attrib /d /s -r -s -h C:\FOUND.* CMD: for /d %f in (C:\FOUND.*) do rd /s /q "%f" Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Tym razem nie będzie restartu. Przedstaw wynikowy fixlog.txt.

Jedna kopia zamieniona pomyślnie, ale druga już nie. Ponów to działanie:

Instalator najnowszej Java wywalił starą i teraz w Internet Explorer jest już najnowsza wersja 66. Wszystko zrobione. Kończymy: 1. Zastosuj narzędzie Fix-it usuwające drobny błąd WMI: KLIK. 2. Usuń plik utworzony przez GMER C:\pxddypow.sys oraz samego GMERa z Pobranych. Następnie popraw jeszcze za pomocą DelFix oraz wyczyść foldery Przywracania systemu: KLIK.

Tak. Widzę, że coś zmienili, gdyż poprzednio ta strona deinstalatora nie reagowała na typ przeglądarki i mogłam ją otworzyć w Firefox bez żadnego komunikatu, pomimo że w ogóle nie mam zainstalowanej Javy.

Moja pierwsza akcja miała na celu tylko odblokować Windows, byś mógł w wygodny sposób skopiować ewentualnie niezaszyfrowane lub inne dane nie podlegające szyfrowaniu. Raport FRST zrobiony z poziomu środowiska RE jest zawężony tylko do tych elementów, które mogą blokować uruchamianie Windows. Było spodziewane, że syf jest znacznie grubszy. Twoje bieżące logi wskazują, że trzebaby było czyścić masę innych miejsc (zainfekowany katalog sieciowy Winsock, Harmonogram zadań, wszystkie przeglądarki zaatakowane adware). Jest to sprawa w ogóle nieopłacalna w kontekście masowo zaszyfrowanych danych, z którymi nic nie dałoby się zrobić. Czyli format. Zacznij od Recovery, choć nie mam pewności czy coś nie zostało naruszone.

Sprawdź czy coś się zmieni, jeśli ponowisz próbę skanu z poziomu Trybu awaryjnego Windows.

Czyli mam rozumieć, że MBAM nic nie wykrył? Jeśli nie, to na zakończenie: 1. Zastosuj narzędzie Fix-it usuwające drobny błąd WMI: KLIK. 2. Zastosuj DelFix oraz wyczyść foldery Przywracania systemu: KLIK.

Działania do przeprowadzenia: 1. Deinstalacje: - Klawisz z flagą Windows + X > Programy i funkcje > odinstaluj zestaw aplikacji grupy "Pokki" preintegrowanych na Lenovo: Host App Service, Lenovo Web Start, Start Menu. Aplikacje marnej reputacji, na dodatek AdwCleaner usuwa ich niektóre komponenty i tu już jakby tego rodzaju naruszenia aplikacji Pokki są. - Uruchom narzędzie Microsoftu: KLIK. Zaakceptuj > Wykryj problemy i pozwól mi wybrać poprawki do zastosowania > Odinstalowywanie > zaznacz na liście wpis Metric Collection SDK > Dalej. 2. Otwórz Notatnik i wklej w nim: CloseProcesses: CreateRestorePoint: R2 ihpmServer; C:\Program Files (x86)\RayDld\ihpmServer.exe [270568 2015-10-12] () R2 WdMan; C:\ProgramData\2WdM2\WdMan.exe [333312 2015-12-04] (TFuns LIMITED) [brak podpisu cyfrowego] GroupPolicy: Ograniczenia - Chrome CHR HKLM\SOFTWARE\Policies\Google: Ograniczenia ShortcutWithArgument: C:\Users\Public\Desktop\Opera.lnk -> C:\Program Files (x86)\Opera\launcher.exe (Opera Software) -> hxxp://www.yoursites123.com/?type=sc&ts=1449649012&z=2919d5da6cbe7b0c1b76befgbzczat1q4z8teebgao&from=ient07021&uid=ST500LT012-1DG142_S3P8QXRLXXXXS3P8QXRL HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.yoursites123.com/?type=hp&ts=1449649012&z=2919d5da6cbe7b0c1b76befgbzczat1q4z8teebgao&from=ient07021&uid=ST500LT012-1DG142_S3P8QXRLXXXXS3P8QXRL HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = hxxps://www.google.com/?trackid=sp-006 HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.mystartsearch.com/web/?type=ds&ts=1446119365&z=eef90d1857cca95032e826cg7z1z2q4g9gbt0c7qcw&from=cornl&uid=st500lt012-1dg142_s3p8qxrlxxxxs3p8qxrl&q={searchTerms} HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = hxxps://www.google.com/search?trackid=sp-006&q={searchTerms} HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.yoursites123.com/?type=hp&ts=1449649012&z=2919d5da6cbe7b0c1b76befgbzczat1q4z8teebgao&from=ient07021&uid=ST500LT012-1DG142_S3P8QXRLXXXXS3P8QXRL HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.mystartsearch.com/web/?type=ds&ts=1446119365&z=eef90d1857cca95032e826cg7z1z2q4g9gbt0c7qcw&from=cornl&uid=st500lt012-1dg142_s3p8qxrlxxxxs3p8qxrl&q={searchTerms} HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = HKU\S-1-5-21-3245305929-1233733730-577982597-1001\Software\Microsoft\Internet Explorer\Main,Search Page = hxxps://www.google.com/search?trackid=sp-006&q={searchTerms} HKU\S-1-5-21-3245305929-1233733730-577982597-1001\Software\Microsoft\Internet Explorer\Main,Start Page = hxxps://www.google.com/?trackid=sp-006 HKU\S-1-5-21-3245305929-1233733730-577982597-1001\Software\Microsoft\Internet Explorer\Main,Search Bar = hxxps://www.google.com/?trackid=sp-006 SearchScopes: HKLM -> DefaultScope - brak wartości SearchScopes: HKLM -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = SearchScopes: HKLM-x32 -> DefaultScope {E9410C70-B6AE-41FF-AB71-32F4B279EA5F} URL = hxxps://www.google.com/search?trackid=sp-006&q={searchTerms} SearchScopes: HKLM-x32 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = SearchScopes: HKLM-x32 -> {E9410C70-B6AE-41FF-AB71-32F4B279EA5F} URL = hxxps://www.google.com/search?trackid=sp-006&q={searchTerms} SearchScopes: HKU\S-1-5-21-3245305929-1233733730-577982597-1001 -> DefaultScope {E9410C70-B6AE-41FF-AB71-32F4B279EA5F} URL = hxxps://www.google.com/search?trackid=sp-006&q={searchTerms} SearchScopes: HKU\S-1-5-21-3245305929-1233733730-577982597-1001 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.yoursites123.com/web/?type=ds&ts=1449649012&z=2919d5da6cbe7b0c1b76befgbzczat1q4z8teebgao&from=ient07021&uid=ST500LT012-1DG142_S3P8QXRLXXXXS3P8QXRL&q={searchTerms} SearchScopes: HKU\S-1-5-21-3245305929-1233733730-577982597-1001 -> {B18D86E8-C087-4EDA-A209-26779F892B4E} URL = SearchScopes: HKU\S-1-5-21-3245305929-1233733730-577982597-1001 -> {E9410C70-B6AE-41FF-AB71-32F4B279EA5F} URL = hxxps://www.google.com/search?trackid=sp-006&q={searchTerms} BHO-x32: Brak nazwy -> {7a38e53c-e000-41e4-9b5a-47447db81c2b} -> Brak pliku BHO-x32: Middle Rush -> {d00ab4cc-662c-40b6-a85f-d53086f4bb16} -> C:\Program Files (x86)\Middle Rush\Extensions\d00ab4cc-662c-40b6-a85f-d53086f4bb16.dll => Brak pliku StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe hxxp://www.istartsurf.com/?type=sc&ts=1446119171&z=91856e60aa0c12f5c9b2793g9z5zcqdgcg8b8t2e4t&from=cornl&uid=ST500LT012-1DG142_S3P8QXRLXXXXS3P8QXRL CHR HomePage: Default -> hxxp://www.yoursites123.com/?type=hp&ts=1449649012&z=2919d5da6cbe7b0c1b76befgbzczat1q4z8teebgao&from=ient07021&uid=ST500LT012-1DG142_S3P8QXRLXXXXS3P8QXRL CHR StartupUrls: Default -> "hxxp://www.yoursites123.com/?type=hp&ts=1449649012&z=2919d5da6cbe7b0c1b76befgbzczat1q4z8teebgao&from=ient07021&uid=ST500LT012-1DG142_S3P8QXRLXXXXS3P8QXRL" CHR DefaultSearchURL: Default -> hxxp://www.yoursites123.com/web/?type=ds&ts=1449649012&z=2919d5da6cbe7b0c1b76befgbzczat1q4z8teebgao&from=ient07021&uid=ST500LT012-1DG142_S3P8QXRLXXXXS3P8QXRL&q={searchTerms} CHR DefaultSearchKeyword: Default -> yoursites123 CHR HKLM\...\Chrome\Extension: [flliilndjeohchalpbbcdekjklbdgfkk] - hxxps://clients2.google.com/service/update2/crx CHR HKLM-x32\...\Chrome\Extension: [eofcbnmajmjmplflapaojjnihcjkigck] - C:\Program Files\AVAST Software\Avast\WebRep\Chrome\aswWebRepChromeSp.crx [2015-04-22] HKU\S-1-5-21-3245305929-1233733730-577982597-1001\...\RunOnce: [Application Restart #1] => C:\Users\Prezes\AppData\Local\Pokki\Engine\HostAppService.exe --disable-internal-flash --noerrdialogs --no-message-box --disable-extensions --disable-web-security --disable-web-resources --disable-cl (dane wartości zawierają 551 znaków więcej). Task: {2BC9D027-2FF2-41E9-B337-763E2AE2334F} - System32\Tasks\Lenovo\Lenovo Customer Feedback Program 64 => C:\Program Files (x86)\Lenovo\Customer Feedback Program\Lenovo.TVT.CustomerFeedback.Agent.exe [2015-07-08] (Lenovo) Task: {366A683E-7117-43DF-8BEF-AB0304B07EDA} - System32\Tasks\Lenovo\Lenovo Customer Feedback Program => C:\Program Files\Lenovo\Customer Feedback Program\Lenovo.TVT.CustomerFeedback.Agent.exe Task: {BEA85B07-ABE4-44ED-8A18-2A979AB1CC6A} - System32\Tasks\SweetLabs App Platform => C:\Users\Prezes\AppData\Local\SweetLabs App Platform\Engine\ServiceHostAppUpdater.exe [2015-10-30] (Pokki) HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\mcpltsvc => ""="" HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\mcpltsvc => ""="" DeleteKey: HKCU\Software\1Q1F1S1C1P1E1C1F1N1C1T1H2UtF1E1I DeleteKey: HKCU\Software\dobreprogramy DeleteKey: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2 DeleteKey: HKCU\Software\Mozilla DeleteKey: HKCU\Software\MozillaPlugins DeleteKey: HKLM\SOFTWARE\Mozilla DeleteKey: HKLM\SOFTWARE\MozillaPlugins DeleteKey: HKLM\SOFTWARE\Wow6432Node\Mozilla DeleteKey: HKLM\SOFTWARE\Wow6432Node\mozilla.org DeleteKey: HKLM\SOFTWARE\Wow6432Node\MozillaPlugins DeleteKey: HKLM\SOFTWARE\Wow6432Node\yoursites123Software Reg: reg add "HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" /f Reg: reg add "HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" /ve /t REG_SZ /d Bing /f Reg: reg add "HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" /v URL /t REG_SZ /d "http://www.bing.com/search?q={searchTerms}&FORM=IE8SRC" /f Reg: reg add "HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" /v DisplayName /t REG_SZ /d "@ieframe.dll,-12512" /f Reg: reg add "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" /f Reg: reg add "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" /ve /t REG_SZ /d Bing /f Reg: reg add "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" /v URL /t REG_SZ /d "http://www.bing.com/search?q={searchTerms}&FORM=IE8SRC" /f Reg: reg add "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" /v DisplayName /t REG_SZ /d "@ieframe.dll,-12512" /f RemoveDirectory: C:\Program Files (x86)\RayDld RemoveDirectory: C:\ProgramData\2WdM2 RemoveDirectory: C:\ProgramData\lWdMl RemoveDirectory: C:\ProgramData\Pokki RemoveDirectory: C:\Users\Prezes\AppData\Local\SweetLabs App Platform RemoveDirectory: C:\Users\Prezes\AppData\Local\Mozilla RemoveDirectory: C:\Users\Prezes\AppData\Roaming\Mozilla C:\ProgramData\{262E20B8-6E20-4CEF-B1FD-D022AB1085F5}.dat C:\Users\Prezes\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Picexa.lnk C:\Users\Prezes\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Start Menu.lnk C:\Users\Prezes\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Lenovo Web Start.lnk C:\Users\Prezes\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\PC App Store.lnk C:\Users\Prezes\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Start Menu.lnk C:\Users\Prezes\Downloads\sh-remover.exe C:\WINDOWS\SysWOW64\pl.html EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 3. Wyczyść Google Chrome z adware: Zresetuj synchronizację (o ile włączona): KLIK. Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Resetowanie ustawień. Zakładki i hasła nie zostaną naruszone. Ustawienia > karta Ustawienia > sekcja Szukaj > klik w Zarządzanie wyszukiwarkami > skasuj z listy yousites123 (o ile nadal będzie widoczny). 4. Zrób nowy log FRST z opcji Skanuj (Scan), ponownie z Addition, ale już bez Shortcut. Dołącz też plik fixlog.txt.

Wszystko pomyślnie usunięte, problem powinien ustąpić. Jeszcze na wszelki wypadek zrób pełny skan za pomocą Malwarebytes Anti-Malware. Jeśli coś wykryje, przedstaw wynikowy log.

Wszystko się zgadza i tu nie nastąpiły żadne "niepożądane" zmiany, stan był taki od samego początku. W pierwszym poście podany log FRST Addition pokazuje, że miałaś zainstalowane Google Chrome 47.0.2526.73. Google Chrome nie obsługuje wtyczek NPAPI (czyli m.in. Java) już od wersji 42. Aspekt wtyczek rozpisany w przyklejonym temacie: KLIK. Cytując fragment: Architekturę wtyczek możemy podzielić na: ActiveX (Internet Explorer), NPAPI (Firefox i pochodne), PPAPI (Google Chrome, Opera i pochodne). Programy mające oznaczenie "NPAPI" na pomarańczowo nie są w ogóle obsługiwane przez Google Chrome i Microsoft Edge. Firefox: Powoli jest wycofywane wsparcie dla wtyczek NPAPI (m.in. Java i Silverlight), za wyjątkiem Adobe Flash. Brak obsługi w Firefox 32-bit zostanie wdrożony do końca roku 2016. A nowa edycja Firefox 64-bit jest pozbawiona tej obsługi out-of-box. NPAPI Plugins in Firefox Google Chrome 42 i nowsze: Jedyny obsługiwany typ wtyczek to PPAPI. Wtyczki NPAPI (m.in. Java i Silverlight) nie są już obsługiwane: od wersji 42 są domyślnie blokowane i niewidzialne na liście wtyczek, od wersji 45 kompletny brak obsługi. Treści wymagające wtyczek nie działają w Chrome Opera 24 i nowsze: Na chwilę obecną są jeszcze obsługiwane dwa typy wtyczek, tzn. PPAPI i NPAPI, ale długofalowa obsługa NPAPI jest pod znakiem zapytania. Microsoft Edge: Przeglądarka ma wbudowany z biegu Adobe Flash. Nie są obsługiwane żadne zewnętrzne wtyczki (m.in. Java i Silverlight). Java to tu była aktualizowana pod kątem Internet Explorer, bo to w nim siedziała. Klik w "Ten program jest zainstalowany poprawnie". I dostarcz raporty FRST.txt + Addition.txt.

Zrób log FRST z zaznaczonym Addition, ale z odznaczonym Shortcut.

SafeFinder to nie jest wirus tylko typ "adware/PUP". Typowe drogi nabycia tego rodzaju kwiatków: KLIK. Przypuszczalnie nabawiłeś się tego via "Asystent pobierania" dobrychprogramów, bo w Temp jest plik tego "Asystenta": C:\Users\Paweł\AppData\Local\Temp\ICReinstall_Realtek-High-Definition-Audio-Codecs-21164-dp.exe Problemem są modyfikacje Lightzap. Akcje do przeprowadzenia: 1. Odinstaluj starą niebezpieczną wersję Adobe Flash Player 14 ActiveX . 2. Otwórz Notatnik i wklej w nim: CloseProcesses: CreateRestorePoint: R2 Lightzap; C:\ProgramData\\Lightzap\\Lightzap.exe [437248 2015-12-18] () [brak podpisu cyfrowego] AppInit_DLLs: C:\ProgramData\Lightzap\Zoomtam.dll => C:\ProgramData\Lightzap\Zoomtam.dll [518656 2015-12-18] () AppInit_DLLs-x32: C:\ProgramData\Lightzap\GeoSansoft.dll => C:\ProgramData\Lightzap\GeoSansoft.dll [320512 2015-12-18] () Task: {5C95E724-6308-48B9-A80C-2F6D74457B3B} - System32\Tasks\DriverToolkit Autorun => D:\DriverToolkit\DriverToolkit.exe Task: C:\Windows\Tasks\DriverToolkit Autorun.job => D:\DriverToolkit\DriverToolkit.exe CHR HomePage: Default -> hxxp://%66%65%65%64.%73%6E%61%70%64%6F.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBPxn49PYmQ6e1krQXBFZY3csoE-MCQAtPnNsPOyjOSjNqnQlOvbfUm2mpvNSBeOY_4506cR3yhu_Fi50vKx-xLCpodociNLTMd8MOomRiiaoxZ_lpnMdnRe924hkibimUqB8GEhxF7jEsVQ442liW-JJye4OeLHiJJyg,, CHR DefaultSearchURL: Default -> hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBPxn49PYmQ6e1krQXBFZY3csoE-MCQAtPnNsPOyjOSjNqnQlOvbfUm2mpvNSBeOY_4506cR3yhu_Fi50vKx-xLCpoR0yXqBzp9YNk4qDM0-FNNiV01-9kL_K_KLhwmJlUWHBn0U8nHWTB6Dq-fz66PTOfeeEM9Hedk6Q,,&q={searchTerms} CHR DefaultSearchKeyword: Default -> feed.sonic-search.com CHR DefaultSuggestURL: Default -> hxxps://search.yahoo.com/sugg/chrome?output=fxjson&appid=crmas&command={searchTerms} HKU\S-1-5-21-398703864-2259311769-2151984387-1000\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.bing.com/search?q={searchTerms} HKU\S-1-5-21-398703864-2259311769-2151984387-1000\Software\Microsoft\Internet Explorer\Main,Search Bar = hxxp://www.bing.com/search?q={searchTerms} HKU\S-1-5-21-398703864-2259311769-2151984387-1000\Software\Microsoft\Internet Explorer\Main,SearchAssistant = hxxp://www.bing.com/search?q={searchTerms} SearchScopes: HKLM-x32 -> DefaultScope {ielnksrch} URL = SearchScopes: HKU\S-1-5-21-398703864-2259311769-2151984387-1000 -> DefaultScope {ielnksrch} URL = hxxp://www.bing.com/search?q={searchTerms} SearchScopes: HKU\S-1-5-21-398703864-2259311769-2151984387-1000 -> {ielnksrch} URL = hxxp://www.bing.com/search?q={searchTerms} DeleteKey: HKCU\Software\1Q1F1S1C1P1E1C1F1N1C1T1H2UtF1E1I DeleteKey: HKCU\Software\dobreprogramy RemoveDirectory: C:\AdwCleaner RemoveDirectory: C:\Program Files (x86)\Temp RemoveDirectory: C:\ProgramData\Lightzap C:\Users\Paweł\Downloads\*-dp*.exe C:\Users\Paweł\Desktop\śmieci\ASGRAF EuroTEST 2014 PLUS.lnk EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 3. Wyczyść Google Chrome z adware: Zresetuj synchronizację (o ile włączona): KLIK. Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Resetowanie ustawień. Zakładki i hasła nie zostaną naruszone. Ustawienia > karta Ustawienia > sekcja Szukaj > klik w Zarządzanie wyszukiwarkami > skasuj z listy wszystko z wyjątkiem Google. 4. Zrób nowy log FRST z opcji Skanuj (Scan), bez Addition i Shortcut. Dołącz też plik fixlog.txt.

Nie przedstawiłeś pliku fixlog.txt. Dopiero po jego pokazaniu akcje końcowe: 1. Usuń z Pulpitu folder Stare dane programu Firefox wygenerowany przez reset Firefox + pobrany FRST i jego logi z podfolderu na Pulpicie. Zastosuj DelFix oraz wyczyść foldery Przywracania systemu: KLIK. 2. Do czytania na co uważać, by ograniczyć podobne problemy: KLIK.