Wirus Ukash

[Kuba]

Witam,

Do mojego komputera załadował się wirus w efekcie czego ukazała mi suie strona "Polska Policja..." Zainstalowałem program "Malwarebytes Anti-Malware" przeskanował komputer i to co pokazał usunąłem. Strona z policją już się nie pokazuje ale w przeglądarkach (Firefox i IE10) strona startowa została zamieniona na start.gone8.com i nie mogę jej zmienić.

Domyślam się, że wirusów ędzie więcej więc zamieszczam wymagane logi.

Pozdrawiam i oczekuję pomocy

Mój system to Windows 8 Enterprise x64

Attach.txt

Addition.txt

Extras.Txt

FRST.txt

OTL.Txt

mbam-log-2013-10-30 (18-23-57).txt

[jessica]

Źle trafiłeś, bo @Picasso nie ma teraz możliwości zbyt dużo czasu poświęcać na pomaganie (kłopoty osobiste)

 

Użyj >Adw-cleaner (aby pobrać kliknij na dużą zieloną strzałkę po prawej).  
najpierw kliknij na SZUKAJ, a dopiero po zakończeniu skanowania, gdy uaktywni się przycisk USUŃ, to kliknij na niego.
Pokaż raport z niego C:\AdwCleaner[s1].txt

 

Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

 

:OTL
[2013-09-17 12:54:43 | 000,000,000 | ---D | M] -- C:\Users\Shogi\AppData\Roaming\1J1F1H1E2Y2Z1P1C1B2W1L1T2ZtF1E1I
[2013-10-30 18:19:38 | 000,001,961 | ---- | C] () -- C:\Users\Shogi\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Lollipop.lnk
[2013-10-30 18:19:07 | 000,000,306 | ---- | C] () -- C:\Windows\tasks\Dealply.job
O4 - HKU\S-1-5-21-3978686291-2099738226-2851485640-1001..\Run: [] C:\Program Files (x86)\Samsung\Kies\External\FirmwareUpdate\KiesPDLR.exe File not found
[2013-10-30 18:19:19 | 000,000,553 | ---- | M] () -- C:\Program Files (x86)\mozilla firefox\searchplugins\qone8.xml
[2013-01-03 20:31:27 | 000,002,203 | ---- | M] () -- C:\Users\Shogi\AppData\Roaming\mozilla\firefox\profiles\qe8mwl0o.default\searchplugins\MyStart Search.xml
[2011-05-17 18:23:12 | 000,003,295 | ---- | M] () -- C:\Users\Shogi\AppData\Roaming\mozilla\firefox\profiles\qe8mwl0o.default\searchplugins\search-results.xml
[2012-12-19 07:19:02 | 000,002,455 | ---- | M] () -- C:\Users\Shogi\AppData\Roaming\mozilla\firefox\profiles\qe8mwl0o.default\searchplugins\Web Search.xml
[2013-07-02 05:39:26 | 000,006,505 | ---- | M] () -- C:\Users\Shogi\AppData\Roaming\mozilla\firefox\profiles\qe8mwl0o.default\searchplugins\babylon.xml
[2013-07-02 05:39:37 | 000,001,294 | ---- | M] () -- C:\Users\Shogi\AppData\Roaming\mozilla\firefox\profiles\qe8mwl0o.default\searchplugins\delta.xml
[2013-10-30 18:19:06 | 000,000,000 | ---D | M] (DealPly  Shopping) -- C:\Users\Shogi\AppData\Roaming\mozilla\Firefox\Profiles\qe8mwl0o.default\extensions\{e53a26f5-7199-4a5b-86f5-d2e86854b979}
[2013-09-17 12:54:43 | 000,000,000 | ---D | M] (BonanzaDeals) -- C:\Users\Shogi\AppData\Roaming\mozilla\Firefox\Profiles\qe8mwl0o.default\extensions\{f9d03c26-0575-497e-821d-f7956d23e0ca}
FF - prefs.js..browser.search.defaultenginename: "qone8"
FF - prefs.js..browser.search.selectedEngine: "qone8"
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Search Page = http://start.qone8.com/web/?type=ds&ts=1383153559&from=amt&uid=WDCXWD10EURX-63FH1Y0_WD-WMC1U690856408564&q={searchTerms}
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Search_URL = http://start.qone8.com/web/?type=ds&ts=1383153559&from=amt&uid=WDCXWD10EURX-63FH1Y0_WD-WMC1U690856408564&q={searchTerms}
IE:64bit: - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Page_URL = http://start.qone8.com/?type=hp&ts=1383153559&from=amt&uid=WDCXWD10EURX-63FH1Y0_WD-WMC1U690856408564
IE:64bit: - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Search_URL = http://start.qone8.com/web/?type=ds&ts=1383153559&from=amt&uid=WDCXWD10EURX-63FH1Y0_WD-WMC1U690856408564&q={searchTerms}
IE:64bit: - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Search Page = http://start.qone8.com/web/?type=ds&ts=1383153559&from=amt&uid=WDCXWD10EURX-63FH1Y0_WD-WMC1U690856408564&q={searchTerms}

:Files
C:\Users\Shogi\AppData\Local\Google\Chrome\User Data\Default\Extensions\ejnmnhkgiphcaeefbaooconkceehicfi

:Reg
[-HKEY_USERS\S-1-5-21-3978686291-2099738226-2851485640-1001\Software\Microsoft\Internet Explorer\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86}]

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.

 

Zrób nowe logi z OTL i FRST.

 

jessi

[Kuba]

Witam,

zrobiłem jak poleciłaś, zamieszczam logi.

OTL.Txt

FRST.txt

[jessica]

CHR - default_search_provider: qone8 (Enabled)

W Google Chrome to jeszcze jest widoczne w logu OTL.

Problem w tym, że OTL nie potrafi niczego usuwać z Google Chrome, a FRST w ogóle tego nie dostrzegł, więc też nie usunie.

To chyba trzeba by było samemu zmienić w Ustawieniach Chrome.

 

Kosmetyka:

Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

 

 

:Files

C:\Windows\system32\ApnDatabase.xml

 

:Reg

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes]

"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"

[HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\SearchScopes]

"DefaultScope"=-

[HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes]

"DefaultScope"=-

[HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes]

"DefaultScope"=-

[HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes]

"DefaultScope"=-

[HKEY_USERS\S-1-5-21-3978686291-2099738226-2851485640-1001\Software\Microsoft\Internet Explorer\SearchScopes]

"DefaultScope"=-

 

:Commands

[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.

Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.

Pokaż nowy log OTL.txt oraz raport z usuwania Skryptem.

 

Napisz, czy problem z qone8 dalej istnieje.

 

jessi

[Kuba]

Witaj Jessi,

zrobiłem co musiałem, załączam logi. Nie mogłem przesłać pliku z wykonywania skryptu (brak uprawnień do wysyłania tego typu plików) zmieniłem rozszerzenie na txt. Google chrome odinstalowałem (b, rzadko z niej korzystałem). Problemu z qone8 już nie widzę.

Sprzątania nie będzie?

10312013_070937.txt

OTL.Txt