istart.webssearches.com

[Michael1127]

Dostałem dzisiaj do rąk komputer ze sporą ilością adware itp. Objawiało się to stroną startową http://istart.webssearches.com, licznymi reklamami, oraz przy otwieraniu nowej karty wyświetlała się jakaś strona ( nie pamiętam jaka). Część z tych programów które uznałem za niechciane usunąłem lecz nie wiem czy wszystkie.

np. webssearches uninstaller niby się odinstalowuje ale dalej jest widoczny.

wszystkie objawy ustąpiły lecz strona startowa dalej pozostała i nie mogę tego usunąć

Proszę o pomoc

Addition.txt

FRST.txt

Shortcut.txt

Extras.Txt

OTL.Txt

[Rucek]

sprobuj jeszcze zrobic log GMER. Może być potrzebny jeśli jest infekcja. Tutaj masz instrukcje: https://www.fixitpc.pl/topic/60-diagnostyka-infekcje-typu-rootkit/?do=findComment&comment=318

[kosa4321]

Możesz wykonać poniższe czynności, choć najlepiej czekać na Picasso (twój wybór).

Wykonaj obraz systemu lub chociaż przywracanie systemu na wszelki wypadek, przed przystąpieniem do działań.

 

Otwórz Notatnik i wklej w nim:

    HKLM-x32\...\Run: [fst_pl_131] => [X]
    HKLM-x32\...\Run: [fst_pl_129] => [X]
    HKLM-x32\...\Runonce: [DelTr136751396] - cmd.exe /c rd /s /q  "C:\Users\DPS2\AppData\Roaming\foxtab" [X]
    HKU\S-1-5-21-1500459270-1683930023-1386335449-1000\...\RunOnce: [DelTr136751396] - cmd.exe /c rd /s /q  "C:\Users\DPS2\AppData\Roaming\foxtab"
    GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
    CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
    HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://istart.webssearches.com/web/?type=ds&ts=1402898060&from=amt&uid=ST500LT012-9WS142_W0VFSPLAXXXXW0VFSPLA&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://istart.webssearches.com/?type=hp&ts=1402898060&from=amt&uid=ST500LT012-9WS142_W0VFSPLAXXXXW0VFSPLA
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://istart.webssearches.com/?type=hp&ts=1402898060&from=amt&uid=ST500LT012-9WS142_W0VFSPLAXXXXW0VFSPLA
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://istart.webssearches.com/web/?type=ds&ts=1402898060&from=amt&uid=ST500LT012-9WS142_W0VFSPLAXXXXW0VFSPLA&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = http://istart.webssearches.com/web/?type=ds&ts=1402898060&from=amt&uid=ST500LT012-9WS142_W0VFSPLAXXXXW0VFSPLA&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = http://istart.webssearches.com/?type=hp&ts=1402898060&from=amt&uid=ST500LT012-9WS142_W0VFSPLAXXXXW0VFSPLA
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = http://istart.webssearches.com/?type=hp&ts=1402898060&from=amt&uid=ST500LT012-9WS142_W0VFSPLAXXXXW0VFSPLA
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = http://istart.webssearches.com/web/?type=ds&ts=1402898060&from=amt&uid=ST500LT012-9WS142_W0VFSPLAXXXXW0VFSPLA&q={searchTerms}
StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe http://istart.webssearches.com/?type=sc&ts=1402898060&from=amt&uid=ST500LT012-9WS142_W0VFSPLAXXXXW0VFSPLA
SearchScopes: HKLM - DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://istart.webssearches.com/web/?type=ds&ts=1402898060&from=amt&uid=ST500LT012-9WS142_W0VFSPLAXXXXW0VFSPLA&q={searchTerms}
SearchScopes: HKLM - {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKLM - {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://istart.webssearches.com/web/?type=ds&ts=1402898060&from=amt&uid=ST500LT012-9WS142_W0VFSPLAXXXXW0VFSPLA&q={searchTerms}
SearchScopes: HKLM - {A653B3F4-5CDD-434E-946A-359C2580E402} URL = http://www.bing.com/search?q={searchTerms}&form=IE9TR&src=IE9TR&pc=MALCJS
SearchScopes: HKLM-x32 - DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://istart.webssearches.com/web/?type=ds&ts=1402898060&from=amt&uid=ST500LT012-9WS142_W0VFSPLAXXXXW0VFSPLA&q={searchTerms}
SearchScopes: HKLM-x32 - {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://istart.webssearches.com/web/?type=ds&ts=1402898060&from=amt&uid=ST500LT012-9WS142_W0VFSPLAXXXXW0VFSPLA&q={searchTerms}
SearchScopes: HKLM-x32 - {A653B3F4-5CDD-434E-946A-359C2580E402} URL = http://www.bing.com/search?q={searchTerms}&form=IE9TR&src=IE9TR&pc=MALCJS
SearchScopes: HKCU - DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://istart.webssearches.com/web/?type=ds&ts=1402898060&from=amt&uid=ST500LT012-9WS142_W0VFSPLAXXXXW0VFSPLA&q={searchTerms}
CHR HomePage: hxxp://istart.webssearches.com/?type=hppp&ts=1403002120&from=amt&uid=ST500LT012-9WS142_W0VFSPLAXXXXW0VFSPLA
CHR StartupUrls: "hxxp://istart.webssearches.com/?type=hppp&ts=1403002120&from=amt&uid=ST500LT012-9WS142_W0VFSPLAXXXXW0VFSPLA"
CHR DefaultSearchKeyword: webssearches
CHR DefaultSearchProvider: webssearches
CHR DefaultSearchURL: http://istart.webssearches.com/web/?type=dspp&ts=1403002120&from=amt&uid=ST500LT012-9WS142_W0VFSPLAXXXXW0VFSPLA&q={searchTerms}
CHR DefaultNewTabURL:
    C:\Windows\Temp\*.exe
    C:\Windows\Temp\*.dll
    C:\ProgramData\374311380
    C:\ProgramData\systemk
    C:\ProgramData\TEMP:373E1720
    C:\temp
    C:\Program Files\004
    C:\Users\DPS2\AppData\Local\nsgDBCA.tmp
    C:\ProgramData\ntuser.pol
    C:\Users\DPS2\AppData\Local\13307
    C:\Users\DPS2\Downloads\FlashPlayersetup__2583_i878035289_il1.exe
    C:\Users\DPS2\Downloads\FlashPlayersetup__2583_i878032611_il1.exe
    C:\Users\DPS2\AppData\Local\Temp\57224uninstall.exe
    C:\Users\DPS2\AppData\Local\Temp\Sqlite3.dll
    R1 {3f538614-b636-4023-9ec2-564ada4b07b3}Gw64; C:\Windows\System32\drivers\{3f538614-b636-4023-9ec2-564ada4b07b3}Gw64.sys [61112 2014-06-23] (StdLib)
    S1 {b2db3058-74ee-4ace-bcd8-8cd0fbe3a4f6}Gt; C:\Windows\System32\drivers\{b2db3058-74ee-4ace-bcd8-8cd0fbe3a4f6}Gt.sys [55224 2014-06-18] (StdLib)
    R1 {b2db3058-74ee-4ace-bcd8-8cd0fbe3a4f6}Gw64; C:\Windows\System32\drivers\{b2db3058-74ee-4ace-bcd8-8cd0fbe3a4f6}Gw64.sys [61112 2014-06-13] (StdLib)
    C:\Windows\system32\Drivers\{3f538614-b636-4023-9ec2-564ada4b07b3}Gw64.sys
    C:\Windows\system32\Drivers\{b2db3058-74ee-4ace-bcd8-8cd0fbe3a4f6}Gt.sys
    C:\Windows\system32\Drivers\{b2db3058-74ee-4ace-bcd8-8cd0fbe3a4f6}Gw64.sys
    Folder: C:\Windows\system32\GroupPolicy
    Folder: C:\Windows\SysWOW64\GroupPolicy
    Task: C:\Windows\Tasks\AmiUpdXp.job => C:\Users\DPS2\AppData\Local\13307\a30709.exe <==== ATTENTION
    Task: C:\Windows\Tasks\APSnotifierPP1.job => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe <==== ATTENTION
    Task: C:\Windows\Tasks\APSnotifierPP2.job => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe <==== ATTENTION
    Task: C:\Windows\Tasks\APSnotifierPP3.job => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe <==== ATTENTION
    Task: C:\Windows\Tasks\bench-sys.job => C:\Program Files (x86)\Bench\Updater\updater.exe <==== ATTENTION
    Task: C:\Windows\Tasks\bench-Updater removing.job => ? <==== ATTENTION
    Task: C:\Windows\Tasks\FoxTab.job => C:\Users\DPS2\AppData\Roaming\FoxTab\UPDATE~1\UPDATE~1.EXE <==== ATTENTION
    Task: {0A32724A-48C2-4408-9408-46662C8DFA49} - System32\Tasks\APSnotifierPP1 => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe <==== ATTENTION
    Task: {141B5FC4-FF36-48CF-9DD2-FDA44C659585} - System32\Tasks\APSnotifierPP3 => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe <==== ATTENTION
    Task: {840168F0-1024-4228-B3AE-20D1B4EE76BF} - System32\Tasks\FoxTab => C:\Users\DPS2\AppData\Roaming\FoxTab\UPDATE~1\UPDATE~1.EXE <==== ATTENTION
    Task: {9A1A3923-A1A4-450D-BE9D-1814CEF11714} - System32\Tasks\bench-sys => C:\Program Files (x86)\Bench\Updater\updater.exe [2014-03-27] () <==== ATTENTION
    Task: {C47A9206-AB1D-493C-978E-F5C383B3D1EE} - System32\Tasks\AmiUpdXp => C:\Users\DPS2\AppData\Local\13307\a30709.exe [2014-06-16] () <==== ATTENTION
    Task: {F9F5712B-CC47-4298-924D-B72554064D0A} - System32\Tasks\APSnotifierPP2 => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe <==== ATTENTION
    Task: {3BF1B2CE-1402-4158-AAE8-30F7DD8001F8} - System32\Tasks\bench-Updater removing
    C:\Windows\System32\Tasks\APSnotifierPP1
    C:\Windows\System32\Tasks\APSnotifierPP3
    C:\Windows\System32\Tasks\APSnotifierPP2
    Reboot:

 

•      Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. System zostanie zresetowany. Powstanie fixlog.txt w tym folderze.

•     Z Panelu sterowania usuń:

              Optimizer Pro v3.2, CouponDownloader, PC Data App, Settings Manager, Software Version Updater, webssearches uninstaller, WindowsProtectManger20.0.0.401

•      Wyczyść Firefox:

              menu Historia > Wyczyść historię przeglądania
              menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox.

•     Uruchom AdwCleaner  https://www.fixitpc.pl/topic/8-dezynfekcja-zbi%C3%B3r-narz%C4%99dzi-usuwaj%C4%85cych/  Zastosuj Szukaj, a po tym Usuń. Powstanie folder C:\AdwCleaner z raportem z usuwania.

Zrób nowy log FRST - dołącz. Pokaż też plik fixlog.txt i log z AdwCleaner.