Przekierowanie na niechciane strony i detekcja Vitruvian.B

[pansamochodzik]

witam

Ostatnio po skorzystaniu z sieci hotelowej wlazło mi coś w kompa. Każde kliknięcie na stronę powoduje przekierowanie na jakieś reklamy których nie można zamknąć. Program Malwarebytes Anti-Malware blokuje przekierowanie na stronę

"w..pcrisk" ale i tak póżniej wchodzą jakieś reklamy.

Po przeskanowaniu ESET online wykrył to "Win32/AdWare.Vitruvian.B"

Proszę o pomoc w likwidacji tych smieci,zamieszczam logi .

Słaby jestem z komputera więc proszę wyjaśnić jak krowie na miedzy co robić :-) 

MP

GMER LOG.txt

Addition.txt

FRST.txt

Shortcut.txt

[picasso]

W raportach FRST widać tylko wpis sponsorowanego Binga w starcie, co raczej nie wiąże się z problemem. Wspominasz wyraźnie, że przekierowania się pojawiły "po skorzystaniu z sieci hotelowej". To wskazuje na infekcję routera tamtej sieci, a pomimo wypięcia się z niej efekt może być nadal widczny u Ciebie ze względu na zapamiętane rekordy w cache bufora DNS i/lub cache przeglądarki. Czyli zadam czyszczenie tych miejsc + inne pomniejsze korekty.

 

Działania do przeprowadzenia:

 

1. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
CreateRestorePoint:
HKU\S-1-5-21-3377222215-263577021-991360115-1001\...\Run: [bingSvc] => C:\Users\Marek\AppData\Local\Microsoft\BingSvc\BingSvc.exe [144008 2016-01-16] (© 2015 Microsoft Corporation)
HKLM\...\Winlogon: [userinit] c:\windows\system32\userinit.exe,c:\program files\soluto\soluto.exe /userinit,
SearchScopes: HKU\S-1-5-21-3377222215-263577021-991360115-1001 -> {AD627D66-48D3-45B5-B45D-AAED37AAE370} URL =
S3 cpuz136; \??\C:\Windows\TEMP\cpuz136\cpuz136_x64.sys [X]
S3 iscFlash; \??\C:\Users\Administrator\AppData\Local\Temp\7zS211A.tmp\iscflashx64.sys [X]
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\mcpltsvc => ""=""
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\mcpltsvc => ""=""
DeleteKey: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2
DeleteKey: HKLM\SOFTWARE\Mozilla
DeleteKey: HKLM\SOFTWARE\Wow6432Node\Mozilla
DeleteKey: HKLM\SOFTWARE\Wow6432Node\MozillaPlugins
C:\ProgramData\Temp
C:\Users\Marek\AppData\Local\Microsoft\BingSvc
Reg: reg add "HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" /f
Reg: reg add "HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" /ve /t REG_SZ /d Bing /f
Reg: reg add "HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" /v URL /t REG_SZ /d "http://www.bing.com/search?q={searchTerms}&FORM=IE8SRC" /f
Reg: reg add "HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" /v DisplayName /t REG_SZ /d "@ieframe.dll,-12512" /f
Reg: reg add "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" /f
Reg: reg add "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" /ve /t REG_SZ /d Bing /f
Reg: reg add "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" /v URL /t REG_SZ /d "http://www.bing.com/search?q={searchTerms}&FORM=IE8SRC" /f
Reg: reg add "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" /v DisplayName /t REG_SZ /d "@ieframe.dll,-12512" /f
CMD: ipconfig /flushdns
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Zrób nowy log FRST z opcji Skanuj (Scan), bez Addition i Shortcut. Dołącz też plik fixlog.txt. Wypowiedz się czy problemy nadal występują.

[pansamochodzik]

Dziękuję za pomoc ,

przed zastosowaniem się do Twoich zaleceń ,ataki zelżały ??? .Szczególnie nasilały się na stronie ONET i tejże poczcie ,każde kliknięcie powodowało przeniesienia na stronę z grami.

Zrobiłem to co napisałaś ,i jest OK :-)

Dotacja na forum też poszła :-)

POzdrawiam MP

 

FRST.txt

Fixlog.txt

[picasso]

Zmniejszenie widoczności efektu mogło się wiązać z postępującą aktualizacją rekordów DNS w cache. Skrypt FRST pomyślnie wykonany, raportujesz ustąpienie problemu, czyli kończymy:

 

Zastosuj DelFix oraz wyczyść foldery Przywracania systemu: KLIK.

 

I wielkie dzięki za dotację.

[pansamochodzik]

dziękuję ,cała przyjemność po mojej stronie :-)

było napisane żeby zamieścić log

DelFix.txt

[picasso]

DelFix zrobił co należy. Skasuj z dysku plik raportu C:\delfix.txt.

 

Temat rozwiązany. Zamykam.