Problem z Nova.Rambler.ru

[Minsigno]

Witam.
 
Podłączam się pod temat. Ten sam robal zainfekował mój komputer . Cokolwiek wpiszę w wyszukiwarkę google to wynik jest przekierowany do tego Ramblera. Proszę o pomoc.

 

Nie podpinamy się pod tematy. Postawiona zasada jest jasna: jeden problem = jedne temat. Posty wydzielam z tematu podobnego. //Miszel03

Addition.txt

FRST.txt

Shortcut.txt

[Miszel03]

Dostarcz jeszcze raport GMER. 

[Minsigno]

Trochę to trwało. Proszę.

GMER.txt

[Miszel03]

Sztywno nie widać konkretnie tego wariantu, oczywiście pomijając resztki po innym adware. Sadzę, że on siedzi gdzieś w preferencjach przeglądarki - łatwo się z tym uporamy. 
 
Do poczytania: KLIK.
 
 
Dezynfekcja.
 
 
1. Otwórz Notatnik w nim wklej:

CloseProcesses:
CreateRestorePoint:
Task: {3F8283E6-BB51-42B5-AA06-BF567CB4AA64} - \Microsoft\Windows\Setup\EOSNotify -> Brak pliku Task: {BF48AE0A-915E-47E5-B3F8-5E17EB8D4B8E} - \896M269M920t149 -> Brak pliku HKLM-x32\...\Run: [] => [X]
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = 
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = 
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = 
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = 
SearchScopes: HKLM -> {4ACD6455-78D0-403D-B2CF-5AB8B8BA3556} URL = hxxp://www.amazon.co.uk/s/ref=azs_osd_ieauk?ie=UTF-8&tag=hp-uk3-vsb-21&link%5Fcode=qs&index=aps&field-keywords={searchTerms}
SearchScopes: HKLM -> {b7fca997-d0fb-4fe0-8afd-255e89cf9671} URL = hxxp://pl.search.yahoo.com/search?p={searchTerms}&ei={inputEncoding}&fr=chr-hp-psg&type=HPNTDF
SearchScopes: HKLM-x32 -> {4ACD6455-78D0-403D-B2CF-5AB8B8BA3556} URL = hxxp://www.amazon.co.uk/s/ref=azs_osd_ieauk?ie=UTF-8&tag=hp-uk3-vsb-21&link%5Fcode=qs&index=aps&field-keywords={searchTerms}
SearchScopes: HKLM-x32 -> {b7fca997-d0fb-4fe0-8afd-255e89cf9671} URL = hxxp://pl.search.yahoo.com/search?p={searchTerms}&ei={inputEncoding}&fr=chr-hp-psg&type=HPNTDF
SearchScopes: HKU\S-1-5-21-2767056382-3334839136-4099837286-1002 -> {4ACD6455-78D0-403D-B2CF-5AB8B8BA3556} URL = hxxp://www.amazon.co.uk/s/ref=azs_osd_ieauk?ie=UTF-8&tag=hp-uk3-vsb-21&link%5Fcode=qs&index=aps&field-keywords={searchTerms}
SearchScopes: HKU\S-1-5-21-2767056382-3334839136-4099837286-1002 -> {b7fca997-d0fb-4fe0-8afd-255e89cf9671} URL = hxxp://pl.search.yahoo.com/search?p={searchTerms}&ei={inputEncoding}&fr=chr-hp-psg&type=HPNTDF
S2 pproupd; "D:\Programy\PIT pro 2016\pproupd.exe" [X]
S2 MBAMChameleon; \SystemRoot\system32\drivers\MBAMChameleon.sys [X]
C:\Users\KrzysztofN\Desktop\Komputer — skrót.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Bohemia Interactive\ArmA 2\BattlEye\Uninstall BattlEye.lnk
C:\ProgramData\Intel\ExtremeGraphics\CUI\Resource\Grafika HD Intel®.lnk
C:\Users\KrzysztofN\AppData\Local\Microsoft\Windows\ConnectedSearch\History\set_2958273420_pl.lnk
C:\Users\KrzysztofN\AppData\Local\Microsoft\Windows\Application Shortcuts\SAMSUNGELECTRONICSCO.LTD.SamsungPrinterExperience_3c1yjt4zspk6g\SamsungPrinterExperience.ln
C:\Users\KrzysztofN\AppData\Local\Microsoft\Windows\Application Shortcuts\Microsoft.WindowsPhone_8wekyb3d8bbwe\windowsphone.App.lnk
C:\Users\KrzysztofN\AppData\Local\Microsoft\Windows\Application Shortcuts\microsoft.windowscommunicationsapps_8wekyb3d8bbwe\Microsoft.WindowsLive.Calendar.lnk
C:\Users\KrzysztofN\AppData\Local\Microsoft\Windows\Application Shortcuts\microsoft.windowscommunicationsapps_8wekyb3d8bbwe\Microsoft.WindowsLive.Mail.lnk
C:\Users\KrzysztofN\AppData\Local\Microsoft\Windows\Application Shortcuts\microsoft.windowscommunicationsapps_8wekyb3d8bbwe\Microsoft.WindowsLive.People.lnk
DeleteKey: HKCU\Software\Mozilla
DeleteKey: HKCU\Software\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Mozilla
DeleteKey: HKLM\SOFTWARE\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Wow6432Node\Mozilla
DeleteKey: HKLM\SOFTWARE\Wow6432Node\mozilla.org
DeleteKey: HKLM\SOFTWARE\Wow6432Node\MozillaPlugins
C:\Users\KrzysztofN\AppData\Local\Mozilla
C:\Users\KrzysztofN\AppData\Roaming\Mozilla
C:\Users\KrzysztofN\AppData\Roaming\Profiles
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

2. Wyczyść i zabezpiecz przeglądarkę Google Chrome:

• Zresetuj synchronizację (o ile włączona): KLIK.
• Ustawienia > karta Rozszerzenia > odinstaluj wszystkie nieznane i niepotrzebne Ci rozszerzenia.
• Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Resetowanie ustawień. Zakładki i hasła nie zostaną naruszone.
• Ustawienia > karta Ustawienia > sekcja Szukaj > klik w Zarządzanie wyszukiwarkami > skasuj z listy wszystko z wyjątkiem Google.
• Zainstaluj rozszerzenie blokujące reklamy o podłożu nieinfekcyjnym, polecam rozszerzenie uBlock Origin.

3. Pobierz AdwCleaner uruchom go i kliknij Skanuj, kiedy skanowanie zakończy się wydobądź z niego raport, znajduję się on w folderze C:\AdwCleaner. Raport zaprezentuj na forum. 
 
4. Zrób nowy log FRST z opcji Skanuj (Scan), wraz z Addition i Shortcut. Dołącz też plik fixlog.txt.

[Minsigno]

Załączam pliki. Na chwilę obecną po wykonaniu wszystkich czynności problem nie zniknął. Dodatkowo nie zależnie od strony klikając w okolicach paska przesuwania strony lub na niego próbują wyskakiwać jakieś reklamy, które próbuje blokować uBlock Origin.

AdwCleanerS4.txt

Addition.txt

Fixlog.txt

FRST.txt

Shortcut.txt

[Miszel03]

Dziwne...nie widać niczego podejrzanego już. Sprawdzimy globalnie rejestr i wszystkie pliki. Na której przeglądarce to występuję? Kojarzysz adres 172.168.0.2? Jest amerykański i ustawiony, lecz wygląda na martwy. Celowo go kiedyś tam dawałeś? 

 

Uruchom FRST, w polu Szukaj (Search) wklej poniższą frazę i kliknij w Szukaj w rejestrze (Search Registry).

 

nova.rambler.ru;.ru;nova

 

Obok FRST powstanie raport SearchReg.txt - zaprezentuj go na forum. 

 

Powtórz to działania również dla opcji Szukaj w Plikach (Search Files), raport też dostarcz (SearchFiles.txt).

[Minsigno]

Czy opcje shortcut.txt też zaznaczyć w FRST? Nie znam tego adresu IP. Ciągle mi wyskakuje okienko z adresem http://pl.reimageplus.com/lp/tef/index.php?tracking=XML&banner=Feed1_Open1_PL_0.26_TEFNMS2_none&adgroup=fixitpc.pl&ads_name=problem%20z%20novaramblerru&keyword=direct&xml_uuid=2BB5B64B-57FF-4137-968B-68E6A339B455&nms=2

 

EDIT: Podsyłam raporty.

 

Searchreg.txt ma ponad 2mb i nie mogę go dodać.

Search.txt

Edytowane 3 Kwietnia 2017 przez Rucek

[Miszel03]

Używaj opcji Edytuj. Posty łącze.

 

Wklej jego zawartość na wklej.org

[Minsigno]

Na stronie wklej.org jest jakiś problem, ponieważ po kilkukrotnej próbie pojawia się komunikat 502 gateway.

 

http://wklejto.pl/274013

 

 

Problem rozwiązany, manualnie wyszukałem ukryte pliki na dysku C związane z nova rambler.

Zajęło mi to 4 godziny ale mam spokój.

 

Pozdrawiam.