adware

[marijob]

Witam serdecznie,

Moja małżonka podczas przeglądania internetu ściągnęła mi na komputer trochę śmieci i teraz m.in. wyskakują komunikaty o ochronie guardian protection, które przekierowuje do stron internetowych wyłudzających informacje. Mam wielką prośbę o analizę plików pod kątem usunięcia adware i malware.

Dostępne tylko dla zarejestrowanych użytkowników

Dostępne tylko dla zarejestrowanych użytkowników

Dostępne tylko dla zarejestrowanych użytkowników

Dostępne tylko dla zarejestrowanych użytkowników

Dostępne tylko dla zarejestrowanych użytkowników

Z góry dziękuję za pomoc

[djarta]

1. Użyj >Dostępne tylko dla zarejestrowanych użytkowników
najpierw kliknij na SZUKAJ, a dopiero po zakończeniu skanowania, gdy uaktywni się przycisk USUŃ, to kliknij na niego.
Pokaż raport z niego C:\AdwCleaner\AdwCleaner[S].txt

2. Uruchom Dostępne tylko dla zarejestrowanych użytkowników. Wciśnij dowolny klawisz i czekaj, aż skończy się operacja. (UWAGA: podczas pobierania, programy mogą wskazywać, że to jest zagrożenie, proszę to zignorować). Pokaż raport.

3. Uruchom FireFox > menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox. Zakładki i hasła nie zostaną naruszone.

4. Wyczyść Google Chrome:

• Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Zresetuj ustawienia przeglądarki. Zakładki i hasła nie zostaną naruszone.


• Ustawienia > karta Ustawienia > sekcja Wyszukiwanie > klik w Zarządzanie wyszukiwarkami > skasuj z listy niedomyślne śmieci (o ile będą).


• Zresetuj cache wtyczek. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie Włącz.

5. Wklej logi z FRST.

[marijob]

JRT

Dostępne tylko dla zarejestrowanych użytkowników

adw

Dostępne tylko dla zarejestrowanych użytkowników

frst

Dostępne tylko dla zarejestrowanych użytkowników

add

Dostępne tylko dla zarejestrowanych użytkowników

shortcut

Dostępne tylko dla zarejestrowanych użytkowników

[djarta]

1. Otwórz notatnik i wklej:

CloseProcesses:
S3 NTIOLib_1_0_4; \??\C:\Program Files (x86)\MSI\Live Update 5\NTIOLib_X64.sys [X]
U2 wuaserv; No ImagePath
CHR HKCU\...\Chrome\Extension: [apdfllckaahabafndbhieahigkjlhalf] - C:\Users\MB\AppData\Local\Google\Drive\apdfllckaahabafndbhieahigkjlhalf_live.crx [2014-10-07]
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
CHR DefaultSuggestURL: Default -> Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}&sstype=prefix&li=ff
GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
HKU\S-1-5-21-3462481686-4111146741-426209399-1002\...\Run: [PriceMeterW] => "C:\Users\MB\AppData\Local\PriceMeter\pricemeterw.exe"
C:\Users\MB\AppData\Local\PriceMeter
HKU\S-1-5-21-3462481686-4111146741-426209399-1001\...\Run: [Akamai NetSession Interface] => C:\Users\MB\AppData\Local\Akamai\netsession_win.exe [4672920 2014-04-17] (Akamai Technologies, Inc.)
HKLM-x32\...\RunOnce: [Browser Guardian-repairJob] => wscript.exe "C:\Users\MB\AppData\Local\Browser Guardian\repair.js" "Browser Guardian-repairJob"
C:\Users\MB\AppData\Local\Browser Guardian
C:\WINDOWS\SysWOW64\sqlite3.dll
C:\Users\MB\Downloads\~WRL2975.tmp
C:\Users\MB\AppData\Roaming\QuickScan
C:\Users\MB\AppData\Local\Browser Guardian
C:\WINDOWS\System32\Tasks\IUM-F1E24CA0-B63E-4F13-A9E3-4ADE3BFF3473
C:\WINDOWS\System32\Tasks\IUM-F1E24CA0-B63E-4F13-A9E3-4ADE3BFF3473-Logon
AlternateDataStreams: C:\Windows:B7215EF256174A36
AlternateDataStreams: C:\Users\MB\SkyDrive:ms-properties
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. System zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

2. Wklej logi z FRST nowe.

[marijob]

Dostępne tylko dla zarejestrowanych użytkowników
Dostępne tylko dla zarejestrowanych użytkowników
Dostępne tylko dla zarejestrowanych użytkowników
Dostępne tylko dla zarejestrowanych użytkowników
Dalej mam problem z tzw. browser guardian. Windows startuje z dużym opóźnieniem, wyświetla się komunikat o uszkodzonym pliku z odwołaniem do guardiana. nie mogę też opróżnić koza, bo mam informację, że plik jest uszkodzony.

Wklejam wynik wyszukiwania w frst.

Dostępne tylko dla zarejestrowanych użytkowników

[djarta]

1. Otwórz Notatnik i wklej w nim:

Windows Registry Editor Version 5.00

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0C09CCC2-2DBD-4A14-9BD7-1BEAE267425D}]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0C09CCC2-2DBD-4A14-9BD7-1BEAE267425D}\InprocServer32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8EB46C6E-FBA0-4915-841F-48D7EE9EA777}]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8EB46C6E-FBA0-4915-841F-48D7EE9EA777}\InprocServer32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{DED35294-CC94-4B75-A129-BB01FB0142E6}\1.0\0\win32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{DED35294-CC94-4B75-A129-BB01FB0142E6}\1.0\0\win64]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{DED35294-CC94-4B75-A129-BB01FB0142E6}\1.0\HELPDIR]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{DEFF3486-FE02-4B66-8D7B-36DCE84A0F1C}\1.0\0\win32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{DEFF3486-FE02-4B66-8D7B-36DCE84A0F1C}\1.0\HELPDIR]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{0C09CCC2-2DBD-4A14-9BD7-1BEAE267425D}]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{0C09CCC2-2DBD-4A14-9BD7-1BEAE267425D}\InprocServer32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{6AFEAD36-E887-4677-9CA4-0429A077C65D}]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{6AFEAD36-E887-4677-9CA4-0429A077C65D}\LocalServer32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{6AFEAD36-E887-4677-9CA4-0429A077C65D}\LocalServer32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{8EB46C6E-FBA0-4915-841F-48D7EE9EA777}]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{8EB46C6E-FBA0-4915-841F-48D7EE9EA777}\InprocServer32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\TypeLib\{DED35294-CC94-4B75-A129-BB01FB0142E6}\1.0\0\win32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\TypeLib\{DED35294-CC94-4B75-A129-BB01FB0142E6}\1.0\0\win64]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\TypeLib\{DED35294-CC94-4B75-A129-BB01FB0142E6}\1.0\HELPDIR]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\TypeLib\{DEFF3486-FE02-4B66-8D7B-36DCE84A0F1C}\1.0\0\win32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\TypeLib\{DEFF3486-FE02-4B66-8D7B-36DCE84A0F1C}\1.0\HELPDIR]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{DEFF3486-FE02-4B66-8D7B-36DCE84A0F1C}]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{8EB46C6E-FBA0-4915-841F-48D7EE9EA777}]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Browser Guardian]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Browser Guardian]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Browser Guardian]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{DEFF3486-FE02-4B66-8D7B-36DCE84A0F1C}]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{8EB46C6E-FBA0-4915-841F-48D7EE9EA777}]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\CLSID\{0C09CCC2-2DBD-4A14-9BD7-1BEAE267425D}]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\CLSID\{0C09CCC2-2DBD-4A14-9BD7-1BEAE267425D}\InprocServer32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\CLSID\{6AFEAD36-E887-4677-9CA4-0429A077C65D}]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\CLSID\{6AFEAD36-E887-4677-9CA4-0429A077C65D}\LocalServer32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\CLSID\{6AFEAD36-E887-4677-9CA4-0429A077C65D}\LocalServer32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\CLSID\{8EB46C6E-FBA0-4915-841F-48D7EE9EA777}]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\CLSID\{8EB46C6E-FBA0-4915-841F-48D7EE9EA777}\InprocServer32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\TypeLib\{DED35294-CC94-4B75-A129-BB01FB0142E6}\1.0\0\win32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\TypeLib\{DED35294-CC94-4B75-A129-BB01FB0142E6}\1.0\0\win64]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\TypeLib\{DED35294-CC94-4B75-A129-BB01FB0142E6}\1.0\HELPDIR]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\TypeLib\{DEFF3486-FE02-4B66-8D7B-36DCE84A0F1C}\1.0\0\win32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\TypeLib\{DEFF3486-FE02-4B66-8D7B-36DCE84A0F1C}\1.0\HELPDIR]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0C09CCC2-2DBD-4A14-9BD7-1BEAE267425D}]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0C09CCC2-2DBD-4A14-9BD7-1BEAE267425D}\InprocServer32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8EB46C6E-FBA0-4915-841F-48D7EE9EA777}]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8EB46C6E-FBA0-4915-841F-48D7EE9EA777}\InprocServer32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{DED35294-CC94-4B75-A129-BB01FB0142E6}\1.0\0\win32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{DED35294-CC94-4B75-A129-BB01FB0142E6}\1.0\0\win64]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{DED35294-CC94-4B75-A129-BB01FB0142E6}\1.0\HELPDIR]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{DEFF3486-FE02-4B66-8D7B-36DCE84A0F1C}\1.0\0\win32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{DEFF3486-FE02-4B66-8D7B-36DCE84A0F1C}\1.0\HELPDIR]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{0C09CCC2-2DBD-4A14-9BD7-1BEAE267425D}]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{0C09CCC2-2DBD-4A14-9BD7-1BEAE267425D}\InprocServer32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{6AFEAD36-E887-4677-9CA4-0429A077C65D}]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{6AFEAD36-E887-4677-9CA4-0429A077C65D}\LocalServer32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{6AFEAD36-E887-4677-9CA4-0429A077C65D}\LocalServer32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{8EB46C6E-FBA0-4915-841F-48D7EE9EA777}]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{8EB46C6E-FBA0-4915-841F-48D7EE9EA777}\InprocServer32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\TypeLib\{DED35294-CC94-4B75-A129-BB01FB0142E6}\1.0\0\win32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\TypeLib\{DED35294-CC94-4B75-A129-BB01FB0142E6}\1.0\0\win64]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\TypeLib\{DED35294-CC94-4B75-A129-BB01FB0142E6}\1.0\HELPDIR]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\TypeLib\{DEFF3486-FE02-4B66-8D7B-36DCE84A0F1C}\1.0\0\win32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\TypeLib\{DEFF3486-FE02-4B66-8D7B-36DCE84A0F1C}\1.0\HELPDIR]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{DEFF3486-FE02-4B66-8D7B-36DCE84A0F1C}]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{8EB46C6E-FBA0-4915-841F-48D7EE9EA777}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node]
"38997"=-

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Browser Guardian]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Browser Guardian]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Browser Guardian]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{DEFF3486-FE02-4B66-8D7B-36DCE84A0F1C}]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{8EB46C6E-FBA0-4915-841F-48D7EE9EA777}]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\CLSID\{0C09CCC2-2DBD-4A14-9BD7-1BEAE267425D}]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\CLSID\{0C09CCC2-2DBD-4A14-9BD7-1BEAE267425D}\InprocServer32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\CLSID\{6AFEAD36-E887-4677-9CA4-0429A077C65D}]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\CLSID\{6AFEAD36-E887-4677-9CA4-0429A077C65D}\LocalServer32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\CLSID\{6AFEAD36-E887-4677-9CA4-0429A077C65D}\LocalServer32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\CLSID\{8EB46C6E-FBA0-4915-841F-48D7EE9EA777}]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\CLSID\{8EB46C6E-FBA0-4915-841F-48D7EE9EA777}\InprocServer32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\TypeLib\{DED35294-CC94-4B75-A129-BB01FB0142E6}\1.0\0\win32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\TypeLib\{DED35294-CC94-4B75-A129-BB01FB0142E6}\1.0\0\win64]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\TypeLib\{DED35294-CC94-4B75-A129-BB01FB0142E6}\1.0\HELPDIR]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\TypeLib\{DEFF3486-FE02-4B66-8D7B-36DCE84A0F1C}\1.0\0\win32]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\TypeLib\{DEFF3486-FE02-4B66-8D7B-36DCE84A0F1C}\1.0\HELPDIR]

[HKEY_USERS\S-1-5-21-3462481686-4111146741-426209399-1001\Software\AdTrustMedia\PrivDog\MimeFilter\ReplacementDirectives\0]
"source637"=-

[HKEY_USERS\S-1-5-21-3462481686-4111146741-426209399-1001\Software\AdTrustMedia\PrivDog\MimeFilter\ReplacementDirectives\5]
"source557"=-

[HKEY_USERS\S-1-5-21-3462481686-4111146741-426209399-1001\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store]
"C:\Users\MB\AppData\Local\Browser Guardian\uninstall.exe"=-

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.REG

Plik ma być zapisany na Pulpicie.

2. Otwórz Notatnik i wklej w nim:

CloseProcesses:
BHO: Browser Guardian BHO -> {8EB46C6E-FBA0-4915-841F-48D7EE9EA777} -> C:\Program Files (x86)\Browser Guardian\FrameworkBHO64.dll ()
BHO-x32: Browser Guardian BHO -> {8EB46C6E-FBA0-4915-841F-48D7EE9EA777} -> C:\Program Files (x86)\Browser Guardian\FrameworkBHO.dll ()
FF Extension: Browser Guardian - C:\Users\MB\AppData\Roaming\Mozilla\Firefox\Profiles\dh2pq7us.default\Extensions\{9AC3D48E-866F-3EB8-24CB-227784F5741C} [2014-10-12]
C:\Program Files (x86)\Browser Guardian
HKU\S-1-5-21-3462481686-4111146741-426209399-1002\...\Run: [PriceMeterW] => "C:\Users\MB\AppData\Local\PriceMeter\pricemeterw.exe"
C:\Users\MB\AppData\Local\PriceMeter
HKU\S-1-5-21-3462481686-4111146741-426209399-1001\...\Run: [Akamai NetSession Interface] => C:\Users\MB\AppData\Local\Akamai\netsession_win.exe [4672920 2014-04-17] (Akamai Technologies, Inc.)
CMD: reg import C:\Users\Public\Desktop\FIX.REG
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. System zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt

3. Uruchom Dostępne tylko dla zarejestrowanych użytkowników i do okna wklej:

:filefind
browser
Guardian

:regfind
browser
Guardian

Klik w Look i przedstaw wynikowy raport.

4. Wklej nowe logi z FRST.