Infekcja - proszę o sprawdzenie logów

[kawsky]

Witam Szanownych Specjalistów,

Zwracam się z prośbą o wsparcie w kwestii sprawdzenia i ew korekty w logach otl.

Poniżej krótki opis sytuacji:
Skończyła mi się jakiś czas temu licencja na noda 32 i zaczęło się dziać. Główny problem to jakiś śmieć w przeglądarce chrome. Zaburza wyniki wyszukiwania haseł, "przerzuca" kursor z okienka googla do jakiegoś innego, które nie wiadomo skąd wskakuje w górnej części ekranu pod paskiem adresu i zawiera wpis "secure search" czy coś takiego...
Poza tym w sytuacji kiedy otwieram coś sposobem - PM>otwórz w nowej karcie - wówczas w tej pierwszej karcie zaczynają wskakiwać jakieś dziwne strony, przekierowania ogólnie cuda na kiju.
Co jakiś czas przeglądarka wyświetla jakieś dziwne strony i wówczas jedyną opcją jest zamknięcie jej poprzez menadżer zadań. walczę z tym już jakiś czas i dostaję szału. Nie jestem specem choć jakieś mikro podstawy mam. To co udało mi się zrobić do tej pory:
- resetowanie ustawień przeglądarki
- czyszczenie punktów przywracania systemu
- scan przy pomocy adwcleaner
- scan ccleaner
- scan avastem

Ogólnie widzę, że po tych operacjach komp działa nieco lepiej ale główny problem pozostał.
Poniżej załączam logi i proszę, błagam o pomoc.
otl
Dostępne tylko dla zarejestrowanych użytkowników

extras
Dostępne tylko dla zarejestrowanych użytkowników

[XMan]

Wrzuć logi
FRST --> bezpiezowewczenstwo/korzystanie-z-frst-t28530.html

6. Zatwierdzamy trzy razy OK. Wyświetlą się trzy notatniki: FRST.txt, Addition.txt i Shortcut.txt
Wszystkie trzy proszę wkleić.

Logi/raporty wklejasz na:
Dostępne tylko dla zarejestrowanych użytkowników
lub Dostępne tylko dla zarejestrowanych użytkowników
a na forum podajesz tylko linki do nich.

[kawsky]

Dziękuję za szybką reakcję. Poniżej linki

Dostępne tylko dla zarejestrowanych użytkowników
Dostępne tylko dla zarejestrowanych użytkowników
Dostępne tylko dla zarejestrowanych użytkowników

[electrolux]

1) Otwórz Notatnik i wklej w nim:

ShortcutWithArgument: C:\Users\Toshi\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> %SNP%
ShortcutWithArgument: C:\Users\Toshi\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> %SNP%
ShortcutWithArgument: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> %SNP%
Task: {DA5F7FA3-00B7-499D-B919-F01DCA4FB0A5} - System32\Tasks\{AFE95CF7-1AFD-45E6-A8B0-AC582FD4876B} => pcalua.exe -a D:\Programy\daemon410-x86.exe -d D:\Programy
Task: {AF35EEAC-C871-4C37-8109-2803A9A7796C} - System32\Tasks\{C2D072FF-3BC8-437E-9B21-9171FEAA2BBA} => pcalua.exe -a D:\patriot\daemon410-x86.exe -d D:\patriot
Task: {B8623B04-EF58-4F22-BE8F-050C8663DBF2} - System32\Tasks\{8B220052-531B-4F97-AD11-31A406F44E1E} => pcalua.exe -a "C:\Program Files (x86)\InstallShield Installation Information\{49ABE0DF-5BC9-40E8-8996-7A2938BFB5C2}\setup.exe" -c -runfromtemp -l0x0409 -removeonly
Task: {A427C53A-F073-49E9-B352-CA4DA193D99B} - System32\Tasks\psv_Flexcore => cmd.exe /c regedit.exe /s "C:\ProgramData\Utatity\Redit.reg" &amp; del "C:\ProgramData\Utatity\Redit.reg" &amp; SCHTASKS /Delete /TN "psv_Flexcore" /F <==== UWAGA
Task: {28930B0C-68E0-4FBD-98B7-3C6442357BCA} - System32\Tasks\psv_Goldtough => cmd.exe /c regedit.exe /s "C:\ProgramData\Utatity\Zoom-Trax.reg" &amp; del "C:\ProgramData\Utatity\Zoom-Trax.reg" &amp; SCHTASKS /Delete /TN "psv_Goldtough" /F <==== UWAGA
RemoveDirectory: C:\ProgramData\Utatity
C:\ProgramData\Ament.ini
C:\Users\Toshi\AppData\Roaming\Jobmatfax.exe
C:\Users\Toshi\AppData\Roaming\Jobmatfax.tst
C:\Program Files (x86)\NirSoft
S3 Tosrfcom; Brak ImagePath
S3 AIDA64Driver; \??\F:\! AIDA64 Extreme Edition\kerneld.x64 [X]
S3 dbx; system32\DRIVERS\dbx.sys [X]
FF ExtraCheck: C:\Program Files (x86)\mozilla firefox\defaults\pref\43444172.js [2017-02-01] <==== UWAGA (Linkuje do pliku *.cfg)
FF ExtraCheck: C:\Program Files (x86)\mozilla firefox\43444172.cfg [2017-02-01] <==== UWAGA
FF HKLM\...\Firefox\Extensions: [wrc@avast.com] - C:\Program Files\AVAST Software\Avast\WebRep\FF => nie znaleziono
FF HKLM\...\Firefox\Extensions: [sp@avast.com] - C:\Program Files\AVAST Software\Avast\SafePrice\FF => nie znaleziono
FF HKLM\...\Thunderbird\Extensions: [eplgTb@eset.com] - C:\Program Files\ESET\ESET NOD32 Antivirus\Mozilla Thunderbird => nie znaleziono
FF HKLM-x32\...\Firefox\Extensions: [wrc@avast.com] - C:\Program Files\AVAST Software\Avast\WebRep\FF => nie znaleziono
FF HKLM-x32\...\Firefox\Extensions: [sp@avast.com] - C:\Program Files\AVAST Software\Avast\SafePrice\FF => nie znaleziono
SearchScopes: HKU\S-1-5-21-1868979164-875572661-1435619274-1000 -> {95B7759C-8C7F-4BF1-B163-73684A933233} URL = hxxps://mysearch.avg.com/search?cid={92B98EBB-D2CE-4A67-9412-CDC6E2B1BFBC}&mid=757cdc8a8e1647cc9536a5976dfc1599-6a8c75765ad17d8d59498d453c7b1f78b5bdb2c7&lang=pl&ds=AVG&coid=avgtbavg&cmpid=0615piz&pr=fr&d=2015-12-01 12:14:59&v=4.1.8.599&pid=wtu&sg=&sap=dsp&q={searchTerms}
ManualProxies: 0hxxp://no-blocked.biz/wpad.dat?aeb2e3d6c642f40dcb717e60b6c44cca24795699
AutoConfigURL: [S-1-5-21-1868979164-875572661-1435619274-1000] => hxxp://no-blocked.biz/wpad.dat?aeb2e3d6 ... ca24795699
GroupPolicy: Ograniczenia <======= UWAGA
HKU\S-1-5-18\...\Run: [] => [X]
HKLM\...\Policies\Explorer: [NoDrives] 65536
HKLM-x32\...\Run: [] => [X]
HKLM-x32\...\Run: [Wondershare Helper Compact.exe] => C:\Program Files (x86)\Common Files\Wondershare\Wondershare Helper Compact\WSHelper.exe [2086240 2015-04-28] (Wondershare)
ShortcutWithArgument: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> %SNP%
ShortcutWithArgument: C:\Users\Gość\Desktop\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> %SNP%
ShortcutWithArgument: C:\Users\Gość\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> %SNP%
ShortcutWithArgument: C:\Users\Gość\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> %SNP%
ShortcutWithArgument: C:\Users\Gość\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> %SNP%
ShortcutWithArgument: C:\Users\Gość\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> %SNP%
ShortcutWithArgument: C:\Users\Toshi\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> %SNP%
ShortcutWithArgument: C:\Users\Toshi\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> %SNP%
C:\Users\Toshi\Documents\My Labels\ZebraDesigner Pro Samples.lnk
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix (NAPRAW).

2) Zrób nowe logi FRST.

3) Napisz, jak oceniasz sytuację po tym usuwaniu?
.

[kawsky]

Zrobiłem zgodnie z instrukcją. Problem pozostał.

Dostępne tylko dla zarejestrowanych użytkowników
Dostępne tylko dla zarejestrowanych użytkowników
Dostępne tylko dla zarejestrowanych użytkowników

[electrolux]

Otwórz Notatnik i wklej w nim:

CHR Extension: (Secure Browsing) - C:\Users\Toshi\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\bbidppmgmdmjgfenjdafcalmciolcehp [2017-03-18]
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix (NAPRAW).

Jeśli to nie poprawi sytuacji, to przeinstalujesz Chrome.
.

[kawsky]

1)Wykonałem wszystko zgodnie z instrukcją. Pobawiłem się chwilę w przeglądarce. Póki co problem nie wrócił ale mam wrażenie, że przeglądarka np na wp chodzi lekko *****. Natomiast jak wszedłem na stronę forum to już wszystko płynnie śmiga. Czy powodem może być działanie np avasta który "łapie" reklamy?

2) Czy przeglądając te logi możesz podpowiedzieć co jeszcze powinienem zrobić żeby przywrócić kompa do stanu używalności? Mam na nim bazy sql ponieważ używam Subiekta GT firmy Insert, całą firmę, aplikację do obsługi mojej strony, sklepu itp, i ogólnie duuużo danych. Chciałbym uniknąć jakiś akcji w stylu stawiania nowego systemu i składania wszystkiego od nowa. Masz jakieś sugestie?

3) Czy wysłać nowe logi?

[electrolux]

Czy powodem może być działanie np avasta który "łapie" reklamy?

Nie sądzę, by tak było. Ja też używam Avasta, i nie mam takich problemów.

Czy przeglądając te logi możesz podpowiedzieć co jeszcze powinienem zrobić żeby przywrócić kompa do stanu używalności?

Za dużo ode mnie wymagasz, nie mam zamiaru być "uzdrowicielem" komputerów.

Czy wysłać nowe logi?

nie widzę takiej potrzeby.
.

[kawsky]

Faktem jest, że nie chciałbym i nie zamierzam nadużywać "gościnności"
Ja się znam na kawie bo ją produkuję od lat. Komputera używam, z czymś tam sobie radzę i tyle. Dlatego opinia fachowca jest cenna.
Mimo wszystko póki co działa lepiej i największy śmieć zniknął.
Bardzo dziękuję za pomoc.
Bardzo!
Pozdrawiam

[XMan]

Widzę że może być jeszcze lepiej, jest więcej niż kilka zastrzeżeń

Na początek wrzuć screeny z:

1. Start --> Panel sterowania --> Programy i funkcje (wszystko)
2. Start --> Panel sterowania --> System.
3. C:\Program Files\ - wszystko co w nim się znajduje.

Tworzenie screenu (zrzutu) ekranu. Wrzucanie obrazków na hosting.
PicPick - tworzymy zrzuty ekranu.

Screeny wrzucasz na zewnętrzny serwer a na forum podajesz tylko link do nich lub miniaturkę.
Przykładowo na:
Dostępne tylko dla zarejestrowanych użytkowników
lub: Dostępne tylko dla zarejestrowanych użytkowników