Reklamy kontekstowe w FF - CrushArcade i inne

[misiakufal 0]

Cześć,

 

Miałbym do Was prośbę o przyglądniecie się poniższym logom:

 

Logi FRST Addition i Shortcut

 

Problem jest z syfami w FF, głównie CrushArcade, ale nie wiem dokładnie co tam jeszcze może być, bo to nie mój PC.

 

Za wszelką pomoc z góry dziękuję

[Miszel03 0]

Wstaw te logi na wklej.org, bo strona, którą zapodałeś nie odpowiada.

 

(Będę tutaj ok. godz 16 wtedy przeanalizuję raporty i dobiorę odpowiednie instrukcję)

[misiakufal 0]

Strona już działa (chwilowy pad serwera)

[Miszel03 0]

Widać tutaj muzealne adware oraz dużo świeżych szkodników z tej rodziny, ślady pozostawione w systemie sugerują, że było ich tam więcej. Przeglądarki FireFox oraz Google Chrome są zainfekowane przez adware Primary Color oraz Find Search Window. Mam też pytanie: czy amerykańskie DNS to celowe ustawienie?

 

Przechodzimy do działań:

 

1. Do notatnika wklej i zapisz jako fixlist.txt i kliknij Fix w Interfejsie FRST

Plik fixlist.txt umieść obok programu FRST

 

CloseProcesses:
CreateRestorePoint:
GroupPolicy: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxps://us.search.yahoo.com/yhs/web?hspart=iry&hsimp=yhs-fullyhosted_003&type=wncy_dwndlm_16_12_ssg01&param1=1&param2=f%3D1%26b%3DIE%26cc%3Dus%26pa%3DWincy%26cd%3D2XzuyEtN2Y1L1QzutDtDtC0FtA0CtBtD0B0CtC0D0FyEzz0EtN0D0Tzu0StCyDyEtBtN1L2XzutAtFtCzytFtAtFtBtN1L1Czu1BtAtN1L1G1B1V1N2Y1L1Qzu2StA0D0EzyyD0FyBtBtGtCyDyDzytG0CtCtB0BtGyDyB0EtDtG0A0A0DyDtCyCtBzy0A0EtB0E2QtN1M1F1B2Z1V1N2Y1L1Qzu2S0AzztB0F0DyEyDyBtG0FyDzy0CtGyEyEtDyCtGzzzy0AyBtGyB0FtA0EyD0Bzy0BtDzzzztC2QtN0A0LzuyEtN1B2Z1V1T1S1NzutCyByDyB%26cr%3D254378069
HKU\S-1-5-21-3187390537-4293616530-2309520287-1000\Software\Microsoft\Internet Explorer\Main,Start Page = hxxps://us.search.yahoo.com/yhs/web?hspart=iry&hsimp=yhs-fullyhosted_003&type=wncy_dwndlm_16_12_ssg01&param1=1&param2=f%3D1%26b%3DIE%26cc%3Dus%26pa%3DWincy%26cd%3D2XzuyEtN2Y1L1QzutDtDtC0FtA0CtBtD0B0CtC0D0FyEzz0EtN0D0Tzu0StCyDyEtBtN1L2XzutAtFtCzytFtAtFtBtN1L1Czu1BtAtN1L1G1B1V1N2Y1L1Qzu2StA0D0EzyyD0FyBtBtGtCyDyDzytG0CtCtB0BtGyDyB0EtDtG0A0A0DyDtCyCtBzy0A0EtB0E2QtN1M1F1B2Z1V1N2Y1L1Qzu2S0AzztB0F0DyEyDyBtG0FyDzy0CtGyEyEtDyCtGzzzy0AyBtGyB0FtA0EyD0Bzy0BtDzzzztC2QtN0A0LzuyEtN1B2Z1V1T1S1NzutCyByDyB%26cr%3D254378069
SearchScopes: HKLM -> DefaultScope {6A1806CD-94D4-4689-BA73-E35EA1EA9990} URL = hxxp://searchinterneat-a.akamaihd.net/s?eq=U0EeE1xZE1oZB1ZEfV9bBAxJEFQVbQABUglcFVYXcxQBBQwQDABBdw9bBQBCRAQbch9aFQQTSEcFME0FCFwEURNNfX9RD10iRFRRI1FvCFcVTkI=&q={searchTerms}
SearchScopes: HKLM -> {2f23ab71-4ac6-41f2-a955-ea576e553146} URL = hxxps://us.search.yahoo.com/yhs/search?hspart=iry&hsimp=yhs-fullyhosted_003&type=wncy_dwndlm_16_12_ssg01&param1=1&param2=f%3D4%26b%3DIE%26cc%3Dus%26pa%3DWincy%26cd%3D2XzuyEtN2Y1L1QzutDtDtC0FtA0CtBtD0B0CtC0D0FyEzz0EtN0D0Tzu0StCyDyEtBtN1L2XzutAtFtCzytFtAtFtBtN1L1Czu1BtAtN1L1G1B1V1N2Y1L1Qzu2StA0D0EzyyD0FyBtBtGtCyDyDzytG0CtCtB0BtGyDyB0EtDtG0A0A0DyDtCyCtBzy0A0EtB0E2QtN1M1F1B2Z1V1N2Y1L1Qzu2S0AzztB0F0DyEyDyBtG0FyDzy0CtGyEyEtDyCtGzzzy0AyBtGyB0FtA0EyD0Bzy0BtDzzzztC2QtN0A0LzuyEtN1B2Z1V1T1S1NzutCyByDyB%26cr%3D254378069%26a%3Dwncy_dwndlm_16_12_ssg01%26os_ver%3D6.1%26os%3DWindows%2B7%2BUltimate&p={searchTerms}
SearchScopes: HKLM -> {6A1806CD-94D4-4689-BA73-E35EA1EA9990} URL = hxxp://searchinterneat-a.akamaihd.net/s?eq=U0EeE1xZE1oZB1ZEfV9bBAxJEFQVbQABUglcFVYXcxQBBQwQDABBdw9bBQBCRAQbch9aFQQTSEcFME0FCFwEURNNfX9RD10iRFRRI1FvCFcVTkI=&q={searchTerms}
SearchScopes: HKLM -> {6C0B84A8-CD05-4457-A060-264F8DDA4E34} URL = hxxps://us.search.yahoo.com/yhs/search?hspart=iry&hsimp=yhs-fullyhosted_003&type=wncy_dwndlm_16_12_ssg01&param1=1&param2=f%3D4%26b%3DIE%26cc%3Dus%26pa%3DWincy%26cd%3D2XzuyEtN2Y1L1QzutDtDtC0FtA0CtBtD0B0CtC0D0FyEzz0EtN0D0Tzu0StCyDyEtBtN1L2XzutAtFtCzytFtAtFtBtN1L1Czu1BtAtN1L1G1B1V1N2Y1L1Qzu2StA0D0EzyyD0FyBtBtGtCyDyDzytG0CtCtB0BtGyDyB0EtDtG0A0A0DyDtCyCtBzy0A0EtB0E2QtN1M1F1B2Z1V1N2Y1L1Qzu2S0AzztB0F0DyEyDyBtG0FyDzy0CtGyEyEtDyCtGzzzy0AyBtGyB0FtA0EyD0Bzy0BtDzzzztC2QtN0A0LzuyEtN1B2Z1V1T1S1NzutCyByDyB%26cr%3D254378069%26a%3Dwncy_dwndlm_16_12_ssg01%26os_ver%3D6.1%26os%3DWindows%2B7%2BUltimate&p={searchTerms}
SearchScopes: HKU\S-1-5-21-3187390537-4293616530-2309520287-1000 -> DefaultScope {6C0B84A8-CD05-4457-A060-264F8DDA4E34} URL = hxxps://us.search.yahoo.com/yhs/search?hspart=iry&hsimp=yhs-fullyhosted_003&type=wncy_dwndlm_16_12_ssg01&param1=1&param2=f%3D4%26b%3DIE%26cc%3Dus%26pa%3DWincy%26cd%3D2XzuyEtN2Y1L1QzutDtDtC0FtA0CtBtD0B0CtC0D0FyEzz0EtN0D0Tzu0StCyDyEtBtN1L2XzutAtFtCzytFtAtFtBtN1L1Czu1BtAtN1L1G1B1V1N2Y1L1Qzu2StA0D0EzyyD0FyBtBtGtCyDyDzytG0CtCtB0BtGyDyB0EtDtG0A0A0DyDtCyCtBzy0A0EtB0E2QtN1M1F1B2Z1V1N2Y1L1Qzu2S0AzztB0F0DyEyDyBtG0FyDzy0CtGyEyEtDyCtGzzzy0AyBtGyB0FtA0EyD0Bzy0BtDzzzztC2QtN0A0LzuyEtN1B2Z1V1T1S1NzutCyByDyB%26cr%3D254378069%26a%3Dwncy_dwndlm_16_12_ssg01%26os_ver%3D6.1%26os%3DWindows%2B7%2BUltimate&p={searchTerms}
SearchScopes: HKU\S-1-5-21-3187390537-4293616530-2309520287-1000 -> OldSearch URL = hxxp://searchinterneat-a.akamaihd.net/s?eq=U0EeE1xZE1oZB1ZEfV9bBAxJEFQVbQABUglcFVYXcxQBBQwQDABBdw9bBQBCRAQbch9aFQQTSEcFME0FCFwEURNNfX9RD10iRFRRI1FvCFcVTkI=&q={searchTerms}
SearchScopes: HKU\S-1-5-21-3187390537-4293616530-2309520287-1000 -> {2f23ab71-4ac6-41f2-a955-ea576e553146} URL = hxxp://searchinterneat-a.akamaihd.net/s?eq=U0EeE1xZE1oZB1ZEfV9bBAxJEFQVbQABUglcFVYXcxQBBQwQDABBdw9bBQBCRAQbch9aFQQTSEcFME0FCFwEURNNfX9RD10iRFRRI1FvCFcVTkI=&q={searchTerms}
SearchScopes: HKU\S-1-5-21-3187390537-4293616530-2309520287-1000 -> {6C0B84A8-CD05-4457-A060-264F8DDA4E34} URL = hxxps://us.search.yahoo.com/yhs/search?hspart=iry&hsimp=yhs-fullyhosted_003&type=wncy_dwndlm_16_12_ssg01&param1=1&param2=f%3D4%26b%3DIE%26cc%3Dus%26pa%3DWincy%26cd%3D2XzuyEtN2Y1L1QzutDtDtC0FtA0CtBtD0B0CtC0D0FyEzz0EtN0D0Tzu0StCyDyEtBtN1L2XzutAtFtCzytFtAtFtBtN1L1Czu1BtAtN1L1G1B1V1N2Y1L1Qzu2StA0D0EzyyD0FyBtBtGtCyDyDzytG0CtCtB0BtGyDyB0EtDtG0A0A0DyDtCyCtBzy0A0EtB0E2QtN1M1F1B2Z1V1N2Y1L1Qzu2S0AzztB0F0DyEyDyBtG0FyDzy0CtGyEyEtDyCtGzzzy0AyBtGyB0FtA0EyD0Bzy0BtDzzzztC2QtN0A0LzuyEtN1B2Z1V1T1S1NzutCyByDyB%26cr%3D254378069%26a%3Dwncy_dwndlm_16_12_ssg01%26os_ver%3D6.1%26os%3DWindows%2B7%2BUltimate&p={searchTerms}
SearchScopes: HKU\S-1-5-21-3187390537-4293616530-2309520287-1000 -> {AFBCB7E0-F91A-4951-9F31-58FEE57A25C4} URL = hxxp://www.ask.com/web?q={SEARCHTERMS}&o=15527&l=dis&prt=360&chn=s1122&geo=US&ver=5
SearchScopes: HKU\S-1-5-21-3187390537-4293616530-2309520287-1000 -> {B055E3E9-5FA7-4129-B7FF-3C10447E3CB7} URL = hxxp://searchinterneat-a.akamaihd.net/s?eq=U0EeE1xZE1oZB1ZEfV9bBAxJEFQVbQABUglcFVYXcxQBBQwQDABBdw9bBQBCRAQbch9aFQQTSEcFME0FCFwEURNNfX9RD10iRFRRI1FvCFcVTkI=&q={searchTerms}
SearchScopes: HKU\S-1-5-21-3187390537-4293616530-2309520287-1000 -> {F9E036B9-A749-4C0E-9BB9-A9D6EE5B5CD6} URL = hxxp://search.whiteskyservices.com/?wstoken=11FF8A6A-4100-48A9-960A-09A7EF832A59&dtid=1&pid=21&src=sgsearch&v=1.16.306.2&searchparam={SearchTerms}
BHO: Norton Vulnerability Protection -> {6D53EC84-6AAE-4787-AEEE-F4628F01010C} -> C:\Program Files\Norton Security Suite\Engine\21.7.0.11\IPS\IPSBHO.DLL => No File
BHO: Primary Color 1.0.0.7 -> {b0a28f54-b08f-4049-a9bf-8d33bd1e9222} -> C:\Program Files\Primary Color\PrimaryColorbho.dll => No File
C:\Program Files\Primary Color
C:\Program Files\Norton Security Suite
FF NewTab: hxxp://searchinterneat-a.akamaihd.net/t?eq=U0EeFFhaR1oWHFNAJQwAUFhHDAwacwkVVVpFEhgaJAxZTAwTFgNAJAALBAhJExNBNARaB0tXUUEeGGlxR1dMZ1xNJGpdAEsSSWJKLl1XFg==
FF Homepage: hxxp://searchinterneat-a.akamaihd.net/hm?eq=U0EeCFZVBB8SRghFI1wNWQgQFxgaeQoITA0SFQYOeV0NABREQwIVI10BUlxAGQcFIk0FA18DB0VXfWFoKB8fHHNKLl1rBFgDQl10KVdcDk4=
FF Keyword.URL: hxxp://searchinterneat-a.akamaihd.net/s?eq=U0EeE1xZE1oZB1ZEfV9bBAxJEFQVbQABUglcFVYXcxQBBQwQDABBdw9bBQBCRAQbch9aFQQTR0cFME0FB18EURNNfX9RD10iRFRRI1FvCFcVTkI=&q={searchTerms}
CHR RestoreOnStartup: Default -> "hxxp://searchinterneat-a.akamaihd.net/h?eq=U0EeCFZVBB8SRghFI1wNWQgQFxgaeQoITA0SFQYOeV0NABREQwIVI10BUlxAGQcFIk0FA1oDB0VXfV5bFElXTwhlKVdcMlwQU1ZLF1BWBVYG"
CHR StartupUrls: Default -> "hxxp://searchinterneat-a.akamaihd.net/h?eq=U0EeCFZVBB8SRghFI1wNWQgQFxgaeQoITA0SFQYOeV0NABREQwIVI10BUlxAGQcFIk0FA1oDB0VXfV5bFElXTwhlKVdcMlwQU1ZLF1BWBVYG"
FF Extension: Primary Color 1.0.1 - C:\Users\A B\AppData\Roaming\Mozilla\Firefox\Profiles\vsrpa2t4.default\extensions\{f133601f-01a8-46d8-b252-3ab1228d0682}.xpi [2016-03-22] [not signed]
FF Extension: No Name - C:\Users\A B\AppData\Roaming\Mozilla\Firefox\Profiles\vsrpa2t4.default\Extensions\temp [2015-01-04] [not signed]
FF Extension: CrushArcade - C:\Users\A B\AppData\Roaming\Mozilla\Firefox\Profiles\vsrpa2t4.default\Extensions\{cf8452e1-0ddb-44d2-95eb-4cb8e7a35707}.xpi [2015-09-04]
FF Extension: Find Search Window - C:\Users\A B\AppData\Roaming\Mozilla\Firefox\Profiles\vsrpa2t4.default\Extensions\{e69f8bd4-e52e-4861-a214-ed26a60e29d8}.xpi [2016-03-06] [not signed]
CHR Extension: (Primary Color) - C:\Users\A B\AppData\Local\Google\Chrome\User Data\Default\Extensions\ldekfcbimpjcabedolonhihemammjdlj [2016-03-06] [updateUrl: hxxp://wwwgetmyprimaryc-a.akamaihd.net/update/chrome] <==== ATTENTION
CHR Extension: (Find Search Window) - C:\Users\A B\AppData\Local\Google\Chrome\User Data\Default\Extensions\pkdcokjeilllabdjinkebohodhdmekid [2016-03-06] [updateUrl: hxxp://cdn.findsearchwindow.com/update] <==== ATTENTION
S2 Service Mgr FindSearchWindow; "C:\ProgramData\9011da05-e9b9-4ea3-908a-41ecab4aad65\plugincontainer.exe" [X] <==== ATTENTION
S2 Update Mgr FindSearchWindow; "C:\Program Files\Common Files\9011da05-e9b9-4ea3-908a-41ecab4aad65\updater.exe" [X] <==== ATTENTION
S1 {6ceebe73-9730-4a43-a221-4314539715ee}Gw; system32\drivers\{6ceebe73-9730-4a43-a221-4314539715ee}Gw.sys [X]
S1 {786e1909-a881-43dd-a702-77d1bd01d1fb}Gw; system32\drivers\{786e1909-a881-43dd-a702-77d1bd01d1fb}Gw.sys [X]
S1 {bfca5c75-b8a6-4c3f-a399-5256dde4bfed}Gw; system32\drivers\{bfca5c75-b8a6-4c3f-a399-5256dde4bfed}Gw.sys [X]
S1 {f133601f-01a8-46d8-b252-3ab1228d0682}Gw; system32\drivers\{f133601f-01a8-46d8-b252-3ab1228d0682}Gw.sys [X]
C:\ProgramData\SMRResults501.dat
Task: {44573EF0-05F6-4509-A18B-2211896E474B} - System32\Tasks\WebBarUpdateTask => C:\Program Files\WebBar\wbsvc.exe [2016-02-23] (Web Bar Media) <==== ATTENTION
Task: {5E9EA832-AD92-42ED-9448-E3B6DF16D7CB} - System32\Tasks\LaunchPreSignup => C:\Program Files\OLBPre\OLBPre.exe <==== ATTENTION
Task: {62007AA8-AFB3-4786-A9EB-BF1CBE4D1D05} - System32\Tasks\MixVideoPlayer Update => C:\Program Files\MixVideoPlayer\mixUpdater.exe <==== ATTENTION
Task: {73B02C55-E31C-4D5C-A727-2DDDBF0409FF} - System32\Tasks\DriverRestore_ScheduledScan => C:\Program Files\DriverRestore\DriverRestore.exe [2015-11-02] () <==== ATTENTION
Task: {7645BDFC-EEFA-4F50-BE17-1CBE14E6BC73} - System32\Tasks\DriverRestore_DailyScan => C:\Program Files\DriverRestore\DriverRestore.exe [2015-11-02] () <==== ATTENTION
Reg: reg delete "HKU\.DEFAULT\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-21\Software\Microsoft\Internet Explorer\SearchScopes" /f
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

2. Przez Panel Sterowania Odinstaluj:

Find Search Window

MixVideoPlayer

MyPC Backup

Web Bar 2.0.5897.26129

 

Rozwiązanie problemów z deinstalacją, któregoś z powyższych programów w spoilerze.

 

 

 

1. Odinstaluj sprawiający problemy program z poziomu tryby awaryjnego (F8 przed startem)

2. Odinstaluj sprawiający problemy program za pomocą GeekUninstaller

 

 

 

3. Wyczyść:

 

>> Google Chrome:

 

• Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Zresetuj ustawienia przeglądarki. Zakładki i hasła nie zostaną naruszone, ale używane rozszerzenia zostaną wyłączone.
  
• Ustawienia > karta Ustawienia > sekcja Wyszukiwanie > klik w Zarządzanie wyszukiwarkami > skasuj z listy websearch oraz inne niedomyślne śmieci (o ile będą).
  
• Zresetuj cache wtyczek. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie Włącz.
  

 

>> FireFox:

 

• Menu Pomoc > Informacje dla pomocy technicznej > Zresetuj / Odśwież program Firefox. Zakładki i hasła nie zostaną naruszone.
  

 

4. Pobierz AdwCleaner uruchom go i kliknij szukaj a gdy uaktywni się przycisk usuń kliknij go.

 

5. Wstaw raport ze skryptu (Fixlog) i raport z Adwclaner (Raport z Adwcleaner znajduję się w tym folderze: C:\AdwCleaner) + zrób nowe logi z FRST (Zaznacz też: Addition i ShortCup)

[misiakufal 0]

Witam, przepraszam ze to tak długo trwało, ale miałem problem z dostępem do pacjenta.

 

Wklejam wynikowe logi:

 

http://www.misiakufal.pl/logs/new/

 

Z góry dzięki.

[Miszel03 0]

Nie odpowiedziałeś mi na pytanie.

 

Mam też pytanie: czy amerykańskie DNS to celowe ustawienie?

 

Jeżeli chodzi o system to trzeba tutaj jeszcze trzeba doczyścić.

 

Przejdź do tryby awaryjnego. (F8 przed startem systemu)

 

Następnie wykonaj poniższą akcję:

 

1. Do notatnika wklej i zapisz jako fixlist.txt i kliknij Fix w Interfejsie FRST

Plik fixlist.txt umieść obok programu FRST

 

CloseProcesses:
CreateRestorePoint:
Toolbar: HKU\S-1-5-21-3187390537-4293616530-2309520287-1000 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  No File
R0 MPCBase; C:\Windows\System32\drivers\MPCBase.sys [29032 2016-03-06] (DotC United Inc)
R1 MPCKpt; C:\Windows\System32\DRIVERS\MPCKpt.sys [52456 2016-03-06] (DotC United Inc)
C:\Windows\System32\DRIVERS\MPCKpt.sys
C:\Windows\System32\drivers\MPCBase.sys
S3 MBAMSwissArmy; \??\C:\Windows\system32\drivers\MBAMSwissArmy.sys [X]
EmptyTemp:

 

2. Wstaw raport ze skryptu (Fixlog) i zrób nowe logi z FRST (Zaznacz też: Addition i ShortCup)

[misiakufal 0]

Wybacz, ominęło mnie to pytanie jakoś. Tak, komputer znajduje się w stanach, więc amerykańskie DNSy są w porządku. Jak będę miał mozliwośc wykonania kolejnych kroków, to się odezwę. Dzięki za pomoc i pozdrawiam.

[Miszel03 0]

OK.