Infekcja clock hand - agresywna nakładka na wyszukiwarki

[artsushi]

Kobiety chciały obejrzeć darmowe filmy i się komputer zainfekował. Zastanawia mnie czemu te Avasty nie rozpoznają tych zagrożeń. Wyszukiwarka otwiera parę stron, do tego mam w każdym rogu ekranu parę reklam, nawet google szuka przez pokazanie linków z jakimkolwiek hasłem z dopiskiem. wpisuje się np: gotowanie i wyskakuje pare linków"www.poland.com.gotowanie"
Wklejam zatem OTL, EXTRAS, GMERA i proszę o pomoc w usunięciu nakładki

o ciekawe nie mam żadnych dodatkowych toolbarów ani programów zarejestrowanych. Mam taki podejrzany program do odtwarzania filmów i nie wiem czy to on na mnie nie ściąga kłopotów: VLC Media Player.


http://wklej.to/7BGah OTL
http://wklej.to/cXKtY Extras
http://wklej.to/cnDVp GMER

Wielkie dzięki, jak również proszę o info jaki program chroni przed tego typu Malwerami (podobne to ASK Toolbar, Bazoka)

[ordynat]

1) Użyj Adw-Cleaner http://www.programosy.pl/program,adwcleaner.html
najpierw kliknij na SZUKAJ, a dopiero po zakończeniu skanowania, gdy uaktywni się przycisk USUŃ, to kliknij na niego.
Daj z tego raport C:\AdwCleaner\AdwCleaner[S].txt.

2) Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:OTL
[2015-02-18 21:50:08 | 000,000,000 | ---D | M] -- C:\Users\euro\AppData\Roaming\OpenCandy
[2015-02-22 04:33:46 | 000,055,824 | ---- | M] (StdLib) -- C:\Windows\System32\drivers\{8ec7a18b-bb06-4e8b-bc9b-34809b4a9468}t.sys
[2015-02-18 21:50:08 | 000,000,000 | ---D | C] -- C:\Users\euro\AppData\Roaming\OpenCandy
[2015-02-18 21:48:00 | 000,000,000 | ---D | C] -- C:\Program Files\Clock Hand
O33 - MountPoints2\{dba4adca-ee04-11de-85a7-001377d85467}\Shell\AutoRun\command - "" = p.exe
O33 - MountPoints2\{dba4adca-ee04-11de-85a7-001377d85467}\Shell\open\Command - "" = p.exe
O16 - DPF: {E06E2E99-0AA1-11D4-ABA6-0060082AA75C} https://akamaicdn.webex.com/client/WBXclient-T27L10NSP28EP2-12243/webex/ieatgpc1.cab (Reg Error: Key error.)
O8 - Extra context menu item: Funkcja Google Sidewiki - res://C:\Program Files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_D183CA64F05FDD98.dll/cmsidewiki.html File not found
O4 - HKU\S-1-5-21-3878333226-3259774740-2300350480-1003..\Run: [] File not found
FF - HKLM\Software\MozillaPlugins\@Apple.com/iTunes,version=: File not found
DRV - [2015-02-22 04:33:46 | 000,055,824 | ---- | M] (StdLib) [Kernel | System | Running] -- C:\Windows\System32\drivers\{8ec7a18b-bb06-4e8b-bc9b-34809b4a9468}t.sys -- ({8ec7a18b-bb06-4e8b-bc9b-34809b4a9468}t)

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]
[-HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes]

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.

3) Zrób logi z FRST > http://forum.programosy.pl/frst-otl-zoek-vt139692.html
Przed skanem zaznacz "Additional"

===================================================

Error - 2015-03-14 16:10:02 | Computer Name = euro-PC | Source = WinMgmt | ID = 10
Description =

Do Notatnika wklej:

Kod: Zaznacz wszystko

strComputer = "."
Set objWMIService = GetObject("winmgmts:" _
& "{impersonationLevel=impersonate}!\\" _
& strComputer & "\root\subscription")

Set obj1 = objWMIService.Get("__EventFilter.Name='BVTFilter'")

set obj2set = obj1.Associators_("__FilterToConsumerBinding")

set obj3set = obj1.References_("__FilterToConsumerBinding")



For each obj2 in obj2set
                WScript.echo "Deleting the object"
                WScript.echo obj2.GetObjectText_
                obj2.Delete_
next

For each obj3 in obj3set
                WScript.echo "Deleting the object"
                WScript.echo obj3.GetObjectText_
                obj3.Delete_
next

WScript.echo "Deleting the object"
WScript.echo obj1.GetObjectText_
obj1.Delete_


Z Menu Notatnika >> Plik >> Zapisz jako >> Ustaw rozszerzenie na Wszystkie pliki >> Zapisz jako> Test.vbs>>
plik uruchom (dwuklik i OK).
.

[artsushi]

ok, coś wyszło a coś nie do końca wyszło. ciagle internet szaleje i przerzuca mnie na różne srony + dodatkowe reklamy.
... ale idziemy w dobrą stronę.
Nie wyszedł ostatni punkt: Access denied.

Wklejam logi.

ADW: http://wklej.to/Rkv7g
OTL post scan: http://wklej.to/LeOAk
FRST: http://wklej.to/KwcE9
Additional: http://wklej.to/N1JXW

Dzieki

[ordynat]

Otwórz Notatnik i wklej w nim:

CHR Extension: (Clock Hand) - C:\Users\euro\AppData\Local\Google\Chrome\User Data\Default\Extensions\dboobfghnnnlmngfjifahcbfbgjedhkj [2015-02-22]
Reg: reg delete "HKU\.DEFAULT\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f
C:\Users\euro\Downloads\FRST-OlderVersion
GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
Task: {B78AC599-BF92-4ED3-9D8D-6EA4B6BE9CA9} - System32\Tasks\PC-Mechanic Subscription => C:\Program Files\Uniblue\PC-Mechanic\pc-mechanic.exe
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.
Uruchom FRST i kliknij przycisk Fix.

Jeśli problem będzie dalej występował, to przeinstalujesz przeglądarkę, na której to występuje.

Otwórz Notatnik i wklej w nim:

DeleteQuarantine:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST. Uruchom FRST i kliknij w Fix.
przez SHIFT+DEL usuń pozostały folder C:\FRST.

W Adw-Cleaner kliknij na przycisk Odinstaluj (UNINSTALL).
.

Autor postu otrzymał pochwałę

[artsushi]

Ok, super.... wszystko chodzi perfect,
Dostalem komunikat w Chromie ze Clok Hand zostal zablokowany, jako nieznane rozszerzenie. Wyealilem Chroma i wrocilem do Internet Explorer. dzieki