Wirus safefinder.com

[ravenx]

Witam.

Proszę o pomoc w usunięciu wirusa.
W załączniku przesyłam logi.

Z góry dziękuje za pomoc.

Pozdrawiam
Łukasz

[ordynat]

Otwórz Notatnik i wklej w nim:

Task: {4D0B986A-5B21-4FA1-919C-C5658CEB4336} - System32\Tasks\snf => C:\ProgramData\Tristip\Villawarm.exe [2015-08-21] ()
C:\ProgramData\Tristip
Task: {64D3F0D7-231F-41BB-A752-765B7B257DAC} - System32\Tasks\snp => C:\ProgramData\Tristip\Villawarm.exe [2015-08-21] ()
HKLM-x32\...\RunOnce: [{7A6E472E-6553-42AE-95CE-FCF3E0AC7429}] => cmd.exe /C start /D "C:\Users\user\AppData\Local\Temp" /B {7A6E472E-6553-42AE-95CE-FCF3E0AC7429}.cmd
HKU\S-1-5-21-452321249-992127091-526552547-1001\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBPxn49PYmQ6e1krQXBFZY3csuU__7Qpjm9zn2LJYc2_arIlJ8_r57tvN7R7NMgs-94KuQ7cpD9hji0IBNcEekO4y52JZm0HOhoCtNBmoBo3ih_Kble8HucGJkHB5d7DGhzNDF0gAReDY92KI42L2ZzUrB4YBusv_sbEw,,&q={searchTerms}
HKU\S-1-5-21-452321249-992127091-526552547-1001\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://%66%65%65%64.%73%6E%61%70%64%6F.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBPxn49PYmQ6e1krQXBFZY3csuU__7Qpjm9zn2LJYc2_arIlJ8_r57tvN7R7NMgs-94KuQ7cpD9hji0IBNcEekO4yKjLb8u94Gh0DVKbupM2rCfKx7rS8iInpkBcDDU1zQPktK8oMyLNf-x2JqHm0lWbDhyq4Qq-Ixy3w,,
HKU\S-1-5-21-452321249-992127091-526552547-1001\Software\Microsoft\Internet Explorer\Main,Search Bar = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBPxn49PYmQ6e1krQXBFZY3csuU__7Qpjm9zn2LJYc2_arIlJ8_r57tvN7R7NMgs-94KuQ7cpD9hji0IBNcEekO4y52JZm0HOhoCtNBmoBo3ih_Kble8HucGJkHB5d7DGhzNDF0gAReDY92KI42L2ZzUrB4YBusv_sbEw,,&q={searchTerms}
HKU\S-1-5-21-452321249-992127091-526552547-1001\Software\Microsoft\Internet Explorer\Main,SearchAssistant = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBPxn49PYmQ6e1krQXBFZY3csuU__7Qpjm9zn2LJYc2_arIlJ8_r57tvN7R7NMgs-94KuQ7cpD9hji0IBNcEekO4y52JZm0HOhoCtNBmoBo3ih_Kble8HucGJkHB5d7DGhzNDF0gAReDY92KI42L2ZzUrB4YBusv_sbEw,,&q={searchTerms}
SearchScopes: HKLM -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKLM-x32 -> DefaultScope {ielnksrch} URL =
SearchScopes: HKLM-x32 -> ielnksrch URL = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBPxn49PYmQ6e1krQXBFZY3csuU__7Qpjm9zn2LJYc2_arIlJ8_r57tvN7R7NMgs-94KuQ7cpD9hji0IBNcEekO4y52JZm0HOhoCtNBmoBo3ih_Kble8HucGJkHB5d7DGhzNDF0gAReDY92KI42L2ZzUrB4YBusv_sbEw,,&q={searchTerms}
SearchScopes: HKLM-x32 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKU\S-1-5-21-452321249-992127091-526552547-1001 -> DefaultScope {ielnksrch} URL = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBPxn49PYmQ6e1krQXBFZY3csuU__7Qpjm9zn2LJYc2_arIlJ8_r57tvN7R7NMgs-94KuQ7cpD9hji0IBNcEekO4y52JZm0HOhoCtNBmoBo3ih_Kble8HucGJkHB5d7DGhzNDF0gAReDY92KI42L2ZzUrB4YBusv_sbEw,,&q={searchTerms}
SearchScopes: HKU\S-1-5-21-452321249-992127091-526552547-1001 -> {07DDB406-9EB7-44AC-A733-0A93DAF1F8A6} URL =
R2 Tristip; C:\ProgramData\Tristip\Tristip.exe [22528 2015-08-20] () [Brak podpisu cyfrowego]
AppInit_DLLs: C:\ProgramData\Tristip\X-flex.dll => C:\ProgramData\Tristip\X-flex.dll [135680 2015-08-21] ()
AppInit_DLLs-x32: C:\ProgramData\Tristip\Dripis.dll => C:\ProgramData\Tristip\Dripis.dll [121344 2015-08-21] ()
2015-08-21 13:37 - 2015-08-21 13:37 - 00003516 _____ C:\Windows\System32\Tasks\snp
2015-08-21 13:37 - 2015-08-21 13:37 - 00003160 _____ C:\Windows\System32\Tasks\snf
2015-08-21 13:37 - 2015-08-21 13:37 - 00002377 _____ C:\Windows\SysWOW64\findit.xml
2015-08-21 13:37 - 2015-08-21 13:37 - 00000000 ____D C:\ProgramData\Tristips
2015-08-21 13:36 - 2015-08-21 13:36 - 00865000 _____ (Application Installer generic ) C:\Users\Stacja robocza\Desktop\WinRAR-12398-dp.exe
2015-08-19 09:55 - 2015-08-19 09:55 - 00287072 _____ C:\Windows\Minidump\*.dmp
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix (NAPRAW).
Powstanie plik fixlog.txt.
Daj ten log.

2) Zrób nowe logi FRST.

3) Uruchom FRST.
W polu SEARCH (SZUKAJ) wklej:

safefinder*.*

kliknij na przycisk "Search Files (Szukaj Plików)".
Raport z tego będzie tam, gdzie jest FRST.

4) Uruchom FRST.
W polu SEARCH (SZUKAJ) wklej:

safefinder

kliknij na przycisk "Search Registry" (Szukaj w Rejestrze).
Raport z tego będzie tam, gdzie jest FRST.
.

[ravenx]

Dzięki

Poniżej logi.
Wyszukiwanie plików i w rejestrze było bez wyników.

Pozdrawiam

Dodano Dzisiaj, 13:17:
Niestety ciągle jest problem na koncie użytkownika.
Przeglądarki wyrzucają safefinder.com

Dorzucam logi ze skanów na koncie użytkownika.

Pozdrawiam i dzięki wielki.

[ordynat]

Wyszukiwanie plików i w rejestrze było bez wyników.

No to przynajmniej wiadomo, że Twój komputer wcale nie ma tej infekcji.

Otwórz Notatnik i wklej w nim:

Task: {2AE856DC-E06C-4712-919D-71904D80D8F6} - \PCDoctorBackgroundMonitorTask -> Brak pliku <==== UWAGA
Task: {317049FA-77CB-4D35-9352-B8F70BBBF11B} - \Opera N Saturday -> Brak pliku <==== UWAGA
Task: {49693FB9-2154-4278-90BE-B5111AAA901E} - \CreateChoiceProcessTask -> Brak pliku <==== UWAGA
Task: {66E5EE88-8681-47A9-B686-243A6453BC7F} - \Opera N Sunday -> Brak pliku <==== UWAGA
Task: {70F8B1EA-997D-4335-9A8E-494FD793EB53} - \Adobe Flash Player Updater -> Brak pliku <==== UWAGA
Task: {80BD60AC-2258-493A-985D-ABEE278D52B7} - \User_Feed_Synchronization-{116F9954-A9C3-4AC4-B227-9914FB498147} -> Brak pliku <==== UWAGA
Task: {9DD19155-0B37-41F5-A9D0-DF73211D9C2E} - \Optimize Start Menu Cache Files-S-1-5-21-452321249-992127091-526552547-1001 -> Brak pliku <==== UWAGA
Task: {B0178F4C-0405-4D06-8E42-D59D55FB0489} - \SystemToolsDailyTest -> Brak pliku <==== UWAGA
Task: {C6D14D87-5E12-4798-B341-330A5ACD9B67} - \WPD\SqmUpload_S-1-5-21-452321249-992127091-526552547-1001 -> Brak pliku <==== UWAGA
Task: {CBAA0B87-6FEE-4991-B1EB-BA5EF711EDFE} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> Brak pliku <==== UWAGA
HKU\S-1-5-21-452321249-992127091-526552547-1002\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBPxn49PYmQ6e1krQXBFZY3csuU__7Qpjm9zn2LJYc2_arIlJ8_r57tvN7R7NMgs-94KuQ7cpD9hji0IBNcEekO4y52JZm0HOhoCtNBmoBo3ih_Kble8HucGJkHB5d7DGhzNDF0gAReDY92KI42L2ZzUrB4YBusv_sbEw,,&q={searchTerms}
HKU\S-1-5-21-452321249-992127091-526552547-1002\Software\Microsoft\Internet Explorer\Main,Search Bar = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBPxn49PYmQ6e1krQXBFZY3csuU__7Qpjm9zn2LJYc2_arIlJ8_r57tvN7R7NMgs-94KuQ7cpD9hji0IBNcEekO4y52JZm0HOhoCtNBmoBo3ih_Kble8HucGJkHB5d7DGhzNDF0gAReDY92KI42L2ZzUrB4YBusv_sbEw,,&q={searchTerms}
HKU\S-1-5-21-452321249-992127091-526552547-1002\Software\Microsoft\Internet Explorer\Main,SearchAssistant = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBPxn49PYmQ6e1krQXBFZY3csuU__7Qpjm9zn2LJYc2_arIlJ8_r57tvN7R7NMgs-94KuQ7cpD9hji0IBNcEekO4y52JZm0HOhoCtNBmoBo3ih_Kble8HucGJkHB5d7DGhzNDF0gAReDY92KI42L2ZzUrB4YBusv_sbEw,,&q={searchTerms}
SearchScopes: HKLM-x32 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
Toolbar: HKU\S-1-5-21-452321249-992127091-526552547-1002 -> Brak nazwy - {4F524A2D-5350-4500-76A7-7A786E7484D7} - Brak pliku
FF NewTab: C:\\ProgramData\\Tristips\\ff.NT
FF DefaultSearchEngine: findit
FF SearchPlugin: C:\Users\Stacja robocza\AppData\Roaming\Mozilla\Firefox\Profiles\zycidfma.default\searchplugins\findit.xml [2015-08-21]
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix (NAPRAW).
Powstanie plik fixlog.txt.
Daj ten log.

ciągle jest problem na koncie użytkownika.

trudno w to uwierzyć, skoro na tym komputerze wcale nie ma tej infekcji.
.

[ravenx]

Jestem pewien że robię wszystko według zaleceń.

Poniżej logi.

Pozdrawiam

Dodano Dzisiaj, 14:32:
Dokładam logi z wyszukiwań i printscreena z przegldarki.

[ordynat]

Wyszukiwanie nic nie wykryło, więc dla mnie sprawa jest zakończona.
Ja muszę się opierać tylko na tym, co pokazują logi, raporty.
Obrazek nic mi nie daję, bo przecież nie ułożę takiej "fixlist":

to co jest na obrazku
EmptyTemp:

bo FRST nie zrozumie takiej komendy.

Przeinstaluj przeglądarkę, na której to jeszcze będzie.

Otwórz Notatnik i wklej w nim:

DeleteQuarantine:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST. Uruchom FRST i kliknij w Fix (NAPRAW).
przez SHIFT+DEL usuń pozostały folder C:\FRST.

W Adw-Cleaner kliknij na przycisk Odinstaluj (UNINSTALL).

.