Uruch.firefoxa z próbą załadowania adresu dipladoks.org

**Posty:** 705 · przez **Yaku** 24 Mar 2019, 13:17

Proszę o pomoc w usunięciu virusa, oraz sprawdzenie loga, ( choć trochę tego jest, więc jako że nie mam opcji się odpłacić drugie opcjonalne )

Od dwóch? dni po uruchomieniu komputera samoistnie uruchamia się firefox, w którym otwiera się pusta strona. Najeżdżając na kartę, która próbuje się otworzyć zobaczyłem adres dipladoks.org (ponoć virus szpiegowski, oraz zasypujący reklamami).
+Może to tylko wrażenie, bo czyściłem temp poprzez FRST, ale na dwóch niepowiązanych stronach pojawia się ten sam pasek, jakby prośba o zgodę na akceptacje warunków. Zgadzając się udzielę przyzwolenia na zbyt wiele rzeczy

Przeskanowałem system programami cdwcleaner (portable), avg, roguekiller (portable-wykrywanie szkodliwych procesów), jednak nic nie wykryły

Podczas uruchamiania gmera avg wypuszcza informację :
"Zablokowane przez moduł samoobrony AVG: gmer.sys(\\.\GLOBALROOTSystem)"
Wyłączanie avg nie pomaga. Gmer uruchamia się tak :

+ Wybacz, nie usunąłem programu do emulacji. Poprzednio nie mogłem go później włączyć (pisało że wykorzystałem wszystkie napędy). Naprawiło się przez błąd ? Drugi raz mogę nie mieć tyle szczęścia

_Log GMER :
(usunięte)

_Log z OTL :
(usunięte)

_Log z FRST :
(usunięte)

_________
edit: Dzięki za pomoc

**Posty:** 4765 · przez **ordynat** 24 Mar 2019, 14:46

Infekcja jest w Autostarcie, i jako Zaplanowane Zadanie.
Uruchom FRST. Na klawiaturze naciśnij jednocześnie CTRL+Y.Otworzy się Notatnik - wklej do niego:

Task: {709229B6-6439-44BC-A28D-493C7CA38153} - System32\Tasks\Nyan => cmd.exe /c REG ADD HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /f /v Nyan /t REG_SZ /d "explorer.exe hxxp://dipladoks.org" <==== UWAGA
HKU\S-1-5-21-1862392504-3491800775-2269537374-1000\...\Run: [Nyan] => explorer.exe hxxp://dipladoks.org <==== UWAGA
Task: {F1C2E14C-81A0-4708-BC93-002E07C4331E} - System32\Tasks\{768D2692-25C2-4FCE-A7A3-1AF7AD4AD13F} => C:\Windows\system32\pcalua.exe -a E:\Shool\epuninst.exe -c /s
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ograniczenia <==== UWAGA
S3 MSICDSetup; \??\Q:\CDriver64.sys [X]
S3 NTIOLib_1_0_C; \??\Q:\NTIOLib_X64.sys [X]
U3 kwliypob; \??\C:\Users\Nyan\AppData\Local\Temp\kwliypob.sys [X] <==== UWAGA
C:\ProgramData\mntemp
Powershell: wevtutil el | Foreach-Object {wevtutil cl "$_"}
EmptyTemp:

Na klawiaturze naciśnij jednocześnie CTRL+S. W FRST kliknij na Fix (NAPRAW).

--------------------------------------------------

Error - 2019-03-22 02:36:29 | Computer Name = FAIRLADY | Source = WinMgmt | ID = 10
Description =

Aby automatycznie rozwiązać ten problem, kliknij > Fix.it. na stronie http://support2.microsoft.com/kb/2545227/en-us
Następnie kliknij przycisk Uruchom w oknie dialogowym Pobieranie pliku i wykonaj kroki w kreatorze Fix.it.
(Link zapasowy > http://www.mediafire.com/download/6hwcm6b77098cbb/MicrosoftFixit50688.msi )

-------------------------------------------------

2019-03-15 13:31 - 2019-03-15 13:33 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\‚r‚‚‚Ź‚Ź‚Ś‚µ‚á‚Á‚Ó‚éB

Znasz to?
.

Autor postu otrzymał pochwałę

**Posty:** 705 · przez **Yaku** 24 Mar 2019, 14:56

To mogła być jakaś ero gierka z Japonii. Ich znaczki dziwnie się zapisują
Zazwyczaj usuwam2-3 dni po instalacji, toteż i to możemy usunąć

edit:

Dla pewności usunąłem ręcznie.

Procedura wykonana. Problem zniknął i świat stał się piękniejszy : )
Wielkie dzięki