Jak usunąć wirus reklamowy? ESET, Adaware, Malwarebytes nie pomagają

Witam,

nie mogę poradzić sobie z wyskakującymi reklamami.

Skanowałem: eset nod 32 smart antivir, adaware i Malwarebyte Anti Malware.

Brak rezultatów tzn: coś zostało wyczyszczone przez Malwarebyte Anti Malware, a adaware ciągle znajduje to samo.

Proszę o pomoc.

Pozdrawiam

Add Blocka masz ?
Skanowałeś Malwarebyte Anti Malware ?

Przydały by się informacje dodatkowe np logi z FRST można wzorować się tym - https://www.elektroda.pl/rtvforum/topic1044160.html

Nie mam add blocka i tak skanowałem Malwarebyte Anti Malware - nie wiem dlaczego system poprawił mi to co napisałem na megabytes w pierwszym poście. Już poprawiłem na Malwarebyte Anti Malware.

Dra 98. za około 15 min bedę wolny i zabiorę się za FRST. Dziękuję

Nie zaznaczyłem shortcut.txt - czy powtórzyć?

Zly dzial!

Masz zainfekowany router jak widac:
Tcpip\Parameters: [DhcpNameServer] 217.12.218.65 8.8.8.8
Tcpip\..\Interfaces\{54f751e4-8263-421f-8147-a44c64c692ca}: [DhcpNameServer] 217.12.218.65 8.8.8.8

Zaloguj sie do routera, zmien dnsy na 8.8.8.8 oraz 8.8.4.4. Do tego zablokuj dostep do panelu routera z internetu: http://www.tp-link.com.pl/article/?faqid=568 w przypadku innych marek ustawia sie podobnie.

Przy okazji w ustawieniach Chrome wylacz przywracanie zestawu stron po starcie (masz tam szkodliwe adresy).

Wielkie dzięki!!
Gdzie to jest w logu?

> Gdzie to jest w logu?

Pytasz powaznie? Otworz FRST i patrz az znajdziesz:
Tcpip\Parameters: [DhcpNameServer] 217.12.218.65 8.8.8.8
Tcpip\..\Interfaces\{54f751e4-8263-421f-8147-a44c64c692ca}: [DhcpNameServer] 217.12.218.65 8.8.8.8

Mozesz tez uzyc funkcji szukaj.

Tak poważnie:) Nie znam się ale mnie to zaciekawiło. Niestety nie znam się za bardzo bo i tak nic tu nie widzę.

W logu FRST jednak zmian należy dokonać po zalogowaniu do routera. Podobny problem z podmianą DNS https://www.elektroda.pl/rtvforum/topic3248625.html

Kurcze nie mogę tego Access Managment i ACL nigdzie odnaleźć. Mam router:TL-WR543G

Czy przywrócenie do ustawień fabrycznych coś pomoże (hard reset)

Nie pomoze, zaraz znowu bedziesz mial podmienione dnsy.

Czy w Security -> Remote Management masz ustawiony adres ip 0.0.0.0?

To stary router, pomysl o wymianie na jakis nowszy, ktory nie jest tak dziurawy.

Kolobos napisał:

Czy w Security -> Remote Management masz ustawiony adres ip 0.0.0.0?

Tak.

Dziś rozmawiałem z dostawcą Wyjaśnił mi, że w przypadku tej sieci wszystko jest ukryte. Moja sieć osiedlowa jest podłączona w sieć i połączona z głównym nadajnikiem, który komunikuje się z całą globalną siecią radiową. To sieć radiowa. On twierdzi, że cała ta struktura nie jest widoczna w internecie więc ustawianie:"Do tego zablokuj dostep do panelu routera z internetu: http://www.tp-link.com.pl/article/?faqid=568 w przypadku innych marek ustawia sie podobnie. " nie ma tu zastosowania.

Dodatkowo, twierdzi, że jest baaardzo małe prawdopodobieństwo żeby w jego sieci zdarzyło się zainfekowanie routera. W jego karierze nie pamięta żeby to się u niego zdarzyło.

Dodano po 1 [minuty]:

PS, dopiero odpaliłem kampa po wczorajszych ustawieniach. Na razie na defence24.pl nie pojawiła mi się irytująca reklama, która była tam zawsze.

Czy po zalogowaniu sie do routera masz w ustawieniach dhcp ustawione dnsy: 217.12.218.65 8.8.8.8
Jezeli tak to router jest zainfekowany i nie wazne co mowi dostawca.
Jezeli natomiast nie ma tam ustawionych dnsow 217.12.218.65 8.8.8.8 to znaczy, ze zmiany dokonala jakas infekcja na Twoim komputerze.

chyba nie. W oknie głównym "Status", w dziale WAN mam takie parametry:
IP Address: 10.10.10.254 DHCP
Subnet Mask: 255.255.255.0
Default Gateway: 10.10.10.1 Release (to jest button w przeciwieństwie do reszty)
DNS Server: 8.8.8.8 , 8.8.4.4

Dodano po 1 [minuty]:

Och, widzę że wielospacja tu nie działa, to DHCP jest sporo po prawej stronie a w pionie pod nim to Release

W takim razie usun tylko szkodliwe dnsy pod windows.

Utworz plik Fixlist.txt obok frst.exe z podana zawartoscia:
Tcpip\Parameters: [DhcpNameServer] 217.12.218.65 8.8.8.8
Tcpip\..\Interfaces\{54f751e4-8263-421f-8147-a44c64c692ca}: [DhcpNameServer] 217.12.218.65 8.8.8.8

W FRST wybierz Napraw.

Zrobione. Jakieś wpisy sostały pomyślnie usunięte. Niestety Adwcleaner ciągle i ciągle wyszukuje 2 zagrożeń.

***** [ Rejestr ] *****

Wykryto klucz: HKCU\Software\Microsoft\Internet Explorer\DOMStorage\castplatform.com
Wykryto klucz: HKCU\Software\Microsoft\Internet Explorer\DOMStorage\cdn.castplatform.com


***** [ Przeglądarki internetowe ] *****

Nie wykryto szkodliwych obiektów w przeglądarkach opartych na Firefoksie.
Wykryto preferencje Chromium: [C:\Users\Bals\AppData\Local\Google\Chrome\User Data\Default\Secure Preferences] - hxxp://www.yoursearching.com/?type=hp&ts=1451823730&z=21a87c947081abe112d890cgbzfwegfbeoec6m6c5e&from=cor&uid=st325062
Wykryto preferencje Chromium: [C:\Users\Bals\AppData\Local\Google\Chrome\User Data\Default\Secure Preferences] - hxxp://www.mysites123.com/?type=hp&ts=1454192613&z=9903d25027227afed86d329gcz5w0zcg9t5odqfg9c&from=amt&uid=st3250620a_

*************************

Uruchom regedit i sprobuj recznie usunac:
HKCU\Software\Microsoft\Internet Explorer\DOMStorage\castplatform.com
oraz:
HKCU\Software\Microsoft\Internet Explorer\DOMStorage\cdn.castplatform.com

Chrome mozesz przywrocic do ustawien fabrycznych, w ostatecznosci odinstalowac, usunac katalog profilu i zainstalowac ponownie.

Przepraszam za długi brak odpowiedzi.

W rejestrze nie ma takiego wpisu. Odinstalowałem chrome a ponieważ adwcleaner usuwa to robactwo tylko w trybie awaryjnym to po zdeinstalowaniu chrome revouninstalerem oczyściłem komuter w trybie awaryjnym.

Po restarcie sprawdziłem adwcleanerem - czysto!

Pobrałem ponownie chrome zainstalowałem i robak powrócił.

Co dokladnie wykrywa po zainstalowaniu chrome? Przed ponowna instalacja usunales profil przegladarki?

tak wszystkie dane usunięte, wykrywa to:

W Chrome masz wlaczona synchronizacje ustawien z konta google? To by tlumaczylo wystapienie problemu po ponownej instalacji.

Tak mam włączoną synchronizację.

Usun dane z konta: https://support.google.com/chrome/answer/6386691?hl=pl

och, nie wiedziałem, że coś takiego jest! Usunięte, wszystko czyściutkie! Bardzo dziękuję! Cieszę się, że są ludzie tacy jak ty, którzy bezinteresownie poświęcają swoją energię i czas żeby pomagać innym.

Na zakończenie chciałbym jeszcze zapytać, co to były za świństwa i czy powinienem teraz czegoś się bać? Pozmieniać wszędzie hasła?

Pozdrawiam

Nie musisz zmieniac hasel.