Πρόβλημα με browser hijacker (?)

[Tobajara]

Εδώ και λίγες μέρες έχω πρόβλημα με κάποιου είδους malware, πιθανότατα browser hijacker, που ανάθεμα κι αν κατάλαβα πώς το κόλλησα.

Δυστυχώς δεν έχω φωτογραφία, αλλά καμιά φορά όταν ξεκινάω το browser (παραδόξως 1 - 2 φορές τη μέρα μόνο, όχι συνέχεια, και συνήθως την πρώτη φορά που ανοίγω τον υπολογιστή ή όταν ανοίγω πολλά tabs) μου ανοίγει ένα tab με μια ειδοποίηση πως το Firefox ζητάει στοιχεία κλπ. Δε μπορώ να κλείσω το tab κλπ, αλλά κλείνοντας το browser και ξανανοίγοντάς τον τα πάντα συνεχίζουν να λειτουργούν κανονικά.

Έχω σκανάρει με Avast, Malwarebytes, adwCleaner, Spybot, Adware Removal Tool και το μόνο που βρήκε κάτι σαφές ήταν το SpyHunter 5, που μου έβγαλε το hijacker Cassiopesa.com . Για να το σβήσει έπρεπε να αγοράσω το κανονικό πρόγραμμα, που δεν έκανα, αλλά έσβησα registry entries και ό,τι αρχειάκια μου επέτρεπε. Επίσης δε μου εμφάνιζε path για να σβήσω κάποιο αρχείο σε safe mode οπότε βασίζομαι σε προγράμματα, που δεν το βρίσκει κανένα άλλο. Εξυπακούεται πως σε task manager δεν έχω βρει κάτι να τρέχει.

Το επιπλέον θέμα είναι πως αυτή την περίοδο δεν έχω χρόνο να κάνω format, ενώ με τις live προστασίες ο Firefox έχει γίνει τρομερά βαρύς.

Υπάρχει κάτι παραπάνω να δοκιμάσω? Έχει κανείς κάποια ιδέα?

[micos000]

Με το malwarebytes σκάναρες με default ρύθμιση ή έκανες και deep scan; Αν δεν έκανες, κάντο.
Σε άλλους browsers π.χ. chrome, opera έχεις το ίδιο θέμα ή όχι;
Κατέβασε και τρέξε το shortcut killer μήπως και έχει χωθεί στις συντομεύσεις.
Καθάρισε και με το Hitman Pro.
Κατέβασε μια portable έκδοση του firefox και δοκίμασε και από αυτήν.
Τέλος, κατέβασε και τρέξε το hijackthis και ανέβασε το log που θα σου βγάλει.

[Tobajara]

21 ώρες πριν, micos000 είπε

Με το malwarebytes σκάναρες με default ρύθμιση ή έκανες και deep scan;

Έκανα το λεγόμενο Threat Scan με επιπλέον επιλογή για rootkits, που από ότι καταλαβαίνω είναι το deep scan. Οι άλλες δύο επιλογές είναι Custom και Hyper (το αντίστοιχο του Quick).
Σε άλλους browsers π.χ. chrome, opera έχεις το ίδιο θέμα ή όχι;

Χρησιμοποιώ εναλλακτικά λίγο τον Opera και δεν έχω δει κάτι.
Κατέβασε και τρέξε το shortcut killer μήπως και έχει χωθεί στις συντομεύσεις.

Θα το κάνω, αλλά έλεγξα τα paths στο shortcut και δεν είδα κάτι.
Καθάρισε και με το Hitman Pro.
Κατέβασε μια portable έκδοση του firefox και δοκίμασε και από αυτήν.
Τέλος, κατέβασε και τρέξε το hijackthis και ανέβασε το log που θα σου βγάλει.

Θα ξεκινήσω με το hijackthis και θα ενημερώσω.

 

Σε ευχαριστώ πολύ, έδωσα λίγες παραπάνω πληροφορίες.

Αυτό που δεν έκανα, γιατί από την εμπειρία μου δεν έχει αποτέλεσμα, είναι να επαναφέρω τις default ρυθμίσεις του browser, ή reinstall. Υπάρχει περίπτωση να λυθεί έτσι?

EDIT - Ξαναέτρεξα το Malwarebytes, βρήκε ένα adware κάπου στο Temp ονόματι iStartStuff (όχι το Cassiopesa του SpyHunter) το οποίο και διέγραψα, οι shortcuts μου ήταν καθαρές και το log από το hijackthis είναι αυτό.

hijackthis.log

Το Hitman μέχρι τώρα που τρέχει έχει βρει μόνο κάτι tracking cookies σε IE/ Chrome (που τον έχω κάνει uninstall) και ένα false alarm για keygen. Στο τέλος του scan δεν είχε βρει τίποτα άξιο λόγου.

 

EDIT 2 - Είναι ακόμα εκεί μετά από τόσους καθαρισμούς, και μάλιστα όταν άνοιξε έκλεισε το web protection του Malwarebytes και τώρα, αφού έκλεισα και ξανάνοιξα το πρόγραμμα, είναι και τα τέσσερα protections κλειστά χωρίς να μπορώ να τα επαναφέρω. Το Avast στην κοσμάρα του. Βάζω screenshot - μπορώ να κλείσω το tab αν κλείσω το παραθυράκι και πατήσω γρήγορα το Χ του tab.

Με λίγο ψάξιμο βρήκα το παρακάτω, που δεν πρόσφερε λύση (δεν εμφανίζεται τίποτα σχετικό στα firefox extensions/ plugins)

https://blog.malwarebytes.com/threat-analysis/2018/01/new-chrome-and-firefox-extensions-block-their-removal-to-hijack-browsers/

[\spoiler]

Επεξ/σία 22 Ιουλίου 2018 από Tobajara

[l337]

Εγκατέστησε και τρέξε το Zemana.

[Tobajara]

4 λεπτά πριν, l337 είπε

Εγκατέστησε και τρέξε το Zemana.

Από τα πρώτα που δοκίμασα, τίποτα.

[micos000]

Στις 22/7/2018 στις 3:23 ΜΜ, l337 είπε

Εγκατέστησε και τρέξε το Zemana.

Παπαριά είναι!

@TobajaraΦίλε βλέπω στο log κάτι vpn και cisco. Σε πανεπιστήμιο στην Αγγλία είσαι; Επίσης πολλά file missing και αυτό το citrix τι είναι; Τέλος, θα έλεγα να σουτάρεις το spybot μήπως επεμβαίνει στις επιδιορθώσεις και αυτό το proxy που βάζει μπορεί να δημιουργεί προβλήματα (ProxyServer = localhost:21320).

Αναφορά σε κείμενο

Open the Start-Center of Spybot, now click with the right Mouse key on the Menu "Settings" and choose "Run as Administartor" -> Windows may display a security-question, which you answer Yes.
Into the next window go to the Register "Internet-Security" and disable the Option "Use Spybots own Proxy" and click Apply and OK.

Κάνε και έναν έλεγχο με το online scanner της eset.

 

EDIT: Θα ήθελα και μια φώτο από το σημείο που ζητάει ο ff τα στοιχεία που είπες στην αρχή.

Επεξ/σία 24 Ιουλίου 2018 από micos000

[Επισκέπτης]

Μήπως έχει εγκατασταθεί ως addon το Malware;

FWIW το task manager δεν είναι ακριβές, υπάρχει δηλαδή τρόπος να τρέχει κάποιο πρόγραμμα και να μην εμφανίζεται εκεί. Καλύτερα να τρέξεις το Autoruns που σου δίνει πλήρη ανάλυση τι έχει στηθεί στον υπολογιστή σου και τι τρέχει την εκάστοτε στιγμή. Θα το βρεις εδώ:

https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns

[Tobajara]

10 ώρες πριν, micos000 είπε

Τέλος, θα έλεγα να σουτάρεις το spybot μήπως επεμβαίνει στις επιδιορθώσεις και αυτό το proxy που βάζει μπορεί να δημιουργεί προβλήματα (ProxyServer = localhost:21320).

Κάνε και έναν έλεγχο με το online scanner της eset.

EDIT: Θα ήθελα και μια φώτο από το σημείο που ζητάει ο ff τα στοιχεία που είπες στην αρχή.

Λίγο δύσκολο, το Spybot είναι μεν ανοιχτό αλλά δεν είναι σε Live Protection. Δε βλέπω πώς θα μπορούσε να επεμβαίνει αλλά θα δοκιμάσω αυτό που μου λες. Το Eset δεν έδειξε τίποτα, ενώ Citrix και Cisco είναι VPN και είναι τελείως ασφαλή. Τα missing files ίσως οφείλονται στο install-uninstall προγραμμάτων που έκανα εκείνες τις μέρες αλλά δεν έχω τις γνώσεις να κρίνω.

H φωτογραφία είναι αυτή που έβαλα στο spoiler σε προηγούμενο post, που είναι και το μοναδικό πράγμα που βλέπω. Δεν έχω κάποια άλλη ειδοποίηση ή ενόχληση. Το πραγματικά περίεργο είναι πως αυτός ο διάολος πρακτικά απενεργοποίησε το Malwarebytes όταν πετάχτηκε και έπρεπε να κάνω restart για να επανέλθουν τα live protections. 

9 ώρες πριν, elorant είπε

Μήπως έχει εγκατασταθεί ως addon το Malware;

Καλύτερα να τρέξεις το Autoruns που σου δίνει πλήρη ανάλυση τι έχει στηθεί στον υπολογιστή σου και τι τρέχει την εκάστοτε στιγμή. Θα το βρεις εδώ:

https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns

Αν είναι addon στο Firefox δεν είναι ορατό στη λίστα και θα το έβλεπα κατευθείαν, γιατί έχω μόνο 5. Θα δοκιμάσω να βγάλω και να ξαναβάλω το Firefox μήπως και, αλλά πολύ απίθανο να λύθεί το πρόβλημα. Επίσης το ξέρω ότι πολλές φορές δε φαίνεται κάτι στον Task Manager, αλλά διασταύρωσα αρκετές φορές και τα applications και τα processes χωρίς να μου χτυπήσει κάτι (στο βαθμό που καταλαβαίνω πάντα), όσα είδα ταίριαζαν ή με κάποια εφαρμογή ή με κάποια λειτουργία του υπολογιστή.

Προς το παρόν το γύρισα στον Opera, που είναι εφάμιλλος σε απόδοση και δεν έδειξε να έχει το παραμικρό πρόβλημα. Δυστυχώς δε βλέπω να γλιτώνω το format και το μόνο που χρυσώνει το χάπι είναι πως πάνε τρία χρόνια από το προηγούμενο και όσο να'ναι χρειάζεται, κυρίως με την αυξημένη κατανάλωση RAM που βλέπω το τελευταίο διάστημα στο μπρίκι μου. Σας ευχαριστώ όλους για τις προτάσεις και το χρόνο σας πάντως!

[Επισκέπτης]

AdBlocker έχεις στον Firefox; Και κατέβασε το utility που σου πρότεινα, θα σου βρει μόνο του οτιδήποτε είναι στο startup ή στην registry και είναι ύποπτο. Το πρόγραμμα δίνεται από την ίδια την Microsoft οπότε δεν κινδυνεύεις.

[Tobajara]

Ασφαλώς έχω adblocker  

Το έτρεξα και δύο πράγματα μου χτύπησαν στο μάτι. Ένα entry ονόματι BVTConsumer που μερικά google searches το δείχνουν σε αποτελέσματα  bitcoin miner και ένα entry στο tab image hijacks. Προφανώς ολόκληρο το log είναι πολύ μεγαλύτερο, οπότε θες να το κάνω save και να το ανεβάσω?

[\spoiler]

Επεξ/σία 24 Ιουλίου 2018 από Tobajara

[ss13]

Κανένα Format δεν χρειάζεται , δες αυτό 

http://www.makeuseof.com/tag/manage-windows-startup-programs-autoruns/

άνοιξε το πρόγραμμα που σου έδωσε ο elorant , αφαίρεσε ότι τρέχει στην εκκίνηση , θα ησυχάσεις , ακόμα πολύ σωστά ο micos000 σου είπε να αφαιρεσεις το Spybot , περισσότερα προβλήματα δημιουργεί παρά καλό κάνει

[Επισκέπτης]

Δεν χρειάζεται να μου το στείλεις γιατί δεν ξέρω τι είναι το κάθε utility. Απλά οτιδήποτε εκεί μέσα σου φαίνεται ύποπτο απενεργοποίησε το.

[M@dB0x]

πληροφοριακα το zemana ειναι πολυ καλο σκανερακι.

[micos000]

Στο image hijack δε θα έπρεπε να έχει καμία καταχώρηση. Ξετσέκαρε αυτό που έχει εκεί και κάνε επανεκκίνηση. Αν όλα πάνε καλά και δεν έχεις άλλο πρόβλημα διέγραψε το τελείως.