Chińskie instalacje i modyfikacje w Google Chrome, zacinanie AdwCleaner

michael7 · 12 Lipca 2016

Ostatnio nainstalowałem do kompa kupę chińskiego syfu i zamula mi strasznie komp, chrome otwiera się inaczej, inna wyszukiwarka, inna strona startowa itp wrzucam logi z frst:

frst.txt https://wklej.to/Zau0S/text

addition.txt https://wklej.to/mHgi5/text

shortcut.txt https://wklej.to/x0bKL/text

picasso · 12 Lipca 2016

Masa problemów: infekcja DNS (zmodyfikowane pliki systemowe dnsapi.dll), infekcja WMI (aktywne modyfikowanie skrótów przeglądarek), spreparowany profil użytkownika w Google Chrome. Działania do przeprowadzenia:

1. Zastosuj narzędzie RepairDNS. Na Pulpicie powstanie log RepairDNS.txt.

2. Otwórz Notatnik i wklej w nim:

CloseProcesses:
ShellExecuteHooks: - {6710C780-E20E-4C49-A87D-321850ED3D7C} - Brak pliku [ ]
ShellExecuteHooks: - {98C066AB-D735-4339-9E52-A34875141B56} - C:\Users\Michał\AppData\Local\Microsoft\Windows\INetCookies\repogh.dll [376000 2016-07-12] ()
Task: {3B561EA2-59E7-425D-97A5-E30D850B5E02} - System32\Tasks\Bazery Controls => C:\Program Files (x86)\Tholigetermught\bazeryControlsfimukcloele.exe
Task: {489EB232-B305-4759-AA27-EA9ADA328DEE} - System32\Tasks\Apple\AppleSoftwareUpdate => C:\Program Files (x86)\Apple Software Update\SoftwareUpdate.exe
Task: {EB8AA38F-10B2-4576-88F6-A38345425893} - System32\Tasks\Kucipy Cloud => C:\Program Files (x86)\Kucipy\kucipycloudtsk.exe 
Task: C:\WINDOWS\Tasks\UCBrowserUpdater.job => C:\Program Files (x86)\UCBrowser\Application\update_task.exe
HKLM\...\Run: [WINCOMQ0Q] => "C:\Program Files (x86)\sunnyday\wincom_Q0Q.exe"
HKLM-x32\...\Run: [EYAN] => C:\Users\Michał\AppData\Roaming\THREADAPP.exe
HKLM-x32\...\Run: [apphide] => C:\Program Files (x86)\surranderu\uc.exe
HKLM-x32\...\Run: [win_en_77] => [X]
HKLM-x32\...\Run: [sun21] => [X]
HKLM\...\RunOnce: [OTUTPRODUCT_I04AV] => "C:\Program Files (x86)\sunnyday\otutnetwork.exe"
HKLM\...\Policies\Explorer: [EnableShellExecuteHooks] 1
S3 dtlitescsibus; C:\Windows\System32\drivers\dtlitescsibus.sys [30264 2015-10-16] (Disc Soft Ltd)
S3 ptun0901; C:\Windows\System32\drivers\ptun0901.sys [27136 2014-08-08] (The OpenVPN Project)
S2 Ajisl; "C:\Users\Michał\AppData\Roaming\MuolOrycm\Nejde.exe" -cms [X]
S2 kucipycloudsrv; "C:\Program Files (x86)\Kucipy\kucipycloudsrv.html5" {79740E79-A383-47A7-B513-3DF6563D007F} {8C4CE252-7DB2-4F8E-8E76-BAD0E5826A83} [X]
S2 YueweijieTransHost; C:\Program Files\YueweijieNetTrans\TransHost.exe [X]
R1 UCGuard; system32\DRIVERS\ucguard.sys [X]
S3 vmci; \SystemRoot\System32\drivers\vmci.sys [X]
S3 VMnetAdapter; \SystemRoot\system32\DRIVERS\vmnetadapter.sys [X]
GroupPolicy: Ograniczenia - Chrome 
GroupPolicyScripts: Ograniczenia 
CHR HKLM\SOFTWARE\Policies\Google: Ograniczenia 
WMI_ActiveScriptEventConsumer_ASEC: 
ShortcutWithArgument: C:\Users\Michał\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> --load-extension="C:\Users\MICHA~1\AppData\Local\kemgadeojglibflomicgnfeopkdfflnk" hxxp://yeabests.cc
ShortcutWithArgument: C:\Users\Michał\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> --load-extension="C:\Users\MICHA~1\AppData\Local\kemgadeojglibflomicgnfeopkdfflnk" hxxp://yeabests.cc
ShortcutWithArgument: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> --load-extension="C:\Users\MICHA~1\AppData\Local\kemgadeojglibflomicgnfeopkdfflnk" hxxp://yeabests.cc
StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe hxxp://www.zingload.com/?type=ll&uid=7d4f42c8-84d7-4104-8cbc-b56e51589841
StartMenuInternet: FIREFOX.EXE - C:\Program Files (x86)\Mozilla Firefox\firefox.exe hxxp://www.zingload.com/?type=ll&uid=7d4f42c8-84d7-4104-8cbc-b56e51589841
DeleteKey: HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\services\dbupdate
DeleteKey: HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\services\dbupdatem
DeleteKey: HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\services\Disc Soft Lite Bus Service
DeleteKey: HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{05A1E928-6A6C-47A5-B7AB-F16C8F04432C}
Reg: reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run /v "DAEMON Tools Lite Automount" /f
Reg: reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run /v WINCOMQ0Q /f
Reg: reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run32 /v "Dropbox /f
C:\Program Files (x86)\Mozilla Firefox\plugins
C:\ProgramData\KMSAuto
C:\ProgramData\Nero
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Andy
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Nero (32-bit)
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Virtual Audio Cable
C:\Users\Michał\AppData\Local\kemgadeojglibflomicgnfeopkdfflnk
C:\Users\Michał\AppData\Local\Microsoft\Windows\INetCookies\repogh.dll
C:\Users\Michał\AppData\Local\MSfree Inc
C:\Users\Michał\AppData\LocalLow\Company
C:\Users\Michał\AppData\LocalLow0161BA50
C:\Users\Michał\AppData\Roaming\Nero
C:\WINDOWS\system32\SppExtComObjHook.dll
C:\WINDOWS\system32\SppExtComObjPatcher.exe
C:\Windows\System32\Drivers\dtlitescsibus.sys
C:\WINDOWS\system32\Drivers\KuaiZipDrive.sys
C:\WINDOWS\system32\Drivers\ptun0901.sys
C:\WINDOWS\system32\Drivers\etc\hp.bak
C:\WINDOWS\system32\ref
CMD: ipconfig /flushdns
CMD: netsh advfirewall reset
RemoveProxy:
Hosts:
EmptyTemp:

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

3. Adware podstawiło w Google Chrome całkowicie nowy profil ChromeDefaultData (nazwa wyświetlana user0), który należy usunąć. Czyli: Ustawienia > karta Ustawienia > Osoby > Dodaj Osobę, następnie zaloguj się na nowy profil, zamknij okno poprzedniego, w Ustawieniach skasuj "user0". Po tej akcji trzeba odpiąć skróty Chrome z paska i przypiąć od nowa.

Niestety nie ma już w ogóle na dysku poprzedniego profilu, nie można go też odzyskać z kopii cieniowych Windows, bo Przywracanie systemu jest wyłączone...

4. Wyczyść Firefox:

Odłącz synchronizację (o ile włączona): KLIK.
Menu Pomoc > Informacje dla pomocy technicznej > Odśwież program Firefox. Zakładki i hasła nie zostaną naruszone.
Menu Historia > Wyczyść całą historię przeglądania.

5. Zrób nowy log FRST z opcji Skanuj (Scan), ponownie z Addition, ale bez Shortcut. Dołącz też pliki fixlog.txt i RepairDNS.txt.

michael7 · 13 Lipca 2016

Wszystko zrobiłem poza jednym punktem, mianowicie nr 4 - Firefox nie chce mi się włączyć, gdyż wyskakuje błąd "Nie udało się wczytać profilu Firefox. Może być niedostępny lub usunięty." Poza tym nie mogę ustawić żadnej przeglądarki jako domyślnej.

frst https://wklej.to/zYHDB/text

addition http://wklej.to/hYJj9/text

repairdns http://wklej.to/54Q2C/text

picasso · 13 Lipca 2016

Zabrakło pliku fixlog.txt z wynikami uruchamiania skryptu FRST. Plik jest w katalogu, skąd uruchamiałeś FRST.

Firefox nie chce mi się włączyć, gdyż wyskakuje błąd "Nie udało się wczytać profilu Firefox. Może być niedostępny lub usunięty."

Klawisz z flagą Windows + R i w polu Uruchom wklej komendę:

"C:\Program Files (x86)\Mozilla Firefox\firefox.exe" -p

Pousuwaj wszystkie widoczne tam profile i załóż świeży.

Poza tym nie mogę ustawić żadnej przeglądarki jako domyślnej.

Co to konkretnie oznacza i w którym miejscu próbujesz ustawić domyślną przeglądarkę? Wg raportu FRST obecnie domyślną przeglądarką jest Google Chrome:

Internet Explorer Wersja 11 (Domyślna przeglądarka: Chrome)

Nadal jest zainfekowane jedno z wystąpień 32-bitowego pliku dnsapi.dll. Uruchom ponownie narzędzie RepairDNS i podaj wynikowy log.

michael7 · 13 Lipca 2016

fixlog http://wklej.to/wyGT2/text

repairdns http://wklej.to/S4Etr/text

Z Firefoxem sobie już poradziłem, natomiast z przeglądarką chodzi o to, że w ustawieniach windowsa i w zakładce system nie mogę ustawić żadnej przeglądarki domyślnej, chrome za każdym włączeniem pyta się czy ustawić ją jako domyślną przeglądarką.

picasso · 13 Lipca 2016

Wygląda na to, że tym razem RepairDNS dokończył robotę. Niemniej na wszelki wypadek zrób skan sfc /scannow: KLIK. Jeśli komunikatem będzie "Nie znaleziono nruszeń integralności", wynikowy log zbędny, w przeciwnym wypadku wyprodukuj go zgodnie z instrukcją w linku.

natomiast z przeglądarką chodzi o to, że w ustawieniach windowsa i w zakładce system nie mogę ustawić żadnej przeglądarki domyślnej, chrome za każdym włączeniem pyta się czy ustawić ją jako domyślną przeglądarką.

Uściślij niemożność wyboru: brak reakcji na klik, brak programów na liście, wybór nie utrzymuje się, inne?

michael7 · 15 Lipca 2016

Co do przeglądarki zauważyłem, że każda aplikacja domyślna, którą chcę zmienić ma ten sam błąd czyli brak reakcji na klik, wybieram np Chrome bądź Firefox jako domyślną przeglądarkę, a komputer nie reaguje.

Zrobiłem ten skan, ale coś mi tam nie pasuje, po zakończeniu skanowania wyskoczył taki wynik "Windows Resource Protection found corrupt files but was unable to fix some

of them. Details are included in the CBS.Log windir\Logs\CBS\CBS.log. For

example C:\Windows\Logs\CBS\CBS.log. Note that logging is currently not

supported in offline servicing scenarios."

Zgodnie z instrukcją stworzyłem log, ale jest on całkowicie pustym plikiem tekstowym.

picasso · 16 Lipca 2016

Zrobiłem ten skan, ale coś mi tam nie pasuje, po zakończeniu skanowania wyskoczył taki wynik "Windows Resource Protection found corrupt files but was unable to fix some

of them. Details are included in the CBS.Log windir\Logs\CBS\CBS.log. For example C:\Windows\Logs\CBS\CBS.log. Note that logging is currently not supported in offline servicing scenarios." Zgodnie z instrukcją stworzyłem log, ale jest on całkowicie pustym plikiem tekstowym.

Czy na pewno uruchomiłeś CMD w trybie jako Administrator?

Co do przeglądarki zauważyłem, że każda aplikacja domyślna, którą chcę zmienić ma ten sam błąd czyli brak reakcji na klik, wybieram np Chrome bądź Firefox jako domyślną przeglądarkę, a komputer nie reaguje.

Powstrzymuję się przed dalszą diagnostyką tego, dopóki nie otrzymam wyników SFC.

michael7 · 18 Lipca 2016

Udało mi się wygenerować plik SFC, tutaj podaję link do niego http://wklej.to/zbllO/text

Na dodatek wczoraj kolejna rzecz z komputerem mi się stała - menu start i pasek narzędzi w ogóle nie reagują na kliknięcie lewego przycisku myszy, prawy przycisk działa, natomiast klikając lewy kręci się tylko kółeczko zamiast kursora myszki przez chwilę i zero reakcji.

picasso · 19 Lipca 2016

SFC notuje dużo naruszeń systemowych skrótów LNK. Na razie to pomijam. W kwestii Menu Start uruchom Start menu troubleshooter (on reperuje też różne skróty).

michael7 · 19 Lipca 2016

Po uruchomieniu tego programu wyskoczyło "

6

Wymagane aplikacje nie są poprawnie zainstalowane.

Nierozwiązany

Należy poprawnie zainstalować aplikacji „Microsoft.Windows.ShellExperienceHost” i „Microsoft.Windows.Cortana”."

Jak powinienem poprawnie zainstalować poprawnie te aplikacje?

picasso · 21 Lipca 2016

1. Jeśli chodzi o błąd ShellExperienceHost, spróbuj przeinstalować tę aplikację. Uruchom menedżer zadań > Plik > Uruchom nowe zadanie > w polu wklep powershell > zaznacz "Utwórz to zadanie z uprawnieniami administracyjnymi". W onie PowerShell wklej poniższe polecenie:

Get-AppxPackage -allusers Microsoft.Windows.ShellExperienceHost | Foreach {Add-AppxPackage -DisableDevelopmentMode -Register "$($_.InstallLocation)\AppXManifest.xml"}

Jeśli komenda się poprawnie wykona, zrestartuj system i podaj czy nadal są problem z Menu Start.

2. Natomiast nie jestem pewna co sądzić o błędzie Cortany. Cortana nie jest aktywna na polskich Windows 10 (niedostępna dla tego regionu): KLIK. Aczkolwiek u mnie diagnostyk MS nie zwraca błędu związanego z Cortaną.

michael7 · 27 Lipca 2016

Niestety po wykonaniu tych czynności zero poprawy, ciągle jest to samo. Jest jeszcze jakiś sposób czy pozostaje mi format komputera?

picasso · 9 Sierpnia 2016

Jaki był komunikat w oknie PowerShell? Czy diagnostyk Menu Start nadal twierdzi to samo?

Edytowane 14 Września 2016 przez picasso
Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso

Zaloguj się

Chińskie instalacje i modyfikacje w Google Chrome, zacinanie AdwCleaner

Rekomendowane odpowiedzi

michael7

Odnośnik do komentarza

picasso

Odnośnik do komentarza

michael7

Odnośnik do komentarza

picasso

Odnośnik do komentarza

michael7

Odnośnik do komentarza

picasso

Odnośnik do komentarza

michael7

Odnośnik do komentarza

picasso

Odnośnik do komentarza

michael7

Odnośnik do komentarza

picasso

Odnośnik do komentarza

michael7

Odnośnik do komentarza

picasso

Odnośnik do komentarza

michael7

Odnośnik do komentarza

picasso

Odnośnik do komentarza

Ostatnio przeglądający 0 użytkowników

Przeglądaj

Cała aktywność