Skocz do zawartości
WAŻNE - Użytkownicy uprawnieni do pomocy
WAŻNE - Zakładanie tematu: obowiązkowe logi
Nadchodzące zmiany w logowaniu

Problem

Gorky

Przez Gorky
w Dział pomocy doraźnej

Rekomendowane odpowiedzi

Gorky

Gorky

Opublikowano
Opublikowano

Witam

coś niechcący zainstalowałem

 

micrsoft esententials coś pousuwał. po resecie zablokowało mi wygląd Aero jak i również wyskakują mi dwa błędy na dzień dobry, dołączam screeny

 

zastosowałem Malwarebytes anti-malwares i Adwcleaner

 

adwclener nie usunął czegoś o nazwie FLlog z zaplanowanych zadań

po kolejnym resecie wrócił UCbrowser 10 zagrożeń, dołączam log

 

prosze o pomoc

 

przeprasam a więcej załączników. Część  adwclenera i FRST są sprzed resetu kompa po wyczyszczeniu adwclenerem

AdwCleanerS18.txt

AdwCleanerS19.txt

Addition.txt

FRST.txt

Shortcut.txt

post-18642-0-77850000-1480154506_thumb.jpg

post-18642-0-26210000-1480154507_thumb.jpg

AdwCleanerS20.txt

Addition.txt

FRST.txt

Shortcut.txt

GMER.txt

Odnośnik do komentarza
Pomoc jest darmowa, ale proszę rozważ przekazanie dotacji na utrzymanie serwisu: klik.
Miszel03

Miszel03

Opublikowano
Opublikowano

Najpierw sprawy infekcji. W systemie ślady adware / PUP (m.in UCBrowser), które przypuszczalnie założyły blokady typu Debugger na aplikacje RegWorks oraz RSIT. Akcja:
 
1. Uruchom ewentualny deinstalator (pliki typu uninstall.exe) z folderu: C:\Program Files (x86)\UCBrowser
 
2. Otwórz Notatnik w nim wklej:
 

CloseProcesses:
CreateRestorePoint:
IFEO\RegWorks.exe: [Debugger] svchost.exe
IFEO\RSITx64.exe: [Debugger] svchost.exe
GroupPolicy: Ograniczenia - Chrome CHR HKLM\SOFTWARE\Policies\Google: Ograniczenia S1 bzuamdgc; \??\C:\Windows\system32\drivers\bzuamdgc.sys [X]
S3 EagleX64; \??\C:\Windows\system32\drivers\EagleX64.sys [X]
S3 MSICDSetup; \??\H:\CDriver64.sys [X]
S3 NTIOLib_1_0_C; \??\H:\NTIOLib_X64.sys [X]
S4 sptd; \SystemRoot\System32\Drivers\sptd.sys [X]
S3 vmci; \SystemRoot\system32\DRIVERS\vmci.sys [X]
S3 VMnetAdapter; system32\DRIVERS\vmnetadapter.sys [X]
S3 X6va029; \??\C:\Windows\SysWOW64\Drivers\X6va029 [X]
S3 xhunter1; \??\C:\Windows\xhunter1.sys [X]
2016-11-26 10:25 - 2016-11-26 10:56 - 00000292 _____ C:\Windows\Tasks\UCBrowserUpdaterCore.job
2016-11-26 10:25 - 2016-11-26 10:25 - 00002556 _____ C:\Windows\System32\Tasks\UCBrowserUpdaterCore
2016-11-17 07:45 - 2016-10-14 10:13 - 00000000 ____D C:\Program Files (x86)\UCBrowser
2016-11-13 17:08 - 2016-10-14 10:15 - 00003430 _____ C:\Windows\System32\Tasks\UCBrowserUpdater
2016-11-06 16:30 - 2016-11-06 16:30 - 07299584 _____ C:\Users\Radek\AppData\Roaming\agent.dat
2016-11-06 16:30 - 2016-11-06 16:30 - 00018432 _____ C:\Users\Radek\AppData\Roaming\Main.dat
2016-11-06 16:29 - 2016-11-06 16:29 - 00140288 _____ C:\Users\Radek\AppData\Roaming\Installer.dat
Task: {4F53EC71-FF85-4089-B0A5-7F0D07CE83CE} - System32\Tasks\UCBrowserUpdaterCore => C:\Program Files (x86)\UCBrowser\Application\update_task.exe [2016-11-16] (UCWeb Inc) Task: {9BC7D7A6-D070-45C3-83B5-5AB0E7ABFCCB} - System32\Tasks\UCBrowserUpdater => C:\Program Files (x86)\UCBrowser\Application\update_task.exe [2016-11-16] (UCWeb Inc) Task: C:\Windows\Tasks\UCBrowserUpdater.job => C:\Program Files (x86)\UCBrowser\Application\update_task.exe Task: C:\Windows\Tasks\UCBrowserUpdaterCore.job => C:\Program Files (x86)\UCBrowser\Application\update_task.exe CMD: dir /a "C:\Program Files"
CMD: dir /a "C:\Program Files (x86)"
CMD: dir /a "C:\Program Files\Common Files\System"
CMD: dir /a "C:\Program Files (x86)\Common Files\System"
CMD: dir /a C:\ProgramData
CMD: dir /a C:\Users\Radek\AppData\Local
CMD: dir /a C:\Users\Radek\AppData\LocalLow
CMD: dir /a C:\Users\Radek\AppData\Roaming
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.


Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

3. Pobierz AdwCleaner uruchom go i kliknij szukaj, kiedy skanowanie zakończy się wydobądź z niego raport, znajduję się on w folderze C:\AdwCleaner. Raport zaprezentuj na forum.

4. Zrób nowy raport FRST z opcji Skanuj (Scan) razem z Addition i Shortcut. Dołącz też plik fixlog.txt.

Odnośnik do komentarza
Miszel03

Miszel03

Opublikowano
Opublikowano

Raporty dostarczone, więc idziemy dalej.
 
1. W AdwCleaner: znowu skanowanie, ale po nim kliknij Usuń (Clean) i jak poprzednio dostarcz raport z tego działania.
 
2. Skasuj ręcznie plik C:\Users\Radek\AppData\Local\nsl2A16.tmp oraz folder C:\Users\Radek\AppData\Local\UCBrowser 
 

3. Zaktualizuj ważne programy oraz usuń narzędzia diagnostyczno / dezynfekcyjne - KLIK / KLIK. 
 

Odnośnik do komentarza
Miszel03

Miszel03

Opublikowano
Opublikowano

Dziwne AdwCleaner nie jest w stanie usunąć FLLogs, więc niestety (musisz na nowo pobrać narzędzie FRST, niepotrzebnie zlecałem pkt. 3 no, ale cóż...nie spodziewałem się odmowy AdwCleanera) spróbujemy to zrobić w FRST.

 

1. Otwórz Notatnik w nim wklej:

 

CloseProcesses:
CreateRestorePoint:
HKU\S-1-5-21-1844162989-3989572184-385285012-1000\...\Run: [FLlogs] => wscript.exe //B "C:\Users\Radek\AppData\Roaming\FLlogs.vbs"
Startup: C:\Users\Radek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\FLlogs.vbs [2016-03-05] ()
2016-02-29 11:01 - 2016-03-05 08:22 - 0000000 _____ () C:\Users\Radek\AppData\Roaming\FLlogs.vbs
Reboot:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.


Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Dostarcz Fixlog.txt

Odnośnik do komentarza
Miszel03

Miszel03

Opublikowano
Opublikowano

1. Przez menu Start wejdź do folderu Narzędzia Administracyjne, a następnie z niego uruchom aplikację Usługi.

2. Odnajdź usługę Kompozycje, jeśli jest wyłączona to z PPM wybierz Uruchom, a jeśli jest włączona to tak samo z PPM wybierz opcję Uruchom Ponownie. (Tryb automatyczny / ręczny) 

3. Uruchom ponownie komputer.

 

Napisz czy coś to pomogło. 

Odnośnik do komentarza
Miszel03

Miszel03

Opublikowano
Opublikowano

Daj mi jeszcze trochę czasu na to, tymczasem wykonaj jeszcze to (ma to związek z infekcjami):

 

1. Otwórz Notatnik w nim wklej:

 

CloseProcesses:
CreateRestorePoint:
C:\Users\Public\Desktop\Gооglе Сhrоmе.lnk
C:\Users\Radek\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Gооglе Сhrоmе.lnk
C:\Users\Radek\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Intеrnеt Ехрlоrеr.lnk
C:\Users\Radek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехрlоrеr.lnk
C:\Users\Radek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Intеrnеt Ехрlоrеr (Nо Аdd-оns).lnk
C:\Users\Radek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\WorldofTanks
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.


Plik zapisz (jako kodowanie UTF-8) pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Dostarcz plik Fixlog.txt

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Problemem tu nie jest brak usługi Kompozycji, bo ją widzisz, lecz modyfikacja adware powodująca że usługa się nie może uruchomić. Opowiada o tym Dziennik zdarzeń:

Error: (11/26/2016 03:10:39 PM) (Source: Service Control Manager) (EventID: 7003) (User: )
Description: Usługa Kompozycje zależy od następującej usługi: iThemes5. Ta usługa może nie być zainstalowana.
 
To usługa adware, która wygląda tak (u Ciebie już usunięta):

R3 iThemes5; C:\Program Files (x86)\Common Files\Services\iThemes.dll [626688 2016-11-21] () [brak podpisu cyfrowego]
 
Komunikat Dziennika wyraźnie mówi, że iThemes5 ustawiło się jako zależność dla systemowego Themes. Po usunięciu adware ale nie tej modyfikacji, usługa systemowa się nie uruchomi. W kluczu Themes jest dostawiona wartość DependOnService kierująca na usługę adware.
 
1. Otwórz Notatnik i wklej w nim:
 

Reg: reg delete HKLM\SYSTEM\CurrentControlSet\Services\Themes /v DependOnService /f
Reboot:


Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Nastąpi restart, a usługa Kompozycje powinna się pomyślnie uruchomić. Powstanie kolejny fixlog.txt.
 
2. Zrób nowy log FRST z opcji Skanuj (Scan), bez Shortcut. Dołącz też plik fixlog.txt.

Odnośnik do komentarza

Jeśli chcesz dodać odpowiedź, zaloguj się lub zarejestruj nowe konto

Jedynie zarejestrowani użytkownicy mogą komentować zawartość tej strony.

Zarejestruj nowe konto

Załóż nowe konto. To bardzo proste!

Zarejestruj się

Zaloguj się

Posiadasz już konto? Zaloguj się poniżej.

Zaloguj się
Tematy

  • Ostatnio przeglądający   0 użytkowników

    • Brak zarejestrowanych użytkowników przeglądających tę stronę.
×
×
  • Dodaj nową pozycję...