Miszel03

Czy w innych przeglądarkach dzieję się tak samo?

Dostarcz raporty z narzędzia Farbar Recovery Scan Tool.

======

EDIT: Gdyby odsyłacz nie zadziałał to tu link: 

http://www.fixitpc.pl/topic/61-diagnostyka-og%C3%B3lne-raporty-systemowe/#entry160527

1. Przez menu Start wejdź do folderu Narzędzia Administracyjne, a następnie z niego uruchom aplikację Usługi.

2. Odnajdź usługę Kompozycje, jeśli jest wyłączona to z PPM wybierz Uruchom, a jeśli jest włączona to tak samo z PPM wybierz opcję Uruchom Ponownie. (Tryb automatyczny / ręczny) 

3. Uruchom ponownie komputer.

Napisz czy coś to pomogło. 

Dostarcz wymagane raporty systemowe z narzędzia FRST oraz GMER. 

Wygląda na to, że wszystko pomyślnie usunięte i wykonane. Muszę pomyśleć nad rozwiązaniem problemu z kompozycją Aero.

Dziwne AdwCleaner nie jest w stanie usunąć FLLogs, więc niestety (musisz na nowo pobrać narzędzie FRST, niepotrzebnie zlecałem pkt. 3 no, ale cóż...nie spodziewałem się odmowy AdwCleanera) spróbujemy to zrobić w FRST.

1. Otwórz Notatnik w nim wklej:

CloseProcesses:
CreateRestorePoint:
HKU\S-1-5-21-1844162989-3989572184-385285012-1000\...\Run: [FLlogs] => wscript.exe //B "C:\Users\Radek\AppData\Roaming\FLlogs.vbs"
Startup: C:\Users\Radek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\FLlogs.vbs [2016-03-05] ()
2016-02-29 11:01 - 2016-03-05 08:22 - 0000000 _____ () C:\Users\Radek\AppData\Roaming\FLlogs.vbs
Reboot:

2. Dostarcz Fixlog.txt

Raporty dostarczone, więc idziemy dalej.
 
1. W AdwCleaner: znowu skanowanie, ale po nim kliknij Usuń (Clean) i jak poprzednio dostarcz raport z tego działania.
 
2. Skasuj ręcznie plik C:\Users\Radek\AppData\Local\nsl2A16.tmp oraz folder C:\Users\Radek\AppData\Local\UCBrowser 
 

3. Zaktualizuj ważne programy oraz usuń narzędzia diagnostyczno / dezynfekcyjne - KLIK / KLIK. 
 

Aero dalej nie działa

Najpierw oczyścimy system, dopiero po tym zajmiemy się problemem z kompozycją Aero. 

A gdzie raporty FRST? Zapoznaj się z pkt. 4 mojego przedniego posta. 

i co mam zrobić z tym po wklejeniu? to jest fixlist?

Wszystko napisane jest pod skryptem. 

uinstal jest ale chińskie krzaczki, próbowałem tam klikać ale wyskakiwało okno dla uprawnień dla setup.exe 

Pomiń ten krok. 

Najpierw sprawy infekcji. W systemie ślady adware / PUP (m.in UCBrowser), które przypuszczalnie założyły blokady typu Debugger na aplikacje RegWorks oraz RSIT. Akcja:
 
1. Uruchom ewentualny deinstalator (pliki typu uninstall.exe) z folderu: C:\Program Files (x86)\UCBrowser
 
2. Otwórz Notatnik w nim wklej:
 

CloseProcesses:
CreateRestorePoint:
IFEO\RegWorks.exe: [Debugger] svchost.exe
IFEO\RSITx64.exe: [Debugger] svchost.exe
GroupPolicy: Ograniczenia - Chrome CHR HKLM\SOFTWARE\Policies\Google: Ograniczenia S1 bzuamdgc; \??\C:\Windows\system32\drivers\bzuamdgc.sys [X]
S3 EagleX64; \??\C:\Windows\system32\drivers\EagleX64.sys [X]
S3 MSICDSetup; \??\H:\CDriver64.sys [X]
S3 NTIOLib_1_0_C; \??\H:\NTIOLib_X64.sys [X]
S4 sptd; \SystemRoot\System32\Drivers\sptd.sys [X]
S3 vmci; \SystemRoot\system32\DRIVERS\vmci.sys [X]
S3 VMnetAdapter; system32\DRIVERS\vmnetadapter.sys [X]
S3 X6va029; \??\C:\Windows\SysWOW64\Drivers\X6va029 [X]
S3 xhunter1; \??\C:\Windows\xhunter1.sys [X]
2016-11-26 10:25 - 2016-11-26 10:56 - 00000292 _____ C:\Windows\Tasks\UCBrowserUpdaterCore.job
2016-11-26 10:25 - 2016-11-26 10:25 - 00002556 _____ C:\Windows\System32\Tasks\UCBrowserUpdaterCore
2016-11-17 07:45 - 2016-10-14 10:13 - 00000000 ____D C:\Program Files (x86)\UCBrowser
2016-11-13 17:08 - 2016-10-14 10:15 - 00003430 _____ C:\Windows\System32\Tasks\UCBrowserUpdater
2016-11-06 16:30 - 2016-11-06 16:30 - 07299584 _____ C:\Users\Radek\AppData\Roaming\agent.dat
2016-11-06 16:30 - 2016-11-06 16:30 - 00018432 _____ C:\Users\Radek\AppData\Roaming\Main.dat
2016-11-06 16:29 - 2016-11-06 16:29 - 00140288 _____ C:\Users\Radek\AppData\Roaming\Installer.dat
Task: {4F53EC71-FF85-4089-B0A5-7F0D07CE83CE} - System32\Tasks\UCBrowserUpdaterCore => C:\Program Files (x86)\UCBrowser\Application\update_task.exe [2016-11-16] (UCWeb Inc) Task: {9BC7D7A6-D070-45C3-83B5-5AB0E7ABFCCB} - System32\Tasks\UCBrowserUpdater => C:\Program Files (x86)\UCBrowser\Application\update_task.exe [2016-11-16] (UCWeb Inc) Task: C:\Windows\Tasks\UCBrowserUpdater.job => C:\Program Files (x86)\UCBrowser\Application\update_task.exe Task: C:\Windows\Tasks\UCBrowserUpdaterCore.job => C:\Program Files (x86)\UCBrowser\Application\update_task.exe CMD: dir /a "C:\Program Files"
CMD: dir /a "C:\Program Files (x86)"
CMD: dir /a "C:\Program Files\Common Files\System"
CMD: dir /a "C:\Program Files (x86)\Common Files\System"
CMD: dir /a C:\ProgramData
CMD: dir /a C:\Users\Radek\AppData\Local
CMD: dir /a C:\Users\Radek\AppData\LocalLow
CMD: dir /a C:\Users\Radek\AppData\Roaming
EmptyTemp:

3. Pobierz AdwCleaner uruchom go i kliknij szukaj, kiedy skanowanie zakończy się wydobądź z niego raport, znajduję się on w folderze C:\AdwCleaner. Raport zaprezentuj na forum.

4. Zrób nowy raport FRST z opcji Skanuj (Scan) razem z Addition i Shortcut. Dołącz też plik fixlog.txt.

Wydaje mi się że podmieniłem lub usunąłem jakieś pliki .dll w folderze system32 lub SysWow64

Takich rzeczy nie powinno się robić ręcznie, w Twoim przypadku w ogóle się tego nie powinno robić. Po skanie SFC zobaczymy co się w związku z tym dzieję. 

Priorytetowo będziemy zajmować się dezynfekcją systemu z adware (przypuszczalnie wiedziałeś o tym i próbowałeś się ratować się takimi programami jak YAC / SpyHunter), dopiero potem zajmiemy się problem, z którym tu się zgłosiłeś.

1. Otwórz Notatnik wklej w nim:

CloseProcesses:
CreateRestorePoint:
HKU\S-1-5-18\Control Panel\Desktop\\SCRNSAVE.EXE -> 
ShellIconOverlayIdentifiers: [###MegaShellExtPending] -> {056D528D-CE28-4194-9BA3-BA2E9197FF8C} =>  Brak pliku
ShellIconOverlayIdentifiers: [###MegaShellExtSynced] -> {05B38830-F4E9-4329-978B-1DD28605D202} =>  Brak pliku
ShellIconOverlayIdentifiers: [###MegaShellExtSyncing] -> {0596C850-7BDD-4C9D-AFDF-873BE6890637} =>  Brak pliku
ShellIconOverlayIdentifiers-x32: [###MegaShellExtPending] -> {056D528D-CE28-4194-9BA3-BA2E9197FF8C} =>  Brak pliku
ShellIconOverlayIdentifiers-x32: [###MegaShellExtSynced] -> {05B38830-F4E9-4329-978B-1DD28605D202} =>  Brak pliku
ShellIconOverlayIdentifiers-x32: [###MegaShellExtSyncing] -> {0596C850-7BDD-4C9D-AFDF-873BE6890637} =>  Brak pliku
BootExecute: autocheck autochk * sh4native Sh4Removal
GroupPolicy: Ograniczenia - Chrome 
GroupPolicyScripts: Ograniczenia 
CHR HKLM\SOFTWARE\Policies\Google: Ograniczenia 
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.yoursites123.com/?type=hp&ts=1452236987&z=1b131ef0d9495c6b9d449e2gcz5w4obo0c6m7efe1q&from=wpm01073&uid=ST1000DM003-1ER162_Z4Y40JXKXXXXZ4Y40JXK
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.yoursites123.com/?type=hp&ts=1452236987&z=1b131ef0d9495c6b9d449e2gcz5w4obo0c6m7efe1q&from=wpm01073&uid=ST1000DM003-1ER162_Z4Y40JXKXXXXZ4Y40JXK
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://yoursites123.com/web?type=ds&ts=1452236987&z=1b131ef0d9495c6b9d449e2gcz5w4obo0c6m7efe1q&from=wpm01073&uid=ST1000DM003-1ER162_Z4Y40JXKXXXXZ4Y40JXK&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = hxxp://yoursites123.com/web?type=ds&ts=1452236987&z=1b131ef0d9495c6b9d449e2gcz5w4obo0c6m7efe1q&from=wpm01073&uid=ST1000DM003-1ER162_Z4Y40JXKXXXXZ4Y40JXK&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.yoursites123.com/?type=hp&ts=1452236987&z=1b131ef0d9495c6b9d449e2gcz5w4obo0c6m7efe1q&from=wpm01073&uid=ST1000DM003-1ER162_Z4Y40JXKXXXXZ4Y40JXK
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.yoursites123.com/?type=hp&ts=1452236987&z=1b131ef0d9495c6b9d449e2gcz5w4obo0c6m7efe1q&from=wpm01073&uid=ST1000DM003-1ER162_Z4Y40JXKXXXXZ4Y40JXK
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://yoursites123.com/web?type=ds&ts=1452236987&z=1b131ef0d9495c6b9d449e2gcz5w4obo0c6m7efe1q&from=wpm01073&uid=ST1000DM003-1ER162_Z4Y40JXKXXXXZ4Y40JXK&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://yoursites123.com/web?type=ds&ts=1452236987&z=1b131ef0d9495c6b9d449e2gcz5w4obo0c6m7efe1q&from=wpm01073&uid=ST1000DM003-1ER162_Z4Y40JXKXXXXZ4Y40JXK&q={searchTerms}
HKU\S-1-5-21-773405090-3852603061-2223838452-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.yoursites123.com/?type=hp&ts=1452236987&z=1b131ef0d9495c6b9d449e2gcz5w4obo0c6m7efe1q&from=wpm01073&uid=ST1000DM003-1ER162_Z4Y40JXKXXXXZ4Y40JXK
SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = 
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = 
SearchScopes: HKLM-x32 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = 
SearchScopes: HKLM-x32 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = 
SearchScopes: HKU\S-1-5-21-773405090-3852603061-2223838452-1000 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = 
OPR StartupUrls: "hxxp://searchinterneat-a.akamaihd.net/h?eq=U0EeCFZVBB8SRggUJF9ZUQhHRRgQJQpeTA0QEQUOIlpZAxRCRwcQcA4KAF0VEVQFIk0FA1oDB0VXfV5bFElXTwhgNUpMDlQUU2VRL1RXEg=="
S3 XLHHardware_1_0; \??\C:\Program Files (x86)\DLL Tool\XLHHardwarex64.sys [X]
C:\ProgramData\{262E20B8-6E20-4CEF-B1FD-D022AB1085F5}.dat
Task: {329B6223-F175-47CC-9F80-D70C89E6B950} - System32\Tasks\WordFly Auto Updater 1.10.0.28 Pending Update => C:\Program Files (x86)\WordFly_1.10.0.28\Update\WordflyAutoUpdateClient.exe [2015-10-30] (WF) 
Task: {81179906-107E-4A7F-A9F1-5A64194C3C5E} - System32\Tasks\WordFly Auto Updater 1.10.0.28 Core => C:\Program Files (x86)\WordFly_1.10.0.28\Update\WordflyAutoUpdateClient.exe [2015-10-30] (WF) 
Task: {F986C2F8-C6AA-41C7-8E8E-8B914D6C43B0} - System32\Tasks\SpyHunter4Startup => C:\Program Files\SpyHunter\SpyHunter4.exe
ShortcutWithArgument: C:\Users\xxxx\AppData\Local\Google\Chrome\User Data\Program uruchamiający aplikacje Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> --show-app-list
ShortcutWithArgument: C:\Users\xxxx\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Google Chrome\Program uruchamiający aplikacje Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> --show-app-list
ShortcutWithArgument: C:\Users\xxxx\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://www.yoursites123.com/?type=sc&ts=1450076426&z=1e81ff3acb25ffcd5911444g7zcw9e7e1m5qez2cdg&from=wpm07173&uid=ST1000DM003-1ER162_Z4Y40JXKXXXXZ4Y40JXK
AlternateDataStreams: C:\ProgramData\TEMP:6BE50C2B [540]
DeleteKey: HKCU\Software\Mozilla
DeleteKey: HKCU\Software\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Mozilla
DeleteKey: HKLM\SOFTWARE\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Wow6432Node\Mozilla
DeleteKey: HKLM\SOFTWARE\Wow6432Node\mozilla.org
DeleteKey: HKLM\SOFTWARE\Wow6432Node\MozillaPlugins
C:\Users\xxxx\AppData\Local\Mozilla
C:\Users\xxxx\AppData\Roaming\Mozilla
C:\Users\xxxx\AppData\Roaming\Profiles
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKU\.DEFAULT\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-21\Software\Microsoft\Internet Explorer\SearchScopes" /f
CMD: dir /a "C:\Program Files"
CMD: dir /a "C:\Program Files (x86)"
CMD: dir /a "C:\Program Files\Common Files\System"
CMD: dir /a "C:\Program Files (x86)\Common Files\System"
CMD: dir /a C:\ProgramData
CMD: dir /a C:\Users\xxxx\AppData\Local
CMD: dir /a C:\Users\xxxx\AppData\LocalLow
CMD: dir /a C:\Users\xxxx\AppData\Roaming
EmptyTemp:

2. Przez panel sterowania odinstaluj (oczywiście w tym wypadku decyzja należny do Ciebie) wątpliwy, oskarżony o kradzież bazy danych MBAM program: YAC (Yet Another Cleaner!) 

3. Wyczyść Google Chrome:

• Zresetuj synchronizację (o ile włączona): KLIK.
• Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Resetowanie ustawień. Zakładki i hasła nie zostaną naruszone.
• Ustawienia > karta Ustawienia > sekcja Szukaj > klik w Zarządzanie wyszukiwarkami > skasuj z listy wszystko z wyjątkiem Google.
• Zresetuj cache wtyczek. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie Włącz.

4. Zrób nowy raport FRST z opcji Skanuj (Scan) razem z Addition i Shortcut. Dołącz też plik fixlog.txt.

5. Wydobądź wszystkie pliki tekstowe (raporty) z folderu C:\AdwCleaner i umieść je na jakimś hostingu, lub dodaj po kolei w załącznikach.