picasso

Z tego co rozumiem, ten "keylogger" był w pełni jawny, tzn. pokazał się po instalacji, więc nie sądzę, że było jakieś ciche nagrywanie danych. Skrypt wykonany. Na zakończenie skorzystaj z DelFix oraz wyczyść foldery Przywracania systemu: KLIK.

SpyHunter to program-naciągacz. W raportach nie widać jawnych oznak infekcji. Nasuwa się jakaś mocno zaszyta modyfikacja (np. w plikach zasobów przeglądarek). Poproszę o materiały do ręcznej analizy. Skopiuj na Pulpit poniższe foldery: C:\Program Files (x86)\Google\Chrome C:\Program Files (x86)\Opera C:\Users\Michau\AppData\Local\Google\Chrome C:\Users\Michau\AppData\Roaming\Opera Software Spakuj do ZIP, shostuj gdzieś i wyślij mi link do paczki na PW. Analiza może potrwać.

W raportach nie widać oznak czynnej infekcji, ani śladów wymienionego programu. Jeśli nikt inny nie miał dostępu do komputera, nie wiem w jaki sposób program mógł zostać wprowadzony. Ale podejrzenie budzi poniższy plik, który definitywnie nie jest plikiem producenta tylko "downloaderem". Pliki sygnowane jako Oleg N. Scherbakov to nic dobrego. 2016-01-28 23:10 - 2016-01-28 23:10 - 03748672 _____ (Oleg N. Scherbakov) C:\Users\Ann\Downloads\HP Photosmart C3180 - sterownik [1].exe 1. Do wykonania drobny kosmetyczny skrypt pod kątem wpisów szczątkowych, w tym po niepełnej deinstalacji programu HP. Otwórz Notatnik i wklej w nim: CloseProcesses: CreateRestorePoint: HKLM-x32\...\Run: [blueStacks Agent] => C:\Program Files (x86)\BlueStacks\HD-Agent.exe S2 HPSupportSolutionsFrameworkService; "C:\Program Files (x86)\Hewlett-Packard\HP Support Solutions\HPSupportSolutionsFrameworkService.exe" [X] Task: {02545C22-676E-4EB8-909A-74C01C7BDF5A} - System32\Tasks\Hewlett-Packard\HP Support Assistant\PC Health Analysis => C:\Program Files (x86)\Hewlett-Packard\HP Support Framework\HPSF.exe Task: {12A5ED9E-0689-49DD-9D2D-7F23901B273C} - System32\Tasks\{03D74212-7DAA-48A6-A5FB-AC6E28A6CDAA} => pcalua.exe -a C:\MSI\LiveUpdate\DL_FILE\Intel_AMT_Drivers_9.5.15.1730.exe -d C:\MSI\LiveUpdate\DL_FILE Task: {260302DE-D56D-482E-AD3D-5569B92DB0E3} - System32\Tasks\{984F4BCF-54F0-411A-A8B8-DA861D589C84} => pcalua.exe -a C:\Users\Ann\Desktop\GTAIV_spolszczenie_1.0.exe -d C:\Users\Ann\Desktop Task: {5F247E90-5B2E-40D3-957B-00CA57231F4E} - System32\Tasks\Hewlett-Packard\HP Support Assistant\Opt-in For HP Support Assistant Quick Start => C:\Program Files (x86)\Hewlett-Packard\HP Support Framework\HPSF_Utils.exe Task: {6F05CF0B-D537-4740-B0BC-AFB899CB331E} - System32\Tasks\Hewlett-Packard\HP Support Assistant\HP Support Solutions Framework Updater - Resources => C:\Program Files (x86)\Hewlett-Packard\HP Support Solutions\Modules\HPSSFUpdater.exe Task: {73D7510B-8923-451E-8E25-FE95C844A3D8} - System32\Tasks\{5DFDB863-2643-4F4B-BEBE-8F2564D1C194} => pcalua.exe -a C:\Users\Ann\Desktop\vcredist_x86.exe -d C:\Users\Ann\Desktop Task: {78B7B5AA-FAC7-421B-B557-1A0D90974438} - System32\Tasks\Hewlett-Packard\HP Support Assistant\HP Support Solutions Framework Report => C:\Program Files (x86)\Hewlett-Packard\HP Support Solutions\Modules\HPSFReport.exe Task: {8FCA6225-60A9-4E95-A726-16DDD1D1E26E} - System32\Tasks\HPCeeScheduleForAnn => C:\Program Files (x86)\Hewlett-Packard\HP Ceement\HPCEE.exe Task: {AB444FAE-3586-4E34-9A9D-296695B39EE4} - System32\Tasks\Hewlett-Packard\HP Support Assistant\HP Support Solutions Framework Updater => C:\Program Files (x86)\Hewlett-Packard\HP Support Solutions\Modules\HPSSFUpdater.exe Task: {B3D2FBCB-9CD2-4779-B733-7E8FEAF1EE75} - System32\Tasks\Driver Booster SkipUAC (Ann) => C:\Program Files (x86)\IObit\Driver Booster\DriverBooster.exe Task: {D0DD8D50-2967-4B58-AC14-F79028B552E0} - System32\Tasks\{0DD3AB42-24E1-4A87-A6DE-C001AF956EA4} => pcalua.exe -a "C:\Program Files (x86)\InstallShield Installation Information\{38A1E3ED-D913-41D2-9953-A93D5ACE3ADF}\setup.exe" -c -runfromtemp -l0x0009 -removeonly DriverOnly Task: {DAF0B451-27C3-48E0-B394-E61F6FB5CF3D} - System32\Tasks\Hewlett-Packard\HP Support Assistant\HP Support Assistant Quick Start => C:\Program Files (x86)\Hewlett-Packard\HP Support Framework\HPSF.exe Task: C:\Windows\Tasks\HPCeeScheduleForAnn.job => C:\Program Files (x86)\Hewlett-Packard\HP Ceement\HPCEE.exe DeleteKey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Hewlett-Packard DeleteKey: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2 C:\ProgramData\{262E20B8-6E20-4CEF-B1FD-D022AB1085F5}.dat C:\ProgramData\Hewlett-Packard C:\ProgramData\HP C:\ProgramData\Microsoft\Windows\Start Menu\Programs\HP Help and Support C:\Users\Ann\AppData\Local\{1929B8C5-F879-4167-806E-A76E379585FF} C:\Users\Ann\AppData\Local\Hewlett-Packard C:\Users\Ann\AppData\Roaming\Hewlett-Packard C:\Users\Ann\AppData\Roaming\hpqLog C:\Users\Ann\Downloads\HP Photosmart C3180 - sterownik*.exe C:\Windows\System32\Tasks\Hewlett-Packard CMD: netsh advfirewall reset EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. Przedstaw go. 2. Dodatkowo napraw uszkodzony specjalny skrót IE. W pasku eksploratora wklej poniższą ścieżkę i ENTER: C:\Users\Ann\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools Prawoklik na zlokalizowany tam skrót Internet explorer (bez dodatków) > Właściwości > w polu Element docelowy po ścieżce "C:\Program Files\Internet Explorer\iexplore.exe" dopisz dwie spacje i -extoff

Jak mówiłam: "zmodyfikowane proxy AutoConfigURL", czyli ten wpis w FRST (usuwany w skrypcie poleceniem resetu proxy): AutoConfigURL: [s-1-5-21-8983453-3073617917-2459003304-1000] => hxxp://unstopp.me/wpad.dat?88ef750010df781019f81794f8c0299e5010231 Przypuszczalnie ta modyfikacja weszła z jakimś "downloaderem" portalowym lub w instalatorze innego programu. Więcej na ten temat: KLIK. Skrypt wykonany. Na koniec: 1. Usuń FRST z "Nowego folderu" na Pulpicie. Następnie zastosuj DelFix oraz wyczyść foldery Przywracania systemu: KLIK. 2. Do aktualizacji cały system, stan fatalny i blokada aktualizacji. Konieczna instalacja pakietu SP1, IE11 oraz reszty łat. 3. Na dalszą metę sugestia wymiany ESET. To stara wersja z komponentami z roku 2012.

W raporcie żadnych śladów tych procesów. Stosowałeś Dr. Web Cureit, to były przypuszczalnie jego losowe procesy. Czy był przed instalacją usuwany profil Google Chrome z dysku? Obecnie w raporcie wykrywany jako całkowicie goły i nie wiem czy to wynik uszkodzenia, czy może tego że Chrome nie mogło się uruchomić i poprawnie go wytworzyć. Widzę w systemie niedokładnie wyczyszczone adware z grupy "Privoxy", tzn. czynne zadanie odpalające delikwenta PC Defender, co być może zazębia się z problemem Chrome. Wstępnie: 1. Odinstaluj HaoZip. To prawdopodobnie była instalacja typu "PUP. 2. Otwórz Notatnik i wklej w nim: CloseProcesses: CreateRestorePoint: Task: {00B72812-79C2-47EB-A601-18B0AA4CB8B6} - System32\Tasks\{DC04F341-2EA9-4C83-838E-03D6015710CF} => C:\Users\Filip\Desktop\gta_sa.exe Task: {0F659CBC-929B-471B-9FAC-B8003CF22BFA} - System32\Tasks\{B64B4B8D-4FCC-4D12-AC79-C4C1EDB4B252} => pcalua.exe -a C:\Users\Dom\AppData\Roaming\istartsurf\UninstallManager.exe -c -ptid=smt Task: {250ED74B-555F-44BF-AFA8-A3C050375B9F} - System32\Tasks\{CD4C4154-3B0D-49E1-894D-4CC5D0D1DAE4} => C:\Users\Filip\Desktop\gta_sa.exe Task: {3C0E1479-57A8-4642-B1C1-BDBF6D8866AD} - \Jelbruss Secure Web Worker -> Brak pliku <==== UWAGA Task: {57CCFADA-9435-4692-A283-8E09BB82D475} - System32\Tasks\{B075201A-2CB7-4770-BECA-A5F7E3B3F9B7} => pcalua.exe -a "C:\Program Files (x86)\CLickForSale\l3fZGoJaKcK7HB.exe" -c /s /n /i:"ExecuteCommands;UninstallCommands" "" Task: {76EE2205-91F5-4514-8871-039837435036} - System32\Tasks\{DFDAF9DC-C252-48EA-920E-0A9AF5DC41C7} => pcalua.exe -a G:\setup.exe -d G:\ Task: {B21226FF-0F02-4F0F-AE42-B42F2E1DAE5A} - System32\Tasks\{481450AF-41DC-4ED8-9069-AD4E5FCCBF5A} => C:\Users\Filip\Desktop\gta_sa.exe Task: {B8862C54-DB03-43F1-8C2B-E5E7F2E60A14} - System32\Tasks\{BD647359-4A39-4DE1-B5A5-C2B2CB8F174D} => pcalua.exe -a "C:\Users\Dom\Downloads\chromeinstall-8u25 (3).exe" -d C:\Users\Dom\Downloads Task: {D6DE66FD-785A-4C1B-AE5A-6F5B325E365B} - System32\Tasks\{4493DCC7-003F-464C-9027-D17368A646AB} => pcalua.exe -a "C:\Program Files (x86)\YouTube Accelerator\YTAUninstall.exe" Task: {DCC60CCB-BA5D-4881-B5FC-820702082B16} - \Win Defrag -> Brak pliku <==== UWAGA Task: {E6F60F69-CC63-4E18-AEEE-3253CD120120} - System32\Tasks\PC Defender Worker => C:\Program Files (x86)\PC Defender\PCDefender.exe [2016-01-27] (Secure Updater) HKLM-x32\...\Run: [#SKY HACKER] => C:\Users\Filip\AppData\Local\Temp\HZ$D.922.1535\HZ$D.922.1541\gta-san-andreas-crack.exe <===== UWAGA HKU\S-1-5-18\Control Panel\Desktop\\SCRNSAVE.EXE -> ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => Brak pliku CHR HKLM\SOFTWARE\Policies\Google: Ograniczenia <======= UWAGA HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = about:blank HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank SearchScopes: HKU\S-1-5-21-2087539395-219842756-2214252671-1000 -> {6A1806CD-94D4-4689-BA73-E35EA1EA9990} URL = hxxp://www.bing.com/search?q={searchTerms}&form=MSSEDF&pc=MSE1 Toolbar: HKU\S-1-5-21-2087539395-219842756-2214252671-1000 -> Brak nazwy - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - Brak pliku DeleteKey: HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\CCleaner Monitoring DeleteKey: HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes DeleteKey: HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes DeleteKey: HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes RemoveDirectory: C:\Program Files (x86)\PC Defender RemoveDirectory: C:\ProgramData\TEMP C:\Users\Dom\AppData\Roaming\appdataFr3.bin C:\Users\Dom\Desktop\GD\Counter-Strike 1.6 v43.lnk C:\Users\Dom\Desktop\GD\Play Rodinia War.lnk C:\Users\Dom\Desktop\hity mamusi\*.lnk C:\Users\Filip\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Play Goodgame Empire.lnk C:\Users\Filip\Desktop\Free Music.lnk C:\Users\Filip\Desktop\ireal-games.lnk C:\Users\Filip\Desktop\Torch Browser.lnk C:\Users\Filip\Documents\Euro Truck Simulator 2\readme.rtf.lnk CMD: netsh advfirewall reset EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 3. Akcje relatywne do przeglądarek: - Odinstaluj Google Chrome, przy deinstalacji zaznacz Usuń także dane przeglądarki. Następnie zainstaluj ponownie. - W Operze Alt+P > Otwórz wybraną stronę lub zestaw stron > Wybierz > wymaż adres adware istartsurf.com. - Napraw uszkodzony specjalny skrót IE. W pasku eksploratora wklej poniższą ścieżkę i ENTER: C:\Users\Dom\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools Prawoklik na zlokalizowany tam skrót Internet explorer (bez dodatków) > Właściwości > w polu Element docelowy po ścieżce "C:\Program Files\Internet Explorer\iexplore.exe" dopisz dwie spacje i -extoff 4. Są tu aż trzy konta: ==================== Konta użytkowników: ============================= Dom (S-1-5-21-2087539395-219842756-2214252671-1000 - Administrator - Enabled) => C:\Users\Dom Filip (S-1-5-21-2087539395-219842756-2214252671-1003 - Limited - Enabled) => C:\Users\Filip Kacper (S-1-5-21-2087539395-219842756-2214252671-1002 - Administrator - Enabled) => C:\Users\Kacper Każde musi zostać sprawdzone z osobna, czyli na każdym wyprodukuj po dwa raporty FRST (FRST.txt + Addition.txt). Na koncie limitowanym Filip FRST należy uruchomić z dwukliku, a nie via Uruchom jako Administrator, by pozyskać właściwy kontekst konta. Dołącz też plik fixlog.txt. Opisz czy problemy z Google Chrome nadal mają miejsce.

Temat przenoszę do działu Windows. To nie jest problem infekcji. Przede wszystkim rzuca się w oczy dramatyczna kombinacja dwóch czynnych antywirusów Avast + McAfee. Prawdopodobna przyczyna potężnej degradacji wydajności i problemów z przeglądarką. Rozpocznij od redukcji, co pomoże także odsiać błędy które mogą być pochodną aktywności pakietu zabezpieczającego: 1. Klawisz z flagą Windows + X > Programy i funkcje > odinstaluj pakiet McAfee LiveSafe - Internet Security. Od razu także integrowane na Lenovo aplikacje: Amazon 1Button App, Host App Service, Lenovo Web Start, SHAREit (jeśli nie korzystasz), Start Menu. Te grupy "Pokki" wątliwej reputacji. 2. Uruchom tryb awaryjny. Z jego poziomu zastosuj McAfee Consumer Product Removal Tool. Opuść tryb awaryjny. 3. Uruchom Microsoft Fix it. Zaakceptuj > Wykryj problemy i pozwól mi wybrać poprawki do zastosowania > Odinstalowywanie > zaznacz na liście wpis Metric Collection SDK 35 > Dalej. 4. Klawisz z flagą Windows + X > Podgląd zdarzeń. W sekcji Dzienniki systemu Windows z prawokliku wyczyść Aplikacja oraz System. W sekcji Dzinniki aplikacji i usług > Microsoft > Windows > CodeIntegrity > z prawokliku wyczyść Operational. Zresetuj system, by zostały nagrane nowe błędy. 5. Na koniec wygeneruj nowe raporty FRST (FRST.txt + Adddition.txt). Opisz czy jest poprawa.

Temat przenoszę do działu Windows. To nie jest problem infekcji. Jest tu dwóch podejrzanych: - BitDefender jest mocnym kandydatem dla opisywanego zjawiska oraz ogólnego spowolnienia. Typowałabym go nawet bez wskazówki, że stało się to właśnie po jego reinstalacji, bo to najbardziej rozbudowany program w starcie. A wyłączanie w msconfig nie adresuje wszystkich elementów BitDefender (ani sterowników, ani rozszerzeń powłoki). Na dodatek FRST notuje "zerobajtowy" plik tej instalacji C:\Windows\System32\BDSandBoxUISkin32.dll wskazujący na uszkodzenie. - Oprogramowanie nVidia, wg raportu aktualizowane 1 lutego. Ponadto w Dzienniku zdarzeń są, choć nie wiem czy jeszcze aktualne, błędy usługi NvStreamNetworkService.exe. - Są też poniższe błędy PeerNetworking i te będę likwidować poprzez reset plików idstore.*. Dziennik System: ============= Error: (02/05/2016 01:39:48 PM) (Source: Service Control Manager) (EventID: 7001) (User: ) Description: Usługa Grupowanie sieci równorzędnej zależy od usługi Protokół rozpoznawania nazw równorzędnych, której nie można uruchomić z powodu następującego błędu: %%-2140993535 Error: (02/05/2016 01:39:48 PM) (Source: Service Control Manager) (EventID: 7023) (User: ) Description: Usługa Protokół rozpoznawania nazw równorzędnych zakończyła działanie; wystąpił następujący błąd: %%-2140993535 Wstępnie proponuję: 1. Po raz kolejny odinstaluj BitDefender. Przy okazji pozbądź się aktualizatora NVIDIA GeForce Experience 2.9.1.22 (zniknie trochę procesów, w tym NvStreamNetworkService.exe) oraz SUPERAntispyware (to dziś słaby program, na dodatek jeździ na starych sterownikach z 2011). 2. W trybie awaryjnym użyj specjalizowany czyściciel BitDefender Uninstall Tool (Consumer). 3. Następnie naprawa błędów PeerNetworking oraz drobne kosmetyczne akcje skombinowane razem w skrypcie w spoilerze. 4. Jeśli po w/w operacjach problemy znikną, spróbuj ponownie zainstalować Bitdefender i zrób nowe raporty FRST (włącznie z Addition). Dołącz też fixlog.txt ze spoilera. Opisz czy są pozytywne rezultaty w/w akcji.

Wszystko elegancko przetworzone. Teraz jeszcze na wszelki wypadek: Uruchom AdwCleaner. Wybierz opcję Skanuj (nic nie usuwaj) i dostarcz log wynikowy z folderu C:\AdwCleaner.

Wszystko gładko poszło. Jeszcze poprawki pod kątem odpadków po odinstalowanym Sophos. Otwórz Notatnik i wklej: S3 MEMSWEEP2; C:\Windows\system32\4EFA.tmp [6144 2010-05-26] (Sophos Plc) [brak podpisu cyfrowego] RemoveDirectory: C:\FRST\Quarantine RemoveDirectory: C:\Program Files (x86)\Sophos CMD: del /q C:\Users\Damian\Desktop\gmer.exe CMD: del /q C:\Windows\system32\*.tmp Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Tym razem nie będzie restartu. Przedstaw wynikowy fixlog.txt. Nowe skany FRST nie są już potrzebne.

Nic tu nie wskazuje na problem infekcji. Temat przenoszę, na razie do działu Vista, choć nie wykluczam Hardware. A z raportów nic nie wynika. Do których procesów pijesz? Jeśli masz na myśli rozmnożenie svchost.exe, to jest to normalne zjawisko: KLIK. Również normalne rozmnożenie rundll32.exe (w starcie uruchamiają się u Ciebie dwa polecenia nVidia posługujące się tym procesem Microsoftu) oraz iexplore.exe (Internet Explorer posiada architekturę separacji do osobnych procesów). Obciążenie poszczególnych instancji to już inne zagadnienie. Diagnostyka BSOD opisana tu: KLIK. Przy okazji, to stary system Vista ze starymi sterownikami Lenovo i brak aktualizacji tych komponentów też może być problemem. Dziennik Aplikacja: ================== Error: (01/18/2016 09:34:59 AM) (Source: Application Error) (EventID: 1000) (User: ) Description: Aplikacja powodująca błąd consent.exe, wersja 6.0.6002.19116, sygnatura czasowa 0x538c3c3d, moduł powodujący błąd USER32.dll, wersja 6.0.6002.19454, sygnatura czasowa 0x55ae6e00, kod wyjątku 0xc0000142, przesunięcie błędu 0x00009f55, identyfikator procesu 0x1284, godzina rozpoczęcia aplikacji 0xconsent.exe0. Z tego błędu tylko tyle widać na razie, że nie działa poprawnie UAC. Może rozpocznij od egzaminu sfc /scannow: KLIK. Po wykonaniu tego skanu nie filtruj raportu CBS.log, gdyż: W Dzienniku zdarzeń widzę poniższy błąd instalacji IE9 (wg FRST on już jest zainstalowany): Dziennik System: ============= Error: (01/26/2016 09:47:16 PM) (Source: Microsoft-Windows-WindowsUpdateClient) (EventID: 20) (User: ZARZĄDZANIE NT) Description: 0x80070643Windows Internet Explorer 9 dla systemu Windows Vista{CE545479-357C-49F8-8DB9-D1434AC00075}101 Rozpocznij od użycia "Narzędzia analizy gotowości aktualizacji systemu": KLIK. Gdy narzędzie ukończy skan, skopiuj na Pulpit cały katalog C:\Windows\Logs\CBS, zapakuj do ZIP i shostuj gdzieś podając link do paczki. Analiza jest bardzo czasochłonna, więc nie obiecuję szybkiej odpowiedzi.

Akcje do przeprowadzenia: 1. Odinstaluj stary Sophos Anti-Rootkit 1.5.4. Świeżo instalowany, ale to strasznie stara wersja. Obecnie Sophos ma nowsze narzędzie Sophos Virus Removal Tool. 2. Otwórz Notatnik i wklej w nim: CloseProcesses: CreateRestorePoint: Task: {4B9F40FC-45B0-49E0-84C8-1BD87E2AABDD} - System32\Tasks\Driver Booster SkipUAC (Damian) => C:\Program Files (x86)\IObit\Driver Booster\DriverBooster.exe Task: {93ADED5E-CDF1-4293-9BB7-8FB4CE908303} - System32\Tasks\{30949D3D-4D08-4629-99E1-8757C7732E6C} => C:\Program Files (x86)\Ubisoft\Tom Clancy's Ghost Recon Future Soldier\Future Soldier.exe HKU\S-1-5-21-8983453-3073617917-2459003304-1000\Software\Classes\.exe: => S3 cpuz134; \??\C:\Users\Damian\AppData\Local\Temp\cpuz134\cpuz134_x64.sys [X] S3 IntcAzAudAddService; system32\drivers\RTKVHD64.sys [X] RemoveDirectory: C:\AdwCleaner CMD: netsh advfirewall reset RemoveProxy: EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 3. Zrób nowy log FRST z opcji Skanuj (Scan), już bez Addition i Shortcut. Dołącz też plik fixlog.txt. Potwierdź ustąpienie problemu. PS. Odpowiadaj już w nowym poście, nie edytuj poprzedniego.

Nic tu nie wskazuje na problem infekcji. Potem byłyby do czyszczenia drobne szczątki, ale na razie nie ma to sensu. Widoczny problem sprzętowy, temat przenoszę do działu Hardware. W Dzienniku zdarzeń błędy złych bloków dysku: Dziennik System: ============= Error: (02/02/2016 11:41:11 AM) (Source: Disk) (EventID: 7) (User: ) Description: W urządzeniu \Device\Harddisk0\DR0 wystąpił zły blok. 1. Dostarcz dane wymagane działem: KLIK. Jeśli dysk zostanie sklasyfikowany jako zdatny do dalszego użytku: 2. Wykonaj naprawę plików systemowych poleceniem sfc /scannow i dostarcz przefiltrowany raport CBS: KLIK.

Adware zostało nabyte z portalu dobreprogramy.pl, na dysku widać pliki "Asystenta pobierania" tego portalu. Więcej na ten temat: KLIK. Operacje do przeprowadzenia: 1. Odinstaluj stare wersje i zbędniki: Adobe Reader X (10.1.13), Akamai NetSession Interface, Bonjour. 2. Otwórz Notatnik i wklej w nim: CloseProcesses: CreateRestorePoint: Task: {0B180415-F084-406E-9FED-63970FF10D3D} - \CPU Grid Computing -> Brak pliku Task: {24DB72DC-24D2-4C95-B847-502FC6876583} - \AdobeFlashPlayerUpdate -> Brak pliku Task: {4B73C0A0-9DA6-4520-9115-08C144AD1FA5} - \AdobeFlashPlayerUpdate 2 -> Brak pliku Task: {526F39D4-793C-47FD-9A96-4403989996BD} - System32\Tasks\Opera N Sunday => C:\Program Files\Opera\launcher.exe Task: {76A9D14C-1330-4AE8-816E-12668ED365E9} - System32\Tasks\{D8141197-71DD-4033-BCF3-2341B548B643} => pcalua.exe -a "C:\Users\Krystyna\Downloads\TGF2 uploaded by MCL.exe" -d C:\Users\Krystyna\Downloads Task: {B09D8334-D8C9-457D-AFF8-2EC1D71E90C4} - \34f566be-7fd2-41e4-b1d2-99539bfba853-2 -> Brak pliku Task: {CBC0008C-34D3-401F-B31D-D986E84F7CE3} - System32\Tasks\{BA686C1C-62E5-4684-AA21-6D450882DB5F} => pcalua.exe -a "C:\Users\Krystyna\Documents\Folder Magdy\Czasy Huncwotów\ICeQ_5.14.exe" -d "C:\Users\Krystyna\Documents\Folder Magdy\Czasy Huncwotów" Task: {CF122788-ACFF-49D0-96C7-29392CC7D5A7} - System32\Tasks\KrystynaExiguitiesBeanpoleV2 => Rundll32.exe SackfulCarcinomata.dll,main 7 1 HKU\S-1-5-21-4121712839-35300013-2485847260-1000\...\Run: [softonicAssistant] => "C:\Users\Krystyna\AppData\Local\SoftonicAssistant\SoftonicAssistant.exe" ShellIconOverlayIdentifiers: [GDriveSharedOverlay] -> {81539FE6-33C7-4CE7-90C7-1C7B8F2F2D44} => Brak pliku BHO: IEPluginBHO Class -> {F5CC7F02-6F4E-4462-B5B1-394A57FD3E0D} -> C:\Users\Krystyna\AppData\Roaming\Gadu-Gadu 10\_userdata\ggbho.2.dll [2009-12-21] (GG Network S.A.) CustomCLSID: HKU\S-1-5-21-4121712839-35300013-2485847260-1000_Classes\CLSID\{E68D0A55-3C40-4712-B90D-DCFA93FF2534}\InprocServer32 -> C:\Users\Krystyna\AppData\Roaming\GG\ggdrive\ggdrive-menu.dll => Brak pliku GroupPolicy: Ograniczenia - Chrome CHR HKLM\SOFTWARE\Policies\Google: Ograniczenia CHR HomePage: Default -> hxxp://%66%65%65%64.%73%6E%61%70%64%6F.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBPxn49PYmQ6e1krQXBFZY3csuW1wjOdnxCcL8hc8O-tobKh35975Pf4RvgDWlAAOXfDH5RSvVZi-aIytf120ulSDIgj6KdPCq2XU-WmhS4Rnm50oUyw42uuQW5QTUIPlZzA-BE9VsIlceDhKz8Vz1K2IDr-EyrmaVVKb89Vl6Rfg,, CHR HKLM\...\Chrome\Extension: [enhljpgmfjednccepebhodcpbdbdpjch] - C:\Windows\System32\jmdp\nte.crx FF HKLM\...\Firefox\Extensions: [{20a82645-c095-46ed-80e3-08825760534b}] - c:\Windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension FF NewTab: FF ExtraCheck: C:\Program Files\mozilla firefox\defaults\pref\itms.js [2015-09-09] FF ExtraCheck: C:\Program Files\mozilla firefox\firefox.cfg [2013-01-03] HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = www.wp.pl/?src01=dp220150503 HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.google.com HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.google.com HKU\S-1-5-21-4121712839-35300013-2485847260-1000\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.bing.com/search?q={searchTerms} HKU\S-1-5-21-4121712839-35300013-2485847260-1000\Software\Microsoft\Internet Explorer\Main,Search Bar = hxxp://www.bing.com/search?q={searchTerms} HKU\S-1-5-21-4121712839-35300013-2485847260-1000\Software\Microsoft\Internet Explorer\Main,SearchAssistant = hxxp://www.bing.com/search?q={searchTerms} SearchScopes: HKLM -> DefaultScope {ielnksrch} URL = SearchScopes: HKU\S-1-5-21-4121712839-35300013-2485847260-1000 -> DefaultScope {ielnksrch} URL = hxxp://www.bing.com/search?q={searchTerms} SearchScopes: HKU\S-1-5-21-4121712839-35300013-2485847260-1000 -> {483830EE-A4CD-4b71-B0A3-3D82E62A6909} URL = SearchScopes: HKU\S-1-5-21-4121712839-35300013-2485847260-1000 -> {ielnksrch} URL = hxxp://www.bing.com/search?q={searchTerms} S1 hnxpcdlq; \??\C:\Windows\system32\drivers\hnxpcdlq.sys [X] S1 ljkgybaj; \??\C:\Windows\system32\drivers\ljkgybaj.sys [X] DeleteKey: HKCU\Software\1Q1F1S1C1P1E1C1F1N1C1T1H2UtF1E1I DeleteKey: HKCU\Software\dobreprogramy DeleteKey: HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\GoogleDriveSync DeleteKey: HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\VDownloader DeleteKey: HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes DeleteKey: HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes DeleteKey: HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes RemoveDirectory: C:\AdwCleaner RemoveDirectory: C:\Program Files\Opera RemoveDirectory: C:\ProgramData\Microsoft\Windows\GameExplorer\{8D16EF5A-1281-45D4-B15E-1E9DDC3773CA} RemoveDirectory: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\MyPaint RemoveDirectory: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PDFCreator\Licenses RemoveDirectory: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Perfect World Entertainment RemoveDirectory: C:\Users\Krystyna\AppData\Local\ExiguitiesBeanpole RemoveDirectory: C:\Users\Krystyna\AppData\Local\GG RemoveDirectory: C:\Users\Krystyna\AppData\Roaming\Gadu-Gadu 10 RemoveDirectory: C:\Users\Krystyna\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\IMVU RemoveDirectory: C:\Users\Krystyna\Desktop\Stare dane programu Firefox RemoveDirectory: C:\Windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension C:\Program Files\GUTC90E.tmp C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Inkscape.lnk C:\Users\Krystyna\Downloads\*-dp*.exe CMD: netsh advfirewall reset EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 3. Napraw uszkodzony specjalny skrót IE. W pasku eksploratora wklej poniższą ścieżkę i ENTER: C:\Users\Krystyna\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools Prawoklik na zlokalizowany tam skrót Internet explorer (bez dodatków) > Właściwości > w polu Element docelowy po ścieżce "C:\Program Files\Internet Explorer\iexplore.exe" dopisz dwie spacje i -extoff 4. Zrób nowy log FRST z opcji Skanuj (Scan), ponownie z Addition, ale już bez Shortcut. Dołącz też plik fixlog.txt. I mam pytanie czy można usunąć GG Dysk pozostały po deinstalacji GG?

Temat przenoszę do właściwego działu leczenia infekcji, bo to infekcja (zmodyfikowane proxy AutoConfigURL). Proszę o dostarczenie raportów FRST + GMER wymaganych działem: KLIK.

Czyszczenie systemu ukończone. Kroki końcowe: KLIK. Czy są jakieś wyniki tych działań?

Problem stanowi modyfikacja proxy: AutoConfigURL: [s-1-5-21-1723503536-4267823742-188912024-1001] => hxxp://get-access.me/wpad.dat?97d80e5878ebc2a0b4316c8ceefcea041701166 Pry okazji będę usuwać też inne rzeczy, w tym puste skróty widziane w Shortcut.txt. Działania do przeprowadzenia: 1. Klawisz z flagą Windows + X > Programy i funkcje > odinstaluj stare wersje: Adobe AIR, Adobe Shockwave Player 12.1, Java 8 Update 31 2. Otwórz Notatnik i wklej w nim: CloseProcesses: CreateRestorePoint: Task: {994968AA-CA5A-4485-85FB-F830C3768955} - System32\Tasks\Lenovo\Lenovo Customer Feedback Program => C:\Program Files\Lenovo\Customer Feedback Program\Lenovo.TVT.CustomerFeedback.Agent.exe [2013-05-15] (Lenovo) C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ALLPlayer\ALLPlayer Skin Creator.lnk C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ALLPlayer\Strona WWW programu ALLPlayer V5.X.lnk C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Origin C:\ProgramData\Microsoft\Windows\Start Menu\Programs\TomTom\Odinstaluj MyDriveConnect.lnk C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Sierra C:\ProgramData\Microsoft\Windows\Start Menu\Programs\wxDev-C++ C:\Users\Sławomir\setup.exe C:\Users\Sławomir\AppData\Local\{92DF5489-9C36-4ED8-B64A-8831E0D28096} C:\Users\Sławomir\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\60 Seconds 1.0.0.2 C:\Users\Sławomir\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Steam C:\Users\Sławomir\Desktop\Gry\60 Seconds.lnk C:\Users\Sławomir\Desktop\Gry\Counter-Strike 1.6 v43.lnk C:\Users\Sławomir\Desktop\Gry\World of Tanks.lnk C:\Users\Sławomir\Desktop\multimedia i aplikacje\Adobe Reader XI.lnk C:\Users\Sławomir\Desktop\multimedia i aplikacje\CorelDRAW X7 (64-Bit).lnk C:\Users\Sławomir\Desktop\multimedia i aplikacje\TomTom MyDrive Connect.lnk C:\Users\Sławomir\Documents\al plajer\ALL Media Server.lnk C:\Users\Sławomir\Documents\al plajer\ALLConverter PRO.lnk C:\Users\Sławomir\Documents\al plajer\NapiProjekt.lnk C:\Users\Sławomir\Documents\Corel\Próbki CorelDRAW X7\target.lnk C:\Users\Sławomir\Documents\Corel\CorelDRAW X7 Samples\target.lnk Reg: reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run /v egui /f CMD: netsh advfirewall reset RemoveProxy: EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 3. Zrób nowy log FRST z opcji Skanuj (Scan), już bez Addition i Shortcut. Dołącz też plik fixlog.txt. Potwierdź ustąpienie problemów.

Widzę tu szkodliwą usługę TDataSvr. Działania do przeprowadzenia: 1. Otwórz Notatnik i wklej w nim: CloseProcesses: CreateRestorePoint: S2 TDataSvr; C:\Program Files\TData\TData.exe [205032 2016-01-26] (TData.com) CHR StartupUrls: Default -> "hxxp://www.google.com/","hxxp://www.yoursearching.com/?type=hp&ts=1453832717&z=97652c7dbd9866c22b6cd91g1z3wacdbcc6o1megfm&from=exp1&uid=wdcxwd1600js-60mhb5_wd-wcanmd94553845538" CHR HKLM\...\Chrome\Extension: [eofcbnmajmjmplflapaojjnihcjkigck] - C:\Program Files\AVAST Software\Avast\WebRep\Chrome\aswWebRepChromeSp.crx [2015-12-16] DeleteKey: HKCU\Software\1Q1F1S1C1P1E1C1F1N1C1T1H2UtF1E1I DeleteKey: HKCU\Software\dobreprogramy DeleteKey: HKCU\Software\Mozilla DeleteKey: HKCU\Software\MozillaPlugins DeleteKey: HKLM\SOFTWARE\Mozilla DeleteKey: HKLM\SOFTWARE\MozillaPlugins RemoveDirectory: C:\Documents and Settings\Natala\Dane aplikacji\Mozilla RemoveDirectory: C:\Program Files\TData CMD: netsh firewall reset EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 2. Napraw uszkodzony specjalny skrót IE. W pasku eksploratora wklej poniższą ścieżkę i ENTER: C:\Documents and Settings\Natala\Menu Start\Programy\Akcesoria\Narzędzia systemowe Prawoklik na zlokalizowany tam skrót Internet explorer (bez dodatków) > Właściwości > w polu Element docelowy po ścieżce "C:\Program Files\Internet Explorer\iexplore.exe" dopisz dwie spacje i -extoff 3. Zrób nowy log FRST z opcji Skanuj (Scan), już bez Addition i Shortcut. Dołącz też plik fixlog.txt. Wypowiedz się czy problemy nadal występują.

Te objawy powinno produkować szkodliwe proxy (ustawienie AutoConfigURL), z tym że w raportach FRST tego nie widać... Czy na pewno problem nadal występuje? Na razie zadam na wszelki wypadek globalną komendę resetu proxy oraz inne poboczne działania. I stosowałeś wątpliwy skaner SpyHunter, z daleka od niego. 1. Odinstaluj niebezpieczną wersję Adobe Reader 6.0 CE oraz przestarzały program Spybot - Search & Destroy. I już nie ponawiaj w przyszłości jego instalacji. 2. W Google Chrome: Ustawienia > karta Rozszerzenia > odinstaluj podejrzane rozszerzenie Video AdBlock for Chrome. 3. Otwórz Notatnik i wklej w nim: CloseProcesses: CreateRestorePoint: CHR HKLM\...\Chrome\Extension: [bknbnapaddjdnbilpmlacdkjdkjmbjhd] - hxxp://clients2.google.com/service/update2/crx CHR HKU\S-1-5-21-3912128315-2759491386-309134943-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [bknbnapaddjdnbilpmlacdkjdkjmbjhd] - hxxp://clients2.google.com/service/update2/crx S3 EsgScanner; C:\Windows\System32\DRIVERS\EsgScanner.sys [19984 2016-01-26] () DeleteKey: HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains DeleteKey: HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains C:\Users\tb\Downloads\SpyHunter-Installer.exe C:\Windows\system32\drivers\EsgScanner.sys C:\Windows\system32\drivers\etc\hosts*.backup RemoveDirectory: C:\AdwCleaner Hosts: RemoveProxy: EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 4. Napraw uszkodzony specjalny skrót IE. W pasku eksploratora wklej poniższą ścieżkę i ENTER: C:\Users\tb\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools Prawoklik na zlokalizowany tam skrót Internet explorer (bez dodatków) > Właściwości > w polu Element docelowy po ścieżce "C:\Program Files\Internet Explorer\iexplore.exe" dopisz dwie spacje i -extoff 5. Zrób nowy log FRST z opcji Skanuj (Scan), ponownie z Addition, ale już bez Shortcut. Dołącz też plik fixlog.txt. Wypowiedz się czy nadal są problemy.

Ta infekcja modyfikuje m.in. wszystkie skróty LNK przeglądarek. Stosowałeś przestarzały program HijackThis - program niekompatybilny z systemami 64-bit, pokazuje na nich głupoty. Operacje do przeprowadzenia: 1. Klawisz z flagą Windows + X > Programy i funkcje > odinstaluj: HQ Video Pro 3.1cV20.04 (adware), Java 8 Update 45 (stara wersja), McAfee Security Scan Plus (sponsor produktów Adobe). 2. Otwórz Notatnik i wklej w nim: CloseProcesses: R2 IhPul; C:\Users\Zajace4\AppData\Roaming\TSv\TSvr.exe [580752 2015-12-08] (tsvr.com) ShortcutWithArgument: C:\Users\Zajace4\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\Internet Explorer.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://www.yoursites123.com/?type=sc&ts=1451329733&z=6a002b568797aaf99936a70g0zfwcgdc9o1t6maoat&from=wpm12253&uid=PatriotXBlaze_DB8C074A1EEE00925399 ShortcutWithArgument: C:\Users\Zajace4\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://www.yoursites123.com/?type=sc&ts=1449820129&z=c9868ec4224a259f366dad1gbz8zbt3b5o9e5g9o0o&from=ient07021&uid=PatriotXBlaze_DB8C074A1EEE00925399 ShortcutWithArgument: C:\Users\Zajace4\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://www.yoursites123.com/?type=sc&ts=1449820129&z=c9868ec4224a259f366dad1gbz8zbt3b5o9e5g9o0o&from=ient07021&uid=PatriotXBlaze_DB8C074A1EEE00925399 ShortcutWithArgument: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk -> C:\Program Files (x86)\Mozilla Firefox\firefox.exe (Mozilla Corporation) -> hxxp://www.yoursites123.com/?type=sc&ts=1449820129&z=c9868ec4224a259f366dad1gbz8zbt3b5o9e5g9o0o&from=ient07021&uid=PatriotXBlaze_DB8C074A1EEE00925399 ShortcutWithArgument: C:\Users\Public\Desktop\Mozilla Firefox.lnk -> C:\Program Files (x86)\Mozilla Firefox\firefox.exe (Mozilla Corporation) -> hxxp://www.yoursites123.com/?type=sc&ts=1449820129&z=c9868ec4224a259f366dad1gbz8zbt3b5o9e5g9o0o&from=ient07021&uid=PatriotXBlaze_DB8C074A1EEE00925399 HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkID=617910&ResetID=130984079392643124&GUID=518A86A5-2E2B-41C2-8A78-85583B39C256 HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://yoursites123.com/web?type=ds&ts=1451329733&z=6a002b568797aaf99936a70g0zfwcgdc9o1t6maoat&from=wpm12253&uid=PatriotXBlaze_DB8C074A1EEE00925399&q={searchTerms} HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = hxxp://yoursites123.com/web?type=ds&ts=1451329733&z=6a002b568797aaf99936a70g0zfwcgdc9o1t6maoat&from=wpm12253&uid=PatriotXBlaze_DB8C074A1EEE00925399&q={searchTerms} HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.yoursites123.com/?type=hp&ts=1449820129&z=c9868ec4224a259f366dad1gbz8zbt3b5o9e5g9o0o&from=ient07021&uid=PatriotXBlaze_DB8C074A1EEE00925399 HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://yoursites123.com/web?type=ds&ts=1451329733&z=6a002b568797aaf99936a70g0zfwcgdc9o1t6maoat&from=wpm12253&uid=PatriotXBlaze_DB8C074A1EEE00925399&q={searchTerms} HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://yoursites123.com/web?type=ds&ts=1451329733&z=6a002b568797aaf99936a70g0zfwcgdc9o1t6maoat&from=wpm12253&uid=PatriotXBlaze_DB8C074A1EEE00925399&q={searchTerms} HKU\S-1-5-21-60943337-3696856479-3242954001-1001\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/p/?LinkId=619797&pc=UE03&ocid=UE03DHP SearchScopes: HKLM-x32 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.bing.com/search?q={searchTerms}&form=MSSEDF&pc=MSE1 SearchScopes: HKLM-x32 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.bing.com/search?q={searchTerms}&form=MSSEDF&pc=MSE1 SearchScopes: HKU\.DEFAULT -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = SearchScopes: HKU\S-1-5-21-60943337-3696856479-3242954001-1001 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://yoursites123.com/web?type=ds&ts=1451329733&z=6a002b568797aaf99936a70g0zfwcgdc9o1t6maoat&from=wpm12253&uid=PatriotXBlaze_DB8C074A1EEE00925399&q={searchTerms} StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe hxxp://www.yoursites123.com/?type=sc&ts=1451329733&z=6a002b568797aaf99936a70g0zfwcgdc9o1t6maoat&from=wpm12253&uid=PatriotXBlaze_DB8C074A1EEE00925399 FF HKLM-x32\...\Firefox\Extensions: [default_newtabff@gmail.com] - C:\Users\Zajace4\AppData\Roaming\Mozilla\Firefox\Profiles\qhfgy5ia.default-1449846187322\extensions\default_newtabff@gmail.com => nie znaleziono FF HKLM-x32\...\Firefox\Extensions: [yahooprotected@gmail.com] - C:\Users\Zajace4\AppData\Roaming\Mozilla\Firefox\Profiles\cznp7msj.default-1429823629492\extensions\yahooprotected@gmail.com => nie znaleziono FF HKLM-x32\...\Firefox\Extensions: [sp@avast.com] - C:\Program Files\AVAST Software\Avast\SafePrice\FF CHR HKLM-x32\...\Chrome\Extension: [eofcbnmajmjmplflapaojjnihcjkigck] - C:\Program Files\AVAST Software\Avast\WebRep\Chrome\aswWebRepChromeSp.crx [2016-01-27] Task: {55F63178-4ED7-4295-9854-96A2B0C0E3C1} - System32\Tasks\DriverToolkit Autorun => C:\Program Files (x86)\DriverToolkit\DriverToolkit.exe Task: {5BE5CDF5-17BD-4A41-9A9B-F0FF2AD14F8E} - System32\Tasks\{3B33C10F-B401-4A59-9B79-BDC99A5F7524} => pcalua.exe -a C:\Users\Zajace4\AppData\Local\Temp\Temp2_realtek_web_camera_6_2_9200_10279_driver.zip\Realtek_PC_Camera_6.2.9200.10279\setup.exe Task: {67BD1741-3267-41CA-BD0D-D2186DA1BC6F} - System32\Tasks\{B98C8710-330D-4ADD-B2C1-9A02EFF71E80} => Firefox.exe hxxp://ui.skype.com/ui/0/7.12.0.101/pl/abandoninstall?source=lightinstaller&page=tsBing Task: {F556775E-F4A2-40B9-A4D6-E2E44D9BB534} - System32\Tasks\{FC3DBD1E-168E-43FD-9D58-8DF230F33C8B} => pcalua.exe -a C:\Users\Zajace4\AppData\Roaming\istartsurf\UninstallManager.exe -c -ptid=tugs Task: {FCB977F7-DC72-4C50-B2EE-EFB1013A1BA5} - System32\Tasks\{0EEE5834-5F1F-4BD2-A784-BD83551DDE51} => pcalua.exe -a C:\Users\Zajace4\AppData\Local\Temp\Temp1_realtek_web_camera_6_2_9200_10279_driver.zip\Realtek_PC_Camera_6.2.9200.10279\setup.exe Task: C:\WINDOWS\Tasks\DriverToolkit Autorun.job => C:\Program Files (x86)\DriverToolkit\DriverToolkit.exe S3 RimUsb; \SystemRoot\System32\Drivers\RimUsb_AMD64.sys [X] HKLM\...\Policies\Explorer\Run: [btvStack] => C:\Program Files (x86)\Dell Wireless\Bluetooth Suite\BtvStack.exe HKU\S-1-5-21-60943337-3696856479-3242954001-1001\...\MountPoints2: {be24ee16-c6d7-11e5-82d9-4cbb5838f9b9} - "C:\WINDOWS\system32\RunDLL32.EXE" Shell32.DLL,ShellExec_RunDLL G:\Start.exe RemoveDirectory: C:\ProgramData\nWdMn RemoveDirectory: C:\Users\Zajace4\AppData\Roaming\TSv C:\Program Files (x86)\SSFK.exe C:\ProgramData\{262E20B8-6E20-4CEF-B1FD-D022AB1085F5}.dat C:\Users\Zajace4\AppData\Roaming\Q9T589iNTvVbOCsef0wBnTR C:\Users\Zajace4\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Picexa.lnk C:\Users\Zajace4\Desktop\Basia\Edilingua Progetto italiano 1.lnk C:\Users\Zajace4\Desktop\MAREK\E-PM2 Instrukcja obsługi.lnk C:\Users\Zajace4\Desktop\NASZE AUTA\Lightroom 4.3.lnk C:\Windows\SysWOW64\pl.html C:\Windows\SysWOW64\pl7.exe DeleteKey: HKCU\Software\1Q1F1S1C1P1E1C1F1N1C1T1H2UtF1E1I DeleteKey: HKCU\Software\dobreprogramy DeleteKey: HKLM\SOFTWARE\Wow6432Node\yoursites123Software Reg: reg delete "HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\CurrentVersion\AppContainer\Storage\microsoft.microsoftedge_8wekyb3d8bbwe\MicrosoftEdge\Protected - It is a violation of Windows Policy to modify. See aka.ms/browserpolicy" /v ProtectedHomepages /f Reg: reg delete "HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\CurrentVersion\AppContainer\Storage\microsoft.microsoftedge_8wekyb3d8bbwe\MicrosoftEdge\Protected - It is a violation of Windows Policy to modify. See aka.ms/browserpolicy" /v ProtectedSearchScopes /f Reg: reg delete "HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\CurrentVersion\AppContainer\Storage\microsoft.microsoftedge_8wekyb3d8bbwe\MicrosoftEdge\OpenSearch" /f Reg: reg delete "HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\CurrentVersion\AppContainer\Storage\microsoft.microsoftedge_8wekyb3d8bbwe\Children\001\Internet Explorer\DOMStorage\www.yoursites123.com" /f Reg: reg delete "HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\CurrentVersion\AppContainer\Storage\microsoft.microsoftedge_8wekyb3d8bbwe\Children\001\Internet Explorer\DOMStorage\yoursites123.com" /f Reg: reg delete "HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\CurrentVersion\AppContainer\Storage\microsoft.microsoftedge_8wekyb3d8bbwe\Children\001\Internet Explorer\EdpDomStorage\www.yoursites123.com" /f Reg: reg delete "HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\CurrentVersion\AppContainer\Storage\microsoft.microsoftedge_8wekyb3d8bbwe\Children\001\Internet Explorer\EdpDomStorage\yoursites123.com" /f Reg: reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run /v "DAEMON Tools Lite" /f Reg: reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\StartupFolder /v Serviio.lnk /f Reg: reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run /v HotKeysCmds /f Reg: reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run /v IgfxTray /f Reg: reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run /v Persistence /f Reg: reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run /v SBRegRebootCleaner /f Reg: reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run32 /v StartCCC /f Reg: reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run32 /v SunJavaUpdateSched /f Reg: reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\StartupFolder /v "McAfee Security Scan Plus.lnk" /f EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 3. Zrób nowy log FRST z opcji Skanuj (Scan), ponownie z Addition, ale już bez Shortcut. Dołącz też plik fixlog.txt. Potwierdź, że problem nie występuje także w przeglądarce Edge.

ZielonyZoltodziob Opis SpyHunterCleaner jest w przyklejonym: KLIK hailey SpyHunter i problem reklam to dwie odrębne rzeczy. SpyHunter został już w dostateczny sposób usunięty, jedynie szczątki pozostały, których usunięcie nie przedstawia trudności. Natomiast reklamy (zapewne "PriceFountain") produkuje szkodliwe zadanie JULIACongenialityModulatorV2 w Harmonogramie. Operacje do przeprowadzenia: 1. Otwórz Notatnik i wklej w nim: CloseProcesses: CreateRestorePoint: Task: {0628219F-B4E4-4B3A-9BC9-91A260A3CFD2} - System32\Tasks\JULIACongenialityModulatorV2 => Rundll32.exe MailedAppointment.dll,main 7 1 Task: {3DC51A31-4AC8-4412-B631-0379CD0D0B09} - System32\Tasks\AVAST Software\Avast settings backup => C:\Program Files\Common Files\AV\avast! Antivirus\backup.exe [2016-01-21] (AVAST Software) S3 EsgScanner; C:\Windows\System32\DRIVERS\EsgScanner.sys [22704 2016-01-27] () C:\WINDOWS\system32\Drivers\EsgScanner.sys S2 0073281453489422mcinstcleanup; C:\WINDOWS\TEMP\007328~1.EXE -cleanup -nolog [X] S2 PrivoxyService; "C:\Program Files (x86)\Softcomp Software\privoxy.exe" --service [X] S2 SpyHunter 4 Service; C:\Program Files\Enigma Software Group\SpyHunter\SH4Service.exe [X] S2 TDataSvr; C:\Program Files (x86)\TDataDld\TData.exe [X] HKU\S-1-5-21-204455593-1543837664-2498303104-1001\...\Run: [EA Core] => "C:\Program Files (x86)\Electronic Arts\EADM\Core.exe" -silent ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => Brak pliku HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = about:blank HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = hxxps://www.google.com/search?trackid=sp-006&q={searchTerms} HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = HKU\S-1-5-21-204455593-1543837664-2498303104-1001\Software\Microsoft\Internet Explorer\Main,Search Page = hxxps://www.google.com/search?trackid=sp-006&q={searchTerms} HKU\S-1-5-21-204455593-1543837664-2498303104-1001\Software\Microsoft\Internet Explorer\Main,Search Bar = hxxps://www.google.com/?trackid=sp-006 SearchScopes: HKLM-x32 -> {E9410C70-B6AE-41FF-AB71-32F4B279EA5F} URL = hxxps://www.google.com/search?trackid=sp-006&q={searchTerms} SearchScopes: HKU\S-1-5-21-204455593-1543837664-2498303104-1001 -> {306586E7-F494-4E28-96D7-E8E9E9F6C4E5} URL = SearchScopes: HKU\S-1-5-21-204455593-1543837664-2498303104-1001 -> {E9410C70-B6AE-41FF-AB71-32F4B279EA5F} URL = hxxps://www.google.com/search?trackid=sp-006&q={searchTerms} RemoveDirectory: C:\AdwCleaner RemoveDirectory: C:\Program Files\Common Files\AV\avast! Antivirus RemoveDirectory: C:\ProgramData\AVAST Software RemoveDirectory: C:\sh4ldr RemoveDirectory: C:\Users\JULIA\AppData\Local\CongenialityModulator RemoveDirectory: C:\Users\JULIA\AppData\Roaming\Enigma Software Group RemoveDirectory: C:\Users\JULIA\Start Menu\Programs\SpyHunter DisableService: PLAY ONLINE. RunOuc DeleteKey: HKCU\Software\1Q1F1S1C1P1E1C1F1N1C1T1H2UtF1E1I DeleteKey: HKCU\Software\dobreprogramy DeleteKey: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2 Reg: reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\StartupFolder /v "Orange - Anydata ADU890-W.lnk" /f CMD: type C:\ProgramData\MakeMarkerFile.xml EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 2. Zrób nowy log FRST z opcji Skanuj (Scan), ponownie z Addition, ale już bez Shortcut. Dołącz też plik fixlog.txt.

PriceFountain jest produkowane przez szkodliwe zadanie TincturedDecreasingV2 w Harmonogramie zadań. Akcje do przeprowadzenia: 1. Odinstaluj starą dziurawą wersję Adobe Reader 9.5.0 - Polish oraz zbędny program AVG Web TuneUp ingerujący w ustawienia przeglądarek. 2. Otwórz Notatnik i wklej w nim: CloseProcesses: CreateRestorePoint: Task: {795CA5C0-DF42-4C2E-A272-0F2A09CF0B98} - System32\Tasks\DriverToolkit Autorun => C:\Program Files\DriverToolkit\DriverToolkit.exe Task: {7BC556FD-585F-47E9-9286-FEE035D8FA94} - System32\Tasks\TincturedDecreasingV2 => Rundll32.exe SentimentalizedImpacted.dll,main 7 1 <==== UWAGA Task: {B18C1B1B-66D8-45A9-BD45-95A4DCB5792A} - System32\Tasks\1214tbUpdateInfo => C:\ProgramData\Avg_Update_1214tb\1214tb_{6E736F8E-7688-47D7-9B93-39A15E737EE9}.exe Task: {E2E9C883-EE34-4F56-A953-C68A0417947D} - System32\Tasks\1014avUpdateInfo => C:\ProgramData\Avg_Update_1014av\1014av_AVG-Secure-Search-Update.exe Task: C:\Windows\Tasks\1014avUpdateInfo.job => C:\ProgramData\Avg_Update_1014av\1014av_AVG-Secure-Search-Update.exe Task: C:\Windows\Tasks\1214tbUpdateInfo.job => C:\ProgramData\Avg_Update_1214tb\1214tb_{6E736F8E-7688-47D7-9B93-39A15E737EE9}.exe Task: C:\Windows\Tasks\DriverToolkit Autorun.job => C:\Program Files\DriverToolkit\DriverToolkit.exe HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = HKU\S-1-5-21-2719465852-3426311980-2357578415-1000\Software\Microsoft\Internet Explorer\Main,Start Page = hxxps://mysearch.avg.com/?cid={6B66D168-052E-4A00-95EB-471569A79436}&mid=dabe29e0b13e47cda778d1532d05bef6-245c998230084cfb8bba3e7a53fc90f26f927dea&lang=pl&ds=AVG&coid=avgtbavg&cmpid=1214av&pr=fr&d=2014-12-17 22:41:40&v=4.2.1.951&pid=wtu&sg=&sap=hp C:\Users\Public\Desktop\DriverToolkit.lnk RemoveDirectory: C:\AdwCleaner RemoveDirectory: C:\_OTL RemoveDirectory: C:\Users\adm\AppData\Local\TincturedDecreasing DeleteKey: HKCU\Software\1Q1F1S1C1P1E1C1F1N1C1T1H2UtF1E1I DeleteKey: HKCU\Software\dobreprogramy DeleteKey: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2 DeleteKey: HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg DeleteKey: HKLM\SOFTWARE\MozillaPlugins DisableService: Internet Manager. RunOuc EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 3. Napraw uszkodzony specjalny skrót IE. W pasku eksploratora wklej poniższą ścieżkę i ENTER: C:\Users\adm\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools Prawoklik na zlokalizowany tam skrót Internet explorer (bez dodatków) > Właściwości > w polu Element docelowy po ścieżce "C:\Program Files\Internet Explorer\iexplore.exe" dopisz dwie spacje i -extoff 4. Zrób nowy log FRST z opcji Skanuj (Scan), ponownie z Addition, ale już bez Shortcut. Dołącz też plik fixlog.txt.

Opisz dokładniej problemy, rozwiń "dziwne działanie" oraz podaj dokładny błąd Windows Update. W kwestii raportów: Na temat używania ComboFix: KLIK. Logi z przestarzałego OTL w ogóle tu nie są już brane pod uwagę, usuwam. Podane tu logi FRST są bezużyteczne, pochodzą z mega-archaicznej wersji FRST z roku 2014! Od tego czasu było kilkaset aktualizacji... Proszę dostarczyć poprawne raporty z najnowszych wersji FRST i GMER.

Skoro użyłeś SUPERAntispyware, to należy przedstawić co usuwał oraz zrobić nowe raporty FRST (poprzednie są już nieaktualne po zastosowaniu aplikacji usuwającej coś z systemu).

Dostarczony raport Addition nie jest poprawny. To stary log sprzed wielu miesięcy wyciągnięty z archiwum C:\FRST\Logs. Bieżący log powstaje zawsze tam skąd uruchamiasz FRST, czyli w tym przypadku C:\Users\Agnieszka\Downloads. Proszę o wygenerowanie nowego poprawnego raportu Addition. EDIT: Log dostarczony. Posty połączyłam, podmieniając załączniki. Log Addition znów wyciągnięty z folderu C:\FRST\Logs. Nie grzeb tam. Już mówiłam gdzie jest log bieżący. W systemie widać aktywny niepożądany program YAC (Yet Another Cleaner), który m.in. okazał się złodziejem cudzej bazy danych: KLIK. I to prawdopodobnie on jest przyczyną degradacji wydajności. W Addition i Shortcut nie widać w ogóle wejść deinstalacyjnych tego dziadostwa, więc pozostaje usunięcie na siłę. Operacja będzie wymagała przejścia w Tryb awaryjny. 1. Przygotuj skrypt naprawczy. Otwórz Notatnik i wklej w nim: CloseProcesses: R2 iSafeService; C:\Program Files (x86)\Elex-tech\YAC\iSafeSvc.exe [118048 2015-07-24] (Elex do Brasil Participações Ltda) R1 iSafeKrnl; C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnl.sys [260856 2015-05-14] (Elex do Brasil Participações Ltda) R1 iSafeKrnlKit; C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlKit.sys [110112 2015-07-24] (Elex do Brasil Participações Ltda) R1 iSafeKrnlMon; C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlMon.sys [52440 2015-07-24] (Elex do Brasil Participações Ltda) R1 iSafeKrnlR3; C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlR3.sys [103904 2015-07-24] (Elex do Brasil Participações Ltda) R1 iSafeNetFilter; C:\Windows\System32\DRIVERS\iSafeNetFilter.sys [52392 2015-06-30] (Elex do Brasil Participações Ltda) S3 BTATH_LWFLT; \SystemRoot\system32\DRIVERS\btath_lwflt.sys [X] Task: {0B0666DC-F078-4745-AFAF-D510A19EBA75} - System32\Tasks\{72DDDCE0-2FAD-4A5C-AF53-0A2D1C1A531A} => pcalua.exe -a D:\setup.exe -d D:\ Task: {334A6D81-A264-4CF9-83B6-2361FE292CCC} - System32\Tasks\{E27EADEE-C703-4BF1-85EC-96DB0026EBE1} => Iexplore.exe hxxp://ui.skype.com/ui/0/7.13.0.101/pl/abandoninstall?source=lightinstaller&amp;page=tsInstall HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ograniczenia <======= UWAGA FF Plugin-x32: @mcafee.com/McAfeeMssPlugin -> C:\Program Files (x86)\Sony\MSS\3.8.130\npMcAfeeMss.dll [Brak pliku] FF Plugin HKU\S-1-5-21-1266647216-2071126190-593478351-1001: intel.com/AppUp -> C:\Program Files (x86)\Intel\IntelAppStore\bin\npAppUp.dll [Brak pliku] FF HKLM-x32\...\Firefox\Extensions: [arthurj8283@gmail.com] - C:\Users\Agnieszka\AppData\Roaming\Mozilla\Firefox\Profiles\cv1ghmd1.default-1445733495372\extensions\arthurj8283@gmail.com C:\Program Files (x86)\Elex-tech C:\ProgramData\Microsoft\Windows\GameExplorer\{977b5905-4d14-47f1-bbbf-7b92f596695d} C:\Users\Agnieszka\AppData\Roaming\Microsoft\Windows\SendTo\YAC Desktop.lnk C:\Users\Agnieszka\Pictures\R-obrazy\Stary_komp\2-comp\Sample Pictures.lnk C:\Windows\System32\drivers\iSafeNetFilter.sys DisableService: PLAY ONLINE. RunOuc Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt w katalogu Pobrane, gdzie jest FRST. 2. Klawisz z flagą Windows + I > Zmień ustawienia komputera > Aktualizacja i odzyskiwanie > Odzyskiwanie > Uruchamianie zaawansowane > Uruchom teraz. System zostanie zresetowany i pojawi się nowe menu startowe. Wybierz po kolei Rozwiąż problemy > Opcje zaawansowane > Ustawienia uruchamiania > Tryb awaryjny. 3. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart, opuść Tryb awaryjny. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 4. Odinstaluj stare niebezpieczne wersje Java 7 Update 5 (64-bit), Java 7 Update 5. 5. Dodatkowo wyczyść także Firefox ze śmieci: Odłącz synchronizację (o ile włączona): KLIK. Menu Pomoc > Informacje dla pomocy technicznej > Odśwież program Firefox. Zakładki i hasła nie zostaną naruszone, ale używane rozszerzenia trzeba będzie przeinstalować. Menu Historia > Wyczyść całą historię przeglądania. 6. Zrób nowy log FRST z opcji Skanuj (Scan), już bez Addition i Shortcut. Dołącz też plik fixlog.txt. Wypowiedz się czy jest poprawa w działaniu systemu.

Raporty FRST niepoprawnie skonfigurowane, wytyczne na forum wyraźnie mówią, by nie zaznaczać opcji: "Lista BCD", "MD5 sterowników", "Pliki z 90 dni". Akcje do wykonania: 1. Otwórz Notatnik i wklej w nim: CloseProcesses: CreateRestorePoint: Task: {0995884D-B248-47DA-A15D-937EA5438FAF} - System32\Tasks\AVGPCTuneUp_Task_BkGndMaintenance => C:\Program Files\AVG\AVG PC TuneUp\tuscanx.exe Task: {7F12A36F-0D89-4013-875F-BDD7BBAC6065} - System32\Tasks\{B508DDE1-48D0-4BF3-A2CE-016BA12C201D} => pcalua.exe -a F:\UANC22-driver\SETUP\PL2502NW_v20044.exe -d F:\UANC22-driver\SETUP Task: {8AA444DF-2D8C-4D22-A990-AC6AD11E34F7} - System32\Tasks\MateuszEntrenchingComplicatorV2 => Rundll32.exe SupersederFlocculus.dll,main 7 1 <==== UWAGA Task: {8D482812-6710-486F-94F8-968963EF4992} - System32\Tasks\ALLPlayer => C:\Program Files\ALLPlayer\ALLPlayer\ALLUpdate.exe Task: {A73150AD-ED4D-47CB-A8BD-9D6664D92B73} - System32\Tasks\{E1FEA523-5F35-4DAB-95B5-6F6F37001039} => pcalua.exe -a C:\Users\Mateusz\Desktop\FR11_PE_976_1.exe -d "C:\Program Files\Mozilla Firefox" Task: {A7A46018-BCC4-495A-93BC-76B9E31BD41C} - \Program aktualizacji online firmy Adobe. -> Brak pliku <==== UWAGA Task: {BF84306E-A23E-4797-856F-BE667BD721A2} - System32\Tasks\{7EC03BE2-4D6D-41BB-A90F-BCCD08C92A4F} => pcalua.exe -a "C:\Users\Mateusz\Documents\Studia\Semestr 3\winQSB\winqsbinstall1\winqsbinstall\Full\SETUP.EXE" -d "C:\Users\Mateusz\Documents\Studia\Semestr 3\winQSB\winqsbinstall1\winqsbinstall\Full" Task: {E0343005-69A5-4B64-AD94-1508CE792AAE} - System32\Tasks\{37B373FC-9321-4091-9258-DCC8A2747AC0} => pcalua.exe -a F:\setup.exe -d F:\ Task: {F2280471-40CE-4EDE-A379-AFFAB73FDDD7} - System32\Tasks\Java Platform SE Auto Updater => C:\Program Files\Common Files\Java\Java Update\jusched.exe ShellIconOverlayIdentifiers: [Uchwyt nakładania ikony podpisu cyfrowego] -> {36A21736-36C2-4C11-8ACB-D4136F2B57BD} => Brak pliku BHO: IplexToALLPlayer -> {DF925EF3-7A87-44E4-9CAF-8D7B280BF616} -> C:\PROGRA~1\ALLPLA~1\ALLPLA~1\Iplex\IPLEXT~1.DLL => Brak pliku HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.google.com HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.google.com FF HKLM\...\Firefox\Extensions: [{20a82645-c095-46ed-80e3-08825760534b}] - c:\Windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension S3 hwdatacard; system32\DRIVERS\ewusbmdm.sys [X] R2 yksvc; RUNDLL32.EXE ykx32coinst,serviceStartProc [X] DeleteKey: HKCU\Software\1Q1F1S1C1P1E1C1F1N1C1T1H2UtF1E1I DeleteKey: HKCU\Software\dobreprogramy DeleteKey: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2 DeleteKey: HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes DeleteKey: HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes DeleteKey: HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes RemoveDirectory: C:\AdwCleaner RemoveDirectory: C:\Program Files\Java RemoveDirectory: C:\Program Files\Mozilla Firefox\extensions RemoveDirectory: C:\Program Files\Mozilla Firefox\plugins RemoveDirectory: C:\Program Files\TweakRAM RemoveDirectory: C:\ProgramData\Oracle RemoveDirectory: C:\Users\Mateusz\.oracle_jre_usage RemoveDirectory: C:\Users\Mateusz\AppData\Local\EntrenchingComplicator RemoveDirectory: C:\Users\Mateusz\AppData\Local\GG RemoveDirectory: C:\Users\Mateusz\AppData\Local\Microsoft\Windows\GameExplorer\{F40CF5EE-03EF-475A-8B5F-2CCEA602D727} RemoveDirectory: C:\Users\Mateusz\AppData\Roaming\Mozilla\Firefox\Profiles\kafu6lnp.default RemoveDirectory: C:\Users\Mateusz\Desktop\Stare dane programu Firefox RemoveDirectory: C:\Windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ALLPlayer\ALLPlayer Skin Creator.lnk C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ALLPlayer\Strona WWW programu ALLPlayer V5.X.lnk C:\Users\Mateusz\AppData\Roaming\Microsoft\Office\Niedawny\*.LNK C:\Users\Mateusz\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\ALLPlayer.TV.lnk C:\Users\Mateusz\Documents\Studia\I stopień\Programy\Autodesk Inventor\*.lnk C:\Users\Mateusz\Documents\Studia\II stopień\Semestr 1\SEMESTR VIII - I mgr\deptula - program\Dokumentacja\*.lnk C:\Users\Mateusz\Favorites\GG dysk.lnk CMD: netsh advfirewall reset EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 2. Zrób nowy log FRST z opcji Skanuj (Scan), ponownie z Addition, ale już bez Shortcut. Dołącz też plik fixlog.txt.