Wirus konkursowy supersavings.wriless.com/home.html

[kangurian]

Dobry wieczór,

Jestem tutaj nowa i zupelnie zielona w temacie. Od kilku miesiecy mam problem z wirusem zwiazanym z przegladarkami. Kilka miesiecy temu zaatakowal mi Mozille i Internet Explorera.

Obie przegladarki wyrzucilam. Sciagnelam z drugiego komputera nowa wersje Mozilli Firefoxa, Chrome i Opere, przeskanowalam caly komputer i na moment bylo ok.

Internet Explorer nie dal sie kompletnie wyrzucic i po jakims czasie nowe przegladarki zostaly znow zainfekowane. Najpier Firefox, pozniej Opera, na koncu poddal sie Chrome.

Komputer przeskanowalam, znalazl mi dosc duzo wirusow, ktore usunelam. Odbylo sie to na poczatku pazdziernika.

Zainstalowalam trialowa wersje Kasperskiego. Antywirus informuje mnie o jakims zlosliwym oprogramowaniu na moim komputerze, ale niczego nie znajduje, kiedy skanuje kompa.

 

Wirus dziala tak, ze kilka minut po uruchomieniu przegladarki, kiedy kliknie sie gdzies na stronie, np. zeby sie zalogowac sie do poczty,

albo przeczytac wybrany artykul, otwiera strone z konkursem, w ktorym mozna cos wygrac. Strony te otwieraja sie co kilka klikniec. Komputer pracuje wolno, dlugo otwiera poczte.

Jest to uciazliwe. Po usunieciu wirusow skanowalam komputer i nie wykryto zadnego wirusa. Zas przegladarki szaleja.

W Operze nie mozna otworzyc google.com, bo pojawia sie informacja o hasle, ktore trzeba wpisac (dolaczony obrazek).

Strone na Chromie zablokowalam, wiec wyskakuje mi zamiast konkursu informacja o bloku (zalaczony obrazek): chrome-extension://eiimnmioipafcokbfikbljfdeojpcgbh/blocked.html

Wrzucam logi.

Bardzo prosze o pomoc!

Z gory dziekuje!

mbam-log-2013-10-01 (02-23-46).txt

mbam-log-2013-10-01 (07-29-38).txt

mbam-log-2013-10-01 (07-51-35).txt

mbam-log-2013-10-03 (16-40-01).txt

[muzyk75]

Przeczytaj pierwszy temat:  WAŻNE - Zakładanie tematu: obowiązkowe logi   i załącz wymagane logi z OTL, FRST, GMER.

Logi załącz w ten sposób: wejdź w swój temat na dole kliknij "więcej opcji" następnie "przeglądaj" , znajdujesz plik z logiem ( będzie tam gdzie ikona OTL lub FRST na którą klikniesz,  aby uruchomić dany program ) i klikasz "załącz ten plik". Jak już załączysz wszystkie wymagane logi kliknij "dodaj odpowiedź"

 

 W logu MBAM masz śmieci ( paski dodatki do przeglądarek ) Babylon, Delta. Wejdź w "Panel sterowania" --> "Programy i funkcje" i je odinstaluj.

 Załącz wymagane logi- to ważne.

[kangurian]

Dziękuję za szybką odpowiedź! Dodaje logi.

Przy skanowaniu GMER wczoraj, mialam bardzo duzo wynikow. Zostawilam go na noc, zeby skanowal. Rano sie okazalo, ze sie zresetowal.

Dzisiaj rano chcialam powtorzyc pelne skanowanie Gmer, ale po kilku minutach wyskoczyl mi niebieski ekran z informacja (dolaczony obrazek).

Nie mam pelnego logu ze skanowania GMER, dolaczam ten po szybkim skanie.

Z gory dziekuje za pomoc!

Addition.txt

Extras.Txt

FRST.txt

GMER szybki skan.txt

OTL.Txt

[muzyk75]

W logach masz coś takiego:

HKLM\...D6A79037F57F\InprocServer32: [Default-fastprox]  ATTENTION! ====> ZeroAccess?

HKCU\...409d6c4515e9\InprocServer32: [Default-shell32] C:\$Recycle.Bin\S-1-5-21-1177522938-3192551413-1856643698-1000\$8223fa178a103d7c5e0f7d0d7b538a54\n. ATTENTION! ====> ZeroAccess?

FF user.js: detected! => C:\Users\Smok\AppData\Roaming\Mozilla\Firefox\Profiles\j70xgtgz.default\user.js

 

Pobierz Kaspersky TDSSKiller z "Dział pomocy doraźnej"-->"Dezynfekcja: zbiór narzędzi usuwających"-->"Pobierz" i postępuj zgodnie z instrukcjami zawartymi w opisie.

 

HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.searchgol.com/?babsrc=HP_ss&mntrId=E42FF2DF9A8B4D52&affID=125035&tsp=5025

SearchScopes: HKCU - {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} URL = http://www1.delta-search.com/?q={searchTerms}&affID=119776&babsrc=SP_ss&mntrId=E42FF2DF9A8B4D52

FF NewTab: hxxp://www.searchgol.com/?babsrc=NT_ss&mntrId=E42FF2DF9A8B4D52&affID=125035&tsp=5025

FF Homepage: hxxp://www.searchgol.com/?babsrc=HP_ss&mntrId=E42FF2DF9A8B4D52&affID=125035&tsp=5025

CHR HomePage: hxxp://www.searchgol.com/?babsrc=HP_ss&mntrId=E42FF2DF9A8B4D52&affID=125035&tsp=5025

CHR RestoreOnStartup: "hxxp://www.searchgol.com/?babsrc=HP_ss&mntrId=E42FF2DF9A8B4D52&affID=125035&tsp=5025"

Otwórz Notatnik i wklej w nim to co w cytacie. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie log. To co wykonasz ma usunąć tylko śmieci z przeglądarek.

 

Pobierz AdwCleaner. Po uruchomieniu kliknij "szukaj", po zakończeniu skanu "usuń". Reset komputera.

 

Pobierz TFC - Temp Cleaner. Naciśnij "start" i rozpocznie się usuwanie plików tymczasowych.

 

Zaktualizuj Java do wersji 7u45 (masz wersję 6), Adobe Reader do wersji 11, przeglądarki FF, IE, Chrome, Opera.

 

Wykonaj nowe logi FRST, OTL i poczekaj na @Picasso ona ma tutaj głos decydujący. Sprawdzi to wszystko jeszcze raz i powie co i jak.

[kangurian]

Wykonałam zalecane czynności (oprócz aktualizacji Opery i Adobe Readera; nie powiodła się również instalacja Internet Explorera -  pojawił się komunikat, że najnowsza wersja przeglądarki już znajduje się na komputerze). Zrobiłam nowe logi. Próbowałam zrobić pełen Gmer, ale po 4h znów wywaliło niebieski ekran. Dołączam więc skan skrócony.

W końcu nie wyskakują mi już zadne okienka reklamowe, ufff. Choć internet działa po tym wywaleniu i resecie dość wolno. Pojawily sie tez problemy z Kasperskim, ktory wysylal podobny komunikat od kilku dni, ale dzis zawisl na amen (obrazek).

 

FRST 2.txt

Gmer krotki skan2.txt

OTL 2.Txt

[jessica]

Źle trafiłaś, bo @Picasso nie ma teraz możliwości zbyt dużo czasu poświęcać na pomaganie (kłopoty osobiste)

 

HKCU\...409d6c4515e9\InprocServer32: [Default-shell32] C:\$Recycle.Bin\S-1-5-21-1177522938-3192551413-1856643698-1000\$8223fa178a103d7c5e0f7d0d7b538a54\n. ATTENTION! ====> ZeroAccess?

Brak logu z TDSSKiller'a, ale na pewno nie wszystko usunął. Te, wg mnie, też będą do usunięcia:

 

[2012/12/07 21:12:19 | 000,000,000 | ---D | M] -- C:\Users\Smok\AppData\Roaming\Innyeb

[2012/12/07 21:13:08 | 000,000,000 | ---D | M] -- C:\Users\Smok\AppData\Roaming\Iqivq

[2012/12/07 21:11:45 | 000,000,000 | ---D | M] -- C:\Users\Smok\AppData\Roaming\Nonugu

1) Użyj RogueKiller. Kliknij w nim SCAN, a po wyszukaniu szkodliwych rzeczy kliknij DELETE. Pokaż oba raporty z niego.

 

2) Zrób log z Farbar Service Scanner.

 

3) Zrób nowe logi z FRST.

 

Potem pozostanie tylko czekanie na @Picasso....

 

jessi

[muzyk75]

Wykonaj wszystko co napisałą @jessi. TDSSKiller - najpierw odinstaluj DAEMON Tools Lite ( to oprogramowanie emulujące napędy ), bez tego praca i log z TDSSKiller nie będą właściwe. Odinstalowanie: Panel sterowania-->Programy i funkcje

Używasz tego: G Data BankGuard   ?

 Kaspersky wykonał automatyczny zrzut procesów i pyta czy wysłać je do analizy Kaspersky Lab - kliknij "anuluj". Musisz mieć nr zgłoszenia, aby ta operacja się powiodła.

 Uruchomienie GMER - przypuszczam że blokuje go Kaspersky.

 Kliknij na ikonę Kaspersky, na dole:"Ustawienia"-->po lewej str "Centrum ochrony"-->w przewijanym panelu"Zapora sieciowa"-->"Konfiguracja reguł dla aplikacji"-->przewiń listę do "niskiego poziomu ograniczeń"-->poszukaj tu Gmera, będzie miał taką samą nazwę jak Gmer którego uruchamiasz do skanu-->kliknij go prawym przyciskiem myszy-->"Ograniczenia"-->"Zaufane". Przeniesiesz go tym do zaufanych procesów. Teraz spróbuj uruchomić GMER

 

W logu pokazany jest Adobe 9 i 10. Jeżeli masz płatną pełną wersję to sobie zostaw.

Aktualizacja Adobe: wchodzisz na Adobe.com-->pobierz: Adobe Reader 11 i pobierasz instalator. Wcześniej odinstaluj starsze wersje - Odinstalowanie: Panel sterowania-->Programy i funkcje

 

Google Chrome: zresetuj  wtyczeki. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie włącz.

Firefox reset wtyczek: kliknij pomarańczowy napis "Firefox"-->"Pomoc"-->"Informacje dla pomocy technicznej'-->"Resetuj program Firefox"

Teraz załącz logi z FRST, OTL i GMER.

[kangurian]

TDDSKiller pokazal, ze nic nie znalazl, jak skanowałam.

Wrzucam reszte logow.

Dzięki!

RKreport0_D_10302013_183226.txt

RKreport0_S_10302013_183125.txt

FSS.txt

FRST.txt

[muzyk75]

Otwórz Notatnik i wklej:

 

HKLM\...\Run: [] - [x]

HKLM\...D6A79037F57F\InprocServer32: [Default-fastprox]  ATTENTION! ====> ZeroAccess?

HKLM-x32\...\Run: [] - [x]

SearchScopes: HKLM - {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =

Toolbar: HKCU - No Name - {759D9886-0C6F-4498-BAB6-4A5F47C6C72F} -  No File

Handler: vnd.ms.radio - {3DA2AA3B-3D96-11D2-9BD2-204C4F4F5020} -  No File

ZeroAccess:

C:\$Recycle.Bin\S-1-5-21-1177522938-3192551413-1856643698-1000\$8223fa178a103d7c5e0f7d0d7b538a54

 

ZeroAccess:

C:\$Recycle.Bin\S-1-5-18\$8223fa178a103d7c5e0f7d0d7b538a54

C:\Users\Smok\AppData\Local\Temp\ntdll_dump.dll

BHO-x32: G Data BankGuard - {BA3295CF-17ED-4F49-9E95-D999A0ADBFDC} - C:\Program Files (x86)\Common Files\G DATA\AVKProxy\BanksafeBHO.dll No File

S3 GDPkIcpt; C:\Windows\system32\drivers\PktIcpt.sys [60320 2013-04-13] (G Data Software AG)

2013-10-01 01:14 - 2012-07-19 21:44 - 00000000 ____D C:\ProgramData\G DATA

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix.

RoqueKiller nie usunął wszystkiego. Zresetuj przeglądarki FF, Chrome - mają kilka starych wtyczek.

 

Wykonaj nowy log FRST.

[kangurian]

W Programach nie moge znaleźć Daemon Tools Lite. Jak wyszukuje na calym kompie, to wyswietlaja mi sie tylko logi OTL.

W sumie nie uzywam G Data BankGuard, ale to wspomnienie po wczesniejszym programie antywirusowym.

Sprawdzilam GMER i znajduje sie on w Zaufanych Kasperskiego, wiec nie musialam tego zmieniac.

Wywalilam Adobe 10, sciagnelam 11 przez wtyczke Chrome, Adobe 9 nigdzie nie widze.

Zresetowalam wtyczki Firefoxa. Chrome nie jestem pewna, nacisnelam Disable a pozniej Enable przy wtyczce.

Po wykonanych dzialaniach zresetowalam kompa. Na pulpicie pojawily mi sie dziwne ikonki (obrazek). Juz tak kiedys mialam, kiedy zaczely mi sie problemy z kompem kilka miesiecy temu i wywalilam wtedy przegladarki, przeskanowalam komputer i ten problem sie juz nie pojawial. Teraz wrocil.

Troche boje sie robic pelnego GMERu, zeby mi znow sie nie zaniebiescil.

Wrzucam logi. W trakcie tych dzialan Kaspersky mi sie strasznie wieszal i generalnie komp dzialal dosc wolno, ale internet dziala mi duzo szybciej.

OTL 3.Txt

szybki GMER.txt

TDSSKiller raport.txt

Fixlog.txt

FRST 4.txt

[muzyk75]

Jak teraz wygląda pulpit?

 

C:\Program Files (x86)\Adobe\Acrobat 9.0\Acrobat\acrobat_sl.exe [38768 2009-10-03] (Adobe Systems Incorporated)

C:\Program Files (x86)\Adobe\Reader 10.0\Reader\Reader_sl.exe"

 

W sumie nie uzywam G Data BankGuard, ale to chyba dodatek do Kasperskiego.

To pozostałość po programie G Data.

 

Wtyczki w przeglądarkach ok.

 

TFC Temp File Cleaner by Oldtimer - wyczyść wszystko raz jeszcze.

 

Jak będą dalsze problemy z GMER to odpuść.

 

RK_Quarantine- na pulpicie - skasuj.

[kangurian]

Wyczyscilam TFC, skasowalam RK. GMERA zapuszcze na noc.

Zresetowalam kompa. Te dziwne ikonki na pulpicie ciagle sa (obrazek). Wczesniej, jak sie pojawialy usuwalam je recznie. Zrobic tak samo teraz?

Na C znajduje sie tez ten dziwny folder (obrazki)

TFC.txt

[muzyk75]

Na zdjęciu, u góry po lewej stronie jest napis "Organizuj"-->"Opcje folderów i wyszukiwania"-->"Widok"-->"Ukryte pliki i foldery"-->"Nie pokazuj ukrytych plików i folderów"-->kliknij "ok"

 

Na C znajduje sie tez ten dziwny folder (obrazki)

Tak prezentują się ukryte foldery. Po wyłączeniu ich widoku powinny zniknąć.

[kangurian]

Probowilam zrobic Gmer. Znow po kilku godzinach wywalil mi niebieski ekran.

Wrzucam logi z szybkiego gmeru.

Po wylaczeniu widoku ukryte foldery z pulpitu zniknely.

Ciagle komputer bardzo wolno pracuje. Czasmi same z siebie otwieraja sie jakies foldery, np. Biblioteka.

szybki gmer 31.10.txt

[muzyk75]

Załącz raz jeszcze nowe logi z OTL i FRST ( FRST pobierz jeszcze raz - jest nowa wersja )

[jessica]

Dodatkowo:

 

1) Pobierz ServicesRepair. Kliknij prawym na pliku ServicesRepair i wybierz Uruchom jako administrator.

 

2) Do Notatnika wklej:

 

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellServiceObjects\{F56F6FDD-AA9D-4618-A949-C1B91AF43B1A}]
"AutoStart"=""

Z Menu Notatnika >> Plik >> Zapisz jako >> Ustaw rozszerzenie na Wszystkie pliki >> Zapisz jako> FIX.REG >> plik uruchom (dwuklik i OK).

 

Zrestartuj komputer.

 

3) Zrób nowy log z FSS.

 

jessi

[kangurian]

Muzyk75 wrzucam nowe logi. Jessica, zrobiłam poniższe i wklejam nowe logi z FSS. Chcialam tez wyslac logi z Svc Repair, ale wyskoczyl komunikat na czerwono, kiedy je wklejalam, ze "nie masz uprawnien do wysylania tego typu plikow".

 

Nie mam juz problemu z wirusem konkursowym, ale cos sie dzieje z systemem. Czy mam zalozyc nowy temat, czy moge pisac w tym?

Probowalam sciagnac i otworzyc plik z rozszerzeniem .wiz i wysloczyl blad. Sciagnelam Registry Recycler i okazalo sie, ze mam ponad 2tys bledow rejestru. Naprawilam je tym programem, zrobilam defragmentacje i jeszcze raz przeskanowalam. Wyskoczylo mi ponad 200 bledow rejestru.

 

Jakis czas temu robilam update BIOSu (sciagniety ze strony Toshiby) i po tym zaczely mi ciagle wyskakowic blokaty dostepu z poziomu kontroli konta, ktore moglam przeklikac. Jest to dosc irytujace. Wiem, ze moge to zablokowac przez ustawienia kontroli konta uzytkownika w panelu sterowania, ale nie wiem dlaczego tak sie dzieje i nie wiem czy to bezpieczne...

 

Martwia mnie te bledy rejestru. Przy ostatnim skanowaniu wyskoczylo mi 266 bledow Empty Registry Keys i 11 bledow COM/Active X Entries.

 

Z gory dziekuje za pomoc!

Extras.Txt

OTL.Txt

FSS.txt

[picasso]

kangurian

 

Kilka zasad pisania postów na początek:

- Proszę nie używaj opcji "Odpowiedz" przy postach, to cytuje cały post. Używaj na spodzie strony pole szybkiej odpowiedzi i opcję Napisz. Cytaty usuwam.

- Jeśli chcesz uzupełnić post, a nikt jeszcze nie odpisał, korzystaj z opcji Edytuj, a nie pisz posta pod postem. Posty sklejam.

 

Dodałaś log z ListParts, zbędny (usuwam). Pobierz najnowszą wersję i zrób ponownie skany FRST, zaznacz pole Addition, by powstał drugi log. Tu jest ciągle nieskończona sprawa z czyszczeniem po infekcji. A RogueKiller wykonał nie do końca poprawną modyfikację.

 

 

W Programach nie moge znaleźć Daemon Tools Lite. Jak wyszukuje na calym kompie, to wyswietlaja mi sie tylko logi OTL.

Po pierwsze: już od pierwszych logów wiadome, że to czego nie było, to właśnie sterowników emulacji, więc instrukcje w ogóle niezasadne. A nawet jeśli program byłby zainstalowany, to on nie występuje w Panelu sterowania, tylko prędzej w Menu Start.

 

 

Na C znajduje sie tez ten dziwny folder (obrazki)

$Recycle.Bin to folder Kosza. To co jest na Pulpicie to tylko wirtualny skrót do tego folderu. Foldery Koszy są tworzone na wszystkich dyskach i wracają po usuwaniu. W środku mają podfoldery o nazwach modelu S-1-... (SID = identyfikatory zabezpieczeń kont w systemie). Foldery są ukryte przez atrybuty HS (ukryty systemowy), dlatego ich widocznością steruje opcja "Ukryj chronione pliki systemu operacyjnego".

 

 

Probowalam sciagnac i otworzyc plik z rozszerzeniem .wiz i wysloczyl blad.

Jaki plik, skąd pobrany, czym otwierany i jaki błąd?

 

 

Sciagnelam Registry Recycler i okazalo sie, ze mam ponad 2tys bledow rejestru. Naprawilam je tym programem, zrobilam defragmentacje i jeszcze raz przeskanowalam. Wyskoczylo mi ponad 200 bledow rejestru.

Od takich naprawiaczy trzymać się z daleka.

 

 

Chcialam tez wyslac logi z Svc Repair, ale wyskoczyl komunikat na czerwono, kiedy je wklejalam, ze "nie masz uprawnien do wysylania tego typu plikow".

Niedozwolony format pliku próbujesz wstawiać. W załącznikach tylko *.TXT jest akceptowane.

 

 

muzyk75

 

CHR HomePage: hxxp://www.searchgol.com/?babsrc=HP_ss&mntrId=E42FF2DF9A8B4D52&affID=125035&tsp=5025

CHR RestoreOnStartup: "hxxp://www.searchgol.com/?babsrc=HP_ss&mntrId=E42FF2DF9A8B4D52&affID=125035&tsp=5025"

 

Skrypty FRST nie przetworzą pliku Preferences Google Chrome. Te opcje konfiguruje się ręcznie na poziomie przeglądarki.

 

 

.

[kangurian]

Dziekuje za odpowiedz!

 

Wrzucam logi z FSRT.

 

Plik, który próbowałam ściągnąć i otworzyć znajduje sie na stronie Marszalka Wojewodztwa Lodzkiego: 

http://www.lodzkie.pl/wps/wcm/connect/lodzkie/zalaczniki/kultura/stypendia/1bd63380423547c1a632a7670f2265c0

Blad, ktory wyskoczyl, to ramka z czerwonym tekstem informujaca o bledzie, ktory uniemozliwa otworzenie pliku wiz. Nie zrobilam print screena, a nie pamietam dokladnie tresci. Blad sie juz nie pojawia. Po przeskanowaniu Registry Recycer i naprawieniu rejestrow przez ten program, udalo mi sie otworzyc i sciagnac plik. Jest to zwykly dokument w wordzie.

 

Addition.txt

FRST.txt

[picasso]

Na początek zacytuję błędy z Dzienika zdarzeń:

 

System errors:

=============

Error: (01/07/2014 10:25:46 PM) (Source: Service Control Manager) (User: )

Description: Nie można załadować następujących sterowników startu rozruchowego lub systemowego:

aiptektp
 

Error: (01/07/2014 10:25:33 PM) (Source: Service Control Manager) (User: )

Description: Nie można uruchomić usługi smp_lpt z powodu następującego błędu:

%%1275
 

Error: (01/07/2014 10:25:33 PM) (Source: Application Popup) (User: )

Description: Ładowanie sterownika \SystemRoot\SysWow64\Drivers\smp_lpt.SYS zostało zablokowane z powodu niezgodności z tym systemem. Skontaktuj się z dostawcą oprogramowania w celu uzyskania zgodnej wersji sterownika.
 

Error: (01/07/2014 09:38:07 PM) (Source: Service Control Manager) (User: )

Description: Usługa Usługa nasłuchująca grup domowych zakończyła działanie; wystąpił specyficzny dla niej błąd %%-2147023143.
 

Application errors:

==================

Error: (01/07/2014 10:25:48 PM) (Source: WinMgmt) (User: )

Description: //./root/CIMV2SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA "Win32_Processor" AND TargetInstance.LoadPercentage > 990x80041003

 

- Mam szczere wątpliwości czy Zapora systemu Windows (naruszona przez infekcję ZeroAccess) została poprawnie odtworzona, gdyż są świeżutkie nagrania w Dzienniku zdarzeń z błędem, który jest charakterystyczny dla niepełnosprawnej Zapory: "Usługa nasłuchująca grup domowych zakończyła działanie". OTL Extras pokazuje golusieńki odczyt ustawień z kluczy Zapory, co jeszcze może nic nie oznaczać (ukryte wpisy domyślne). Skoro FSS jakoby nie notuje braków w tym obszarze, jest możliwe, że uprawnienia nie są poprawne (tego log FSS nie wykaże).

- Sterownik smp_lpt.SYS jest blokowany przez Windows jako niezgodny. Będę go usuwać.

- Windows nie może załadować sterownika AIPTEK Tablet Driver (aiptektp). Nie wiem jak się do tego odnieść.

- Ostatni z błędów relatywny do WMI to małe piwo. Zastosujesz Fix-it korygujący to.

 

 

---

Na razie zostawiam sprawę Zapory. Podaję inne poprawki / korekty:

 

1. Otwórz Notatnik i wklej w nim:

 

S2 smp_lpt; C:\Windows\SysWow64\Drivers\smp_lpt.sys [37928 2007-01-24] (Ross Garner)
C:\Windows\SysWow64\Drivers\smp_lpt.sys
C:\Users\Smok\*.exe
C:\Users\Smok\*.dll
C:\Users\Smok\AppData\Roaming\Innyeb
C:\Users\Smok\AppData\Roaming\Iqivq
C:\Users\Smok\AppData\Roaming\Nonugu
SearchScopes: HKLM - {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
Reg: reg delete HKCU\Software\Classes\clsid\{fbeb8a05-beee-4442-804e-409d6c4515e9} /f
Reg: reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellServiceObjects\{F56F6FDD-AA9D-4618-A949-C1B91AF43B1A} /v AutoStart /t REG_SZ /d "" /f
Reg: reg add "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes" /v DefaultScope /t REG_SZ /d {F917875C-FEF0-4E76-B781-06885B1D926F} /f
Reg: reg delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt.

 

2. W przeglądarkach:

- Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox. Zakładki i hasła nie zostaną naruszone.

- Google Chrome: Zresetuj cache wtyczek. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie Włącz.

 

3. Uruchom narzędzie Fix-it usuwające ów błąd WMI: KB2545227.

 

4. Zrób nowe logi: FRST (bez Addition) + Farbar Service Scanner. Dołącz plik fixlog.txt.

 

 

Jakis czas temu robilam update BIOSu (sciagniety ze strony Toshiby) i po tym zaczely mi ciagle wyskakowic blokaty dostepu z poziomu kontroli konta, ktore moglam przeklikac. Jest to dosc irytujace. Wiem, ze moge to zablokowac przez ustawienia kontroli konta uzytkownika w panelu sterowania, ale nie wiem dlaczego tak sie dzieje i nie wiem czy to bezpieczne...

Opisz dokładnie kiedy to widzisz: podczas startu systemu, czy tylko podczas normalnego używania systemu, gdy uruchamiasz programy ręcznie? Czy przy scenariuszu ze startem systemu na komunikatach UAC jest jakaś określona nazwa pliku? Upgrade BIOS w ogóle nie powiązany. Najprędzej to pochodzi z manipulacji wykonanych przez RogueKiller. Na samym początku miałaś wyłączone UAC (czyli stan niedomyślny):

 

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorAdmin = 0

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: EnableLUA = 0

 

RogueKiller wykrył te ustawienia i zamienił je na domyślne (czyli UAC włączony):

 

¤¤¤ Wpisy w Rejestrze : ¤¤¤

[HJ POL][PUM] HKLM\[...]\System : ConsentPromptBehaviorAdmin (0) -> PODMIENIONO (2)

[HJ POL][PUM] HKLM\[...]\System : EnableLUA (0) -> PODMIENIONO (1)

[HJ POL][PUM] HKLM\[...]\Wow6432Node\[...]\System : ConsentPromptBehaviorAdmin (0) -> PODMIENIONO (2)

[HJ POL][PUM] HKLM\[...]\Wow6432Node\[...]\System : EnableLUA (0) -> PODMIENIONO (1)

 

 

Blad, ktory wyskoczyl, to ramka z czerwonym tekstem informujaca o bledzie, ktory uniemozliwa otworzenie pliku wiz. Nie zrobilam print screena, a nie pamietam dokladnie tresci. Blad sie juz nie pojawia.

Plik na stronie to *.doc, więc komunikat o otwieraniu *.wiz to bardzo dziwna rzecz. Zaszły tu zmiany uniemożliwiające dalszą diagnostykę.

 

 

Przy ostatnim skanowaniu wyskoczylo mi 266 bledow Empty Registry Keys i 11 bledow COM/Active X Entries.

Zapisz raport tekstowy z tego i zaprezentuj.

 

 

 

.

[kangurian]

Wykonalam wszystko. Wrzucam logi.

Komunikat pojawial mi sie przy recznym otwieraniu programu. Wylaczylam UAP recznie, po czym je wlaczylam. Komunikat ciagle sie pojawia, ale duzo rzadziej. Np. kiedy wchodze w konfiguracje ustawienia, zanim uda mi sie wejsc, pojawia sie infoormacja: " Czy chcesz zezwolic nastepujacemu programowi na wprowadzenie zmian na tym komputerze" musze go przeklikac, zeby przejsc dalej. Nie moge zrobic z tego komunikatu print screena.

Wrzucam print screena z ostatniego skanu RR. Nie wiem jak zrobic to w formie tekstowej. Mam nadzieje, ze png bedzie ok?

Fixlog.txt

FRST.txt

FSS.txt

[picasso]

Akcje wykonane. Dwie rzeczy zostały:

- Firefox: coś mnie zaćmiło z tym resetem. Szczątkowy plik adware leży w ścieżce nie obejmowanej resetem. Przez SHIFT+DEL skasuj folder C:\Users\Smok\AppData\Roaming\Mozilla\Firefox\profiles\extensions.

- Zostaje sprawa Zapory. Na razie to zostawiam na potem.

 

 

Komunikat pojawial mi sie przy recznym otwieraniu programu. Wylaczylam UAP recznie, po czym je wlaczylam. Komunikat ciagle sie pojawia, ale duzo rzadziej. Np. kiedy wchodze w konfiguracje ustawienia, zanim uda mi sie wejsc, pojawia sie infoormacja: " Czy chcesz zezwolic nastepujacemu programowi na wprowadzenie zmian na tym komputerze" musze go przeklikac, zeby przejsc dalej. Nie moge zrobic z tego komunikatu print screena.

Ale jakiego programu? I przy włączonym UAC należy się spodziewać takich pytań przy programach, które chcą wykonać modyfikacje na wysokich uprawnieniach.

 

 

Wrzucam print screena z ostatniego skanu RR. Nie wiem jak zrobic to w formie tekstowej. Mam nadzieje, ze png bedzie ok?

Ale to mi nic nie daje. Te statystyki są bezużyteczne. Potrzebuję precyzyjny raport co program widzi i gdzie (pełne ścieżki dostępu), by ocenić, czy aby głupot nie opowiada. Czy nie ma w Scanner lub Settings czegoś o raporcie / zapisie do pliku etc.? Niestety nie znam opcji tego "Recyclera".

 

 

 

.

[kangurian]

Nie moge znalezc nic w calym programie Recyclera, co moglabym sciagnac i dawaloby wiecej informacji. Program pokazuje, ze robi jakis backup tych zmian, ktore mozna odwrocic, ale nie wiem gdzie je zapisuje. W settingu nic nie ma. Jak klikam na link z backupem, to nic sie nie dzieje. Jest nieaktywny.

 

Ten komunikat o zezwoleniu zmian na komputerze pojawial mi sie ciagle. Nie tylko wtedy, kiedy probowalam uruchomic jakis program. Ale np. przy wejsciu w ustawienia komputera. Czegokolwiek bym nie nacisnela to sie pojawial. Teraz pojawia sie troche rzadziej.