Problemy z przywracaniem systemu, podłączeniem urządzeń

[Andman]

Witam.

Zostałem poproszony o założenie tematu w imieniu znajomego.

Sytuacja z laptopem przedstawia się następująco:

- błąd połączenia bezprzewodowego(szczegóły na grafice), brak protokołów TCP. Przy instalacji protokołów odmowa dostępu.Natomiast dostęp do sieci jest.

 

W menedżerze urządzeń po podłączeniu pendriva konflikt w urządzeniach przenośnych. Nie widzi w ogóle telefonów, a po podłączeniu menadżer zgłasza konflikty. Przy próbie aktualizacji tych urządzeń komunikat, że są aktualne.

 

Przywracając system do daty wyświetlany jest komunikat o błędach po przywróceniu systemu.

Został użyty ComboFix, lecz się nie uruchomił. Nie nastąpiła też jego deinstalacja.

 

Proszę o diagnostykę i ewentualną pomoc.

 

 

 

Addition.txt

Shortcut.txt

FRST.txt

[picasso]

Zastrzeżenia na temat raportów:

- Zabrakło raportu z GMER.

- Trzymaj się konfiguracji FRST zaleconej w przyklejony temacie. Sekcje Drivers MD5 i List BCD nie mają być zaznaczone.

- OTL także skonfigurowany inaczej niż zalecone, skonfigurowany na 180 dni, a ma być 30. Ten log i tak usuwam, jest zbyt duży, a nie wnosi nic do sprawy.

 

I nic tu nie wskazuje na to, by problemy miały źródło w infekcji. Pod kątem problemów sieciowych i "Odmowy dostępu" zwracają tu uwagę następujące składniki:

- Odpadkowy archaiczny sterownik pozostawiony po Kasperskym. Wejdź w Tryb awaryjny Windows i zastosuj Kaspersky Remover.

- Sprawdź także wpływ COMODO Internet Security, by go całkowicie wykluczyć jako przyczynę problemów. Do wdrożenia testowa deinstalacja.

 

 

---

Po przeprowadzeniu powyższego zajmij się adware (jest tu bardzo agresywny obiekt "Browser Tab Search by Ask"):

 

1. Otwórz Notatnik i wklej w nim:

 

(SafetyNut Inc) C:\Program Files (x86)\Browser Tab Search by Ask\SafetyNut\SafetyNutManager.exe
(SafetyNut Inc) C:\Program Files (x86)\Browser Tab Search by Ask\SafetyNut\SafetyNutManager.exe
(SafetyNut Inc) C:\Program Files (x86)\Browser Tab Search by Ask\SafetyNut\safetynut.exe
HKLM\...\AppCertDlls: [x86] -> C:\Program Files (x86)\Browser Tab Search by Ask\SafetyNut\safetycrt.dll [489992 2014-05-12] ()
HKLM\...\AppCertDlls: [x64] -> C:\Program Files (x86)\Browser Tab Search by Ask\SafetyNut\x64\safetycrt.dll [664584 2014-05-12] ()
IFEO\bitguard.exe: [Debugger] tasklist.exe
IFEO\bprotect.exe: [Debugger] tasklist.exe
IFEO\bpsvc.exe: [Debugger] tasklist.exe
IFEO\browserdefender.exe: [Debugger] tasklist.exe
IFEO\browserprotect.exe: [Debugger] tasklist.exe
IFEO\browsersafeguard.exe: [Debugger] tasklist.exe
IFEO\dprotectsvc.exe: [Debugger] tasklist.exe
IFEO\jumpflip: [Debugger] tasklist.exe
IFEO\protectedsearch.exe: [Debugger] tasklist.exe
IFEO\searchinstaller.exe: [Debugger] tasklist.exe
IFEO\searchprotection.exe: [Debugger] tasklist.exe
IFEO\searchprotector.exe: [Debugger] tasklist.exe
IFEO\searchsettings.exe: [Debugger] tasklist.exe
IFEO\searchsettings64.exe: [Debugger] tasklist.exe
IFEO\snapdo.exe: [Debugger] tasklist.exe
IFEO\stinst32.exe: [Debugger] tasklist.exe
IFEO\stinst64.exe: [Debugger] tasklist.exe
IFEO\umbrella.exe: [Debugger] tasklist.exe
IFEO\utiljumpflip.exe: [Debugger] tasklist.exe
IFEO\volaro: [Debugger] tasklist.exe
IFEO\vonteera: [Debugger] tasklist.exe
IFEO\websteroids.exe: [Debugger] tasklist.exe
IFEO\websteroidsservice.exe: [Debugger] tasklist.exe
R2 SafetyNutManager; C:\Program Files (x86)\Browser Tab Search by Ask\SafetyNut\SafetyNutManager.exe [3544072 2014-05-12] (SafetyNut Inc)
R1 F06DEFF2-5B9C-490D-910F-35D3A9119622; C:\Program Files (x86)\Browser Tab Search by Ask\SafetyNut\x64\configmgrc1.cfg [36224 2014-05-12] (SafetyNut Inc)
S1 StarOpen; C:\Windows\SysWow64\Drivers\StarOpen.sys [5632 2006-07-24] ()
C:\Windows\SysWow64\Drivers\StarOpen.sys
S3 catchme; \??\C:\ComboFix\catchme.sys [X]
S2 KeyP; SYSTEM32\DRIVERS\KEYP.SYS [X]
S3 nmwcdcx64; system32\drivers\ccdcmbox64.sys [X]
S3 nmwcdnsucx64; system32\drivers\nmwcdnsucx64.sys [X]
S3 nmwcdnsux64; system32\drivers\nmwcdnsux64.sys [X]
S3 nmwcdx64; system32\drivers\ccdcmbx64.sys [X]
S3 pccsmcfd; system32\DRIVERS\pccsmcfdx64.sys [X]
S3 WinRing0_1_2_0; \??\C:\Program Files (x86)\BatteryCare\WinRing0x64.sys [X]
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\MpfService => ""="Service"
Task: {3660812E-9F3C-4339-AB8D-B4256FF0DFD1} - System32\Tasks\SLOW-PCfighter => C:\Program Files\Fighters\SLOW-PCfighter\SLOW-PCfighter64.exe
Task: {7A40FD07-A3DB-40FA-84AF-0BDE364FB477} - \Program aktualizacji online produktu Real Player. No Task File 
Task: {7D42AF1A-730F-4D59-B58F-DCD393D220D9} - System32\Tasks\Driver Robot => C:\Program Files (x86)\Driver Robot\Driver Robot.lnk
Task: {B5A63802-415E-466C-920E-3979336BAE7C} - System32\Tasks\{59C50064-62C2-49CE-9376-F041E61D0CE1} => C:\Program Files (x86)\vag-com-max2000\VagCom-SVO3031a-n.exe
Task: {E9D4ABBD-D1DA-4C7B-AC8B-195AF83BC020} - System32\Tasks\McQcModifier-5c47-a7b0 => C:\ProgramData\McQcModifier-5c47-a7b0\McQcModifier-5c47-a7b0.cmd [2009-08-29] ()
Task: {FA905027-001E-40DD-A09D-E7182D705B58} - System32\Tasks\SLOW-PCfighter64 => C:\Program Files\Fighters\SLOW-PCfighter\SLOW-PCfighter64.exe
HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.search.ask.com/?o=APN11459&gct=hp&d=488-209&v=a12627-338&t=4
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Secondary Start Pages =
StartMenuInternet: IEXPLORE.EXE - C:\Program Files (x86)\Internet Explorer\iexplore.exe
SearchScopes: HKLM - DefaultScope value is missing.
SearchScopes: HKLM - {9BB47C17-9C68-4BB3-B188-DD9AF0FD2488} URL = http://dts.search.ask.com/sr?src=ieb&gct=ds&appid=209&systemid=488&v=a12627-338&apn_uid=2591851358814523&apn_dtid=TCH001&o=APN11459&apn_ptnrs=AG1&q={searchTerms}
SearchScopes: HKLM-x32 - {9BB47C17-9C68-4BB3-B188-DD9AF0FD2488} URL = http://dts.search.ask.com/sr?src=ieb&gct=ds&appid=209&systemid=488&v=a12627-338&apn_uid=2591851358814523&apn_dtid=TCH001&o=APN11459&apn_ptnrs=AG1&q={searchTerms}
SearchScopes: HKCU - DefaultScope {E4B106E2-C3F2-4098-9E9C-3A6217EF71D6} URL = http://search.yahoo.com/search?fr=chr-greentree_ie&ei=utf-8&ilc=12&type=800236&p={searchTerms}
SearchScopes: HKCU - {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} URL = http://www2.delta-search.com/?q={searchTerms}&affID=119816&tt=gc_&babsrc=SP_ss&mntrId=E44F761A042FE497
SearchScopes: HKCU - {8E307E27-13D6-4FCF-B144-0AF90D3B315F} URL = http://pl.search.yahoo.com/search?p={searchTerms}&fr=chr-comodo
SearchScopes: HKCU - {9BB47C17-9C68-4BB3-B188-DD9AF0FD2488} URL = http://dts.search.ask.com/sr?src=ieb&gct=ds&appid=209&systemid=488&v=a12627-338&apn_uid=2591851358814523&apn_dtid=TCH001&o=APN11459&apn_ptnrs=AG1&q={searchTerms}
SearchScopes: HKCU - {E4B106E2-C3F2-4098-9E9C-3A6217EF71D6} URL = http://search.yahoo.com/search?fr=chr-greentree_ie&ei=utf-8&ilc=12&type=800236&p={searchTerms}
FF Plugin-x32: @microsoft.com/WLPG,version=15.4.3502.0922 - C:\Program Files (x86)\Windows Live\Photo Gallery\NPWLPG.dll No File
FF Plugin HKCU: @Skype Limited.com/Facebook Video Calling Plugin - C:\Users\Seweryn\AppData\Local\Facebook\Video\Skype\npFacebookVideoCalling.dll No File
FF SearchPlugin: C:\Program Files (x86)\mozilla firefox\browser\searchplugins\Ask.xml
C:\Users\Seweryn\AppData\Local\AdTrustMedia
C:\Users\Seweryn\AppData\Roaming\AVG
Reg: reg delete HKCU\Software\Google /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Google /f
Reboot:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Przejdź w Tryb awaryjny Windows. Uruchom FRST i kliknij w Fix. System zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Opuść Tryb awaryjny. Przez Panel sterowania odinstaluj adware Browser Tab Search by Ask for Firefox.

 

3. Wyczyść Firefox:

• menu Historia > Wyczyść historię przeglądania
• menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox. Zakładki i hasła nie zostaną naruszone.

4. Uruchom AdwCleaner. Zastosuj Szukaj, a po tym Usuń. Powstanie folder C:\AdwCleaner z raportem z usuwania.

 

5. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt i log z AdwCleaner.

 

 

 

.

[Andman]

Czynności wykonane.

Stan obecny wygląda następująco:

- konflikty w menadżerze urządzeń zniknęły;

- jedna ważna aktualizacja nie mogła zostać zainstalowana (szczegóły grafika);

- w ramach aktualizacji został pobrany Microsoft Security Essentials (bez świadomego udziału użytkownika);

- urządzenia przenośne są rozpoznawane;

- ponowna instalacja CIS kończy się błędem;

 

Dziękuję za dotychczasową pomoc i liczę na kontynuację rozwiązywania problemu.

 
 

.

AdwCleanerR0.txt

AdwCleanerS0.txt

Fixlog.txt

FRST.txt

Edytowane 30 Maja 2014 przez Andman

[picasso]

Wszystko wykonane, tylko drobne poprawki oraz resztówki COMODO:

 

1. Otwórz Notatnik i wklej w nim:

 

C:\7za.dll
C:\cmdinstall.exe
C:\cmdhtml.dll
C:\cmdstat.dll
C:\cis
C:\translations
C:\ProgramData\Comodo
C:\ProgramData\Comodo Downloader
C:\Users\Seweryn\AppData\Local\Google
C:\Users\Seweryn\AppData\Roaming\Mozilla\Firefox\Profiles\wk3acalw.default-1401371051926\user.js
C:\Windows\system32\Drivers\sfi.dat
C:\Windows\System32\Tasks\COMODO
C:\Windows\SysWOW64\{1606DC18-9578-4cbd-8312-8E9868F06A1D}.conf
C:\Windows\SysWOW64\{7995330B-E01F-4645-B702-53481E7CB778}.cmdfile
RemoveDirectory: C:\AdwCleaner
RemoveDirectory: C:\Qoobox
CMD: del /q C:\ComboFix.txt
CMD: del /q C:\Windows\grep.exe
CMD: del /q C:\Windows\MBR.exe
CMD: del /q C:\Windows\NIRCMD.exe
CMD: del /q C:\Windows\PEV.exe
CMD: del /q C:\Windows\sed.exe
CMD: del /q C:\Windows\SWREG.exe
CMD: del /q C:\Windows\SWSC.exe
CMD: del /q C:\Windows\zip.exe
CMD: del /q C:\Users\Seweryn\Desktop\AdwCleaner*.*
CMD: del /q C:\Users\Seweryn\Desktop\OTL.exe
CMD: rd /s /q "C:\Users\Seweryn\Desktop\Stare dane programu Firefox"
CMD: rd /s /q "C:\Users\Seweryn\Desktop\FRST-OlderVersion"

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Przedstaw wynikowy fixlog.txt.

 

2. Uruchom TFC - Temp Cleaner.

 

 

- w ramach aktualizacji został pobrany Microsoft Security Essentials (bez świadomego udziału użytkownika);

- ponowna instalacja CIS kończy się błędem;

Jakim błędem? O jakiej wersji mowa, tej samej co poprzednio rezydowała? Poprzednio siedziała tu linia 6.x, najnowszy CIS to linia 7.x.

 

==================== Installed Programs ======================
 

COMODO Internet Security Premium (HKLM\...\{F1EC4151-805B-4097-B9BB-7D71A417AAF1}) (Version: 6.1.14723.2813 - COMODO Security Solutions Inc.)

 

Poza tym, skoro MSSE się wstawił, to go po prostu odinstaluj, by oczyścić pole do instalacji majdanu CIS.

 

 

- jedna ważna aktualizacja nie mogła zostać zainstalowana (szczegóły grafika);

Uruchom "Narzędzie analizy gotowości aktualizacji systemu": KLIK. Gdy narzędzie ukończy skan, skopiuj na Pulpit folder C:\Windows\Logs\CBS, zzipuj go i rzuć na jakiś hosting podając tu link do paczki.

 

 

 

 

 

.

[Andman]

Co do błędów instalacji Comodo:

wersja 6.1 - system nie obsługuje tej wersji

wersja 6.3 - błąd krytyczny instalatora Comodo

wersja 7.x - blue screen

 

Link do paczki

 

Przy próbie skompresowania pliku tekstowego CBS - odmowa dostępu.  

Fixlog.txt

[picasso]

Przy próbie skompresowania pliku tekstowego CBS - odmowa dostępu.

Efekt wskazuje na to, że próbowałeś kompresować wprost w folderze C:\Windows\Logs. To się nie uda, tam zawsze jest odmowa dostępu. Dlatego pierwszym krokiem było kopiowanie całego folderu CBS na Pulpit i to z poziomu Pulpitu miałeś kompresować.

 

Póki co, Checksur wypluł uszkodzenia systemowe. Naprawa się nie odbyła ze względu na braki plików potrzebnych do tego procesu:

 

Unavailable repair files:

winsxs\manifests\amd64_0e06d2ed6f93d560f6a34c100512684b_31bf3856ad364e35_6.1.7601.18444_none_8c92b13960b1699a.manifest

winsxs\manifests\amd64_a0d92b4f53e4925dd4c0341fd365f25e_31bf3856ad364e35_11.2.9600.17105_none_debff1480037668c.manifest

winsxs\manifests\amd64_decd919d90e8825e76adc9988e2245f0_31bf3856ad364e35_6.1.7601.18444_none_a1a3cdcea8866bdb.manifest

winsxs\manifests\amd64_423d04ba87e48f1e56d8e4abd90cb62b_31bf3856ad364e35_6.1.7601.18444_none_692ba3b4a3cfb708.manifest

winsxs\manifests\amd64_16cbf424d7594e8669560c8f53a5590c_31bf3856ad364e35_11.2.9600.17105_none_8cc205d2a9719982.manifest

winsxs\manifests\amd64_microsoft-windows-ie-versioninfo_31bf3856ad364e35_11.2.9600.17105_none_e19ba7a549f17a38.manifest

winsxs\manifests\x86_microsoft-windows-ie-versioninfo_31bf3856ad364e35_11.2.9600.17105_none_857d0c2191940902.manifest

winsxs\manifests\amd64_microsoft-windows-a..rience-program-data_31bf3856ad364e35_6.1.7601.18444_none_cf6dcf3199c084a3.manifest

winsxs\manifests\wow64_microsoft-windows-ie-htmlrendering_31bf3856ad364e35_11.2.9600.17105_none_000d856a6b819880.manifest

winsxs\manifests\amd64_microsoft-windows-a..de-compat-telemetry_31bf3856ad364e35_6.1.7601.18444_none_e5b1b7ec100d8e3b.manifest

winsxs\manifests\amd64_microsoft-windows-a..ence-telemetry-sdbs_31bf3856ad364e35_6.1.7601.18444_none_66295be460b59c2a.manifest

winsxs\manifests\amd64_microsoft-windows-ie-htmlrendering_31bf3856ad364e35_11.2.9600.17105_none_f5b8db183720d685.manifest

servicing\packages\Package_1_for_KB2952664~31bf3856ad364e35~amd64~~6.1.1.3.mum

servicing\packages\Package_1_for_KB2964358~31bf3856ad364e35~amd64~~11.2.1.0.mum

servicing\packages\Package_3_for_KB2952664~31bf3856ad364e35~amd64~~6.1.1.3.mum

servicing\packages\Package_for_KB2952664_SP1~31bf3856ad364e35~amd64~~6.1.1.3.mum

servicing\packages\Package_for_KB2952664~31bf3856ad364e35~amd64~~6.1.1.3.mum

servicing\packages\Package_for_KB2964358_RTM~31bf3856ad364e35~amd64~~11.2.1.0.mum

servicing\packages\Package_for_KB2964358~31bf3856ad364e35~amd64~~11.2.1.0.mum

servicing\packages\Package_1_for_KB2952664~31bf3856ad364e35~amd64~~6.1.1.3.cat

servicing\packages\Package_1_for_KB2964358~31bf3856ad364e35~amd64~~11.2.1.0.cat

servicing\packages\Package_3_for_KB2952664~31bf3856ad364e35~amd64~~6.1.1.3.cat

servicing\packages\Package_for_KB2952664_SP1~31bf3856ad364e35~amd64~~6.1.1.3.cat

servicing\packages\Package_for_KB2952664~31bf3856ad364e35~amd64~~6.1.1.3.cat

servicing\packages\Package_for_KB2964358_RTM~31bf3856ad364e35~amd64~~11.2.1.0.cat

servicing\packages\Package_for_KB2964358~31bf3856ad364e35~amd64~~11.2.1.0.cat

 

Niestety wyszukiwanie tych plików u mnie na systemie o podobnej konfiguracji potrwa i na razie nie jestem w stanie podać instrukcji.

 

 

Co do błędów instalacji Comodo:

wersja 6.1 - system nie obsługuje tej wersji

wersja 6.3 - błąd krytyczny instalatora Comodo

wersja 7.x - blue screen

Z tymi starymi szóstkami to bym sobie dała spokój, wcześniej była pierwsza z serii i w systemie liczne problemy. W kwestii siódemki:

- Czy odinstalowałeś MSSE przed instalacją CIS?

- Może to coś w tym stylu: KLIK.

 

 

 

.

[Andman]

Brakujący plik z "Narzędzia analizy gotowości aktualizacji systemu".

 

MSSE był odinstalowany przy próbach instalacji CIS.

 

Co do błędu CIS-a w aspekcie tematu na forum Comodo, to użytkownik nie pamięta szczegółów zdarzenia.

 

Obecnie instalacja Comodo w wersji 7 przebiegła prawidłowo.

To wygląda tak, że po wyłączeniu systemu (nie restarcie) zachodzą wprowadzane zmiany. Wcześniej w menadżerze urządzeń -> karty sieciowe był dodatkowo, windowsowski sterownik karty bezprzewodowej. Ponowne uruchomienie, po wyłączeniu systemu przywróciło właściwy układ kart sieciowych.

 

Działanie sytemu jest szybsze, obciążenie pamięci i procesora drastycznie spadło. Zarówno w czasie bezczynności jak i podczas pracy aplikacji.

 

W załączeniu log z FRST.

FRST.txt

Edytowane 1 Czerwca 2014 przez Andman