Komunikat na FB o złośliwym oprogramowaniu, wyskakujące reklamy na Chrome, bluescreen oraz czarny ekran

[wojtuq]

Mój tata od wczoraj mam problem z laptopem z Win 10 Home 64-bit, problem okazał się tym, że podczas próby zalogowania się do konta na FB pokazał się komunikat taki jak na załączonym zdjęciu, po ponownym próbach zalogowania się na inne konto na FB zrobił się czarny ekran po odczekaniu paru minut cały czas był czarny ekran po wyłączeniu laptopa przyciskiem nie dało się go uruchomić. By uruchomić laptopa trzeba było odłączyć go od zasilania i wyciągnąć baterie następnie można było go odpalić podczas logowania się do systemu cały czas był czarny ekran z kursem myszki około 2minuty po czym normalnie się logował do systemu ale uruchomienie się wszystkich programów podczas uchuromienia systemu trwa bardzo długo. Teraz po włączeniu chrome i wejściu w jaką kolwiek strone pojawiają sie reklamy albo strona która miała zostać otworzona to zamiast niej otwierają się jakieś reklamy. w załączniku załączam logi z FRST a Z GERM się nie da ponieważ system go wyłącza, przy próbie jego uruchomienia GERM pojawił się bluesreen taki jak na zdjęciu. Proszę o pomoc ponieważ tata potrzebuje laptopa do pracy i narazie nie probowałem go naprawić jakimiś programami wole poczekać na pomoc od was.

Addition.txt

FRST.txt

Shortcut.txt

[picasso]

W starcie jest widoczny szkodnik Audio Auto Setup symulujący "komponenty audio". Akcje wstępne do wykonania:

 

1. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
CreateRestorePoint:
HKU\S-1-5-21-3336899688-2899408113-2250654847-1001\...\Run: [Audio Auto Setup] => C:\Users\ryszard\AppData\Roaming\AudioAutoSetup\wintaskhost.exe [33280 2012-03-07] ()
C:\Users\ryszard\AppData\Roaming\AudioAutoSetup
C:\Users\ryszard\Desktop\dokumety\Acer Backup Manager.lnk
C:\Users\ryszard\Desktop\dokumety\WildTangent Games App - acer.lnk
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Zrób nowy log FRST z opcji Skanuj (Scan), bez Addition i Shortcut. Dołącz też plik fixlog.txt. Wypowiedz się czy reklamy w Chrome zniknęły i czy są jeszcze jakieś problemy widoczne.

[wojtuq]

Po wykonaniu naprawy problem zniknał tylko na Facebooku, reklamy dalej wysakują nie ważne czy wpisuje się jakąś stronę czy klika się na któryś dział na forum to bywa tak za każdym razem, że albo reklamy otwierają się w nowym oknie albo na nowej karcie albo zamiast działu wchodzi jakaś reklama na tej samej stronie. Tak jest w przypadku każdej strony nie tylko na tym forum. Do tego doszło wolne działanie internetu i czarny ekran przed logowaniem systemu. Załączam nowy log ze skanu oraz fixlog

Fixlog.txt

FRST.txt

[picasso]

W raportach nic nie widać. Skopiuj na Pulpit poniższe foldery:

 

C:\Program Files (x86)\Google\Chrome

C:\Users\ryszard\AppData\Local\Google\Chrome

 

Spakuj do ZIP, shostuj gdzieś i prześlij mi na PW link do paczki. Będę ręcznie analizować komponenty Google Chrome.

[wojtuq]

PW wysłany

[picasso]

Przeanalizowałam foldery. Nic oczywistego nie widzę, ale już od początku mnie zastanawiało "mało popularne" rozszerzenie Internet traffic economizer, mimo że oficjalnie hostowane w Chrome Web Store.

 

CHR Extension: (Internet traffic economizer) - C:\Users\ryszard\AppData\Local\Google\Chrome\User Data\Default\Extensions\mdhmbfholeopafngkafjdljlogobfgmd [2015-11-04]

 

Odinstaluj je i podaj rezultaty czy są pożądane zmiany.

[wojtuq]

Przy próbie odinstalowania rozszerzenia Internet traffic economizer, występował problem. Mianowicie po uruchomieniu chrome i przejścia do rozszerzeń chrome cały czas sie wyłączało, i wpadłem na pomysł by usunąć ten folder ręcznie o którym pisałaś i to pomogło po jego usunięciu i przejściu z rozszerzenia chrome się już nie wyłączało i mogłem odinstalować te rozszerzenie oraz wszystkie inne, które też były zainstalowane ponieważ tata i tak z nich nie korzystał. Po usunięciu wszystkich rozszerzeń i ponownym uruchomieniu chrome wygląda na to, że problem znikł ale czy na stałe tego nie wiem. Wgrałem rozszerzenie ublock, oraz unchecky bo tata instaluje różne rzeczy oraz malwarebytes anti-malware czy zrobiłem dobrze?. Mam jeszcze jakieś czynności wykonać. Jedyny problem, który nie znikł to czarny ekran przed logowaniem do systemu i powolny internet. 

[picasso]

Zastosuj DelFix oraz wyczyść foldery Przywracania systemu: KLIK.

 

 

Wgrałem rozszerzenie ublock, oraz unchecky bo tata instaluje różne rzeczy oraz malwarebytes anti-malware czy zrobiłem dobrze?

Jak najbardziej.

 

 

Jedyny problem, który nie znikł to czarny ekran przed logowaniem do systemu i powolny internet.

Wolny internet: może ESET Smart Security ma jakiś wpływ. Czarny ekran: w którym miejscu się pojawia, przed logo z Windows, przed ekranem logowania? W Dzienniku zdarzeń widzę takie oto błędy:

 

Dziennik System:

=============

Error: (11/12/2015 07:47:23 PM) (Source: Service Control Manager) (EventID: 7009) (User: )

Description: Upłynął limit czasu (30000 ms) podczas oczekiwania na połączenie się z usługą Windows Phone IP over USB Transport (IpOverUsbSvc).
 

Error: (11/12/2015 07:47:21 PM) (Source: Service Control Manager) (EventID: 7000) (User: )

Description: Nie można uruchomić usługi Usługa Szybka instalacja pakietu Microsoft Office z powodu następującego błędu:

%%1053
 

Error: (11/12/2015 07:47:21 PM) (Source: Service Control Manager) (EventID: 7009) (User: )

Description: Upłynął limit czasu (30000 ms) podczas oczekiwania na połączenie się z usługą Usługa Szybka instalacja pakietu Microsoft Office.

 

Czyli te dwie usługi się zawieszają:

 

R2 ClickToRunSvc; C:\Program Files\Common Files\Microsoft Shared\ClickToRun\OfficeClickToRun.exe [2856632 2015-10-15] (Microsoft Corporation)

S2 IpOverUsbSvc; C:\Program Files (x86)\Common Files\Microsoft Shared\Phone Tools\CoreCon\11.0\bin\IpOverUsbSvc.exe [21744 2015-07-09] (Microsoft Corporation)

 

Sprawdź czy będzie poprawa w procesie uruchamiania systemu, gdy je tymczasowo wyłączysz. Klawisz z flagą Windows + X > Zarządzanie komputerem > Usługi i aplikacje > Usługi > wyszukaj Usługa Szybka instalacja pakietu Microsoft Office i Windows Phone IP over USB Transport > z dwukliku pobierz Właściwości i Typ uruchomienia przestaw na Wyłączony. Zresetuj system.

[wojtuq]

Czarny ekran pojawia się w takiej kolejności: po włączeniu laptopa pojawia sie logo win10 następnie czarny ekran po nim niebieski z okołem ładowania a na końcu do włącza się już logowanie do systemu. P

W zarządzaniu komputera w usługach nie mogłem odnaleźć Windows Phone IP oraz USB Transport tylko udało się znaleźć  Szybka instalacja pakietu Microsoft Office. Pozostałe czynności wykonałem i załączam log z delfixa oraz z  malwarebytes anti-malware, ponieważ przy pierwszym skanowaniu wykrył rootkity. Po wyłączeniu szybkien instalacji offica nie widać różnicy czarny ekran dalej się pojawia

DelFix.txt

skan mam.txt

[picasso]

W zarządzaniu komputera w usługach nie mogłem odnaleźć Windows Phone IP oraz USB Transport tylko udało się znaleźć Szybka instalacja pakietu Microsoft Office.

Napisałeś to w taki sposób jakbyś szukał dwóch, a to jest jedna usługa "Windows Phone IP over USB Transport". Ona powinna być widoczna. Sprawdź dokładnie czy nie widać jej pod nazwą "Usługa Windows Phone IP over USB Transport".

 

 

Pozostałe czynności wykonałem i załączam log z delfixa oraz z malwarebytes anti-malware, ponieważ przy pierwszym skanowaniu wykrył rootkity.

DelFix wykonał zadanie, skasuj z dysku plik C:\delfix.txt. A w skanie MBAM nie widać żadnych rootkitów, tylko szczątki adware w magazynie HTML5 (rodzaj podobny do "ciasteczek") Google Chrome, co rzecz jasna do usunięcia.

[wojtuq]

Dobrze jutro poszukam raz jeszcze tej usługi wspólnie z tatą może razem znajdziemy, ale nawet szukając samemu nie umiałem jej znaleźć ani pod nazwą windows phone ip ani usługa windows phone ip możiwe, że to przeoczyłem. Napisze jutro pod wieczór czy udało mi się to znaleźć. A jak skopiować hasła z chrome by wgrać je na opere?, bo tata wielu haseł nie pamięta. 

[picasso]

ale nawet szukając samemu nie umiałem jej znaleźć ani pod nazwą windows phone ip ani usługa windows phone ip możiwe, że to przeoczyłem

To jest cała nazwa: Windows Phone IP over USB Transport. Wątpliwością tu jest tylko czy na początku tej nazwy figuruje dodatkowe słowo "Usługa", czy też nie. Jeśli na 100% nie będzie tego widać, podam sposób jak to wyłączyć w inny sposób.

[wojtuq]

Dzisiaj tego szukałem z tatą i nie ma tego ani pod usługa ani pod samą nazwą 

[picasso]

Klawisz z flagą Windows + X > Uruchom > regedit > przejdź do klucza:

 

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\IpOverUsbSvc

 

Dwuklik w wartość Start i zamień figurującą tam liczbę 2 na 4. Zresetuj system. Podaj czy są jakieś widoczne zmiany w starcie systemu.

[wojtuq]

Chodź by nie wiadomo jak się starał szukać ręcznie lub przez wyszukiwanie w regedit nie znalazłem tego. Dlaczego tego nie ma nie mam pojęcia. 

[picasso]

Może ta usługa zniknęła w międzyczasie. Dla świętego spokoju zaprezentuj nowy log FRST.

[wojtuq]

Proszę o to log Z FRST, Czarny ekran podczas włączanie laptopa nie zniknął do teraz 

FRST.txt

[picasso]

Ta usługa rzeczywiście zniknęła, więc dlatego nie mogłeś jej znaleźć. A co do czarnego ekranu to nie wiem, ale sprawdź czy to samo występuje w trybie "czystego rozruchu": KLIK.

Edytowane 2 Czerwca 2016 przez picasso
Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso