Zawieszanie systemu i wyskakujące okna

[pabl00]

Gdy przeniosłem się z Windows 7 64 bit home edition na ultimate pojawiły się problemy. Czasami przy starcie systemu po załadowaniu się pulpitu wyskoczą komunikaty że system nie może odtworzyć tego pliku..proszę wybrać jakim programem to otworzyć. Błędy dotyczą pliku .exe jakieś gry bądź plik od sterownników grafiki. Ogólnie system opóżnia otwieranie programów. Teraz nie wiem czy wracać na Home edition czy poprostu w tym coś "siedzi". Po uruchomieniu FRST taki błąd:

 

Addition.txt

FRST.txt

Shortcut.txt

GMER.txt

[picasso]

Gdy przeniosłem się z Windows 7 64 bit home edition na ultimate pojawiły się problemy. Czasami przy starcie systemu po załadowaniu się pulpitu wyskoczą komunikaty że system nie może odtworzyć tego pliku..proszę wybrać jakim programem to otworzyć. Błędy dotyczą pliku .exe jakieś gry bądź plik od sterownników grafiki. Ogólnie system opóżnia otwieranie programów. Teraz nie wiem czy wracać na Home edition czy poprostu w tym coś "siedzi".

Nie podałeś do jakich konkretnie plików się odnoszą te komunikaty. Opisywane problemy mogą być właśnie z przyczyny Comodo. Nawiasem mówiąc, to jest scrackowany Windows, patch plików systemowych...

 

 

Po uruchomieniu FRST taki błąd

Zielona obwódka wokół okien FRST oznacza, że FRST został uruchomiony wirtualnie z piaskownicy Comodo, czyli poniekąd jest zablokowany. Stąd "Odmowa dostępu" ERUNT przy uruchomieniu (nie została wykonana kopia rewjestru przez FRST) oraz kilka dziwnych odczytów w raporcie (niemożność pobrania przez FRST danych o stanie niektórych usług). By FRST poprawnie pracował, nie może być uruchomiony z piaskownicy Comodo.

 

 

 

Ale infekcja tu też jest: w starcie uruchamia się skrypt CsBoostMs.vbs, poza tym w Firefox jest szkodliwe rozszerzenie Video AdBlock for Firefox. Akcje do przeprowadzenia:

 

1. Uruchom ponownie FRST z poziomu Trybu awaryjnego Windows, gdy nie działa Comodo, nie wykonuj żadnego skanu. Chodzi o to, by FRST podczas uruchomienia zrzucił kopię rejestru do katalogu C:\FRST\Hives.

 

2. Usuwanie także z poziomu Trybu awaryjnego Windows. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
Startup: C:\Users\Pawel\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CsBoostMs.vbs [2015-12-05] ()
FF Extension: Video AdBlock for Firefox - C:\Users\Pawel\AppData\Roaming\Mozilla\Firefox\Profiles\qjnud0lb.default\Extensions\{a00bef25-f21a-4539-adbb-b179b29e2b92} [2015-11-14] [brak podpisu cyfrowego]
Task: {0A537669-4814-4663-946B-C61DAF51F208} - System32\Tasks\{04AAA47E-9FBE-4879-8B19-F2EFE9E88B5D} => pcalua.exe -a C:\Users\Pawel\Downloads\DDU.v15.5.1.0_www.INSTALKI.pl.exe -d C:\Users\Pawel\Downloads
Task: {27D0E760-5679-498E-86DF-52E83B92C8AB} - System32\Tasks\{C3A85249-E845-4812-89EC-950462705DA1} => C:\Users\Pawel\Downloads\win64_152824.exe
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\PAexec => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\PAexec => ""="Service"
HKLM-x32\...\Run: [] => [X]
C:\Program Files (x86)\Temp
Reg: reg delete HKCU\Software\Google /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Google /f
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

3. Zrób nowy log FRST z opcji Skanuj (Scan), bez Addition i Shortcut. Dołącz też plik fixlog.txt.

[pabl00]

To tak teraz na starcie pojawia się okno firefoxa + 3 komunikaty o tych plikach:

msscx.dll.upk
Counter-Strike 1.6.exe.upk
mssvx.asi.upk

 

Tak zgadza się FRST został uruchomiony w piaskownicy COMODO, teraz przy skanie dałem mu pełną konrtolę.

 

Fixlog.txt

FRST.txt

[picasso]

Wprawdzie poprzednie infekcje usunięte, ale pojawił się nowy problem odpowiadający podanym obrazkom. W katalogu Autostart powstało dużo podejrzanych obiektów, które wyglądają na pochodną tego już usuniętego skryptu CsBoostMs.vbs. A całość wygląda na jakiś niepożądany crack do gry. Ostatnio pobrane pliki to:

 

2015-11-30 15:51 - 2015-11-30 15:51 - 28121598 _____ C:\Users\Pawel\Desktop\csgomod-1511271841-de_alexandra.dem

2015-11-30 15:50 - 2015-11-30 15:50 - 04184700 _____ C:\Users\Pawel\Downloads\csgomod-1511271841-de_alexandra-1448646060-1448655240.zip

 

Kolejne podejście:

 

1. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
Startup: C:\Users\Pawel\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\bin [2015-12-05] ()
Startup: C:\Users\Pawel\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Counter-Strike 1.6.exe.upk [2015-12-05] (CS-Boost.pl)
Startup: C:\Users\Pawel\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Csboost.upk [2015-12-05] ()
Startup: C:\Users\Pawel\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\motd_temp.html [2015-12-05] ()
Startup: C:\Users\Pawel\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\mssvx.asi.upk [2015-12-05] ()
Startup: C:\Users\Pawel\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\mssvx.dll.upk [2015-12-05] ()
Startup: C:\Users\Pawel\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\SAVE [2015-12-05] ()
Startup: C:\Users\Pawel\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\slowhack.ini.upk [2015-12-05] ()

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Wyłącz COMODO, by nie zablokował FRST. Uruchom FRST i kliknij w Napraw (Fix). Nastąpi restart i powstanie kolejny fixlog.txt.

 

3. Zrób nowy log FRST z opcji Skanuj (Scan), bez Addition i Shortcut. Dołącz też plik fixlog.txt.

[pabl00]

2015-11-30 15:51 - 2015-11-30 15:51 - 28121598 _____ C:\Users\Pawel\Desktop\csgomod-1511271841-de_alexandra.dem

2015-11-30 15:50 - 2015-11-30 15:50 - 04184700 _____ C:\Users\Pawel\Downloads\csgomod-1511271841-de_alexandra-1448646060-1448655240.zip

 

Są to filmy demo z gry.

Fixlog.txt

FRST.txt

[picasso]

Wszystko zostało pomyślnie usunięte. Czy są jeszcze jakieś problemy?

[pabl00]

Ok dziękuję wszystko dobrze, tylko ten COMODO trochę spowalnia system.

[picasso]

Na koniec usuń folder C:\Users\Pawel\Desktop\logi\FRST. Następnie zastosuj DelFix oraz wyczyść foldery Przywracania systemu: KLIK.

[pabl00]

Zrobione