lukikik Opublikowano 2 Maja 2016 Zgłoś Udostępnij Opublikowano 2 Maja 2016 Przy każdym starcie systemu wyskakuje komunikat : "nie mozna znalezc pliku skryptu C/USERS/.../APPDATA/ROAMING/MICROSOFT/HOME.VBE". Nie mam pojecia jak się do tego zabrać i czy w jakis sposob zagraza to mojemu komputerowi. Odnośnik do komentarza
picasso Opublikowano 2 Maja 2016 Zgłoś Udostępnij Opublikowano 2 Maja 2016 Temat przenoszę do działu malware. To wpis infekcji (m.in. może startować via Harmonogram zadań). Poproszę o raporty z FRST. Odnośnik do komentarza
lukikik Opublikowano 2 Maja 2016 Autor Zgłoś Udostępnij Opublikowano 2 Maja 2016 frst+addition Addition.txt FRST.txt Odnośnik do komentarza
picasso Opublikowano 2 Maja 2016 Zgłoś Udostępnij Opublikowano 2 Maja 2016 Kierowałam do konkretnej instrukcji wskazującej, że mają powstać trzy logi a nie dwa. Brakuje trzeciego FRST Shortcut. Tak jak już mówiłam, szkodnik zaimplementowany na poziomie Harmonogramu zadań (zadanie WindowsUpda2ta). Ponadto jeszcze w systemie różne obiekty adware tu i ówdzie. Działania do wdrożenia: 1. Klawisz z flagą Windows + X > Programy i funkcje > odinstaluj Akamai NetSession Interface (zbędny downloader produktów Autodesk), Host App Service, Pokki Start Menu (wątpliwej jakości aplikacje "Pokki") oraz Prio (to jest wtyczka dla menedżera zadań starych systemów, na Windows 10 zbędna i niekompatybilna). 2. Otwórz Notatnik i wklej w nim: CloseProcesses: CreateRestorePoint: Task: {16051948-848A-4AFF-97E9-64356DB77399} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> Brak pliku Task: {1E0FB330-3A17-42AA-8E09-27302E552298} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> Brak pliku Task: {390722A9-96BF-4B00-A62D-53B4B30C6485} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> Brak pliku Task: {6E4C5DE8-E3D3-4B37-AA5A-DCC946C007BF} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> Brak pliku Task: {93376BBA-D061-4F03-B13C-35F3B3B2AFE3} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> Brak pliku Task: {A7BE98AE-9C3B-4925-8DA8-F5DA50880A47} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> Brak pliku Task: {A9222943-FBA6-4589-9BDD-A50CFE3002B3} - System32\Tasks\WindowsUpda2ta => C:\Users\Ł\AppData\Roaming\MICROSOFT\home.vbe Task: {AAFC8023-1940-4954-A616-0BA6A8EF3CFA} - \Microsoft\Windows\Setup\GWXTriggers\Telemetry-4xd -> Brak pliku Task: {B285F58B-D046-4C2B-80B4-69DA870DED46} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> Brak pliku Task: {B84773AA-AE7D-4964-966B-367C46335504} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> Brak pliku Task: {BA57C465-786B-4812-B0DE-C19277C83213} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> Brak pliku Task: {EAFB67F9-17A9-4593-9EFD-2B06C76157F1} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> Brak pliku HKLM-x32\...\Run: [] => [X] HKU\S-1-5-21-3098602006-2938289800-2830118032-1002\...\Run: [bingSvc] => C:\Users\Ł\AppData\Local\Microsoft\BingSvc\BingSvc.exe [144008 2015-04-07] (© 2015 Microsoft Corporation) HKU\S-1-5-21-3098602006-2938289800-2830118032-1002\...\Policies\Explorer: [] GroupPolicy: Ograniczenia - Chrome CHR HKLM\SOFTWARE\Policies\Google: Ograniczenia CHR HomePage: Default -> hxxp://www.msn.com/?pc=__PARAM__&ocid=__PARAM__DHP&osmkt=pl-pl CHR HKU\S-1-5-21-3098602006-2938289800-2830118032-1002\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [fcfenmboojpjinhpgggodefccipikbpd] - hxxps://clients2.google.com/service/update2/crx HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkID=617910&ResetID=130941689149221078&GUID=5C810724-79D5-4011-8B45-C013417334B5 HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://do-search.com/web/?type=ds&ts=1432803684&z=7325cde8a8920720c6b00fcgaz9c8o7b5efc6q9b2z&from=cor&uid=ST2000LM003XHN-M201RAD_S356J9DFA01096&q={searchTerms} HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://do-search.com/?type=hp&ts=1432803684&z=7325cde8a8920720c6b00fcgaz9c8o7b5efc6q9b2z&from=cor&uid=ST2000LM003XHN-M201RAD_S356J9DFA01096 HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://do-search.com/web/?type=ds&ts=1432803684&z=7325cde8a8920720c6b00fcgaz9c8o7b5efc6q9b2z&from=cor&uid=ST2000LM003XHN-M201RAD_S356J9DFA01096&q={searchTerms} HKU\S-1-5-21-3098602006-2938289800-2830118032-1002\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://do-search.com/?type=hp&ts=1432803684&z=7325cde8a8920720c6b00fcgaz9c8o7b5efc6q9b2z&from=cor&uid=ST2000LM003XHN-M201RAD_S356J9DFA01096 SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.bing.com/search?q={searchTerms}&form=MSSEDF&pc=MSE1 SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.bing.com/search?q={searchTerms}&form=MSSEDF&pc=MSE1 SearchScopes: HKLM-x32 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.bing.com/search?q={searchTerms}&form=MSSEDF&pc=MSE1 SearchScopes: HKLM-x32 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.bing.com/search?q={searchTerms}&form=MSSEDF&pc=MSE1 SearchScopes: HKU\S-1-5-21-3098602006-2938289800-2830118032-1002 -> DefaultScope {847E873F-E6E5-4B8A-A636-0EE4CA7CF550} URL = SearchScopes: HKU\S-1-5-21-3098602006-2938289800-2830118032-1002 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://do-search.com/web/?type=ds&ts=1432803684&z=7325cde8a8920720c6b00fcgaz9c8o7b5efc6q9b2z&from=cor&uid=ST2000LM003XHN-M201RAD_S356J9DFA01096&q={searchTerms} SearchScopes: HKU\S-1-5-21-3098602006-2938289800-2830118032-1002 -> {847E873F-E6E5-4B8A-A636-0EE4CA7CF550} URL = BHO-x32: Crazy Score -> {f439aa7e-a2a0-4635-99a2-164180e848ca} -> C:\Program Files (x86)\Crazy Score\Extensions\f439aa7e-a2a0-4635-99a2-164180e848ca.dll => Brak pliku DeleteKey: HKLM\SOFTWARE\MozillaPlugins DeleteKey: HKLM\SOFTWARE\Wow6432Node\MozillaPlugins C:\Users\Ł\AppData\Local\Microsoft\BingSvc C:\Users\Ł\Desktop\Niepotwierdzony 955907.crdownload CMD: netsh advfirewall reset RemoveProxy: EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 3. Zrób nowy log FRST z opcji Skanuj (Scan), z zaznaczonymi polami Addition i Shortcut. Dołącz też plik fixlog.txt. Odnośnik do komentarza
lukikik Opublikowano 2 Maja 2016 Autor Zgłoś Udostępnij Opublikowano 2 Maja 2016 Raporty: Addition.txt Fixlog.txt FRST.txt Shortcut.txt Odnośnik do komentarza
picasso Opublikowano 2 Maja 2016 Zgłoś Udostępnij Opublikowano 2 Maja 2016 Wszystko zrobione, problem rozwiązany. Drobne poprawki: 1. W Google Chrome: Ustawienia > karta Ustawienia > Wygląd i zaznacz "Pokaż przycisk strony startowej" > klik w Zmień i usuń adres www.msn.com (dodany przez sponsorowanego Binga, wcześniej uruchamianego w starcie). 2. Otwórz Notatnik i wklej w nim: HKU\S-1-5-21-3098602006-2938289800-2830118032-1002\...\Run: [Akamai NetSession Interface] => "C:\Users\Ł\AppData\Local\Akamai\netsession_win.exe" AppInit_DLLs: prio.dll => Brak pliku Reg: reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run /v BingSvc /f DeleteQuarantine: Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Tym razem nie będzie restartu. Przedstaw wynikowy plik fixlog.txt. Odnośnik do komentarza
lukikik Opublikowano 2 Maja 2016 Autor Zgłoś Udostępnij Opublikowano 2 Maja 2016 Nie znalazłem tego adresu po wejsciu w "zmień", nie bylo tam zadnego adresu. Pojawily sie natomiast inne,dziwne problemy: nie odpowiadaja mi przyciski na pasku(windows,wyszukaj,wifi,dzwiek), oraz chyba google chrome samo mi sie wylaczylo juz drugi raz, a po wlaczeniu komunikat: "chrome nie został poprawnie zamknięty". dolaczam plik Fixlog.txt Odnośnik do komentarza
picasso Opublikowano 3 Maja 2016 Zgłoś Udostępnij Opublikowano 3 Maja 2016 (edytowane) Fix FRST pomyślnie wykonany. Nie znalazłem tego adresu po wejsciu w "zmień", nie bylo tam zadnego adresu. Pokaż zrzut ekranu z tego miejsca. oraz chyba google chrome samo mi sie wylaczylo juz drugi raz, a po wlaczeniu komunikat: "chrome nie został poprawnie zamknięty". Skrypt FRST automatycznie zabija procesy głównych przeglądarek (i to bez użycia komendy CloseProcesses:). To jest zaplanowane przez autora działanie, którego nie da się zmanipulować. inne,dziwne problemy: nie odpowiadaja mi przyciski na pasku(windows,wyszukaj,wifi,dzwiek) W tym obszarze nic nie było grzebane. Na pewno problem występuje po restarcie systemu? Edytowane 3 Czerwca 2016 przez picasso Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso Odnośnik do komentarza
Rekomendowane odpowiedzi