Problemy z obsługą klawiatury powstałe po zastosowaniu programu antywirusowego

[Tomcioslav]

Po zastosowaniu programu Windows defender i usunięciu wszystkich podejrzanych programów mam problem z działaniem klawiatury, po kupieniu nowej klawiatury problem się nie rozwiązał. Ponadto z akcesoriów systemy zniknęła nawet klawiatura ekranowa. W menedżerze urządzeń w oknie klawiatura jest komunikat, że system nie może załadować sterownika dla tego sprzętu, bo jest uszkodzony albo nieobecny (kod 39), jednak jak chcę zainstalować sterowniki do klawiatury to dostaję komunikat, że te już są. Stąd moje podejrzenia, że może to być sprawa jakiegoś złośliwego oprogramowania, dlatego uprzejmie proszę o Waszą pomoc.

Addition.txt

FRST.txt

GMER.txt

Shortcut.txt

[picasso]

Temat przenoszę do działu Windows. Problem zasadniczy nie jest pochodną infekcji. Owszem, w systemie rozmaite źle doczyszczone ślady adware (czym również się zajmę), ale to bez związku.

 

 

W menedżerze urządzeń w oknie klawiatura jest komunikat, że system nie może załadować sterownika dla tego sprzętu, bo jest uszkodzony albo nieobecny (kod 39), jednak jak chcę zainstalować sterowniki do klawiatury to dostaję komunikat, że te już są.

==================== Wadliwe urządzenia w Menedżerze urządzeń =============
 

Name: Urządzenie klawiatury HID

Description: Urządzenie klawiatury HID

Class Guid: {4d36e96b-e325-11ce-bfc1-08002be10318}

Manufacturer: (Klawiatury standardowe)

Service: kbdhid

Problem: : Windows cannot load the device driver for this hardware. The driver may be corrupted or missing. (Code 39)

Resolution: Reasons for this error include a driver that is not present; a binary file that is corrupt; a file I/O problem, or a driver that references an entry point in another binary file that could not be loaded.

Uninstall the driver, and then click "Scan for hardware changes" to reinstall or upgrade the driver.

 

vs.

 

===================== Sterowniki (filtrowane) ==========================
 

S3 kbdhid; C:\Windows\System32\drivers\kbdhid.sys [0 2015-10-30] () 
 

Niektóre zerobajtowe pliki/foldery:

==========================

C:\Windows\System32\Drivers\kbdhid.sys

 

Uszkodzony plik systemowy.

 

Swoją drogą to jedna z ostatnich akcji 17 maja to Driver Booster zainstalowany z Advanced System Care. Program ten masowo aktualizował sterowniki w systemie. Pomijając to, że sama marka IOBit jest u mnie na czarnej liście (marna reputacja producenta), takie automatyczne aktualizowanie sterowników hurtem może prowadzić do większych kłopotów, bo wcale nie ma gwarancji, że są instalowane tylko te potrzebne i idealnie dobrane. Sterowników nie aktualizuje się przy udziale automatów. Niestety nie posiadasz żadnych punktów Przywracania systemu, by odwrócić zmiany zrobione przez "boostera".

 

 

---

Wstępnie:

 

1. Wykonaj sprawdzanie plików sfc /scannow opisane w artykule na forum: KLIK. Nie musisz filtrować raportu, to wydrukuję sobie w wynikach skryptu FRST w punkcie 3.

 

2. Klawisz z flagą Windows + X > Programy i funkcje > odinstaluj stare wersje Adobe AIR, Adobe Flash Player 16 NPAPI, Adobe Media Player, Facebook Video Calling 3.1.0.521, Java 7 Update 55, YTD Video Downloader 4.8.8 (adware) i wszystkie programy IOBit.

 

3. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
CreateRestorePoint:
R1 wfdrvr_vw_1_10_0_25; C:\Windows\System32\drivers\wfdrvr_vw_1_10_0_25.sys [57712 2015-09-30] (WF)
R1 wfdrvr_vw_1_10_0_28; C:\Windows\System32\drivers\wfdrvr_vw_1_10_0_28.sys [57712 2015-10-30] (WF)
Task: {06C7B280-C73A-4300-AB4D-890254736FFB} - System32\Tasks\{6EA5FA75-A435-4F05-9B32-80D6F0C270C7} => pcalua.exe -a C:\Users\Wacław\AppData\Roaming\sweet-page\UninstallManager.exe -c -ptid=sof -simple=0
Task: {094E3FC4-B5B6-4DB8-9E21-BB3D9D410DD8} - System32\Tasks\WordFly Auto Updater 1.10.0.28 Core => C:\Program Files (x86)\WordFly_1.10.0.28\Update\WordflyAutoUpdateClient.exe 
Task: {0BBCCF9A-983D-4537-AF25-6C8F292088A4} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> Brak pliku 
Task: {1B766A69-6EA7-41F3-8CE6-9E3B1489EBCD} - System32\Tasks\{C12637B1-0695-4CAF-B741-D6C7940DB5D7} => pcalua.exe -a "C:\Program Files (x86)\Microsoft Silverlight\5.1.20125.0\Silverlight.Configuration.exe" -c -uninstallApp 3431967327.portal.qtrax.com
Task: {23B82FCE-F18D-4E2A-96A7-B9CB1A933BD0} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> Brak pliku 
Task: {38738271-1399-4C6C-8058-1F8CAAACD029} - System32\Tasks\CreateChoiceProcessTask => C:\Windows\BrowserChoice\browserchoice.exe
Task: {395924F8-0376-4FE2-B6C3-DE27E1551CBF} - \Microsoft\Windows\Setup\GWXTriggers\Telemetry-4xd -> Brak pliku 
Task: {43D7C717-05C9-46C3-B4A0-D70BFE231B9E} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> Brak pliku 
Task: {46C3B067-6787-408A-832B-7AEB6153F1DF} - System32\Tasks\WordFly Auto Updater 1.10.0.25 Core => C:\Program Files (x86)\WordFly_1.10.0.25\Update\WordflyAutoUpdateClient.exe 
Task: {4A8F3C2F-C6EB-42EE-A6A0-7D0EE6A8913B} - System32\Tasks\{FBD869E0-D6EB-4EBA-8195-68C7241A4EB2} => pcalua.exe -a C:\Users\Wacław\AppData\Roaming\do-search\UninstallManager.exe -c -ptid=cor
Task: {52F299EE-FF33-4B31-91EB-6F7DF1D9C053} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> Brak pliku 
Task: {54FE7E8A-B8BE-4D39-84AC-76333F2BD24A} - \BackgroundContainer Startup Task -> Brak pliku 
Task: {5B12CFEF-5AF6-4428-AF49-7723D3E4F6AD} - System32\Tasks\WordFly Auto Updater 1.10.0.25 Pending Update => C:\Program Files (x86)\WordFly_1.10.0.25\Update\WordflyAutoUpdateClient.exe 
Task: {65529C1A-6151-478C-9BD7-AEAC5C6E7E7D} - System32\Tasks\ASC8_PerformanceMonitor => C:\Program Files (x86)\IObit\Advanced SystemCare 8\Monitor.exe
Task: {65F361FE-B9DE-4295-8948-72DD4F3BD1E9} - System32\Tasks\{248C73D1-DF13-43F7-A2FA-040A629596B1} => pcalua.exe -a C:\Users\Wacław\AppData\Roaming\istartsurf\UninstallManager.exe -c -ptid=smt
Task: {78D5701B-531B-44BA-BF54-BDA3B1F6523A} - System32\Tasks\ASC8_SkipUac_Wacław => C:\Program Files (x86)\IObit\Advanced SystemCare 8\ASC.exe
Task: {92E5FC1C-9893-4F4D-98CA-5BB9651DF42E} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> Brak pliku 
Task: {BF2F3B15-81D2-4592-B996-A305AF67CE32} - System32\Tasks\WordFly Auto Updater 1.10.0.28 Pending Update => C:\Program Files (x86)\WordFly_1.10.0.28\Update\WordflyAutoUpdateClient.exe 
Task: {C1B94AC3-985D-4B5B-8B75-B5CF46551EB9} - System32\Tasks\{97693B34-C697-4AD2-9E9D-DE5065BEB9C9} => pcalua.exe -a C:\ProgramData\BrowserDefender\2.6.1339.144\{c16c1ccb-7046-4e5c-a2f3-533ad2fec8e8}\uninstall.exe -c /Uninstall /{15D2D75C-9CB2-4efd-BAD7-B9B4CB4BC693} /su=6d3732efdbd56826 /um
Task: {C2A21F7C-2242-43E6-8ABD-3B19E1ADF150} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> Brak pliku 
Task: {C457335B-DDD7-44B2-8872-6DBC53D4439B} - System32\Tasks\{B8AFE151-6D4D-46ED-9A94-D60BA66F53B4} => pcalua.exe -a "C:\Users\Wacław\AppData\Roaming\0D1F1S1C1P0P1C1F1N1C1T1H2UtF1E1I\GIMP Packages\uninstaller.exe" -c /Uninstall /NM="GIMP Packages" /AN="0D1F1S1C1P0P1C1F1N1C1T1H2UtF1E1I" /MBN="GIMP Packages"
Task: {D74068C1-C508-4093-B7BF-2F0111C88324} - System32\Tasks\DSite => C:\Users\WACAW~1\AppData\Roaming\DSite\UPDATE~1\UPDATE~1.EXE 
Task: {E5486E76-6536-4DF4-ABBD-8144BE2AA042} - System32\Tasks\QtraxPlayer => 3431967327.portal.qtrax.com
Task: {E94956BB-7649-4AC1-BE72-9A9E177829E8} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> Brak pliku 
Task: {F6E085F2-3476-445F-8A67-90E7B3107AFE} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> Brak pliku 
Task: {FD116C7B-8D37-468B-A8F1-E542168274AB} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> Brak pliku 
Task: {FD5639CB-4DDD-4E75-AE9D-F246F4531E25} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> Brak pliku 
Task: C:\Windows\Tasks\ASC8_SkipUac_Wacław.job => C:\Program Files (x86)\IObit\Advanced SystemCare 8\ASC.exe
HKU\S-1-5-21-1334447352-3934307352-2162786359-1001\...\Run: [bingSvc] => C:\Users\Wacław\AppData\Local\Microsoft\BingSvc\BingSvc.exe [144008 2015-04-07] (© 2015 Microsoft Corporation)
GroupPolicy: Ograniczenia - Chrome 
CHR HKLM\SOFTWARE\Policies\Google: Ograniczenia 
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ograniczenia 
HKU\S-1-5-21-1334447352-3934307352-2162786359-1001\SOFTWARE\Policies\Microsoft\Internet Explorer: Ograniczenia 
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.interia.pl/#utm_source=instalki1&utm_medium=installer&utm_campaign=instalki1&iwa_source=installer_instalki
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = www.google.com
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = www.google.com
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = www.google.com
DeleteKey: HKU\S-1-5-18\Software\Microsoft\Internet Explorer\Main
SearchScopes: HKU\S-1-5-21-1334447352-3934307352-2162786359-1001 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=cor&utm_campaign=install_ie&utm_content=ds&from=cor&uid=ST3250620A_5QE2SDCCXXXX5QE2SDCC&ts=1433852232&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1334447352-3934307352-2162786359-1001 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=cor&utm_campaign=install_ie&utm_content=ds&from=cor&uid=ST3250620A_5QE2SDCCXXXX5QE2SDCC&ts=1433852232&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1334447352-3934307352-2162786359-1001 -> {2023ECEC-E06A-4372-A1C7-0B49F9E0FFF0} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=cor&utm_campaign=install_ie&utm_content=ds&from=cor&uid=ST3250620A_5QE2SDCCXXXX5QE2SDCC&ts=1433852232&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1334447352-3934307352-2162786359-1001 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://do-search.com/web/?type=dspp&ts=1433852218&z=4df2c7c60aba7c2484f82f9g0zfc5c3b5waofofgaw&from=cor&uid=ST3250620A_5QE2SDCCXXXX5QE2SDCC&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1334447352-3934307352-2162786359-1001 -> {62D754A3-3AC8-452C-80A6-B1D3495429FA} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=cor&utm_campaign=install_ie&utm_content=ds&from=cor&uid=ST3250620A_5QE2SDCCXXXX5QE2SDCC&ts=1433852232&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1334447352-3934307352-2162786359-1001 -> {E733165D-CBCF-4FDA-883E-ADEF965B476C} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=cor&utm_campaign=install_ie&utm_content=ds&from=cor&uid=ST3250620A_5QE2SDCCXXXX5QE2SDCC&ts=1433852232&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1334447352-3934307352-2162786359-1001 -> {szukaj.gazeta.pl} URL = hxxp://do-search.com/web/?utm_source=b&utm_medium=cor&utm_campaign=install_ie&utm_content=ds&from=cor&uid=ST3250620A_5QE2SDCCXXXX5QE2SDCC&ts=1433852232&type=default&q={searchTerms}
BHO-x32: Brak nazwy -> {BA0C978D-D909-49B6-AFE2-8BDE245DC7E6} -> Brak pliku
CHR HKU\S-1-5-21-1334447352-3934307352-2162786359-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [fcfenmboojpjinhpgggodefccipikbpd] - hxxps://clients2.google.com/service/update2/crx
DeleteKey: HKCU\Software\Mozilla\Firefox
DeleteKey: HKCU\Software\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run32
DeleteKey: HKLM\SOFTWARE\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Wow6432Node\Mozilla\Firefox
DeleteKey: HKLM\SOFTWARE\Wow6432Node\MozillaPlugins
Reg: reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run /v BingSvc /f
Reg: reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run /v KiesAirMessage /f
Reg: reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run /v KiesPreload /f
Reg: reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run /v "Spybot-S&D Cleaning" /f
Reg: reg query HKLM\SYSTEM\CurrentControlSet\Control\Class\{4D36E96B-E325-11CE-BFC1-08002BE10318} /s
C:\Program Files (x86)\Mozilla Firefox
C:\Users\Wacław\AppData\Local\Microsoft\BingSvc
C:\Users\Wacław\AppData\Local\Mozilla\Firefox
C:\Users\Wacław\AppData\Local\Opera Software
C:\Users\Wacław\AppData\Roaming\LiveSupport.exe_log.txt
C:\Users\Wacław\AppData\Roaming\msregsvv.dll
C:\Users\Wacław\AppData\Roaming\regsvr32.exe_log.txt
C:\Users\Wacław\AppData\Roaming\Mozilla\Firefox
C:\Users\Wacław\AppData\Roaming\Opera Software
C:\Users\Wacław\Desktop\Continue Memtest86 installation.lnk
C:\Users\Wacław\Links\BUKOWINA — skrót.lnk
C:\Windows\System32\drivers\wfdrvr_vw_1_10_0_25.sys
C:\Windows\System32\drivers\wfdrvr_vw_1_10_0_28.sys
CMD: findstr /c:"[sR]" %windir%\logs\cbs\cbs.log
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

4. Google Chrome jest zainfekowane adware. Przeinstaluj kompletnie wg tych kroków:

• Zresetuj synchronizację (o ile włączona): KLIK.
• Jeśli potrzebne, wyeksportuj zakładki: CTRL+SHIFT+O > Organizuj > Eksportuj zakładki do pliku HTML.
• Odinstaluj Google Chrome. Przy deinstalacji zaznacz Usuń także dane przeglądarki.
• Zainstaluj najnowszą wersję Google Chrome.

5. Zrób nowy log FRST z opcji Skanuj (Scan), ponownie z Addition, już bez Shortcut. Dołącz też plik fixlog.txt.