Usunięcie UCGuard z Win 10

[JackDaniels]

Witam,
ratując dane z pendriva sięgnąłem po "zakazane" oprogramowanie i zapaprałem sobie system jak dzieciak: UC Browser i pokrewną chińszczyzną.
Większość ogarnąłem, ale pozostał tytułowy UCGuard blokujący dostep do dysku i uzurpujący sobie prawa administracyjne w systemie.
Przesyłam logi z FRST z prośbą o pomoc..

 

EDIT: Jest i plik z programu GMER. Dzięki

Addition.txt

FRST.txt

Shortcut.txt

GMER.txt

Edytowane 17 Listopada 2016 przez Rucek

[jessica]

Jeśli @Picasso poda Ci pomoc, to moich zaleceń nie wykonuj.

 

1) Otwórz Notatnik i wklej w nim:

 

C:\Program Files (x86)\UCBrowser
C:\Users\Witol_000\AppData\Roaming\Praneentzwight
C:\Program Files (x86)\GreatMaker
C:\Program Files (x86)\wanttoxiamen
C:\Program Files (x86)\KuaiZip
C:\Users\Barba_000\AppData\Local\UCBrowser
C:\WINDOWS\system32\fufr
C:\Users\Witol_000\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\UC浏览器
C:\Users\Witol_000\AppData\Local\UCBrowser
C:\Users\Witol_000\AppData\Local\svchost
C:\Users\Witol_000\AppData\LocalLow\Company
C:\Users\Witol_000\AppData\Local\Tempfolder
C:\Users\Public\Thunder Network
C:\Users\Witol_000\AppData\Local\Goculevawuck
C:\Users\Witol_000\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\UC浏览器.lnk
HKLM-x32\...\Run: [app] => C:\Program Files (x86)\wanttoxiamen\uc.exe
HKU\S-1-5-21-1722941014-1438396655-2161990473-1006\...\Run: [svchost0] => "C:\Program Files (x86)\UCBrowser\Application\UCBrowser.exe"\UUC0789.exe
ShellExecuteHooks:  - {F1231DBA-9EC1-11E6-A791-64006A5CFC23} - C:\Users\Witol_000\AppData\Roaming\Praneentzwight\Aternather.dll [146432 2016-11-08] ()
ShellIconOverlayIdentifiers: [KzShlobj2] -> {AAA0C5B8-933F-4200-93AD-B143D7FFF9F3} => C:\Program Files (x86)\KuaiZip\X64\KZipShell.dll Brak pliku
R1 UCGuard; C:\WINDOWS\System32\DRIVERS\ucguard.sys [81792 2016-08-02] (Huorong Borui (Beijing) Technology Co., Ltd.) <==== UWAGA
C:\WINDOWS\System32\DRIVERS\ucguard.sys
C:\WINDOWS\SysWOW64\chtbrkg.dll
C:\WINDOWS\system32\chtbrkg.dll
C:\Users\Barba_000\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\UC浏览器.lnk
Task: {34A6DE59-D9BB-44FF-95E9-443182F4541E} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> Brak pliku <==== UWAGA
Task: {352E6CA0-7314-4DF4-89C4-682368D80D57} - System32\Tasks\Microsoft\Windows\Workplace Join\Automatic-Workplace-Join => C:\WINDOWS\System32\AutoWorkplace.exe
Task: {5A35A992-35CC-495D-ADB0-1FBDDF8ECBE2} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> Brak pliku <==== UWAGA
Task: {5D3AFE6A-C25B-47DA-A65D-6D06EA4215DF} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> Brak pliku <==== UWAGA
Task: {6452EC97-51D2-455F-9210-A0BAEB47A366} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeReminderTime -> Brak pliku <==== UWAGA
Task: {710B3A7F-26DC-485C-A962-DA1B5C28702E} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> Brak pliku <==== UWAGA
Task: {84917137-CCAD-40D3-9EDD-6DD8F29337D8} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> Brak pliku <==== UWAGA
Task: {8C99DC22-7CA0-4CAA-8F61-59536FEAC48A} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> Brak pliku <==== UWAGA
Task: {A2E90C68-1F79-4355-B804-BCAB47AF2B68} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeTime -> Brak pliku <==== UWAGA
Task: {CA317EAE-24B8-41BD-86AD-A1C81A8F1EF8} - System32\Tasks\UCBrowserUpdater => C:\Program Files (x86)\UCBrowser\Application\update_task.exe <==== UWAGA
Task: {DB6D9A7E-8C3F-42D2-8C1B-8921A183E4DD} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> Brak pliku <==== UWAGA
Task: {DCE9C7DD-6257-443B-925F-5DFE27DF7577} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> Brak pliku <==== UWAGA
Task: {DD4D874D-5DE0-48CC-9D76-3860B83C02F1} - \Microsoft\Windows\Setup\GWXTriggers\OnIdle-5d -> Brak pliku <==== UWAGA
Task: {E56C35AF-6232-4C65-A117-E170B00109E9} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> Brak pliku <==== UWAGA
Task: {E867960D-B577-46BE-BF47-9282D03F185D} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> Brak pliku <==== UWAGA
AlternateDataStreams: C:\WINDOWS\system32\drivers:ucdrv-x64.sys [80850]
AlternateDataStreams: C:\WINDOWS\system32\drivers:x64 [360536]
AlternateDataStreams: C:\WINDOWS\system32\drivers:x86 [1156450]
FirewallRules: [{F8A85D59-F647-4E9C-A6E6-B48D8E9C8C9E}] => (Allow) C:\Users\Witol_000\AppData\Local\Temp\is-5CJ9G.tmp\download\MiniThunderPlatform.exe
FirewallRules: [{411E0A30-E501-49FF-9B05-1819F11D13ED}] => (Allow) C:\Program Files (x86)\UCBrowser\Application\UCBrowser.exe
FirewallRules: [{B3173D65-38CB-4F84-8874-13D40A5DD173}] => (Allow) C:\Program Files (x86)\UCBrowser\Application\UCBrowser.exe
FirewallRules: [{0AFD56CF-FF48-4C94-A6A7-92EC306DAFE2}] => (Allow) C:\Program Files (x86)\UCBrowser\Application\Downloader\download\MiniThunderPlatform.exe
FirewallRules: [{B974790E-55C1-43D3-9736-7E7FAC8A2DF7}] => (Allow) C:\Program Files (x86)\GreatMaker\MaohaWiFi\MaohaWifiSvr.exe
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ograniczenia <======= UWAGA
CHR Profile: C:\Users\Witol_000\AppData\Local\Google\Chrome\User Data\ChromeDefaultData [2016-11-15] <==== UWAGA
C:\Users\Witol_000\AppData\Local\Google\Chrome\User Data\ChromeDefaultData
C:\WINDOWS\system32\ApnDatabase.xml
C:\Users\Witol_000\Desktop\SpyHunter-Installer.exe
C:\Users\Barba_000\AppData\Roaming\Microsoft\Windows\SendTo\Skype.lnk
C:\Users\Public\Desktop\ASUS\Business tool\Adobe Reader X.lnk
HOSTS:
EmptyTemp:

>>Menu Notatnika >> Plik >>
>>Zapisz jako >>
Nazwa pliku: fixlist
Zapisz jako typ: Dokumenty tekstowe
Kodowanie: UTF-8
>>Zapisz
Plik umieść w C:\Users\Witol_000\Desktop
Uruchom FRST i kliknij przycisk Fix (NAPRAW).

 

2) Użyj RepairDNS > https://www.fixitpc.pl/topic/8-dezynfekcja-zbi%C3%B3r-narz%C4%99dzi-usuwaj%C4%85cych/#entry172749
Link zapasowy > http://www.mediafire.com/download/yedejtr7p4q36zm/RepairDNS.zip
Daj z tego raport.
 

3)  Zrób nowe logi FRST.

 

jessi

[JackDaniels]

Witam,

 

wykonałem polecenia jessi i przesyłam nowe logi.

Addition.txt

FRST.txt

RepairDNS.txt

Shortcut.txt

[jessica]

Shortcut: C:\Users\Witol_000\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\Intеrnеt Ехрlоrеr.lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) <===== Cyrillic

Ten skrót Internet Explorera daję do usunięcia - potem zrobisz sobie nowy skrót w tej samej lokalizacji.

 

Otwórz Notatnik i wklej w nim:

 

 

Replace: C:\WINDOWS\winsxs\wow64_microsoft-windows-dns-client-minwin_31bf3856ad364e35_10.0.14393.206_none_d9e49b24f54f762c\dnsapi.dll C:\Windows\SysWOW64\dnsapi.dll

Task: C:\WINDOWS\Tasks\UCBrowserUpdater.job => C:\Program Files (x86)\UCBrowser\Application\update_task.exe <==== UWAGA

RemoveDirectory: C:\Program Files (x86)\UCBrowser

C:\Users\Witol_000\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\Intеrnеt Ехрlоrеr.lnk

ShortcutWithArgument: C:\Users\Witol_000\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\360c22b137d62ce9\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> --profile-directory=ChromeDefaultData

HKLM\...\Policies\Explorer: [EnableShellExecuteHooks] 1

SearchScopes: HKU\S-1-5-21-1722941014-1438396655-2161990473-1006 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =

SearchScopes: HKU\S-1-5-21-1722941014-1438396655-2161990473-1006 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =

EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe

Uruchom FRST i kliknij przycisk Fix (NAPRAW).

 

 

Zrób nowe logi FRST,-  już bez Shortcut.

 

jessi

[JackDaniels]

Dorzucam raport z AdwCleanera, wykonamy po naprawie FRST i bez kłopotów z UCGuard 

 

Czyż by "pacjent" z Redmond ozdrowiał ?

 

Addition.txt

AdwCleanerC8.txt

FRST.txt

[jessica]

W nowych logach nie widzę już niczego podejrzanego, więc chyba możemy kończyć:

Otwórz Notatnik i wklej w nim:

 

DeleteQuarantine:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST. Uruchom FRST i kliknij w Fix (NAPRAW).
przez SHIFT+DEL usuń pozostały folder C:\FRST.

W Adw-Cleaner kliknij u góry po lewej na PLIK, potem na ODINSTALUJ.

RepairDNS - usuń ręcznie.

 

jessi

[JackDaniels]

Serdeczne dzięki za nieocenioną pomoc i wyniesioną naukę.