Problemy z systemem

[Rzepson]

Witam. Jakieś 4 lata temu dostałem się do gminnego programu, przez który otrzymałem komputer z systemem Windows 7. Po roku przez urządzenie GPS komputer szwankował więc informatycy zatrudnieni przez moją gminę sformatowali mi komputer, odłączyli mi te urządzenie GPS i zabezpieczyli antywirusa (Arcabit) hasłem, przez co nie mogłem go nawet ruszyć. Od tamtej pory minęło 3 lata a mój komputer nie był ani razu od tamtej pory formatowany ani jakoś dogłębniej czyszczony. Z komputera korzystała cała rodzina, która nie ma pojęcia o jakimkolwiek poruszaniu się po sieci, przez co system jest zawirusowany a w przeglądarce jest masa reklam, która utrudnia surfowanie po sieci. Antywirus co chwilę pojawiał komunikat że znaleziono wirusa i musiałem klikać 15x razy w ten sam przycisk ''Skasuj plik'' by ten jeden się usunął (Chodź podejrzewam że do tego nigdy nie doszło bo w przyszłości wyskakiwały mi identyczne komunikaty). Wkurzyłem się, wziąłem sprawy w swoje ręce i wygooglowałem że powinienem pobrać malwarebytes anti wirus, który wyczyści mi reklamy, usunie zainfekowane pliki itp. Więc pobrałem, zeskanowałem i zrobiłem to co trzeba. Po restarcie mój wygląd pulpitu zmienił się na klasyczny Windows, a funkcja Aero jest niedostępna. Mam taką samą sytuację co w temacie https://www.fixitpc.pl/topic/31727-problem-kompozycjeaero-windows-7/ ma pan Brojacz. Najgorsze jest to że klatki w grach mi gwałtownie spadły a przeglądarka chrome przestała mi działać, w ogóle wszystkie skróty do tej przeglądarki zostały usunięte a gdy chcę na nowo zainstalować Google Chrome to pisze ''Przygotuj się...'' w nieskończoność. Chciałbym dodać że komputer od jakiegoś roku nie chce się normalnie wyłączyć bo pisze w nieskończoność ''Przygotowanie do aktualizacji, proszę nie wyłączać komputera'' (Raz czekałem 2 dni). Widzę że forum żyje i naprawdę pomaga więc tu proszę o pomoc i pytam - Da się coś z tym zrobić?

[Zappa]

Bez logów z FRST pomoc raczej nie będzie możliwa.

 

https://www.fixitpc.pl/topic/61-diagnostyka-og%C3%B3lne-raporty-systemowe/#1

[Rzepson]

Nie wiem czy to w takiej postaci ma być te FRST, ale GMER już wysłać nie mogę bo :

GMER.log

Nie masz uprawnień do wysyłania tego typu plików.

FRST.txt

[Zappa]

1. Brakuje logu Adition.txt i Shortcut.txt. Powinny być tu

 

C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\MJ1AXG9S

 

2. Log z Gmera dołaczysz tylko musisz zmienić rozszerzenie na txt.

 

3. Z panelu programów odinstaluj Baidu

[Rzepson]

Baidu jest naprawdę szkodliwy dla mojego komputera? Mój znajomy twierdził że to najlepszy darmowy antywirus jaki zna. Dodać jeszcze FRST po od instalacji Baidu? Dołączyłem wszystkie brakujące pliki.

Shortcut.txt

Addition.txt

GMER.txt

[Miszel03]

Problem powoduję nowy wariant infekcji adware (modyfikujący usługę Themes). Przykład z forum: KLIK. Do tego w raportach widać jeszcze inne rodzaje adware. Moja pomoc ogranicza się do usunięcia infekcji z systemu, czyli: m.in naprawa kompozycji Aero.

 

Zaczynamy.

 

1. Przez panel sterownia odinstaluj:

• amuleC
• YAC (Yet Another Cleaner!)

2. Pobierz AdwCleaner uruchom go i kliknij szukaj, kiedy skanowanie zakończy się wydobądź z niego raport, znajduję się on w folderze C:\AdwCleaner. Raport zaprezentuj na forum.

 

3. Zrób nowy log FRST z opcji Skanuj (Scan), wraz z Addition i Shortcut. Dołącz też plik fixlog.txt (raport wynikowy).

[Rzepson]

Problem w tym że gdy próbuję odinstalować amuleC resetuje mi się komputer, a po resecie dalej jest w panelu sterowania. Z YAC jest inny problem, gdy klikam by go usunąć, nic mi nie wyskakuje. Jakieś porady co do tego?

[Miszel03]

Spróbuj z poziomu trybu awaryjnego (kliknij F8 przed startem systemu). Jeśli nie przyniesie to żadnych rezultatów to przejdź do następnego punktu. 

[Rzepson]

W jakiś sposób (w tym trybie awaryjnym) udało mi się usunąć amuleC i przy okazji usunąłem Baidu Antywirus. Niestety w dalszym ciągu nie mogę usunąć YAC.

W AdwCleaner zrobiłem tylko skan i wziąłem raport, nic nie oczyszczałem/naprawiałem, po prostu wolę poczekać na dalsze wytyczne. Wykryło 131 zagrożeń.

Skany FRST,Addition oraz Shortcut zostały zrobione po skanie adw i usunięciu tych rzeczy, o które mnie proszono. Przepraszam za moją jednio dniową nieobecność, mam nadzieje że dalsza pomoc będzie kontynuowana.

Addition.txt

AdwCleanerS0.txt

FRST.txt

Shortcut.txt

[Miszel03]

Wyniki AdwCleaner zweryfikowane, przechodzimy do akcji dezynfekcyjnej automatem, potem przejdziemy do działań bardziej ręcznych. 

 

1. W AdwCleaner przeprowadź jeszcze raz skanowanie, ale po nim kliknij w Oczyść. Dostarcz raport z tego działania. 

 

2. Wykonaj nowy zestaw raportów FRST.

[Rzepson]

Chyba się powiodło, przynajmniej to do czego się zobowiązałeś. Za co ci serdecznie dziękuje Miszel03. Tylko jednak to nie wszystko. Mój licencyjny antywirus (Arcabit) po skorzystaniu z malwarebytes przestał się automatycznie włączać na starcie a gdy próbuję go manualnie odpalić, dostaję komunikat : Błąd inicjalizacji [kod=0002]. Program nie zostanie uruchomiony. Skontaktuj się z pomocą techniczną firmy ArcaBit. A problem z wyłączaniem komputera dalej jest obecny, mianowicie ''Trwa zamykanie...'' trwa w nieskończoność. Tak samo jest z Aktualizacją systemu. Nie pamiętam żeby kiedykolwiek się aktualizował. Da się na to coś zaradzić? A i żeby procedurę doprowadzić do końca zostawiam w załączniku Raporty.  

AdwCleanerC0.txt

Addition.txt

Shortcut.txt

FRST.txt

[Miszel03]

Mój licencyjny antywirus (Arcabit) po skorzystaniu z malwarebytes przestał się automatycznie włączać na starcie a gdy próbuję go manualnie odpalić, dostaję komunikat : Błąd inicjalizacji [kod=0002]. Program nie zostanie uruchomiony. Skontaktuj się z pomocą techniczną firmy ArcaBit.

 

Myślę, że reinstalacja załatwiłaby problem, no ewentualnie zostaję jeszcze właśnie kontakt z pomocą techniczną. 

 

A problem z wyłączaniem komputera dalej jest obecny, mianowicie ''Trwa zamykanie...'' trwa w nieskończoność. Tak samo jest z Aktualizacją systemu.

 

To potem.

 

---

 

Działania poprawkowe:

 

1. Otwórz Notatnik w nim wklej:

 

CloseProcesses:
CreateRestorePoint:
ShellIconOverlayIdentifiers: [###MegaShellExtPending] -> {056D528D-CE28-4194-9BA3-BA2E9197FF8C} =>  Brak pliku
ShellIconOverlayIdentifiers: [###MegaShellExtSynced] -> {05B38830-F4E9-4329-978B-1DD28605D202} =>  Brak pliku
ShellIconOverlayIdentifiers: [###MegaShellExtSyncing] -> {0596C850-7BDD-4C9D-AFDF-873BE6890637} =>  Brak pliku
ShellIconOverlayIdentifiers-x32: [###MegaShellExtPending] -> {056D528D-CE28-4194-9BA3-BA2E9197FF8C} =>  Brak pliku
ShellIconOverlayIdentifiers-x32: [###MegaShellExtSynced] -> {05B38830-F4E9-4329-978B-1DD28605D202} =>  Brak pliku
ShellIconOverlayIdentifiers-x32: [###MegaShellExtSyncing] -> {0596C850-7BDD-4C9D-AFDF-873BE6890637} =>  Brak pliku
ShellIconOverlayIdentifiers: [baiduAntivirusIconLock] -> {0A93904A-BB1E-4a0c-9753-B57B9AE272CC} => C:\Program Files (x86)\Baidu Security\Baidu Antivirus\5.4.3.148966.0\BavShx64.dll Brak pliku
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ograniczenia 
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = 
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = 
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = 
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = 
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = 
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = 
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = 
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = 
HKU\S-1-5-21-1246516170-3302107629-780083620-1000\Software\Microsoft\Internet Explorer\Main,Start Page =
S2 Hkhlp; C:\Program Files (x86)\Common Files\Apps\Hkhlp.dll [X]
S2 W3PCC; C:\ProgramData\Sun\Java\extension.dll [X]
S3 ABWFP; \??\C:\Program Files\Arcabit\ArcaVir\ABWFP.sys [X]
S3 EagleX64; \??\C:\Windows\system32\drivers\EagleX64.sys [X]
Task: {40EE2D5D-84F7-4133-8499-8551FD973891} - \{1932E307-539C-411C-9409-716957509A06} -> Brak pliku 
Task: {54046C98-F51F-4E79-A5C2-61A04D85DA60} - \GoogleUpdateTaskMachineCore1d21a6b39b547 -> Brak pliku 
Task: {93661704-91F7-49AB-B93C-19A32DD476ED} - \BossseedUpdateTaskMachineUA -> Brak pliku 
Task: {97419EA9-ED09-4EBD-9116-EF8661A77694} - \Microsoft\Windows Defender\MP Scheduled Scan -> Brak pliku 
C:\Users\admin\Desktop\Gry\Kerbal Space Program.lnk
CMD: dir /a "C:\Program Files"
CMD: dir /a "C:\Program Files (x86)"
CMD: dir /a "C:\Program Files\Common Files\System"
CMD: dir /a "C:\Program Files (x86)\Common Files\System"
CMD: dir /a C:\ProgramData
CMD: dir /a C:\Users\DG_Ochota\AppData\Local
CMD: dir /a C:\Users\DG_Ochota\AppData\LocalLow
CMD: dir /a C:\Users\DG_Ochota\AppData\Roaming
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt (raport wynikowy).

 

2. W FireFox: klawisz z flagą Windows + R > wklej komendę "C:\Program Files\Mozilla Firefox\firefox.exe" -p > skasuj wszystkie widoczne profile i załóż nowy. 

 

3.  Zrób nowy zestaw raportów FRST (bez GMERa) oraz dołącz raport wynikowy (Fixlog.txt).

[Rzepson]

Zaraz, zaraz... Niewiedziałem że FireFox ma jakieś znaczenie, po za tym nawet nie wiedziałem że go mam na komputerze, więc gdy go zobaczyłem w panelu sterowania, ze zdziwieniem go usunąłem więc przepraszam jeśli namieszałem. To co miałem skopiować i wkleić do notatnika mam gdzie go zapisać i jak nazwać? Skąd mam wziąć raport wynikowy (fixlog.txt)?

Wiem, pewnie wszystko przedłużam więc wybacz moją ostrożność.

[Miszel03]

Skąd mam wziąć raport wynikowy (fixlog.txt)?

 

Patrz pod pkt. 1. 

 

Niewiedziałem że FireFox ma jakieś znaczenie, po za tym nawet nie wiedziałem że go mam na komputerze, więc gdy go zobaczyłem w panelu sterowania, ze zdziwieniem go usunąłem więc przepraszam jeśli namieszałem. 

 

Ma znaczenie w kwesti usunięcia adware (bo w jednym z profili się ono znajduję). Ale skoro go odinstalowałeś to pomiń ten punkt całkowicie. 

[Rzepson]

Myślę że zrobiłem wszystko dobrze. Wszystkie raporty w załączniku.

Shortcut.txt

Addition.txt

Fixlog.txt

FRST.txt

[Rzepson]

I jak wszystko dobrze? Możemy przejść dalej?

[Miszel03]

Poprawkowe działania:

 

1. Otwórz Notatnik w nim wklej:

 

CloseProcesses:
CreateRestorePoint:
Task: {2EB383DB-1DAD-4BEB-A645-04560689D9D9} - \GoogleUpdateTaskMachineCore1d2557b104ac77d -> Brak pliku 2016-12-13 20:56 - 2016-12-13 21:11 - 07065600 _____ C:\Program Files (x86)\GUTBA69.tmp
2016-12-13 20:56 - 2016-12-13 20:56 - 00000000 ____D C:\Program Files (x86)\GUMBA68.tmp
2016-12-13 20:48 - 2016-12-13 20:48 - 07065600 _____ C:\Program Files (x86)\GUTC67A.tmp
2016-12-13 20:48 - 2016-12-13 20:48 - 00000000 ____D C:\Program Files (x86)\GUMC679.tmp
2016-12-13 20:36 - 2016-12-13 20:48 - 07065600 _____ C:\Program Files (x86)\GUTBD37.tmp
2016-12-13 20:36 - 2016-12-13 20:36 - 00000000 ____D C:\Program Files (x86)\GUMBD26.tmp
2016-12-13 19:51 - 2016-12-13 19:51 - 07065600 _____ C:\Program Files (x86)\GUTC38E.tmp
2016-12-13 19:51 - 2016-12-13 19:51 - 00000000 ____D C:\Program Files (x86)\GUMC38D.tmp
2016-12-09 18:57 - 2016-12-09 18:57 - 07065600 _____ C:\Program Files (x86)\GUTCF3E.tmp
2016-12-09 18:57 - 2016-12-09 18:57 - 00000000 ____D C:\Program Files (x86)\GUMCF3D.tmp
RemoveDirectory: C:\Users\admin\AppData\Roaming\cfibf
RemoveDirectory: C:\ProgramData\ehadh
RemoveDirectory: C:\ProgramData\aehad
RemoveDirectory: C:\ProgramData\ttff
Reg: reg query HKLM\SYSTEM\CurrentControlSet\Services\Themes /s
DeleteKey: HKCU\Software\Mozilla
DeleteKey: HKCU\Software\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Mozilla
DeleteKey: HKLM\SOFTWARE\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Wow6432Node\Mozilla
DeleteKey: HKLM\SOFTWARE\Wow6432Node\mozilla.org
DeleteKey: HKLM\SOFTWARE\Wow6432Node\MozillaPlugins
C:\Users\admin\AppData\Local\Mozilla
C:\Users\admin\AppData\Roaming\Mozilla
C:\Users\admin\AppData\Roaming\Profiles
C:\Program Files (x86)\Mozilla Firefox
C:\ProgramData\Mozilla
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Podsumuj obecną sytuację, nie dostarczaj żadnych raportów.