kompozycje Aero

[Mrozu555]

Moim problem jest to że nie moge ustawić żadnej kompozycji aero wszystkie są na szaro 

usługa kompozycje jest zatrzymana nie moge jej uruchomić 

robiłem scan poprzez sfc z wiersza poleceń 

Wyświetlkony komunikat to : Funkcja Ochrona zasobów systemu Windows odnalazła uszkodzone pliki, ale nie 

może naprawić niektórych z tych plików. Szczegóły znajdują się w pliku CBS.Log

Załączam ten plik rozdzielony na dwa CBS.txtCBS2.txt

 

[Miszel03]

Raporty, które są dostarczone są nieprzefiltrowane - wykonaj jeszcze raz skan SFC z opcji sfc /scannow i dostarcz przefiltrowany raport.

 

Dodatkowo poproszę o raporty FRST. Pokaż mi również informacje z klucza Kompozycje:

 

Uruchom SystemLook i w oknie programu wklej:

 

:reg
HKLM\SYSTEM\CurrentControlSet\Services\Themes /s

 

Kliknij w Look, momentalnie pojawi się okienko z raportem, przekopiujesz wtedy jego treść i wkleisz na forum.

[Mrozu555]

wyniki SystemLook :

SystemLook 30.07.11 by jpshortstuff
Log created at 18:11 on 21/11/2017 by Robek
Administrator - Elevation successful
WARNING: SystemLook running under WOW64. Use SystemLook_x64 for accurate results.

========== reg ==========

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Themes]
"Start"= 0x0000000002 (2)
"DisplayName"="@%SystemRoot%\System32\themeservice.dll,-8192"
"ErrorControl"= 0x0000000001 (1)
"Group"="ProfSvc_Group"
"ImagePath"="%SystemRoot%\System32\svchost.exe -k netsvcs"
"Type"= 0x0000000020 (32)
"Description"="@%SystemRoot%\System32\themeservice.dll,-8193"
"ObjectName"="LocalSystem"
"RequiredPrivileges"="SeAssignPrimaryTokenPrivilege SeDebugPrivilege SeImpersonatePrivilege"
"FailureActions"=80 51 01 00 00 00 00 00 00 00 00 00 03 00 00 00 14 00 00 00 01 00 00 00 60 ea 00 00 01 00 00 00 60 ea 00 00 00 00 00 00 00 00 00 00  (REG_BINARY)
"DependOnService"="iThemes5"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Themes\Parameters]
"ServiceDllUnloadOnStop"= 0x0000000001 (1)
"ServiceMain"="ThemeServiceMain"
"ServiceDll"="%SystemRoot%\system32\themeservice.dll"


-= EOF =-

oraz programu FRST

 

 

Addition.txt

FRST.txt

CBS.txt

Edytowane 21 Listopada 2017 przez Miszel03
Posty łącze. //Miszel03

[Miszel03]

Używaj opcji Edytuj. kiedy zapomnisz dodać jakiś informacji. Zaraz ktoś przeniesie ten temat do działu Pomocy doraźnej ja tutaj nie mam dostępu moderacyjnego. Gotowe.

 

System jest bardzo mocno zainfekowany - zmodyfikowana został również usługa kompozycje. Naprawa powinna pójść gładko i szybko, ale proszę najpierw o trzeci raport Shortcut generowany przez FRST - w instrukcjach jest jasno napisane, że jest wymagany. 

[Mrozu555]

Oto i trzeci raport Shortcut

Shortcut.txt

[Miszel03]

Kolosalny bałagan i myślałem, że wyeliminowaliśmy już dawno te infekcje - ale taki stan systemu ma się u Ciebie od przeszło ponad roku (widzę po datach infekcji).
Powinniśmy to zgrabnie zrobić, ale musisz się skupić i wykonywać instrukcje 1:1. Jeśli czegoś nie potrafisz wykonać - STOP. Zapytaj - na pewno rozszerzę instrukcje. 
 

Rozumiem, że DNS "Family Shield - tj. 208.67.222.123" blokujący treści dla dorosłych jest ustawieniem celowym? 

 

1. Deinstalacje.

• Za pomocą Program Install and Uninstall Troubleshooter odinstaluj agresywne programy adware / PUP: AlphaGo (pięć pozycji do deinstalacji), amuleC (dwie pozycje do deinstalacji), amulesw (jedna pozycja do deinstalacji).
• Przez Panel Sterownia odinstaluj programy adware / PUP i koparkę BitCon: BikaQ Rss, BikaQ Rss Reader, WINSNARE, CPU Miner oraz sponsorów instalacyjnych / zbędne aplikacje: McAfee Security Scan Plus.

2. Uruchom FRST. Z klawiatury CTRL+Y, zostanie otworzony plik fixlist.txt. Wklej do pliku następującą treść:

CloseProcesses:
CreateRestorePoint:
HKU\S-1-5-21-1414513604-550418378-3547991025-1000\...\ChromeHTML: -> C:\Program Files (x86)\Cupduck\Application\chrome.exe (Google Inc.) C:\Program Files (x86)\Cupduck
C:\Users\Michał\AppData\Local\Cupduck
C:\Users\Michal\AppData\Roaming\Cupduck
C:\Program Files (x86)\Firefox
C:\Users\Michał\AppData\Local\Firefox
C:\Users\Michal\AppData\Roaming\Firefox
Task: {014ED373-DBCE-4834-92A0-45678201ED76} - System32\Tasks\RobekBhangsKeypuncherV2 => rundll32.exe SeducibleMycelium.dll,main 7 1 Task: {1CE6248E-D2BD-4741-A30D-60FFC3207734} - \WordSurfer Auto Updater 1.10.0.19 Pending Update -> Brak pliku Task: {39B8185F-A4D4-4E7A-80C5-01E05DBC16E9} - System32\Tasks\Milimili => C:\Program Files (x86)\MIO\MIO.exe Task: {5B3448FD-225C-4B21-9B3A-8AFEB55977B0} - \Web Protector Plus -> Brak pliku Task: {856FC7A7-E566-4B19-BE6D-940E93667DE9} - System32\Tasks\d639866a9491f79c4d8ac0f8356e1d26 => rundll32.exe "C:\Program Files (x86)\globalUpdate\nmqype.dll",e62dc6c6547f46bda862da2d05af6862 Task: {AB83A9DF-E428-4EAA-862A-5A9395D9FF4B} - System32\Tasks\Windows-PG => C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe C:\windows\psgo\psgo.ps1 Task: {CDD2DDB4-B89D-4857-A9BF-DDC42EFB8B18} - System32\Tasks\{C7FBCBF8-412A-4D95-8AAE-7F06CC8EC226} => "c:\program files (x86)\cupduck\application\chrome.exe" hxxps://ui.skype.com/ui/0/7.39.0.102/pl/abandoninstall?page=tsProgressBar
Task: {D157AE0B-BE5F-4011-8F72-155A5042D3B3} - \WordWizard Auto Updater 1.10.0.24 Pending Update -> Brak pliku Task: {FDCC1C73-BCCB-4D26-9290-784F4057522E} - System32\Tasks\WinTOOL => C:\ProgramData\wintools\WintoolUprI.exe [2017-01-18] () C:\windows\psgo
C:\Program Files (x86)\globalUpdate
C:\Program Files (x86)\MIO
C:\ProgramData\wintools
C:\Users\Robek\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk
C:\Users\Robek\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk
C:\Users\Robek\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Google Chrome.lnk
C:\Users\Robek\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\d75398020044c136\Google Chrome.lnk
C:\Users\Robek\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\70216a91c23d8320\Google Chrome.lnk
C:\Users\Robek\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\360c22b137d62ce9\Google Chrome.lnk
C:\Users\Robek\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\BigFarm.lnk
C:\Users\Robek\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\big_bang_empire.lnk
C:\Users\Robek\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Internet Explorer.lnk
C:\Users\Robek\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\1e9dbac0bb94874\Google Chrome.lnk
ShortcutWithArgument: C:\Users\Robek\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\FIFA 15.lnk -> C:\Program Files (x86)\GTX Box Team\FIFA 15\Launcher.exe () -> hxxp://www.amisites.com/?type=sc&ts=1481136175&z=241cfe77bdf6efe24eda62ag8zeb8gagec5qagcm7m&from=che0812&uid=ST1000LM024XHN-M101MBB_S2SMJ9CD927401
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ASGRAF\EuroTEST 2014 PWPW\Odinstaluj EuroTEST 2014 PWPW.lnk
C:\ProgramData\Microsoft\Windows\GameExplorer\{7AE57EB3-3F0D-48F0-B22A-23F5850ED761}\PlayTasks\4\Detect Tool.lnk
C:\ProgramData\Microsoft\Windows\GameExplorer\{7AE57EB3-3F0D-48F0-B22A-23F5850ED761}\PlayTasks\3\Game Manual.lnk
C:\ProgramData\Microsoft\Windows\GameExplorer\{7AE57EB3-3F0D-48F0-B22A-23F5850ED761}\PlayTasks\2\ReadMe.txt.lnk
C:\ProgramData\Microsoft\Windows\GameExplorer\{7AE57EB3-3F0D-48F0-B22A-23F5850ED761}\PlayTasks\1\Registration.lnk
C:\Users\Robek\Desktop\MioMore Desktop 7.50.lnk
C:\Users\Robek\Desktop\programy\Norton Internet Security.lnk
C:\Users\Robek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Mio\MioMore Desktop 7.50.lnk
C:\Users\vod\Links\Downloads.lnk
HKLM\...\Policies\Explorer: [EnableShellExecuteHooks] 1
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ograniczenia HKU\S-1-5-21-1414513604-550418378-3547991025-1000\...\Run: [YTDownloader] => "C:\Program Files (x86)\YTDownloader\YTDownloader.exe" /boot
HKU\S-1-5-21-1414513604-550418378-3547991025-1000\...\Run: [background_fault] => C:\Users\Robek\AppData\Local\background_fault\aswRD.exe [1419576 2017-04-26] (AVAST Software) C:\Users\Robek\AppData\Local\background_fault
HKU\S-1-5-21-1414513604-550418378-3547991025-1000\...\Policies\system: [shell] explorer.exe,msiexec.exe /i hxxp://point.ltdmsjq.com/?data=zDlkMj1SNkE3OWY3FkM4OWFxRWZQN8EdRWq5NjY8FkMcM8Y8RH== /q HKU\S-1-5-18\...\Run: [] => [X]
IFEO\MRT.exe: [Debugger] C:\Program Files (x86)\Clfick\_ALLOWDEL_b314c\Gubed.exe -Yrrehs
IFEO\taskmgr.exe: [Debugger]
C:\Program Files (x86)\Clfick
CHR HKLM\SOFTWARE\Policies\Google: Ograniczenia URLSearchHook: HKLM-x32 -> Domyślne = {CCC7B151-1D8C-11E3-B2AD-F3EF3D58318D}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.amisites.com/search/?type=ds&ts=1481136175&z=241cfe77bdf6efe24eda62ag8zeb8gagec5qagcm7m&from=che0812&uid=ST1000LM024XHN-M101MBB_S2SMJ9CD927401&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.amisites.com/?type=hp&ts=1481136175&z=241cfe77bdf6efe24eda62ag8zeb8gagec5qagcm7m&from=che0812&uid=ST1000LM024XHN-M101MBB_S2SMJ9CD927401
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.amisites.com/?type=hp&ts=1481136175&z=241cfe77bdf6efe24eda62ag8zeb8gagec5qagcm7m&from=che0812&uid=ST1000LM024XHN-M101MBB_S2SMJ9CD927401
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.amisites.com/search/?type=ds&ts=1481136175&z=241cfe77bdf6efe24eda62ag8zeb8gagec5qagcm7m&from=che0812&uid=ST1000LM024XHN-M101MBB_S2SMJ9CD927401&q={searchTerms}
HKU\S-1-5-21-1414513604-550418378-3547991025-1000\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.amisites.com/search/?type=ds&ts=1481136175&z=241cfe77bdf6efe24eda62ag8zeb8gagec5qagcm7m&from=che0812&uid=ST1000LM024XHN-M101MBB_S2SMJ9CD927401&q={searchTerms}
HKU\S-1-5-21-1414513604-550418378-3547991025-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.amisites.com/?type=hp&ts=1481136175&z=241cfe77bdf6efe24eda62ag8zeb8gagec5qagcm7m&from=che0812&uid=ST1000LM024XHN-M101MBB_S2SMJ9CD927401
HKU\S-1-5-21-1414513604-550418378-3547991025-1000\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.amisites.com/search/?type=ds&ts=1481136175&z=241cfe77bdf6efe24eda62ag8zeb8gagec5qagcm7m&from=che0812&uid=ST1000LM024XHN-M101MBB_S2SMJ9CD927401&q={searchTerms}
FF Plugin: @microsoft.com/GENUINE -> disabled [brak pliku]
FF Plugin-x32: @microsoft.com/GENUINE -> disabled [brak pliku]
StartMenuInternet: FIREFOX.EXE - C:\Program Files (x86)\Mozilla Firefox\firefox.exe hxxp://www.ourluckysites.com/?type=sc&ts=1495819067&z=47dab1a86d2ac8b6587ff93gez9taw4b3g9t9e3m6o&from=che0812&uid=ST1000LM024XHN-M101MBB_S2SMJ9CD927401
FF ExtraCheck: C:\Program Files (x86)\mozilla firefox\browser\defaults\preferences\prefs.js [2015-09-22] FF ExtraCheck: C:\Program Files (x86)\mozilla firefox\cfg [2015-09-22] CHR HKLM\...\Chrome\Extension: [cjabmdjcfcfdmffimndhafhblfmpjdpe] - C:\Program Files (x86)\Norton Internet Security\Engine\22.11.2.7\Exts\Chrome.crx 
CHR HKLM-x32\...\Chrome\Extension: [cjabmdjcfcfdmffimndhafhblfmpjdpe] - C:\Program Files (x86)\Norton Internet Security\Engine\22.11.2.7\Exts\Chrome.crx 
S2 CSHMDR; C:\Users\Robek\AppData\Local\CSHMDR\Snare.dll [900096 2017-05-22] (IntertSect Alliance Pty Ltd) [brak podpisu cyfrowego] S2 glory; C:\Users\Robek\AppData\Local\glory\glory.dll [809984 2017-06-02] (glory) [brak podpisu cyfrowego] R2 MCRL; C:\ProgramData\Microsoft\VisualStudio\14.0\2052\msmg.dll [368128 2016-12-09] () [brak podpisu cyfrowego] S2 Themes; C:\Windows\system32\themeservice.dll [44544 2009-07-14] (Microsoft Corporation) [DependOnService: iThemes5]S2 globalUpdate; C:\Program Files (x86)\globalUpdate\Update\globalupdate.exe /svc [X] S3 globalUpdatem; C:\Program Files (x86)\globalUpdate\Update\globalupdate.exe /medsvc [X] S2 Zerdgeghevse; C:\Program Files (x86)\Clfick\pighzabodomCln.dll [X]
C:\Users\Robek\AppData\Local\CSHMDR
C:\Users\Robek\AppData\Local\glory
C:\ProgramData\Microsoft\VisualStudio
C:\Program Files (x86)\globalUpdate
S3 cpuz134; \??\C:\Users\Robek\AppData\Local\Temp\cpuz134\cpuz134_x64.sys [X] U2 CWASRE; Brak ImagePath
S3 hwdatacard; system32\DRIVERS\ewusbmdm.sys [X]
S3 NAVENG; \??\C:\Program Files (x86)\Norton Internet Security\NortonData\22.5.2.15\Definitions\VirusDefs\20150808.001\ENG64.SYS [X]
S3 NAVEX15; \??\C:\Program Files (x86)\Norton Internet Security\NortonData\22.5.2.15\Definitions\VirusDefs\20150808.001\EX64.SYS [X]
S1 p1481550202am; \??\C:\Users\Robek\AppData\Local\Temp\bkB5B8.tmp\p1481550202am.sys [X] S1 p1481732029am; \??\C:\Users\Robek\AppData\Local\Temp\bkFB11.tmp\p1481732029am.sys [X] U2 snare; Brak ImagePath
S3 Synth3dVsc; System32\drivers\synth3dvsc.sys [X]
S3 tsusbhub; system32\drivers\tsusbhub.sys [X]
S3 VGPU; System32\drivers\rdvgkmd.sys [X]
U2 WinSnare; Brak ImagePath
2017-11-21 17:32 - 2016-09-28 22:41 - 000001164 _____ C:\Users\Public\Documents\temp.dat
2016-11-29 19:20 - 2016-11-29 19:20 - 007310848 _____ () C:\Users\Robek\AppData\Roaming\agent.dat
2016-11-29 19:20 - 2016-11-29 19:20 - 000140288 _____ () C:\Users\Robek\AppData\Roaming\Installer.dat
2016-11-29 19:20 - 2016-11-29 19:20 - 000018432 _____ () C:\Users\Robek\AppData\Roaming\Main.dat
2016-11-29 19:20 - 2016-11-29 19:20 - 000683520 _____ () C:\Users\Robek\AppData\Roaming\VoyaTam.exe
CMD: dir /a "C:\Program Files"
CMD: dir /a "C:\Program Files (x86)"
CMD: dir /a "C:\Program Files\Common Files\System"
CMD: dir /a "C:\Program Files (x86)\Common Files\System"
CMD: dir /a C:\ProgramData
CMD: dir /a C:\Users\Robek\AppData\Local
CMD: dir /a C:\Users\Robek\AppData\LocalLow
CMD: dir /a C:\Users\Robek\AppData\Roaming
Reg: reg query HKLM\SYSTEM\CurrentControlSet\Services\Themes /s
File: C:\Users\Robek\Desktop\FIX.REG
CMD: netsh advfirewall reset
Hosts:
Powershell: wevtutil el | Foreach-Object {wevtutil cl "$_"}
EmptyTemp:

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 
Z klawiatury CTRL+S, by zapisać zmiany. Następnie w oknie FRST klik w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.
 
3. Po tej akcji zniknęły skróty przeglądarek - odtwórz je. Powinna już działać kompozycja Aero - sprawdź czy na pewno. 

4. Wymagane jest podjęcie akcji naprawczych w profilach przeglądarek ze względu na ich infekcje.

• Uruchom przeglądarkę Google Chrome, a następnie: Ustawienia > karta Ustawienia > Osoby > Dodaj Osobę, zaloguj się na profil Default, zamknij okno poprzedniego, wróć do ustawień i skasuj profil ChromeDefaultData. Po tej akcji trzeba odpiąć skróty Chrome z paska i przypiąć od nowa. 
• Kliknij klawisz z flagą Windows + R > wklej komendę "C:\Program files (x86)\Mozilla Firefox\firefox.exe" -p > załóż nowy profil, wszystkie poprzednie skasuj. Po tej akcji trzeba odpiąć skróty Mozilla FireFox z paska i przypiąć od nowa. 

Utracisz wszystko z tych przeglądarek, więc ewentualnie możesz wyeksportować zakładki i ważne linki.
Ważne, abyś którąś z powyższych przeglądarek ustawił jako domyślną - inaczej nie cofnie się modyfikacja infekcji.

5. Uruchom FRST, w polu Szukaj (Search) wklej poniższą frazę i kliknij w Szukaj w rejestrze (Search Registry).
 

cupduck;firefox

 
Obok FRST powstanie raport SearchReg.txt - zaprezentuj go na forum.

6. Całościowo przeskanuj system za pomocą Malwarebytes AntiMalware. Jeśli coś wykryje to niczego nie usuwaj, a dostarcz raport. 

7. Zrób nowy log FRST z opcji Skanuj (Scan) wraz z Addition, ale już bez Shortcut. Dołącz też plik fixlog.txt.

[Mrozu555]

raport z Malwarebytes podzielony na dwie części 

Aero oczywiście już działa i dziękuje bardzo za pomoc

Addition.txt

Fixlog.txt

FRST.txt

Malwarebytes.txt

Malwarebytes2.txt

SearchReg.txt

[Miszel03]

Nie wszystko poszło gładko, nadal mamy problem z fałszywymi przeglądarkami (źle podstawiłem ścieżki), ale zanim przejdziemy dalej to dlaczego poniższe dwie pozycje nie zostały odinstalowane?

• amuleC (było 5 pozycji - została jedna)
• CPU Miner (koparka BitCoin - chyba, że instalacja celowa to zignoruj) 

Rozumiem, że po prostu przeoczyłeś co jest jak najbardziej normalne przy takim natłoku działań. Powtórz akcje deinstalacyjne dla tych dwóch wyników.
 
Reszta wygląda całkiem dobrze, będą jeszcze doczyszczenia, ale i też usuwanie fałszywych przeglądarek. Cieszę się, że Aero już działa.
Zrób nowe raporty FRST. MBAM na razie w odstawkę - narobi bałaganu przetwarzając to metodą "na brutala" - w takich infekcjach trzeba korzystać tylko i wyłącznie z mechanizmu samych prawidłowych przeglądarek by uniknąć uszkodzeń. 

[Mrozu555]

Plik CPU Miner usunięty faktycznie przeoczyłem a amuleC nie wyszukuje 

I oczywiście raporty zrobione 

Addition.txt

FRST.txt