WindowsUpdater.js / WindowsDefender.js / win.js

[bait]

Witam

 

Od dzisiaj wyskakuje mi okno "zoom.exe is using zoom.exe from and unknow publisher. are you sure you want to run this software?"

 

i w autostarcie pojawiło mi się podejrzane:

WindowsUpdater.js

WindowsDefender.js

win.js

lokalizacja: C:\Users\bait1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

oraz 

win.js

lokalizacja:  C:\ProgramData\win.js

 

Przeniosłem do kosza te pliki, usunąłem z autostartu i usunąłem również:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run XESWOKX6XZ REG_SZ "C:\ProgramData\win.js"

 

dopiero po tym pomyślałem o diagnostyce tutaj 🫣

 

Addition.txt Shortcut.txt FRST.txt

[bait]

Dzisiaj system alarmował o wirusie:

Virus: Win32/Expiro.Ek!MTB
Virus: Win32/Expiro.HNW!MTB
i infekował każdy plik.exe albo coś podobnego, wszystkie aplikacje przestawały działać.  

Przywróciłem partycje systemową C: z EaseUS Todo Backup miałem kopie partycji z 11.07.2025. Przywróciłem, tylko teraz czy ten wirus nie siedzi gdzieś na dysku D: lub pendrive gdzie kopiowałem dane w trybie awaryjnym przed wgraniem obrazu partycji.
 

Addition.txt Shortcut.txt FRST.txt

[Illidan]

W logach jest trochę sprzątania, jest i aktywator KMSpico, niby bezpieczny, ale zależnie skąd go pobrałeś i z czym jeszcze wcześniej. Nie wiem czy zaznaczać go do usuwania? Zaleciłbym skorzystanie zamiast niego kupna klucza do Windows na OLX ( ok. 10 zł) lub skorzystania z alternatywy, która nawet Microsoft wspiera.

[bait]

Usuń, faktycznie kupie za te kilka złotych 

[Illidan]

Dobrze że masz backup danych, bo wcześniejsza infekcja wygląda na bardzo poważną. Pamiętaj o regularnych backupach. To ratuje tyłek, dosłownie. Zresztą sam sie przekonałeś.

Uruchom FRST. Skopiuj zawartość podaną niżej i nigdzie nie wklejaj-FRST sam znajdzie "fixlist" w schowku systemowym.

Spoiler

Start::
CreateRestorePoint:
KMSpico (HKLM\...\{8B29D47F-92E2-4C20-9EE0-F710991F5D7C}_is1) (Version:  - )
ShellIconOverlayIdentifiers: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> Brak pliku
ShellIconOverlayIdentifiers: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> Brak pliku
ShellIconOverlayIdentifiers: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> Brak pliku
ShellIconOverlayIdentifiers: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> Brak pliku
ShellIconOverlayIdentifiers: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> Brak pliku
ShellIconOverlayIdentifiers: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} =>  -> Brak pliku
ShellIconOverlayIdentifiers: [ OneDrive7] -> {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} =>  -> Brak pliku
ShellIconOverlayIdentifiers-x32: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> Brak pliku
ShellIconOverlayIdentifiers-x32: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> Brak pliku
ShellIconOverlayIdentifiers-x32: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> Brak pliku
ShellIconOverlayIdentifiers-x32: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> Brak pliku
ShellIconOverlayIdentifiers-x32: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> Brak pliku
ShellIconOverlayIdentifiers-x32: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} =>  -> Brak pliku
ShellIconOverlayIdentifiers-x32: [ OneDrive7] -> {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} =>  -> Brak pliku
FirewallRules: [{1BE25D24-59A8-41D3-AA3D-BAC5C4517CDE}] => (Allow) C:\Users\bait1\AppData\Local\Temp\7zS06AD\Installer\hpbcsiInstaller.exe => Brak pliku
FirewallRules: [{77511CD6-8AFC-4ABA-B027-123EAB804F7E}] => (Allow) C:\Users\bait1\AppData\Local\Temp\7zS06AD\Installer\hpbcsiInstaller.exe => Brak pliku
FirewallRules: [{7B1999DE-184F-48F9-8AB0-B90856BC4905}] => (Allow) C:\Program Files (x86)\BlueStacks X\Cloud Game.exe => Brak pliku
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ograniczenia <==== UWAGA
HKLM\Software\Policies\...\system: [EnableSmartScreen] 0 <==== UWAGA
AlternateShell:  <==== UWAGA
GroupPolicy: Ograniczenia ? <==== UWAGA
Policies: C:\ProgramData\NTUSER.pol: Ograniczenia <==== UWAGA
Task: {B054A94C-E1CA-466B-9A8E-BA4C1F52F88C} - System32\Tasks\AutoPico Daily Restart => C:\Program Files\KMSpico\AutoPico.exe [985792 2015-07-22] (@ByELDI -> @ByELDI) [Brak podpisu cyfrowego]
Task: {077BA067-7C15-40F0-B22E-C9DC2A54B4A2} - System32\Tasks\Microsoft\Windows\Location\Notifications => %windir%\System32\LocationNotificationWindows.exe  (Brak pliku)
Task: {F3E6E7ED-A196-4E44-8803-55FAB3AD4E29} - System32\Tasks\Microsoft\Windows\UpdateOrchestrator\USO_UxBroker => %systemroot%\system32\MusNotification.exe  (Brak pliku)
FF ProfilePath: C:\Users\bait1\AppData\Roaming\Mozilla\Firefox\Profiles\3f7gkq7q.default-release [nie znaleziono] <==== UWAGA
FF ProfilePath: C:\Users\bait1\AppData\Roaming\Mozilla\Firefox\Profiles\x4xnyrid.default [nie znaleziono] <==== UWAGA
S2 Service KMSELDI; C:\Program Files\KMSpico\Service_KMS.exe (Brak pliku)
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\KMSpico\AutoPico.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\KMSpico\KMSpico.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\KMSpico\Log KMSpico.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Age of Wonders 4 [GOG.com]\Age of Wonders 4.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Age of Wonders 4 [GOG.com]\Usuń Age of Wonders 4.lnk
C:\Users\bait1\Desktop\Programy\HotA HD.lnk
C:\Users\bait1\Desktop\Programy\NapiProjekt.lnk
C:\Users\bait1\Desktop\Programy\Tibia.lnk
C:\Users\bait1\Desktop\Programy\Stare\BlueStacks.lnk
C:\Users\bait1\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\d699a6365b7304e0\Paradox Launcher.lnk
C:\Users\Public\Desktop\Age of Wonders 4.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\KMSpico\Uninstall KMSpico.lnk
EmptyTemp:
End::

Fixlist przeznaczona tylko dla autora tematu!

W FRST kliknij opcję "Napraw" (Fix). Pokaż raport  "fixlog.txt", który otrzymasz po restarcie komputera. Pobierz dodatkowo "Malwaresbytes" . Przeskanuj nim komputer, usuń jeśli coś zostanie jeszcze wykryte i pokaż raport. Pobierz też darmowy "ADWCleaner" , skanowanie, zanim cos usuniesz, pokaż wpierw log.

Co do błędów w systemie, zastanawia mnie to:

Cytat

==================== Wadliwe urządzenia w Menedżerze urządzeń ============
Name: SSD 256GB
Description: Stacja dysków
Class Guid: {4d36e967-e325-11ce-bfc1-08002be10318}
Manufacturer: (Standardowe stacje dysków)
Service: disk
Problem: : This device is disabled. (Code 22)
Resolution: In Device Manager, click "Action", and then click "Enable Device". This starts the Enable Device wizard. Follow the instructions.

Masz wyłączony ten dysk?

Druga sprawa...to aktualizacja systemu teraz, oprogramowania i sterowników. Masz starszą wersję Windows 11, planujesz aktualizację do 25H2? Tak spróbuj zaktualizować oprogramowanie:

Windows – aktualizacja wszystkich aplikacji na raz w Windows 10 / 11

Dobrze by było, ale to już na sam koniec, bo jest uszkodzenie plików systemowych i problem z Secure Boot. Błąd CodeIntegrity - guard64.dll – Windows nie może zweryfikować integralności tego pliku. Może być uszkodzony lub jest złośliwym oprogramowaniem (często maskującym się jako biblioteka). Błąd Secure Boot – Funkcja zabezpieczeń jest wyłączona w BIOSie, przez co Windows nie może chronić systemu przed rootkitami.

Czyli najlepiej wpisz w CMD (Admin):

sfc /scannow (sprawdzi i naprawi uszkodzone pliki). Komendę potwierdź Enterem na klawiaturze.
Po skończeniu wpisz jeszcze:

DISM /Online /Cleanup-Image /RestoreHealth.
Wejdź do BIOS/UEFI (przy starcie wciskaj F2 lub Del) i włącz Secure Boot (jeśli opcja jest dostępna).

Komendy możesz skopiować i wkleić w CMD.

No jeszcze na sam koniec, jeśli można tak powiedzieć to aktywator Windows wpierany przez Microsoft, nawet ponoć obsługa techniczna Microsoft go zaleca :-)

Microsoft Activation Scripts (MAS)