Dziwne znaczki w menedżerze zadań

[faral21]

Witam od jakiegoś czasu gdy otwieram menedżera zadań pojawiają mi sie w nim jakieś dziwne znaczki. I mam też problem z instalowaniem aplikacji które już kiedyś instalowałem a teraz nie moge bo pojawia sie jakiś błąd. Czy może to być w jakiś sposób ze sobą powiązane?

[picasso]

Zakładasz temat w dziale diagnostyki malware, a ten obowiązują zasady tzn. podanie logów: KLIK.

 

 

I mam też problem z instalowaniem aplikacji które już kiedyś instalowałem a teraz nie moge bo pojawia sie jakiś błąd.

 

No tak, ale jakie aplikacje i jaki błąd? Precyzyjnie podaj.

 

 

 

.

[faral21]

zapomnioałem wczesniej o logach ale już to poprawiam. wyskakuja mi też dziwne komunikaty, np przy otwieraniu googli chrome nie moge też otworzyć monitora zasobów bo też jakiś bład ogólnie problem moim zdaniem dotyczy "dll-ek" ale to jest tylko moje zdanie

 

podobny błąd jak w googlach wyskakuje jak chcem uruchomić jakiś program. komunikat sie pojawia ale program się uruchamia

 

przepraszam za chaotyczność

Extras.Txt

OTL.Txt

[picasso]

faral21, do uzupełniania wypowiedzi, gdy nikt jeszcze nie odpisał, służy przycisk Edytuj, a nie tworzenie X postów w ciągu. Posty łączę. W logach brak śladów infekcji, toteż temat przemieszczam do Windows 7.

 

 

1. Przedstawione na obrazkach błędy wskazują na uszkodzenia plików browcli.dll i olepro32.dll. Wywołaj weryfikację poprawności plików. Uruchom komendę sfc /scannow, przefiltruj CBS.LOG do wystąpień znaczników [sR] za pomocą kolejnej komendy i przestaw wynikowy raport: KLIK.

 

2. System zgłasza niekompatybilny sterownik LibUSB-Win32:

 

[ System Events ]
Error - 2011-12-15 13:22:56 | Computer Name = Farał-Komputer | Source = Application Popup | ID = 1060
Description = Ładowanie sterownika \SystemRoot\SysWow64\drivers\libusb0.sys zostało
zablokowane z powodu niezgodności z tym systemem. Skontaktuj się z dostawcą oprogramowania
w celu uzyskania zgodnej wersji sterownika.
 
Error - 2011-12-15 13:23:42 | Computer Name = Farał-Komputer | Source = Service Control Manager | ID = 7000
Description = Nie można uruchomić usługi LibUsb-Win32 - Daemon, Version 0.1.10.1
z powodu następującego błędu:   %%2

 

Bardzo stare oprogramowanie:

 

========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"LibUSB-Win32_is1" = LibUSB-Win32-0.1.10.1
 
DRV - [2005-03-09 20:50:16 | 000,033,792 | ---- | M] () [Kernel | On_Demand | Stopped] -- C:\Windows\SysWOW64\drivers\libusb0.sys -- (libusb0)
SRV - [2005-03-09 20:50:18 | 000,018,944 | ---- | M] ("http://libusb-win32.sourceforge.net") [Auto | Stopped] -- C:\Windows\SysWOW64\libusbd-nt.exe -- (libusbd)

 

Na stronie projektu jest znacznie nowsza wersja: KLIK. Kompatybilność dla systemów 64-bit oznaczona od wersji:

 

Vista/7/2008/2008R2 64 bit are supported from version 1.2.0.0 since a Microsoft KMCS accepted digital signature is embedded in the kernel driver libusb0.sys.

 

3. Czy cudak Przyśpiesz komputer jest w pełni zainstalowany? Nie widzę go w spisie, ale jest usługa w systemie i związany z nią błąd:

 

Error - 2011-12-15 13:23:12 | Computer Name = Farał-Komputer | Source = Service Control Manager | ID = 7000
Description = Nie można uruchomić usługi PCSpeedUp Service z powodu następującego
błędu:   %%1053

 

SRV:64bit: - [2011-05-17 18:26:28 | 000,037,600 | ---- | M] (Speedchecker) [Auto | Stopped] -- C:\Program Files\Przyspiesz Komputer\PCSpeedUpService.exe -- (PCSpeedUpService)

 

I odinstaluj śmiecia adware QuickStores-Toolbar (w Firefox w menedżerze rozszerzeń go usuń + następnie odinstaluj przez Panel sterowania).

 

 

 

 

.

[faral21]

cudak nie był wpełni instalowany. zostały mi tylko jakieś pliki po nim. mam je usunąć?

[picasso]

Narzędzie wykryło 3 uszkodzone pliki (browcli.dll, olepro32.dll i PrintIsolationProxy.dll), ale nie znalazło sprawnych kopi i nie naprawiło ich:

 

2011-12-15 19:53:24, Info				  CSI	00000037 [sR] Cannot repair member file [l:22{11}]"browcli.dll" of Microsoft-Windows-BrowserService-NetAPI, Version = 6.1.7601.17514, pA = PROCESSOR_ARCHITECTURE_AMD64 (9), Culture neutral, VersionScope = 1 nonSxS, PublicKeyToken = {l:8 b:31bf3856ad364e35}, Type neutral, TypeName neutral, PublicKey neutral in the store, hash mismatch
2011-12-15 19:53:28, Info				  CSI	0000003b [sR] Cannot repair member file [l:22{11}]"browcli.dll" of Microsoft-Windows-BrowserService-NetAPI, Version = 6.1.7601.17514, pA = PROCESSOR_ARCHITECTURE_AMD64 (9), Culture neutral, VersionScope = 1 nonSxS, PublicKeyToken = {l:8 b:31bf3856ad364e35}, Type neutral, TypeName neutral, PublicKey neutral in the store, hash mismatch
2011-12-15 19:53:28, Info				  CSI	0000003c [sR] This component was referenced by [l:202{101}]"Microsoft-Windows-Foundation-Package~31bf3856ad364e35~amd64~~6.1.7601.17514.WindowsFoundationDelivery"
2011-12-15 19:53:28, Info				  CSI	0000003f [sR] Could not reproject corrupted file [ml:520{260},l:46{23}]"\??\C:\Windows\System32"\[l:22{11}]"browcli.dll"; source file in store is also corrupted
 
2011-12-15 19:57:17, Info				  CSI	00000131 [sR] Cannot repair member file [l:46{23}]"PrintIsolationProxy.dll" of Microsoft-Windows-Printing-Spooler-Core-Isolation, Version = 6.1.7601.17514, pA = PROCESSOR_ARCHITECTURE_AMD64 (9), Culture neutral, VersionScope = 1 nonSxS, PublicKeyToken = {l:8 b:31bf3856ad364e35}, Type neutral, TypeName neutral, PublicKey neutral in the store, hash mismatch
2011-12-15 19:57:19, Info				  CSI	00000133 [sR] Cannot repair member file [l:46{23}]"PrintIsolationProxy.dll" of Microsoft-Windows-Printing-Spooler-Core-Isolation, Version = 6.1.7601.17514, pA = PROCESSOR_ARCHITECTURE_AMD64 (9), Culture neutral, VersionScope = 1 nonSxS, PublicKeyToken = {l:8 b:31bf3856ad364e35}, Type neutral, TypeName neutral, PublicKey neutral in the store, hash mismatch
2011-12-15 19:57:19, Info				  CSI	00000134 [sR] This component was referenced by [l:202{101}]"Microsoft-Windows-Foundation-Package~31bf3856ad364e35~amd64~~6.1.7601.17514.WindowsFoundationDelivery"
2011-12-15 19:57:20, Info				  CSI	00000137 [sR] Could not reproject corrupted file [ml:520{260},l:46{23}]"\??\C:\Windows\System32"\[l:46{23}]"PrintIsolationProxy.dll"; source file in store is also corrupted
 
2011-12-15 20:05:31, Info				  CSI	000002c0 [sR] Cannot repair member file [l:24{12}]"olepro32.dll" of Microsoft-Windows-OLE-Automation-Legacy, Version = 6.1.7601.17514, pA = PROCESSOR_ARCHITECTURE_INTEL (0), Culture neutral, VersionScope = 1 nonSxS, PublicKeyToken = {l:8 b:31bf3856ad364e35}, Type neutral, TypeName neutral, PublicKey neutral in the store, hash mismatch
2011-12-15 20:05:33, Info				  CSI	000002c2 [sR] Cannot repair member file [l:24{12}]"olepro32.dll" of Microsoft-Windows-OLE-Automation-Legacy, Version = 6.1.7601.17514, pA = PROCESSOR_ARCHITECTURE_INTEL (0), Culture neutral, VersionScope = 1 nonSxS, PublicKeyToken = {l:8 b:31bf3856ad364e35}, Type neutral, TypeName neutral, PublicKey neutral in the store, hash mismatch
2011-12-15 20:05:33, Info				  CSI	000002c3 [sR] This component was referenced by [l:202{101}]"Microsoft-Windows-Foundation-Package~31bf3856ad364e35~amd64~~6.1.7601.17514.WindowsFoundationDelivery"
2011-12-15 20:05:33, Info				  CSI	000002c6 [sR] Could not reproject corrupted file [ml:48{24},l:46{23}]"\??\C:\Windows\SysWOW64"\[l:24{12}]"olepro32.dll"; source file in store is also corrupted

 

Pozostaje ręczna podmiana plików:

 

1. Paczka plików wyciągniętych z Windows 7 x64, zgodnych z parametrami tu widzianymi: KLIK.

 

2. Pliki należy podmienić zastępując aktualne w tych lokalizacjach:

 

C:\Windows\SysWOW64\olepro32.dll

C:\Windows\winsxs\x86_microsoft-windows-ole-automation-legacy_31bf3856ad364e35_6.1.7601.17514_none_3c1b247e5ff65f89\olepro32.dll

 

C:\Windows\System32\browcli.dll

C:\Windows\winsxs\amd64_microsoft-windows-browserservice-netapi_31bf3856ad364e35_6.1.7601.17514_none_8bb36948ae5a5afc\browcli.dll

 

C:\Windows\System32\PrintIsolationProxy.dll

C:\Windows\winsxs\amd64_microsoft-windows-p..oler-core-isolation_31bf3856ad364e35_6.1.7601.17514_none_d21bb9d14b917922\PrintIsolationProxy.dll

 

By pliki udało się zamienić, należy tymczasowo przestawić uprawnienia wg instrukcji: KLIK. W skrócie: przestawiasz właściciela z TrustedInstaller na własne konto + dla własnego konta przyznajesz Pełną kontrolę, zamieniasz pliki, po ukończeniu zadania przywracasz pierwotne uprawnienia (usuwasz siebie z listy i przestawiasz Właściciela na TrustedInstaller).

 

3. Po ukończeniu podmian plików zresetuj system, wywołaj ponownie komendę sfc /scannow, zrób log filtrowany i potwierdź sobie, że narzędzie przestało widzieć błędy.

 

 

 

cudak nie był wpełni instalowany. zostały mi tylko jakieś pliki po nim. mam je usunąć?

 

Start > w polu szukania wpisz cmd > z prawokliku Uruchom jako Administrator i wpisz komendę sc delete PCSpeedUpService. Po tej operacji możesz skasować z dysku cały folder C:\Program Files\Przyspiesz Komputer.

 

 

 

.

[faral21]

niestety troche namieszałem przy zmianie uprawnień:-( i niewiem co mam teraz zrobić. HELP

[picasso]

faral21 ... co Ty narobiłeś ... Co tu robi wyzerowany explorer.exe?! To był tylko przykład w tutorialu! Miałeś zmienić uprawnienia tylko i wyłącznie dla lokalizacji podanych wyżej w poście (olepro32.dll + browcli.dll + PrintIsolationProxy.dll) i nic poza tym.

 

Zanim przejdę do dzieła z rekonstrukcją oryginalnych uprawnień powiedz wyraźnie: ruszyłeś tylko plik explorer.exe?

 

 

 

.

[faral21]

Tak tylko pliki explorera

[picasso]

1. Rekonstrukcja uprawnień explorer.exe:

 

- Pobierz SetACL, rozpakuj i z folderu Command line version > x64 skopiuj plik SetACL.exe do folderu C:\Windows.

 

- Poniższą zawartość wklej do Notatnika:

 

"\\?\C:\Windows\explorer.exe",1,"O:S-1-5-80-956008885-3418522649-1831038044-1853292631-2271478464D:PAI(A;;FA;;;S-1-5-80-956008885-3418522649-1831038044-1853292631-2271478464)(A;;0x1200a9;;;BA)(A;;0x1200a9;;;SY)(A;;0x1200a9;;;BU)"

 

Zapisz plik pod nazwą backup.txt, plik umieść bezpośrednio na C:\.

 

- Start > w polu szukania wpisz cmd > z prawokliku Uruchom jako Administrator i wklej komendę:

 

SetACL -on C:\Windows\explorer.exe -ot file -actn restore -bckp C:\backup.txt

 

 

2. Skoro jest problem z prostą operacją przestawiania uprawnień, no to musimy sięgnąć po automat zamiany plików. Skorzystaj z Windows Se7en File Replacer. Patrz uważnie gdzie który plik wchodzi. Po wykonaniu zamiany zresetuj system i wykonaj sfc /scannow.

 

 

 

.

[faral21]

Dziekuje Bardzo za pomoc. moje problemy zniknely wszystko działa jak należy. scan nie pokazał żadnych błędów. programy sie normalnie otwierają. a ja mam ostatnie pytanie : co mogło być tego przyczyną?

[picasso]

co mogło być tego przyczyną?

 

Nie wiem z jakiego powodu nastąpiło uszkodzenie plików. Na wszelki wypadek możesz przeprowadzić jeszcze skanowanie dysku za pomocą narzędzia checkdisk.

 

 

 

.

[faral21]

OK. Jeszcze raz Dzieki Wielkie i za wyrozumiałość. Temat do zamknięcia