picasso

Skopiuj także na Pulpit folder C:\Windows\Minidump (o ile nie jest pusty i zawiera pliki datowane na dzień usterki tzn. 18.10.2014), spakuj do ZIP, shostuj gdzieś i podaj link do paczki. Ale popatrz do pliku Fixlog... Masowe odczyty "deleted successfully" + "moved successfully".

W instrukcji jest napisane: Ustawianie nic nie da, "Podstawowy" kanał musi być odinstalowany, by zresetować transfer. Windows przy restarcie przebuduje urządzenie automatycznie asygnując wyższy tryb transferu. .

Adware Omiga zmodyfikowało wszystkie skróty LNK przeglądarek dopisując tam otwieranie własnego adresu. Ale te opisywane przekierowania to ledwie część problemu, w systemie jest znacznie więcej instalacji adware. 1. Otwórz Notatnik i wklej w nim: CloseProcesses: R2 FastPlayerUpdaterService; C:\Program Files (x86)\FastPlayer\FastPlayerUpdaterService.exe [11776 2014-09-30] () [File not signed] R2 PanService; C:\Program Files (x86)\PANDORA.TV\PanService\PandoraService.exe [625816 2012-06-22] (Pandora.TV) R2 Update Lampy Lighty; C:\Program Files (x86)\Lampy Lighty\updateLampyLighty.exe [524024 2014-10-19] () R2 Util Lampy Lighty; C:\Program Files (x86)\Lampy Lighty\bin\utilLampyLighty.exe [524024 2014-10-19] () R2 VideoDownloadConverter_4zService; C:\Program Files (x86)\VideoDownloadConverter_4z\bar\1.bin\4zbarsvc.exe [42504 2012-10-13] (COMPANYVERS_NAME) R2 WindowsMangerProtect; C:\ProgramData\WindowsMangerProtect\ProtectWindowsManager.exe [488960 2014-10-17] (Fuyu LIMITED) [File not signed] R1 {51d6ab57-418a-4317-9cb9-5efc59c6e41c}Gw64; C:\Windows\System32\drivers\{51d6ab57-418a-4317-9cb9-5efc59c6e41c}Gw64.sys [48792 2014-10-17] (StdLib) U2 wuaserv; No ImagePath HKLM-x32\...\Run: [DATAMNGR] => C:\PROGRA~2\IMESHA~1\Mediabar\Datamngr\DATAMN~1.EXE HKLM-x32\...\Run: [VideoDownloadConverter Search Scope Monitor] => C:\Program Files (x86)\VideoDownloadConverter_4z\bar\1.bin\4zSrchMn.exe [42536 2012-10-13] (MindSpark) HKLM-x32\...\Run: [VideoDownloadConverter_4z Browser Plugin Loader] => C:\Program Files (x86)\VideoDownloadConverter_4z\bar\1.bin\4zbrmon.exe [30096 2012-10-13] (VER_COMPANY_NAME) HKU\S-1-5-19\...\RunOnce: [] => [X] HKU\S-1-5-20\...\RunOnce: [] => [X] HKU\S-1-5-21-4094350964-3357100401-1563204816-1000\...\Run: [Easy Speed PC] => C:\Program Files (x86)\Probit Software\Easy Speed PC\ESPCLauncher.exe [148272 2013-03-18] (Probit Software LTD) HKU\S-1-5-21-4094350964-3357100401-1563204816-1000\...\Run: [EasySpeedCheck] => C:\Program Files (x86)\Easy Speed Check\easyspeedcheck.exe [194200 2014-05-12] (Probit Software LTD) HKU\S-1-5-21-4094350964-3357100401-1563204816-1000\...\Policies\system: [EnableLUA] 1 HKU\S-1-5-21-4094350964-3357100401-1563204816-1000\...\Policies\Explorer: [NofolderOptions] 0 HKU\S-1-5-18\...\RunOnce: [] => [X] AppInit_DLLs: C:\PROGRA~2\IMESHA~1\Mediabar\Datamngr\x64\datamngr.dll => C:\Program Files (x86)\iMesh Applications\Mediabar\Datamngr\x64\datamngr.dll [2314152 2012-09-11] (iMesh, Inc) AppInit_DLLs: C:\PROGRA~2\IMESHA~1\Mediabar\Datamngr\x64\IEBHO.dll => C:\Program Files (x86)\iMesh Applications\Mediabar\Datamngr\x64\IEBHO.dll [1528744 2012-09-11] (iMesh, Inc) AppInit_DLLs-x32: c:\progra~2\imesha~1\mediabar\datamngr\datamngr.dll => c:\Program Files (x86)\iMesh Applications\Mediabar\Datamngr\datamngr.dll [1745872 2012-09-11] (iMesh, Inc) AppInit_DLLs-x32: c:\progra~2\imesha~1\mediabar\datamngr\iebho.dll => c:\Program Files (x86)\iMesh Applications\Mediabar\Datamngr\IEBHO.dll [1185192 2012-09-11] (iMesh, Inc) ShortcutWithArgument: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> hxxp://isearch.omiga-plus.com/?type=sc&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB ShortcutWithArgument: C:\Users\Łukasz\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://isearch.omiga-plus.com/?type=sc&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB ShortcutWithArgument: C:\Users\Łukasz\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://isearch.omiga-plus.com/?type=sc&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB ShortcutWithArgument: C:\Users\Łukasz\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> hxxp://isearch.omiga-plus.com/?type=sc&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB ShortcutWithArgument: C:\Users\Łukasz\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://isearch.omiga-plus.com/?type=sc&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB ShortcutWithArgument: C:\Users\Łukasz\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> hxxp://isearch.omiga-plus.com/?type=sc&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB ShortcutWithArgument: C:\Users\Łukasz\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://isearch.omiga-plus.com/?type=sc&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB ShortcutWithArgument: C:\Users\Łukasz\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Internet Explorer.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://isearch.omiga-plus.com/?type=sc&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://isearch.omiga-plus.com/web/?type=ds&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB&q={searchTerms} HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://isearch.omiga-plus.com/?type=hp&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.com/ie HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://isearch.omiga-plus.com/web/?type=ds&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB&q={searchTerms} HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://isearch.omiga-plus.com/web/?type=ds&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB&q={searchTerms} HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://isearch.omiga-plus.com/?type=hp&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://isearch.omiga-plus.com/?type=hp&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://isearch.omiga-plus.com/web/?type=ds&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB&q={searchTerms} HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = http://isearch.omiga-plus.com/web/?type=ds&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB&q={searchTerms} HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = http://isearch.omiga-plus.com/?type=hp&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = http://isearch.omiga-plus.com/?type=hp&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = http://isearch.omiga-plus.com/web/?type=ds&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB&q={searchTerms} URLSearchHook: HKLM-x32 - Icy Tower Toolbar - {ff65fdbc-5683-4dfd-9113-1fcb5b0a3447} - C:\Program Files (x86)\Icy_Tower\prxtbIcy_.dll (Conduit Ltd.) URLSearchHook: HKCU - Icy Tower Toolbar - {ff65fdbc-5683-4dfd-9113-1fcb5b0a3447} - C:\Program Files (x86)\Icy_Tower\prxtbIcy_.dll (Conduit Ltd.) URLSearchHook: HKCU - (No Name) - {93a3111f-4f74-4ed8-895e-d9708497629e} - C:\Program Files (x86)\VideoDownloadConverter_4z\bar\1.bin\4zSrcAs.dll (MindSpark) StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe http://isearch.omiga-plus.com/?type=sc&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB SearchScopes: HKLM - DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://isearch.omiga-plus.com/web/?type=ds&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB&q={searchTerms} SearchScopes: HKLM - {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = SearchScopes: HKLM - {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://isearch.omiga-plus.com/web/?type=ds&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB&q={searchTerms} SearchScopes: HKLM - {9BB47C17-9C68-4BB3-B188-DD9AF0FD21} URL = http://dts.search-results.com/sr?src=ieb&gct=ds&appid=1157&systemid=1&apn_dtid=IME001&apn_ptnrs=AG1&o=APN10653&apn_uid=5040467200314360&q={searchTerms} SearchScopes: HKLM-x32 - DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://isearch.omiga-plus.com/web/?type=ds&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB&q={searchTerms} SearchScopes: HKLM-x32 - {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = SearchScopes: HKLM-x32 - {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://isearch.omiga-plus.com/web/?type=ds&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB&q={searchTerms} SearchScopes: HKLM-x32 - {9BB47C17-9C68-4BB3-B188-DD9AF0FD21} URL = http://dts.search-results.com/sr?src=ieb&gct=ds&appid=1157&systemid=1&apn_dtid=IME001&apn_ptnrs=AG1&o=APN10653&apn_uid=5040467200314360&q={searchTerms} SearchScopes: HKCU - DefaultScope {C2DA7494-EBA0-407D-B0C6-024CDC66B9B5} URL = http://www.google.com/search?hl=pl&q={searchTerms}&rlz= SearchScopes: HKCU - {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://isearch.omiga-plus.com/web/?type=ds&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB&q={searchTerms} SearchScopes: HKCU - {6A1806CD-94D4-4689-BA73-E35EA1EA9990} URL = http://www.google.com/search?q={sear SearchScopes: HKCU - {80E7B103-ACBA-460D-839A-74825AEDF16B} URL = SearchScopes: HKCU - {9BB47C17-9C68-4BB3-B188-DD9AF0FD21} URL = http://dts.search-results.com/sr?src=ieb&gct=ds&appid=1157&systemid=1&apn_dtid=IME001&apn_ptnrs=AG1&o=APN10653&apn_uid=5040467200314360&q={searchTerms} BHO: DataMngr -> {BE7A24F5-69CB-4708-B77B-B1EDA6043B95} -> C:\Program Files (x86)\iMesh Applications\Mediabar\Datamngr\x64\BrowserConnection.dll (iMesh, Inc) BHO-x32: Toolbar BHO -> {312f84fb-8970-4fd3-bddb-7012eac4afc9} -> C:\Program Files (x86)\VideoDownloadConverter_4z\bar\1.bin\4zbar.dll (MindSpark) BHO-x32: IETabPage Class -> {3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C} -> C:\Program Files (x86)\SupTab\SupTab.dll (Thinknice Co. Limited) BHO-x32: Lampy Lighty -> {4b71a46a-05c6-4df1-84fe-26ce347bf5ce} -> C:\Program Files (x86)\Lampy Lighty\LampyLightybho.dll (Lampy Lighty) BHO-x32: DataMngr -> {BE7A24F5-69CB-4708-B77B-B1EDA6043B95} -> C:\Program Files (x86)\iMesh Applications\Mediabar\Datamngr\BrowserConnection.dll (iMesh, Inc) BHO-x32: Search-Results Toolbar -> {bff6b2ca-366c-4a90-b685-d87776deb0d2} -> C:\Program Files (x86)\iMesh Applications\Mediabar\Datamngr\SRTOOL~1\searchresultsDx.dll (APN LLC) BHO-x32: Search Assistant BHO -> {c547c6c2-561b-4169-a2a5-20ba771ca93b} -> C:\Program Files (x86)\VideoDownloadConverter_4z\bar\1.bin\4zSrcAs.dll (MindSpark) BHO-x32: Icy Tower Toolbar -> {ff65fdbc-5683-4dfd-9113-1fcb5b0a3447} -> C:\Program Files (x86)\Icy_Tower\prxtbIcy_.dll (Conduit Ltd.) Toolbar: HKLM-x32 - Icy Tower Toolbar - {ff65fdbc-5683-4dfd-9113-1fcb5b0a3447} - C:\Program Files (x86)\Icy_Tower\prxtbIcy_.dll (Conduit Ltd.) Toolbar: HKLM-x32 - Search-Results Toolbar - {bff6b2ca-366c-4a90-b685-d87776deb0d2} - C:\Program Files (x86)\iMesh Applications\Mediabar\Datamngr\SRTOOL~1\searchresultsDx.dll (APN LLC) Toolbar: HKLM-x32 - VideoDownloadConverter - {48586425-6bb7-4f51-8dc6-38c88e3ebb58} - C:\Program Files (x86)\VideoDownloadConverter_4z\bar\1.bin\4zbar.dll (MindSpark) FF Plugin-x32: @VideoDownloadConverter_4z.com/Plugin -> C:\Program Files (x86)\VideoDownloadConverter_4z\bar\1.bin\NP4zStub.dll (MindSpark) FF HKLM-x32\...\Firefox\Extensions: [{27182e60-b5f3-411c-b545-b44205977502}] - C:\Program Files (x86)\Microsoft\Search Enhancement Pack\Search Helper\firefoxextension\SearchHelperExtension FF HKLM-x32\...\Firefox\Extensions: [{3252b9ae-c69a-4eaf-9502-dc9c1f6c009e}] - C:\Program Files (x86)\Microsoft\Search Enhancement Pack\Default Manager\DMExtension FF HKLM-x32\...\Firefox\Extensions: [4zffxtbr@VideoDownloadConverter_4z.com] - C:\Program Files (x86)\VideoDownloadConverter_4z\bar\1.bin CHR StartupUrls: Default -> "hxxp://isearch.omiga-plus.com/?type=hp&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB" CHR DefaultSearchKeyword: Default -> ask.com CHR HKCU\...\Chrome\Extension: [gaiilaahiahdejapggenmdmafpmbipje] - C:\Program Files (x86)\DealPly\DealPly.crx [] CHR HKLM-x32\...\Chrome\Extension: [gaiilaahiahdejapggenmdmafpmbipje] - C:\Program Files (x86)\DealPly\DealPly.crx [] CHR StartMenuInternet: Google Chrome - C:\Program Files (x86)\Google\Chrome\Application\chrome.exe http://isearch.omiga-plus.com/?type=sc&ts=1413572921&from=tugs&uid=TOSHIBAXMK5076GSXN_31CMD0ZJBXX31CMD0ZJB Task: {07E67830-A3E5-41F7-BDF9-ED22866F694B} - System32\Tasks\Norton 360\Norton Error Analyzer => C:\Program Files (x86)\Norton 360\Engine\20.5.0.28\SymErr.exe Task: {89B6B398-725C-4C86-852E-98F9AD65F312} - System32\Tasks\Norton 360\Norton Error Processor => C:\Program Files (x86)\Norton 360\Engine\20.5.0.28\SymErr.exe Task: {974DF0F3-336E-47A7-97C6-B6411D3EECBE} - System32\Tasks\DealPlyUpdate => C:\Program Files (x86)\DealPly\DealPlyUpdate.exe [2012-07-23] (DealPly) Task: {EE64FCE0-39DE-448C-A8A5-51D3AF081C82} - System32\Tasks\Norton WSC Integration => C:\Program Files (x86)\Norton 360\Engine\20.5.0.28\WSCStub.exe C:\ProgramData\374311380 C:\ProgramData\Norton C:\ProgramData\TEMP C:\ProgramData\Microsoft\Windows\Start Menu\Programs\FastPlayer C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Video Download Converter C:\Users\Łukasz\AppData\Local\com C:\Users\Łukasz\AppData\Local\Genesis_10171904 C:\Users\Łukasz\AppData\Local\Google\Chrome\User Data\Default\Preferences C:\Users\Łukasz\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\iMesh.lnk C:\Users\Łukasz\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Easy Speed PC.lnk C:\Users\Łukasz\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Easy Speed PC on the Web.lnk C:\Users\Łukasz\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Help.lnk C:\Users\Łukasz\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Uninstall.lnk C:\Windows\System32\drivers\{51d6ab57-418a-4317-9cb9-5efc59c6e41c}Gw64.sys C:\Windows\System32\Tasks\Norton 360 Reg: reg delete "HKCU\Software\Microsoft\Internet Explorer\Search" /f Reg: reg delete "HKU\S-1-5-18\SOFTWARE\Microsoft\Internet Explorer\Main" /v "Start Page" /f Reg: reg delete "HKU\S-1-5-19\SOFTWARE\Microsoft\Internet Explorer\Main" /v "Start Page" /f Reg: reg delete "HKU\S-1-5-20\SOFTWARE\Microsoft\Internet Explorer\Main" /v "Start Page" /f Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. System zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 2. Przez Panel sterowania odinstaluj: - Adware i PUP: DealPly, Easy Speed Check, Easy Speed PC, FastPlayer, Icy Tower Toolbar, iMesh, Lampy Lighty, omiga-plus uninstall, Pandora Service *, Search-Results Toolbar, Video Download Converter version 1.0.0.0, VideoDownloadConverter Toolbar, WindowsMangerProtect20.0.0.1013. - Stare dziurawe aplikacje i zbędniki: Adobe Reader X (10.1.12) MUI, Amazon.co.uk, Bing Bar, eBay, Java™ 6 Update 20 * Pandora Service / KMP Service to część instalacji KMPlayer, produkuje reklamy 3. Wyczyść przeglądarki: - Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox. Zakładki i hasła nie zostaną naruszone. - Google Chrome: Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Zresetuj ustawienia przeglądarki. Zakładki i hasła nie zostaną naruszone. 4. Zrób nowy log FRST z opcji Scan, zaznacz ponownie pola Addition + Shortcut, by powstały trzy logi. Dołącz też plik fixlog.txt. .

ilus, podałaś tylko jeden plik poboczny OTL Extras, brakuje głównego OTL, obowiązowych logów z FRST oraz GMER. Wróć do tematu konfiguracji: KLIK.

Może system zrobił jakieś "Recovery", tylko byłoby ono dość grube (nie tylko rejestr, ale i obiekty na dysku) ... Przeprowadź akcje podane powyżej i zrób nowe logi FRST.

Akcje będą prowadzone po kolei, najpierw jeden komputer, gdy z nim skończymy podasz logi z kolejnych. Zabrakło pliku FRST Shortcut. W dostarczonych tu logach widać poprawny ades pobierany z routera oraz brak oznak tej infekcji, więc prawdopodobnie komunikat produkuje któreś cache (DNS lub przeglądarki). Dodatkowa uwaga: próbowałeś się ratować instalując wątpliwy skaner SpyHunter - z daleka od tego dziada. Wdróż następujące działania: 1. Odinstaluj via Panel sterowania zbędny program Akamai NetSession Interface oraz ów wątpliwy SpyHunter. 2. Otwórz Notatnik i wklej w nim: CloseProcesses: HKU\S-1-5-21-790045001-1484126515-3946774136-1002\...\Run: [Akamai NetSession Interface] => C:\Users\AG\AppData\Local\Akamai\netsession_win.exe [4489472 2013-06-05] (Akamai Technologies, Inc.) HKU\S-1-5-21-790045001-1484126515-3946774136-1002\...\Run: [AdobeBridge] => [X] HKU\S-1-5-21-790045001-1484126515-3946774136-1002\...\Run: [] => [X] S3 MBAMSwissArmy; \??\C:\Windows\system32\drivers\MBAMSwissArmy.sys [X] S3 MSICDSetup; \??\E:\CDriver64.sys [X] S3 NTIOLib_1_0_C; \??\E:\NTIOLib_X64.sys [X] RemoveDirectory: C:\Kaspersky Rescue Disk 10.0 RemoveDirectory: C:\sh4ldr RemoveDirectory: C:\Program Files\Enigma Software Group RemoveDirectory: C:\ProgramData\Malwarebytes RemoveDirectory: C:\Users\AG\AppData\Local\Akamai CMD: ipconfig /flushdns CMD: netsh advfirewall reset EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. System zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. Przedstaw go i wypowiedz się czy jest poprawa. 3. Uruchom ten test i podaj wyniki: KLIK. Nowy log FRST nie jest mi potrzebny. .

htw Nie wiem o co chodzi. Sprawdź w Panelu sterowania czy jest to drugie konto listowane i je usuń. Sprawdź czy go usunie McAfee Consumer Product Removal Tool. Załączone logi z FRST wyglądają na logi sprzed wykonania skryptu i pokazują to co było już usuwane. Proszę ponownie o świeże logi FRST. Cisowiaka Wszystko załączone, bo to odpadki adware oraz poprawnych programów - powiązane programy odinstalowane. Wszystkie dane masz w logach oraz w moim poście (podane konkretne instrukcje dodatkowych deinstalacji). .

Log z OTL został zrobiony na złych warunkach, sekcja Rejestr została ustawiona na Wszystko zamiast Użyj filtrowania. Ale zostaw to już. W Firefox jest zainstalowane adware Web Helper Lite. Przeprowadź następujące czyszczenie: 1. Przez Panel sterowania odinstaluj zbędny i problematyczny firewall NVIDIA ForceWare Network Access Manager. 2. Otwórz Notatnik i wklej w nim: CloseProcesses: R2 HTService; C:\Users\Pawel\AppData\Roaming\HTThread\hb.exe [628736 2014-09-25] () [File not signed] R3 AsrIbDrv; \??\C:\Windows\SysWOW64\Drivers\AsrIbDrv.sys [X] S3 catchme; \??\C:\ComboFix\catchme.sys [X] S3 xhunter1; \??\C:\Windows\xhunter1.sys [X] StartMenuInternet: IEXPLORE.EXE - C:\Program Files (x86)\Internet Explorer\iexplore.exe Task: {19843C92-A79E-45D4-BE43-7310C4ECAB93} - System32\Tasks\{5F899801-6ACB-4F88-B7AF-9FD6EE80C55F} => C:\Users\Pawel\Desktop\GhostReconPhantoms_Setup(EU)(3).exe Task: {56976C87-18FF-4E43-9E72-B3F59F59A906} - System32\Tasks\{CFAEAC2A-3FC6-4605-BCFB-B8875A5EE6B5} => D:\Program Files (x86)\Glary Utilities 4\Integrator.exe Task: {926C07E0-6E0B-4DC2-939F-D0FAE9DE0F61} - System32\Tasks\{73448661-0E78-4A87-9E34-7554CAB549B6} => C:\Users\Pawel\Desktop\GhostReconPhantoms_Setup(EU) (1).exe Task: {E3AE1E60-35EA-40FB-96A8-C13DD6F81323} - System32\Tasks\{A607F0F1-9200-434D-9866-0DCEAA2AB7C7} => D:\Program Files (x86)\Glary Utilities 4\Integrator.exe Task: {E60292B3-1A30-46F8-B141-467ABF44F129} - System32\Tasks\{AF898CA8-0B56-4525-8B07-44102FA41655} => C:\Users\Pawel\Desktop\GhostReconPhantoms_Setup(EU).exe DeleteKey: HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes DeleteKey: HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes DeleteKey: HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes C:\Users\Pawel\AppData\Local\Google C:\Users\Pawel\AppData\Roaming\HTThread C:\Windows\SysWow64\sqlite3.dll RemoveDirectory: C:\AdwCleaner Folder: C:\Users\Pawel\AppData\Roaming\Opera Software\Opera Stable\Extensions CMD: type "C:\Users\Pawel\AppData\Roaming\Opera Software\Opera Stable\Preferences" Reg: reg query "HKLM\SOFTWARE\Clients\StartMenuInternet\OperaStable\shell\open\command" /s EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. System zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 3. Wyczyść Firefox z adware: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox. Zakładki i hasła nie zostaną naruszone, ale używane rozszerzenia (Adblock Plus + Fast Dial) trzeba będzie przeinstalować. 4. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt. .

No dobrze, ale czy ten punkt Przywracania systemu jest starszy niż uruchomienie ComboFix? Jeśli tak, to go wybierz.

Ten FindRight wyłączyłeś tylko częściowo, nadal na chodzie powiązany sterownik {42e50651-9669-456e-9081-d5a836274274}t.sys. Ponadto są inne odpadki adware / infekcji. Program nie jest szkodliwy, pewnie zainstalowany przez użytkownika ręcznie, by rozwiązać problem reklam. Zweryfikuj transfer dysku w ustępie Skutki uboczne skanu GMER (dyski w trybie IDE, głównie system XP): KLIK. Po sprawdzeniu transferu dysku zabierz się za czyszczenie systemu: 1. Przez Panel sterowania odinstaluj stare dziurawe aplikacje: Adobe Flash Player 10 ActiveX, Java™ 6 Update 37. 2. Otwórz Notatnik i wklej w nim: CloseProcesses: S4 Update FindRight; C:\Program Files\FindRight\updateFindRight.exe [325408 2014-09-22] () S4 Util FindRight; C:\Program Files\FindRight\bin\utilFindRight.exe [325408 2014-09-22] () R1 {42e50651-9669-456e-9081-d5a836274274}t; C:\WINDOWS\System32\drivers\{42e50651-9669-456e-9081-d5a836274274}t.sys [55096 2014-09-16] (StdLib) S3 EpmShd; \??\C:\WINDOWS\system32\Drivers\epm-shd.sys [X] S3 massfilter; system32\drivers\massfilter.sys [X] S3 ZTEusbmdm6k; system32\DRIVERS\ZTEusbmdm6k.sys [X] S3 ZTEusbnmea; system32\DRIVERS\ZTEusbnmea.sys [X] S3 ZTEusbser6k; system32\DRIVERS\ZTEusbser6k.sys [X] HKU\S-1-5-21-1844237615-1383384898-1606980848-1003\...\Winlogon: [shell] C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0076\mp130982.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0069\mmails2.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0096\mp1lmq2.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0016\mip982.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0068\mtefq2.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0056\mp18982.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe,C:\RECYCLER\S-1-5-21-2919016184-9668431859-830946014-0661\winmap.exe,explorer.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0076\mixhdg.exe HKLM\...\Run: [DXDllRegExe] => dxdllreg.exe HKLM\...\Run: [KernelFaultCheck] => %systemroot%\system32\dumprep 0 -k GroupPolicy: Group Policy on Chrome detected CHR HKLM\SOFTWARE\Policies\Google: Policy restriction CHR StartupUrls: Default -> "hxxp://rts.dsrlte.com?affID=na" FF HKLM\...\Firefox\Extensions: [{20a82645-c095-46ed-80e3-08825760534b}] - c:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension FF HKLM\...\Firefox\Extensions: [jqs@sun.com] - C:\Program Files\Java\jre6\lib\deploy\jqs\ff HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://rts.dsrlte.com?affID=na HKCU\Software\Microsoft\Internet Explorer\Main,bProtector Start Page = http://www1.delta-search.com/?affID=121845&babsrc=HP_ss&mntrId=6CAF00166F28B0D9 SearchScopes: HKCU - bProtectorDefaultScope {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} SearchScopes: HKCU - {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = BHO: FindRight -> {2c774641-5504-46a8-b63f-6715ae3fe376} -> C:\Program Files\FindRight\FindRightBHO.dll (FindRight) Toolbar: HKLM - No Name - {0E1230F8-EA50-42A9-983C-D22ABC2EED3B} - No File Toolbar: HKCU - No Name - {D4027C7F-154A-4066-A1AD-4243D8127440} - No File DPF: {68282C51-9459-467B-95BF-3C0E89627E55} http://www.mks.com.pl/skaner/SkanerOnline.cab CustomCLSID: HKU\S-1-5-21-1844237615-1383384898-1606980848-1003_Classes\CLSID\{039B2CA5-3B41-4D93-AD77-47D3293FC5CB}\InprocServer32 -> C:\Program Files\Skype\Plugin Manager\ezPMUtils.dll No File CustomCLSID: HKU\S-1-5-21-1844237615-1383384898-1606980848-1003_Classes\CLSID\{42481700-CF3C-4D05-8EC6-F9A1C57E8DC0}\InprocServer32 -> C:\Program Files\Skype\Plugin Manager\ezPMUtils.dll No File CustomCLSID: HKU\S-1-5-21-1844237615-1383384898-1606980848-1003_Classes\CLSID\{D0D38C6E-BF64-4C42-840D-3E0019D9F7A6}\InprocServer32 -> C:\Program Files\Skype\Plugin Manager\ezPMUtils.dll No File DeleteKey: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2 DeleteKey: HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ApnUpdater DeleteKey: HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Fgtetj DeleteKey: HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SunJavaUpdateSched C:\Documents and Settings\All Users\Dane aplikacji\Ask C:\Documents and Settings\All Users\Dane aplikacji\Babylon C:\Documents and Settings\Urszula\Dane aplikacji\BabSolution C:\Documents and Settings\Urszula\Dane aplikacji\Babylon C:\Documents and Settings\Urszula\Dane aplikacji\Delta C:\Documents and Settings\Urszula\Dane aplikacji\Program Files C:\Documents and Settings\Urszula\Dane aplikacji\Systweak C:\Documents and Settings\Urszula\Moje dokumenty\Pobieranie\*(*)*.exe C:\Documents and Settings\Urszula\Ustawienia lokalne\Dane aplikacji\Google\Chrome\User Data\Default\Preferences C:\Program Files\Delta C:\Program Files\FindRight C:\Program Files\Mozilla Firefox\extensions C:\Program Files\Mozilla Firefox\plugins C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension C:\WINDOWS\System32\drivers\{42e50651-9669-456e-9081-d5a836274274}t.sys CMD: copy /y "C:\Documents and Settings\Urszula\Dane aplikacji\Mozilla\Firefox\Profiles\rowa9udi.default\prefs.js" "C:\Documents and Settings\Urszula\Pulpit\prefs.js" CMD: dir /a "C:\Documents and Settings\Urszula\Ustawienia lokalne\Dane aplikacji" CMD: dir /a "C:\Program Files" EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. System zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 3. Zresetuj preferencje przeglądarek: - Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox. Zakładki i hasła nie zostaną naruszone, ale Adblock Plus trzeba będzie przeinstalować. - Google Chrome: Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Zresetuj ustawienia przeglądarki. Zakładki i hasła nie zostaną naruszone. 4. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt. Na Pulpicie powstał także plik prefs.js - shostuj gdzieś i podaj do tego link. .

Większość przetworzona, ale: - Wystąpił nowy problem, wszystkie usługi Microsoftu przestały być sygnowane (adnotacje File not signed). Nie wiem co się stało. - Infekcja nie została usunięta do końca. - Nie ma oznak zastosowania Norton Removal Tool. - Nie wszystkie programy zostały odinstalowane: ==================== Installed Programs ====================== BabylonObjectInstaller (HKLM\...\{83AA2913-C123-4146-85BD-AD8F93971D39}) (Version: 2.0.0.3 - Babylon Ltd) Bundled software uninstaller (HKLM\...\bi_uninstaller) (Version: - ) Deinstalator Strony V9 (HKLM\...\V9Software) (Version: - ELEX Technology) FLV Player (remove only) (HKLM\...\FLVM Player) (Version: - ) HiJackThis (HKLM\...\{45A66726-69BC-466B-A7A4-12FCBA4883D7}) (Version: 1.0.0 - Trend Micro) Java 7 Update 71 (HKLM\...\{26A24AE4-039D-4CA4-87B4-2F83217051FF}) (Version: 7.0.710 - Oracle) Java™ 6 Update 27 (HKLM\...\{26A24AE4-039D-4CA4-87B4-2F83216024FF}) (Version: 6.0.270 - Oracle) Microsoft Silverlight (HKLM\...\{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}) (Version: 4.0.60831.0 - Microsoft Corporation) OpenOffice.org 3.3 (HKLM\...\{EB87675F-5281-4767-A54B-31931794C23D}) (Version: 3.3.9567 - OpenOffice.org) Softonic-Polska Toolbar (HKLM\...\Softonic-Polska Toolbar) (Version: 6.8.5.1 - Softonic-Polska) Kolejna porcja czynności, odmiennych na każdym zalogowanym koncie: NA KONCIE "Nowa Era": 1. Na początek spróbuj odinstalować co zakreśliłam powyżej. W przypadku braku widoczności wejścia czy błędów zanotuj które z nich i podaj wraz z informacjami w punkcie 5. 2. Pobierz poniższy plik i połóż obok FRST: fixlist.txt Przejdź w Tryb awaryjny Windows. Uruchom FRST i kliknij w Fix. Nastąpi restart i powstanie kolejny plik fixlog.txt. 3. Przejdź w Tryb awaryjny Windows. Zastosuj Norton Removal Tool. 4. Przejdź w Tryb normalny Windows. Zastosuj ServicesRepair i zresetuj system. 5. Zastosuj Fix It 50202 z zaznaczoną opcją Run aggressive options. 6. Zrób nowe logi: FRST z opcji Scan (pola Addition + Shortcut zaznaczone) + Farbar Service Scanner. Sprawdź także czy przypadkiem nowy skan GMER nie jest znacznie krótszy. Dodatkowo, na dysku jest odpadkowy folder C:\Users\Hasło!! nie powiązany już z żadnym kontem. Czy można go usunąć w całości? NA KONCIE "bbbb": 1. Otwórz Notatnik i wklej w nim: HKU\S-1-5-21-1495774856-1328017135-2697362928-1020\...\Run: [backgroundContainerV2] => "C:\Windows\system32\Rundll32.exe" "C:\Users\bbbb\AppData\Local\Conduit\BackgroundContainer\BackgroundContainer.dll",DllRun HKU\S-1-5-21-1495774856-1328017135-2697362928-1020\...\Run: [Akamai NetSession Interface] => C:\Users\bbbb\AppData\Local\Akamai\netsession_win.exe [4672920 2014-04-17] (Akamai Technologies, Inc.) HKU\S-1-5-21-1495774856-1328017135-2697362928-1020\...\Winlogon: [shell] C:\Users\bbbb\AppData\Local\5e981d0d\X HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.search.ask.com/?o=APN11459&gct=hp&d=488-210&v=a13277-348&t=4 SearchScopes: HKCU - {6A1806CD-94D4-4689-BA73-E35EA1EA9990} URL = SearchScopes: HKCU - {9BB47C17-9C68-4BB3-B188-DD9AF0FD2488} URL = http://dts.search.ask.com/sr?src=ieb&gct=ds&appid=210&systemid=488&v=a13277-348&apn_uid=2090850645444295&apn_dtid=TCH001&o=APN11459&apn_ptnrs=AG1&q={searchTerms} SearchScopes: HKCU - {A52ED6BC-F38F-445B-8CCF-90B9AD78FE19} URL = http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT3289075&CUI=UN40803136227522240&UM=1 SearchScopes: HKCU - {AFDBDDAA-5D3F-42EE-B79C-185A7020515B} URL = SearchScopes: HKCU - {CFF4DB9B-135F-47c0-9269-B4C6572FD61A} URL = http://mystart.incredibar.com/?a=6OzNkFGMva&loc=skw&search={searchTerms}&i=26 Toolbar: HKCU - No Name - {96F454EA-9D38-474F-B504-56193E00C1A5} - No File DeleteKey: HKCU\Software\Mozilla DeleteKey: HKCU\Software\MozillaPlugins Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt. 2. Przez Panel sterowania odinstaluj Akamai NetSession Interface. 3. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt. .

Logi zostały podmienione, więc możemy przejść do dzieła. System jest zaśmiecony w sposób niewiarygodny! - mnóstwo infekcji i adware, m.in. ZeroAccess, liczne sterowniki nieudolnie odinstalowanych programów antywirusowych. Będzie tu dużo czyszczenia i zajmie to sporo czasu. Ponadto, owszem wyczyszczę system, ale tu się klaruje problem z dyskiem twardym - bad sectory: System errors: ============= Error: (10/18/2014 02:43:50 PM) (Source: Disk) (EventID: 7) (User: ) Description: W urządzeniu \Device\Harddisk0\DR0 wystąpił zły blok. Czyszczenie infekcji teoretycznie nie ma sensu, ale jest po to, by dało się cokolwiek wykonać z poziomu systemu i skopiować cenne dane w bezpieczne miejsce przed ewentualną reinstalacją systemu. Po czyszczeniu wyślę Cię na diagnostykę dysku do działu Hardware i może się okazać, że dysk do wymiany. Działania wstępne: 1. Pobierz poniższy plik i umieść obok narzędzia FRST: fixlist.txt Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. 2. Przejdź w Tryb awaryjny Windows i zastosuj specjalne narzędzia usuwające odpadki antywirusów: Avast Uninstall Utility, ESET Uninstaller, Norton Removal Tool 3. Nadal siedząc w Trybie awaryjnym Windows uruchom FRST i kliknij w Fix. System zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 4. Przejdź do Trybu normalnego. Przez Panel sterowania odinstaluj adware i wątpliwe aplikacje: BabylonObjectInstaller, BasicScan 1.0 build 115, Breowsse2isavee, BrowserCompanion, BrowserProtect, BrowseToSave 1.74, Bundled software uninstaller, Complitly, Contextual Tool Sleekseek, DealPly, Deinstalator Strony V9, Dll-Files Fixer, DownVision, FLV Player (remove only), FoxTab PDF Converter, fst_pl_131, Genesis, GinyasBrowserCompanion, IB Updater Service, MagniPic, Mobogenie3, MyFreeCodec, Only-search, Oxy, Oxy version 2.0, PC Data App, PileFile downloader, Pirate Storm, Plus-HD-9.4, PrivitizeVPN, Protected Search 1.1, QuestBasic 1.0 build 117, Remote Desktop Access (VuuPC), Search Assistant WebSearch 1.74, Search-NewTAb, Softonic for Windows, Softonic-Polska Toolbar, Software Version Updater, SoftwareUpdater, SpeedUpMyPC, SupTab, TheTorntv V10, uTorrentControl_v6 Toolbar for IE, ValueApps, Windows iLivid Toolbar, WindowsProtectManger20.0.0.401, WinZipper, Yontoo 1.10.02 Dodatkowo stare wersje i zbędniki: Akamai NetSession Interface, HiJackThis, Java™ 6 Update 27, Java 7 Update 71, Microsoft Silverlight, OpenOffice.org 3.3, Opera 12.16, Windows Media Player Firefox Plugin Jeśli czegoś nie będzie widać lub deinstalacja zwróci błąd, nie szkodzi, kontynuuj. 5. W systemie są dwa czynne konta: ========================= Accounts: ========================== bbbb (S-1-5-21-1495774856-1328017135-2697362928-1020 - Limited - Enabled) => C:\Users\bbbb Nowa Era (S-1-5-21-1495774856-1328017135-2697362928-1019 - Administrator - Enabled) => C:\Users\Nowa Era Logi FRST pochodzą z konta Nowa Era, a potrzebne ze wszystkich kont. Po kolei zaloguj się na każde z nich i zrób nowy log FRST z opcji Scan, przy czym: - Na koncie administracyjnym Nowa Era trzy logi (FRST.txt, Addition.txt i Shortcut.txt), na limitowanym bbbb dwa (FRST.txt i Addition.txt) - Loguj się przez pełny restart komputera a nie opcję Przełącz użytkowników lub Wyloguj, a na koncie limitowanym nie startuj FRST opcją "Uruchom jako Administrator", gdyż to zmieni kontekst konta. Zrób także dodatkowe logi: zaległy GMER oraz Farbar Service Scanner. Dołącz też plik fixlog.txt. .

Andrzej, proszę nie cytuj całego poprzedniego posta opcją "Odpowiedz". Korzystaj z pola szybkiej odpowiedzi na spodzie strony i opcji "Napisz". Zmodyfikuj skrypt do postaci: CloseProcesses: DisableService: sptd S3 RtsUIR; system32\DRIVERS\Rts516xIR.sys [X] S3 USBCCID; system32\DRIVERS\RtsUCcid.sys [X] S2 McShield; No ImagePath S3 McSysmon; No ImagePath HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\mcmscsvc => ""="Service" HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MCODS => ""="Service" HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\mcmscsvc => ""="Service" HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\MCODS => ""="Service" HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\MpfService => ""="Service" SearchScopes: HKCU - DefaultScope {6A1806CD-94D4-4689-BA73-E35EA1EA9990} URL = SearchScopes: HKCU - {6A1806CD-94D4-4689-BA73-E35EA1EA9990} URL = BHO-x32: No Name -> {259F616C-A300-44F5-B04A-ED001A26C85C} -> No File Toolbar: HKCU - No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No File Task: {DBCD8CEA-9677-47CA-99F1-FB3AB26870C2} - \Program aktualizacji online firmy Adobe. No Task File Task: {EB02381F-D652-4B1C-894A-712498C62C51} - \Microsoft\Windows\MUI\LPRemove No Task File C:\Program Files (x86)\mozilla firefox\plugins C:\ProgramData\TEMP C:\Windows\SysWOW64\Adobe\Director EmptyTemp:

Nie wiem dlaczego, ale reset wtyczek Google Chrome nie wychodzi. Na pewno go wykonałeś?

Wszystko przetworzone, ale jeszcze drobne poprawki, bo widzę ciągle wtyczkę Java. 1. Otwórz Notatnik i wklej w nim: FF Plugin-x32: @java.com/DTPlugin,version=10.4.1 -> C:\Windows\SysWOW64\npDeployJava1.dll (Oracle Corporation) C:\Windows\SysWOW64\deployJava1.dll C:\Users\zbyszek\Downloads\CE4.tmp RemoveDirectory: C:\FRST\Quarantine 2. Nadal w Google Chrome są puste wpisy wtyczek, więc po raz trzeci reset za pomocą interfejsu chrome://plugins. .

Świetnie. Usuń FRST oraz folder C:\FRST z dysku. To tyle. Temat rozwiązany. Zamykam.

Zadania pomyślnie wykonane. W kwestii: Kurcze, jakoś ominęłam w Twoim pierwszym poście ten błąd. Tak, wiem o co tu chodzi, obiekt rzuca się w oczy: Error: (10/16/2014 08:31:53 PM) (Source: Application Error) (EventID: 1000) (User: ) Description: Nazwa aplikacji powodującej błąd: Explorer.EXE, wersja: 6.1.7601.17567, sygnatura czasowa: 0x4d672ee4 Nazwa modułu powodującego błąd: ASUSWSShellExt64.dll, wersja: 1.1.0.27, sygnatura czasowa: 0x4c7f631d Kod wyjątku: 0xc0000005 Przesunięcie błędu: 0x00000000000051da Identyfikator procesu powodującego błąd: 0x%9 Godzina uruchomienia aplikacji powodującej błąd: 0xExplorer.EXE0 Ścieżka aplikacji powodującej błąd: Explorer.EXE1 Ścieżka modułu powodującego błąd: Explorer.EXE2 Identyfikator raportu: Explorer.EXE3 vs. ShellIconOverlayIdentifiers: [AsusWSShellExt_B] -> {6D4133E5-0742-4ADC-8A8C-9303440F7190} => C:\Program Files (x86)\ASUS\ASUS WebStorage\3.0.84.161\ASUSWSShellExt64.dll (eCareme Technologies, Inc.) ShellIconOverlayIdentifiers: [AsusWSShellExt_O] -> {64174815-8D98-4CE6-8646-4C039977D808} => C:\Program Files (x86)\ASUS\ASUS WebStorage\3.0.84.161\ASUSWSShellExt64.dll (eCareme Technologies, Inc.) Odinstaluj ASUS WebStorage, błąd powinien ustąpić. Podobny temat: KLIK. .

Błąd aparatu VBS wskazuje na uszkodzenia klas silnika skryptowego Windows. O ile problem nadal aktualny, poproszę o skan dodatkowy. Uruchom SystemLook i do oka wklej: :reg HKEY_CLASSES_ROOT\CLSID\{16d51579-a30b-4c8b-a276-0ff4dc41e755}\InprocServer32 HKEY_CLASSES_ROOT\CLSID\{34a13fc7-86ab-42e6-a32c-b50666f04ff9}\InprocServer32 HKEY_CLASSES_ROOT\CLSID\{B54F3741-5B07-11cf-A4B0-00AA004A55E8}\InprocServer32 HKEY_CLASSES_ROOT\CLSID\{B54F3742-5B07-11cf-A4B0-00AA004A55E8}\InprocServer32 HKEY_CLASSES_ROOT\CLSID\{B54F3743-5B07-11cf-A4B0-00AA004A55E8}\InprocServer32 HKEY_CLASSES_ROOT\CLSID\{cc5bbec3-db4a-4bed-828d-08d78ee3e1ed}\InprocServer32 HKEY_CLASSES_ROOT\CLSID\{f414c260-6ac0-11cf-b6d1-00aa00bbbb58}\InprocServer32 HKEY_CLASSES_ROOT\CLSID\{f414c261-6ac0-11cf-b6d1-00aa00bbbb58}\InprocServer32 HKEY_CLASSES_ROOT\CLSID\{f414c262-6ac0-11cf-b6d1-00aa00bbbb58}\InprocServer32 Klik w Look i przedstaw wynikowy log. .

Nie odpowiedziałaś mi na pytanie po czym poznajesz, iż ktoś manipulował w grze. ComboFix nic ciekawego nie usuwał, brak oznak infekcji. A jego używanie po Przywróceniu systemu to dziwna sprawa. Przywracanie systemu użyte, nie wiem do którego miejsca w czasie (gdy problemu z grą nie było?), tak więc czy problemy nadal występują?

Sugestie: 1. Zweryfikuj transfer dysku, czy przypadkiem nie obniżył się z DMA do PIO. Opis akcji w sekcji Skutki uboczne skanu GMER (dyski w trybie IDE, głównie system XP): KLIK. Nie sugeruj się tym GMER. W razie wątpliwości z ustawieniami dostarcz zrzuty ekranu. 2. Odinstaluj stare / zbędne aplikacje: Adobe Flash Player ActiveX, Adobe Shockwave Player 11.5, Bonjour, Codec 8.3h, CoreAVC Professional Edition (remove only), Haali Media Splitter, Java™ 7 Update 5, K-Lite Codec Pack 3.6.7 Full BETA, LiveVDO plugin 1.3, OpenOffice.org 3.0, SubEdit-Player, QuickTime, Real Alternative 1.51, Web Components i co tam jeszcze uważasz za stosowne. Te kodeki to strasznie stare, a w Dzienniku zdarzeń błędy tego typu: Application errors: ================== Error: (09/07/2014 11:01:47 PM) (Source: Application Error) (EventID: 1000) (User: ) Description: Aplikacja powodująca błąd mplayerc.exe, wersja 6.4.9.1, moduł powodujący błąd mp4splitter.ax, wersja 1.0.0.2, adres błędu 0x0000c188. Przetwarzanie zdarzenia określonego nośnika dla [mplayerc.exe!ws!] Potem zajmiemy się wstawieniem ewentualnych nowoczesnych zamienników. 3. Wyłącz zbędne wpisy ze startu. Uruchom Autoruns i w karcie Logon odznacz: HKLM\...\Run: [Adobe ARM] => C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe [959904 2013-11-21] (Adobe Systems Incorporated) HKLM\...\Run: [GrooveMonitor] => C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe [30040 2009-02-26] (Microsoft Corporation) HKU\S-1-5-21-1417001333-1202660629-725345543-1004\...\Run: [sony Ericsson PC Companion] => C:\Program Files\Sony Ericsson\Sony Ericsson PC Companion\PCCompanion.exe [774144 2009-12-08] (Sony Ericsson Mobile Communications AB) HKU\S-1-5-21-1417001333-1202660629-725345543-1004\...\Run: [MSMSGS] => C:\Program Files\Messenger\msmsgs.exe [1695232 2008-04-14] (Microsoft Corporation) W karcie Scheduled Tasks odznacz to wszystko: Task: C:\WINDOWS\Tasks\Adobe Flash Player Updater.job => C:\WINDOWS\system32\Macromed\Flash\FlashPlayerUpdateService.exe Task: C:\WINDOWS\Tasks\GoogleUpdateTaskMachineCore.job => C:\Program Files\Google\Update\GoogleUpdate.exe Task: C:\WINDOWS\Tasks\GoogleUpdateTaskMachineUA.job => C:\Program Files\Google\Update\GoogleUpdate.exe Task: C:\WINDOWS\Tasks\Powiadomienie o zakończeniu obsługi systemu Microsoft Windows XP — co miesiąc.job => C:\WINDOWS\system32\xp_eos.exe Task: C:\WINDOWS\Tasks\Powiadomienie o zakończeniu obsługi systemu Microsoft Windows XP — logowanie.job => C:\WINDOWS\system32\xp_eos.exe 4. Wykonaj czyszczenie ze śmieci (szczątki infekcji, wpisy puste). Otwórz Notatnik i wklej w nim: CloseProcesses: AV: AVG 7.5.524 (Disabled - Up to date) {41564737-3200-1071-989B-0000E87B4FB1} S4 NMIndexingService; "C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe" [X] S3 hwdatacard; system32\DRIVERS\ewusbmdm.sys [X] S3 hwusbdev; system32\DRIVERS\ewusbdev.sys [X] S1 rlbeozoo; \??\C:\WINDOWS\system32\drivers\rlbeozoo.sys [X] HKLM\...\Run: [LanzarL2007] => "C:\DOCUME~1\acer\USTAWI~1\Temp\{3D9203DD-D8EC-46E0-8602-AF489D348C5E}\{D1DA2BA7-2592-4036-9BB2-DCCABDE8DC1A}\..\..\L2007tmp\Setup.exe" /SETUP:"/l0x0015" HKLM\...\Run: [] => "C:\PROGRA~1\DialNet\FPLICE~1.EXE zhimakaimen//WINPOET_QUITTING_EVENT" HKLM\...\Policies\Explorer: [NoDesktop] 0 HKU\S-1-5-21-1417001333-1202660629-725345543-1004\...\Run: [Tok-Cirrhatus] => "C:\Documents and Settings\acer\Ustawienia lokalne\Dane aplikacji\smss.exe" HKU\S-1-5-21-1417001333-1202660629-725345543-1004\...\Policies\system: [DisableRegistryTools] 1 HKU\S-1-5-21-1417001333-1202660629-725345543-1004\...\Policies\system: [DisableCMD] 0 HKU\S-1-5-21-1417001333-1202660629-725345543-1004\...\Policies\Explorer: [NoFolderOptions] 1 HKU\S-1-5-21-1417001333-1202660629-725345543-1004\...\MountPoints2: {1c7b8a81-fff8-11e1-b83a-001c26c61ef3} - H:\DTLplus_Launcher.exe HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://startsear.ch/?aff=2&cf=0ff47648-dc0f-11e1-b808-028037ec0200 HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://startsear.ch/?aff=2&cf=0ff47648-dc0f-11e1-b808-028037ec0200 SearchScopes: HKLM - {6040A62C-FCC9-402B-823A-574CDF8AFD0F} URL = http://startsear.ch/?aff=2&src=sp&cf=0ff47648-dc0f-11e1-b808-028037ec0200&q={searchTerms} SearchScopes: HKCU - DefaultScope {6040A62C-FCC9-402B-823A-574CDF8AFD0F} URL = http://startsear.ch/?aff=2&src=sp&cf=0ff47648-dc0f-11e1-b808-028037ec0200&q={searchTerms} SearchScopes: HKCU - {6040A62C-FCC9-402B-823A-574CDF8AFD0F} URL = http://startsear.ch/?aff=2&src=sp&cf=0ff47648-dc0f-11e1-b808-028037ec0200&q={searchTerms} BHO: IE5BarLauncherBHO Class -> {78F3A323-798E-4AEA-9A57-88F4B05FD5DD} -> C:\Program Files\StartSearch plugin\ssBarLcher.dll (StartSearch Inc.) Toolbar: HKLM - StartSearchToolBar - {7AC3E13B-3BCA-4158-B330-F66DBB03C1B5} - C:\Program Files\StartSearch plugin\ssBarLcher.dll (StartSearch Inc.) Toolbar: HKCU - No Name - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - No File Toolbar: HKCU - StartSearchToolBar - {7AC3E13B-3BCA-4158-B330-F66DBB03C1B5} - C:\Program Files\StartSearch plugin\ssBarLcher.dll (StartSearch Inc.) DPF: {33564D57-0000-0010-8000-00AA00389B71} http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB DPF: {68282C51-9459-467B-95BF-3C0E89627E55} http://www.mks.com.pl/skaner/SkanerOnline.cab DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.7.0/jinstall-1_7_0_05-windows-i586.cab DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} http://fpdownload.macromedia.com/get/flashplayer/current/ultrashim.cab DPF: {CAFEEFAC-0017-0000-0005-ABCDEFFEDCBA} http://java.sun.com/update/1.7.0/jinstall-1_7_0_05-windows-i586.cab DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.7.0/jinstall-1_7_0_05-windows-i586.cab DPF: {E06E2E99-0AA1-11D4-ABA6-0060082AA75C} FF Plugin: @divx.com/DivX Content Upload Plugin,version=1.0.0 -> C:\Program Files\DivX\DivX Content Uploader\npUpload.dll No File FF Plugin: Web Components -> C:\Program Files\Web Components\npWebVideoPlugin.dll () FF Plugin: yaxmpb@yahoo.com/YahooActiveXPluginBridge;version=1.0.0.1 -> C:\Program Files\Yahoo!\Common\npyaxmpb.dll No File FF HKLM\...\Firefox\Extensions: [{20a82645-c095-46ed-80e3-08825760534b}] - C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension CHR Extension: (LiveVDO plugin) - C:\Documents and Settings\acer\Ustawienia lokalne\Dane aplikacji\Google\Chrome\User Data\Default\Extensions\pbiamblgmkgbcgbcgejjgebalncpmhnp [2014-10-07] CHR HKLM\...\Chrome\Extension: [pbiamblgmkgbcgbcgejjgebalncpmhnp] - C:\Program Files\StartSearch plugin\vshareplg.crx [2011-10-27] DeleteKey: HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder DeleteKey: HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg C:\Documents and Settings\All Users\Dane aplikacji\Alwil Software C:\Documents and Settings\All Users\Dane aplikacji\avg7 C:\Documents and Settings\All Users\Dane aplikacji\MSScanAppDataDir C:\Documents and Settings\All Users\Dane aplikacji\Panda Security C:\Documents and Settings\All Users\Dane aplikacji\TEMP C:\Documents and Settings\LocalService\Dane aplikacji\AVG7 C:\Documents and Settings\acer\Dane aplikacji\AVG7 C:\Documents and Settings\acer\Pulpit\Continue PC Performer installation.lnk C:\Documents and Settings\acer\Pulpit\Nieużywane skróty pulpitu C:\Documents and Settings\acer\Ustawienia lokalne\Dane aplikacji\Google\Chrome\User Data\Default\Preferences C:\Program Files\mozilla firefox\plugins C:\Program Files\StartSearch plugin C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation C:\WINDOWS\pss\*.lnkStartup C:\WINDOWS\pss\*.lnkCommon Startup C:\WINDOWS\system32\Adobe\Director EmptyTemp: Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. System zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. 5. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt i wypowiedz się czy jest jakaś poprawa. .

Objaw sugeruje, iż wbudowany Outlook Express przestał być domyślnym klientem pocztowym. Na początek wypróbuj DefaultMail.

Poproszę o nowy zestaw raportów FRST (główny + Addition) mający obrazować wykonane zmiany.

Sądzę, że w przypadku tak ogromnej ilości nienaprawionych błędów zalecana jest reinstalacja. Robota zdaje się kompletnie nieopłacalna. W teorii naprawa ponad tysiąca błędów typu "CSI Payload File Missing" wymaga podstawienia ponad tysiąca plików z komputera niezdefektowanego. Nawet przy najlepszych moich chęciach samo zebranie ponad tysiąca wystąpień idealnie zgodnych z wersją danego komponentu, a później precyzyjne podstawienie na miejsce przekracza moje siły. Ponadto, nie jest wiadome jakie to będzie mieć skutki i czy przypadkiem uzupełnienie plików nie odpali kolejnych błędów. Mam jednak pytanie: mnóstwo odwołań tyczy komponentów czcionek TTF, co jest dość podejrzane (sugeruje jakąś masową operację). Czy przypadkiem nie robiłeś jakiejś "optymalizacji" polegającej na "redukcji" ilości zainstalowanych czcionek? .

Jeśli temat nadal aktualny, poproszę o solidniejsze dane: 1. Uruchom "Narzędzie analizy gotowości aktualizacji systemu": KLIK. Gdy narzędzie ukończy pracę: 2. Skopiuj na Pulpit plik C:\Windows\inf\setupapi.dev.log + folder C:\Windows\Logs\CBS. Wszystkie materiały zzipuj, rzuć na jakiś hosting i podaj tu link do paczki.

McAfee przejmuje kontrolę nad silnikiem skryptowym i to zwykle ta ochrona prowadzi do problemów. I wszystko wskazuje na to, że McAfee został odinstalowany, lecz nie usunął się poprawnie. Poproszę o skan dodatkowy. Uruchom SystemLook x64 i w oknie wklej: :reg HKEY_CLASSES_ROOT\CLSID\{16d51579-a30b-4c8b-a276-0ff4dc41e755}\InprocServer32 HKEY_CLASSES_ROOT\CLSID\{34a13fc7-86ab-42e6-a32c-b50666f04ff9}\InprocServer32 HKEY_CLASSES_ROOT\CLSID\{B54F3741-5B07-11cf-A4B0-00AA004A55E8}\InprocServer32 HKEY_CLASSES_ROOT\CLSID\{B54F3742-5B07-11cf-A4B0-00AA004A55E8}\InprocServer32 HKEY_CLASSES_ROOT\CLSID\{B54F3743-5B07-11cf-A4B0-00AA004A55E8}\InprocServer32 HKEY_CLASSES_ROOT\CLSID\{cc5bbec3-db4a-4bed-828d-08d78ee3e1ed}\InprocServer32 HKEY_CLASSES_ROOT\CLSID\{f414c260-6ac0-11cf-b6d1-00aa00bbbb58}\InprocServer32 HKEY_CLASSES_ROOT\CLSID\{f414c261-6ac0-11cf-b6d1-00aa00bbbb58}\InprocServer32 HKEY_CLASSES_ROOT\CLSID\{f414c262-6ac0-11cf-b6d1-00aa00bbbb58}\InprocServer32 HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\CLSID\{16d51579-a30b-4c8b-a276-0ff4dc41e755}\InprocServer32 HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\CLSID\{34a13fc7-86ab-42e6-a32c-b50666f04ff9}\InprocServer32 HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\CLSID\{B54F3741-5B07-11cf-A4B0-00AA004A55E8}\InProcServer32 HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\CLSID\{B54F3742-5B07-11cf-A4B0-00AA004A55E8}\InProcServer32 HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\CLSID\{B54F3743-5B07-11cf-A4B0-00AA004A55E8}\InProcServer32 HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\CLSID\{cc5bbec3-db4a-4bed-828d-08d78ee3e1ed}\InProcServer32 HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\CLSID\{f414c260-6ac0-11cf-b6d1-00aa00bbbb58}\InProcServer32 HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\CLSID\{f414c261-6ac0-11cf-b6d1-00aa00bbbb58}\InProcServer32 HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Classes\CLSID\{f414c262-6ac0-11cf-b6d1-00aa00bbbb58}\InProcServer32 Klik w Look i dostarcz wynikowy plik. PS. A tego dziada to się pozbyć i odinstalować: ==================== Installed Programs ====================== WinThruster (HKLM-x32\...\WinThruster_is1) (Version: 1.79 - solvusoft Corporation) 2014-10-08 15:04 - 2014-10-08 15:04 - 03894696 _____ (solvusoft Corporation ) C:\Users\user\Downloads\Narzędzie-naprawy-programu-Jscript.dll-WinThruster.exe To program podejrzanej reputacji usuwany przez AdwCleaner: KLIK. A nazwa setupu "Narzędzie-naprawy-programu-Jscript.dll-WinThruster.exe" nie jest adekwatna do możliwości. .