Foldery i ikony same zmieniają miejsce na pulpicie

[miku92]

Problem polega na tym, ze po kazdym włączeniu kompa ikony na pulpicie i foldery zmieniają swoje miejsce, a dokładnie wędrują na lewą stronę pulpitu...

 

Myśle, że może to być spowodowane resztkami jakiegoś wirusa w rejestrze. Antywirus nic nie wykrywa ale coś jest nie tak. Ponadto OTL podczas skanu wykrywa jakiś błąd (Win32 Error. Code: 1722). Dlatego nie mogę dołączyć extras.txt.

 

Bardzo prosze o pomoc w naprawieniu tego czegoś krok po kroku bo nigdy tego nie robiłem...

 

Z góry dziękuję i pozdrawiam...

 

W załączniku miniatura z błędem z OTL

OTL.Txt

[Landuss]

Błąd OTL niestety trzeba zignorować bo to na razie jest zagadka także dla nas. U niektórych użytkowników też się to pojawiło.

 

Masz infekcję ZeroAccess i wykonaj log dodatkowy. Uruchom SystemLook x64 i do okna wklej:

 

:reg
HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
 
:filefind
services.exe

 

Klik w Look i przedstaw wynikowy raport.

[miku92]

Mam pytanko czy jest to coś groźnego czy raczej nie? Raport z systemlook;

 

SystemLook 30.07.11 by jpshortstuff

Log created at 11:15 on 31/07/2012 by User

Administrator - Elevation successful

 

========== reg ==========

 

[HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}]

(No values found)

 

[HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InprocServer32]

"ThreadingModel"="Both"

@="%SystemRoot%\system32\shell32.dll"

 

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}]

@="Microsoft WBEM New Event Subsystem"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32]

@="%systemroot%\system32\wbem\wbemess.dll"

"ThreadingModel"="Both"

 

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}]

@="MruPidlList"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32]

@="%SystemRoot%\system32\shell32.dll"

"ThreadingModel"="Apartment"

 

 

========== filefind ==========

 

Searching for "services.exe"

C:\Windows\System32\services.exe --a---- 328704 bytes [23:19 13/07/2009] [01:39 14/07/2009] 24ACB7E5BE595468E3B9AA488B9B4FCB

C:\Windows\winsxs\amd64_microsoft-windows-s..s-servicecontroller_31bf3856ad364e35_6.1.7600.16385_none_2b54b20ee6fa07b1\services.exe --a---- 328704 bytes [23:19 13/07/2009] [01:39 14/07/2009] 24ACB7E5BE595468E3B9AA488B9B4FCB

 

-= EOF =-

 

 

[Landuss]

Mam pytanko czy jest to coś groźnego czy raczej nie?

 

Nie bez powodu prosiłem cię o raport z SystemLok . Masz infekcję ZeroAccess a więc trojana z wysokiej półki.

 

1. Start > w polu szukania wpisz cmd > z prawokliku uruchom jako Administrator i wklep:

 

reg delete HKCU\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /f

 

2. Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst:

 

:OTL
IE - HKU\S-1-5-21-2008076325-3272428530-3625816930-1000\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = "http://startsear.ch/?aff=2&src=sp&cf=5d8e059f-7dbd-11e1-ab45-1c7508fb0e3d&q={searchTerms}"
IE - HKU\S-1-5-21-2008076325-3272428530-3625816930-1000\..\SearchScopes\{AD22EBAF-0D18-4fc7-90CC-5EA0ABBE9EB8}: "URL" = "http://www.daemon-search.com/search?q={searchTerms}"
FF - prefs.js..browser.search.defaultengine: "Web Search"
FF - prefs.js..browser.search.defaultenginename: "Web Search"
FF - prefs.js..browser.search.order.1: "Web Search"
FF - prefs.js..browser.search.selectedEngine: "Web Search"
FF - prefs.js..keyword.URL: "http://search.sweetim.com/search.asp?src=2&q="
FF - prefs.js..sweetim.toolbar.previous.keyword.URL: ""
[2011-11-23 23:15:33 | 000,000,000 | ---D | M] ("DAEMON Tools Toolbar") -- C:\Users\User\AppData\Roaming\mozilla\Firefox\Profiles\byhgpkxl.default\extensions\DTToolbar@toolbarnet.com
[2011-11-23 23:15:30 | 000,002,055 | ---- | M] () -- C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\byhgpkxl.default\searchplugins\daemon-search.xml
[2012-04-03 20:46:55 | 000,000,792 | ---- | M] () -- C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\byhgpkxl.default\searchplugins\startsear.xml
[2012-03-24 21:11:05 | 000,003,915 | ---- | M] () -- C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\byhgpkxl.default\searchplugins\sweetim.xml
O3:64bit: - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
 
:Files
C:\Users\User\AppData\Local\{7bf0a86c-e4ab-5270-54cd-7de0e71311f7}
C:\Windows\Installer\{7bf0a86c-e4ab-5270-54cd-7de0e71311f7}
C:\ProgramData\7531CC920009EDE7D8D45F0BF875F002
C:\ProgramData\eajiwlxettusrfn
C:\ProgramData\hsfzpqvjlkztqcv
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Kliknij w Wykonaj skrypt. Zatwierdź restart komputera.

 

2. Przez Panel sterowania odinstaluj: DAEMON Tools Toolbar

 

3. Uruchom AdwCleaner z opcji Delete

 

4. Uruchamiasz OTL ponownie, tym razem wywołujesz opcję Skanuj. Pokazujesz nowy log z OTL, z SystemLook oraz z Farbar Service Scanner (zaznacz wszystko do skanowania)

[miku92]

Jak mogę zrobić te klamerki w tym kodzie do cmd?

 

juz wiem sorki

 

kiedy wklepuje to do wiersza poleceń wyskakuje BŁĄD nieprawidłowa nazwa klucza...robić dalsze kroki czy coś jest nie tak?

[Landuss]

Coś źle przepisujesz. Popatrz raz jeszcze wyżej jak to leci i wykonaj prawidłowo.

[miku92]

Oto wyniki. Myślę, że wszystko zrobiłem poprawnie..

 

 

SystemLook 30.07.11 by jpshortstuff

Log created at 13:07 on 31/07/2012 by User

Administrator - Elevation successful

 

========== reg ==========

 

[HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}]

(Unable to open key - key not found)

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}]

@="Microsoft WBEM New Event Subsystem"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32]

@="%systemroot%\system32\wbem\wbemess.dll"

"ThreadingModel"="Both"

 

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}]

@="MruPidlList"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32]

@="%SystemRoot%\system32\shell32.dll"

"ThreadingModel"="Apartment"

 

 

========== filefind ==========

 

Searching for "services.exe"

C:\Windows\System32\services.exe --a---- 328704 bytes [23:19 13/07/2009] [01:39 14/07/2009] 24ACB7E5BE595468E3B9AA488B9B4FCB

C:\Windows\winsxs\amd64_microsoft-windows-s..s-servicecontroller_31bf3856ad364e35_6.1.7600.16385_none_2b54b20ee6fa07b1\services.exe --a---- 328704 bytes [23:19 13/07/2009] [01:39 14/07/2009] 24ACB7E5BE595468E3B9AA488B9B4FCB

 

-= EOF =-

FSS.txt

OTL (2).Txt

[Landuss]

Teraz musisz naprawić szkody po infekcji i przywrócić usunięte usługi.

 

1. Odbuduj skasowane usługi (w instrukcjach omiń sfc /scannow):

• Rekonstrukcja usług Zapory systemu Windows (MpSvc + Bfe + SharedAccess): KLIK.
  
• Rekonstrukcja usługi Centrum zabezpieczeń: KLIK.
  
• Rekonstrukcja usługi Windows Defender: KLIK.
  
• Rekonstrukcja usługi Aktualizacje automatyczne (wuauserv + BITS + EventSystem): Pobierz fixa i zaimportuj: KLIK
  

2. Po wykonaniu wszystkiego pokaż nowy log z FSS.

[miku92]

Rozumiem, że mam robić wszystko według tych instrukcji?

[Landuss]

Tak wszystko, a więc najpierw importy do rejestru a potem przywracanie uprawnień przez SetACL tak jak opisane. Jest trochę roboty, ale nie masz wyjścia.

[miku92]

mam problem z zaporą (dokładnie z drugim punktem - BFE). Wypakowałem Set ACL i dalej nie wiem co robić...

 

po wklepaniu do wiersza tej komendy wyskakuje ze nazwa "SetACL"nie jest rozpoznawana jako polecenie zewnetrne lub wewnetrzne, program wykonywalny lub plik wsadowy.

[Landuss]

A dobrą wersję pobrałeś? U ciebie system 64-bitowy i takie też SetACL miałeś pobrać. I sprawdź czy na pewno go masz w folderze C:\Windows

[miku92]

Zrobiłem już wszystko...Oby dobrze...poniżej nowy log z FSS

 

 

Przepraszam, że aż tyle to trwało ale tak jak już wspominałem jestem w tym zielony...

FSS(1).txt

[Landuss]

To teraz pytanie - czy zapora systemu działa?

[miku92]

Jest komunikat ze nie uzywa ustawień zalecanych. Po kliknieciu w to zeby uzywała mysli pare sekund i nic sie nie zmienia...

 

cos nie tak...

 

co moze byc nie tak z tą zapora bo na nic nie reaguje?

 

Robie wszystko krok po kroku z tą zaporą ale nadal nie reaguje...bardzo proszę o jakąś pomoc...

[Landuss]

To wygląda na kwestię uprawnień. Wykonaj raz jeszcze naprawę przez SetACL (druga część tego tematu)

[miku92]

Możliwe, że źle interpretuje ten punkt :

(Przygotuj pasujący plik importujący uprawnienia i zastosuj go z linii komend)

 

Co dokładnie trzeba tu zrobić?

[Landuss]

No przecież masz napisane niżej. Nie wiem co tu niezrozumiałe.

 

W Notatniku wklej poniższą treść i zapisz plik pod nazwą fix.txt. Plik dla wygody umieść bezpośrednio na C:\.

 

(tu treść na szarym polu)

 

Start > w polu szukania wpisz cmd > z prawokliku Uruchom jako Administrator > wpisz komendę:

 

SetACL -on "HKLM\SYSTEM\CurrentControlSet\Services\BFE" -ot reg -actn restore -bckp C:\fix.txt

 

Tak to dla bfe wygląda. Dla pozostalych podobnie.

[miku92]

Tak właśnie robie, rezultaty są identyczne, potem restart ale zapora dalej nie reaguje...

Załączam kolejny log z FSS...

FSS (1).txt

[Landuss]

Ale masz nie tylko zrobić dla bfe, ale też dla pozostałych MpSvc oraz SharedAccess a log pokazuje, że dla tych dwóch jest niewykonane bo się nie uruchamiają.

[miku92]

a teraz?

 

Trzeba to robić osobno w wierszu czy razem wszystkie 3?

FSS(3).txt

[Landuss]

No log nadal pokazuje, że te dwie usługi MpSvc oraz SharedAccess są nie uruchomione. Masz to robić osobno. I sprawdźczy działa zapora jak wykonasz i zrestartujesz system.

[miku92]

Zapora Systemu DZIAŁA (W końcu się udało)

 

Przesyłam log z FSS

FSS.txt

[Landuss]

No to kończymy:

 

1. Użyj opcji Sprzątanie z OTL.

 

2. Opróżnij przywracanie systemu: KLIK

 

3. Zaktualizuj Jave i Adobe Reader do najnowszych wersji. Szczegóły aktualizacyjne: KLIK

 

4. Dla bezpieczeństwa zmień hasła logowania do serwisów w sieci.

[miku92]

wszystko jest ok ale w punkcie 2 kiedy wchodzę w zabezpieczenia systemu to nie mam zakładki "ochrona systemu"