explorer.exe nie startuje

[proi]

// proszę o usunięcie tematu

 

Witam

Komputer (Windows 7 64) był mocno zawirusowany, ale jakoś udało mi się to posprzątać. Pozostał jeden problem-po zalogowaniu się na główne konto, nie działa explorer.exe, trzeba go odpalać ręcznie z pomocą Menadźera zadań/Uruchom...

 

Próbowałem klucz

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

tak żeby klucz "Shell" wskazywał "explorer.exe", ale bez efektu.

 

Będę wdzięczny za pomoc.

 

Edycja/DODANE kiedy ranne wstają zorze:

 

Nocą dalej z tym walczyłem, więc chyba cały ten temat jest nieaktualny i nadaje się do kosza. Finalnie - Avast pousuwał infekcje, a ja ręcznie zmieniłem wpis w rejestrze konta które było zepsute (nie ten klucz który wszędzie jest opisywany)

HKEY_Users\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

"Shell" było explorer.exe "C:\Windows\nazwakonta\WinLogon" zmieniłem na samo explorer.exe

 

Jak znam życie to pewnie trzeci raz wrócę z tym problemem, ale na razie dziękuję

Extras.Txt

OTL.Txt

[picasso]

Nocą dalej z tym walczyłem, więc chyba cały ten temat jest nieaktualny i nadaje się do kosza. Finalnie - Avast pousuwał infekcje, a ja ręcznie zmieniłem wpis w rejestrze konta które było zepsute (nie ten klucz który wszędzie jest opisywany)

 

HKEY_Users\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

 

"Shell" było explorer.exe "C:\Windows\nazwakonta\WinLogon" zmieniłem na samo explorer.exe

 

vs.

 

O20 - HKU\S-1-5-21-3923645508-3675989961-2249486224-1000 Winlogon: Shell - (explorer.exe) - C:\Windows\SysWow64\explorer.exe (Microsoft Corporation)

O20 - HKU\S-1-5-21-3923645508-3675989961-2249486224-1000 Winlogon: Shell - ("C:\Users\śrubowy\winlogon.exe") -  File not found

 

Wpis Shell w HKCU (to link do HKU\SID konta) nie ma być edytowany lecz w całości usunięty. Domyślnie jest tylko Shell w HKLM. Poza tym, w systemie jest adware. Popraw klucz wg wskazówek i podaj nowe raporty z OTL.

 

 

 

.

[proi]

W rejestrze już wolę nie grzebać samemu. System "na oko" działa poprawnie, dodatkowo dzisiaj zaktualizowałem co tylko się dało.

Proszę o zerknięcie na logi i sprawdzenie czy jeszcze coś się tam czai.

 

Aktualizacja-zauwazylem ze avast oferuje czyszczenie przegladarki z paskow, wykorzystalem to do usuniecia babylona, załączone logi wygenerowane po tym procesie

Extras.Txt

OTL.Txt

[picasso]

Tu jest także niedoczyszczona infekcja rootkitem ZerAccess:

 

[HKEY_CURRENT_USER\Software\Classes\clsid\{fbeb8a05-beee-4442-804e-409d6c4515e9}\InProcServer32] /64

"ThreadingModel" = Both

"" = C:\$Recycle.Bin\S-1-5-21-3923645508-3675989961-2249486224-1000\$b00521075be000327b22f7b74103fb81\n.

 

1. Odinstaluj adware FoxTab PDF Converter. Wyczyść Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox.

 

2. Otwórz Notatnik i wklej w nim:

 

Windows Registry Editor Version 5.00
 
[-HKEY_CURRENT_USER\Software\Classes\CLSID\{fbeb8a05-beee-4442-804e-409d6c4515e9}]
 
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
""=-
 
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"=-
 
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}]
 
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}]
 
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2]
 
[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\explorer\Browser Helper Objects\{DBC80044-A445-435b-BC74-9C25C1C588A9}]

 

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.REG

 

Kliknij prawym na plik i z menu wybierz opcję Scal. Potwierdź import do rejestru.

 

3. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files


C:\Users\śrubowy\uidsave.dat

C:\Users\śrubowy\AppData\Roaming\92ED9

C:\Users\śrubowy\AppData\Roaming\Babylon

C:\Users\śrubowy\AppData\Roaming\D9E2B

C:\Program Files (x86)\mozilla firefox\searchplugins\babylon.xml
 

:Commands

[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. Zatwierdź restart systemu.

 

4. Zrób nowy log OTL z opcji Skanuj (już bez Extras) + Farbar Service Scanner. Dodatkowo, sprawdzanie co jest w Koszu. Uruchom SystemLook x64 i do skanu wklej:

 

:dir


C:\$Recycle.Bin /s

 

 

 

.

[proi]

1. Dodaj/Usuń stwierdziło:

"Wystąpił bład podczas próby deiin stalacji .... Mógł on zostać wcześniej usunięty. Czy chcesz usunąć ... z listy?" Chciałem i usunąłem., znikneło.

2. Zrobione.

3. Zrobione, log po restarcie załączony

4. Zrobione + zrobione. Zrobione.

06292013_202943_porestarcie.txt

FSS.txt

OTL.Txt

SystemLook.txt

[picasso]

Wszystkie akcje zrobione. Jeszcze Kosz wymaga interwencji, gdyż siedzą w nim szczątki ZeroAccess.

 

1. Otwórz Notatnik i wklej w nim:

 

TAKEOWN /F C:\$Recycle.Bin /R /A /D T
icacls C:\$Recycle.Bin /grant Wszyscy:F /T
rd /s /q C:\$Recycle.Bin
pause

 

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.BAT

 

Kliknij prawym na plik i wybierz opcję Uruchom jako Administrator.

 

2. Zrób nowy log z SystemLook na ten sam warunek.

 

 

 

.

[proi]

1. 18 obiektów zakończono powodzeniem, 0 niepowodzeń

2. zrobione załączone

 

Wielkie dzięki Picasso!

SystemLookNowy.txt

[picasso]

Akcja pomyślnie przeprowadzona. Możesz zakończyć sprawy:

 

1. Usuń narzędzia: w OTL uruchom Sprzątanie, przez SHIFT+DEL skasuj folder C:\Kaspersky Rescue Disk 10.0.

 

2. Wyczyść foldery Przywracania systemu: KLIK.

 

3. Do aktualizacji te programy:

 

========== HKEY_LOCAL_MACHINE Uninstall List ==========
 

64bit: [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]

"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin 64-bit (wtyczka dla innych przeglądarek)
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]

"{AC76BA86-7AD7-1045-7B44-A95000000001}" = Adobe Reader 9.5.5 - Polish

"{EE7257A2-39A2-4D2F-9DAC-F9F25B8AE1D8}" = Skype™ 5.10

"Adobe Flash Player ActiveX" = Adobe Flash Player 11 ActiveX (wtyczka dla IE)

"Mozilla Thunderbird 12.0.1 (x86 pl)" = Mozilla Thunderbird 12.0.1 (x86 pl)

 

 

 

 

.