Blokada touchpada, zewnętrznej myszki

[kosa351]

Jak w temacie. Przyblokowany touchpad oraz zewnętrzne myszki USB. Pewnie zainfekowany sterownik. ZeroAccess?

Poniżej logi OTL. 

http://pastebin.com/gY6tqnPL

http://pastebin.com/BzvNh8BV

[picasso]

Przypominam, że obowiązkowe tu są też raporty FRST, jako że OTL to już odstaje w tyle pod kątem skanu, na dodatek jest tu system x64 (FRST to jedyny skaner natywnie 64-bitowy).

 

 

Przyblokowany touchpad oraz zewnętrzne myszki USB. Pewnie zainfekowany sterownik.

W podanych raportach nie ma żadnych oznak infekcji ZeroAccess w wersji do której pijesz (infekcja sterowników). Ta wersja zresztą jest starym wariantem (już rzadko na forum spotykanym) i w przypadku tego systemu niemożliwym nawet do wdrożenia (ZeroAccess w wariancie infekującym sterowniki w ogóle nie występował w kompilacji x64). Brak tu także i innych oznak infekcji, do czyszczenia są tylko miniaturowe wpisy puste, ale to na razie nieistotne. Temat przenoszę do działu Windows.

 

Na razie z raportów (czekam nadal na FRST) nic nie wynika. Aczkolwiek widzę subtelne ślady po usuniętym Kaspersky Internet Security 2011, co owszem się może kojarzyć z efektem (filtry na urządzeniach pozostawione po niepoprawnej deinstalacji pakietu). Pytaniem jest kiedy ten pakiet rezydował, kiedy go usunięto. Poza tym, opis problemu zasadniczego jest słaby, nic z tego nie wiem. Logi zrobione z poziomu awaryjnego, czy ten tryb zmienia objawy?

 

 

 

.

[kosa351]

Z tego, co mi wiadomo problem pojawił się przy usuwaniu Avasta. Pojawił się BSOD. Po restarcie przestał działać touch oraz mysz pod USB. Gdy się podpina myszkę to widać, że instaluje sprzęt, w menadżerze również ona jest, ale bez reakcji. Wyczyściłem jeszcze pozostałości po Avaście ich cleanerem. W trybie awaryjnym problem również występuje. 

 

Logi z FRST:

http://pastebin.com/7HLqqRUU

http://pastebin.com/HtdLFC83

[picasso]

Z tego, co mi wiadomo problem pojawił się przy usuwaniu Avasta. Pojawił się BSOD. Po restarcie przestał działać touch oraz mysz pod USB.

To był komercyjny Avast? I Ty już tu byłeś z czymś podobnym: KLIK. Ale tu nie tylko touchpad nawala, ale i mysz, a to pasuje do Kasperskiego, jest tu widzialna przez FRST (OTL tego nie widzi) resztka sterownika Kasperskiego odpowiedzialnego za filtrowanie myszy:

 

S3 klmouflt; system32\DRIVERS\klmouflt.sys [x]

 

Przebicie filtrów załączę zbiorczo w skrypcie usuwającym inne szczątki:

 

1. Otwórz Notatnik i wklej w nim:

 

HKCU\...\Run: [Mobile Partner] - C:\Program Files (x86)\PLAY Web partner\PLAY Web partner
HKU\UpdatusUser\...\Run: [swg] - C:\Program Files (x86)\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe [39408 2010-10-07] (Google Inc.)
HKU\UpdatusUser\...\Run: [Mobile Partner] - C:\Program Files (x86)\PLAY Web partner\PLAY Web partner
HKU\UpdatusUser\...\Run: [lollipop] - "c:\users\irmina\appdata\local\lollipop\lollipop.exe" lollipop
StartMenuInternet: IEXPLORE.EXE - C:\Program Files (x86)\Internet Explorer\iexplore.exe
SearchScopes: HKCU - {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKCU - {67A2568C-7A0A-4EED-AECC-B5405DE63B64} URL =
SearchScopes: HKCU - {6A1806CD-94D4-4689-BA73-E35EA1EA9990} URL =
SearchScopes: HKCU - {93B847BF-3ACB-4F53-B6BA-EF631260DCF2} URL = http://search.yahoo.com/search?fr=chr-greentree_ie&ei=utf-8&ilc=12&type=937811&p={searchTerms}
SearchScopes: HKCU - {FD8AF44B-B71D-4EB7-BA2D-2DEFFA0F57DB} URL = http://search.yahoo.com/search?fr=chr-greentree_ie&ei=utf-8&ilc=12&type=937811&p={searchTerms}
BHO-x32: Download and Sa Class - {E0EA797D-A65C-6CD3-21D8-DA728CECD21E} - C:\ProgramData\Download and Sa\50b24bc8cefe2.ocx No File
Toolbar: HKCU - No Name - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - No File
CHR HKLM-x32\...\Chrome\Extension: [deehdablhkakabhglkmbfhgdncjfdpod] - C:\ProgramData\Download and Sa\deehdablhkakabhglkmbfhgdncjfdpod.crx
C:\Windows\SysWOW64\*.tmp
C:\ProgramData\InstallMate
C:\Program Files (x86)\mozilla firefox\plugins\nppluginrichmediaplayer.dll
C:\Program Files (x86)\mozilla firefox\plugins\npwachk.dll
C:\Program Files (x86)\1clickmoviedownloader.com
C:\Users\Irmina\Desktop\FreeTVDownloader.lnk
C:\Users\Irmina\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\1clickmoviedownloader.com
C:\Users\Irmina\Downloads\Advanced Registry Doctor Pro 9.4.8.10_isdmgr.exe
C:\Users\Irmina\Downloads\Advanced Registry Doctor Pro 9.4.8.10_isdmgr (1).exe
C:\Users\Irmina\Downloads\Registry-Life(18391).exe
S3 ASUSProcObsrv; \??\E:\I386\AsPrOb64.sys [x]
S3 catchme; \??\C:\ComboFix\catchme.sys [x]
S3 ewusbnet; system32\DRIVERS\ewusbnet.sys [x]
S0 KL1; system32\DRIVERS\kl1.sys [x]
S1 kl2; system32\DRIVERS\kl2.sys [x]
S1 KLIF; system32\DRIVERS\klif.sys [x]
S1 KLIM6; system32\DRIVERS\klim6.sys [x]
S3 klmouflt; system32\DRIVERS\klmouflt.sys [x]
U3 tmlwf;
S2 tmpreflt; system32\DRIVERS\tmpreflt.sys [x]
S1 tmtdi; system32\DRIVERS\tmtdi.sys [x]
U3 tmwfp;
S2 tmxpflt; system32\DRIVERS\tmxpflt.sys [x]
S3 TuneUpUtilitiesDrv; \??\C:\Program Files (x86)\TuneUp Utilities 2013\TuneUpUtilitiesDriver64.sys [x]
S2 vsapint; system32\DRIVERS\vsapint.sys [x]
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Internet Explorer\MenuExt\Dodaj do blokowanych banerów" /f
Reg: reg delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\MenuExt\Dodaj do blokowanych banerów" /f
Reg: reg add HKLM\SYSTEM\CurrentControlSet\Control\Class\{4D36E96B-E325-11CE-BFC1-08002BE10318} /v UpperFilters /t REG_MULTI_SZ /d kbdclass /f
Reg: reg add HKLM\SYSTEM\CurrentControlSet\Control\Class\{4D36E96F-E325-11CE-BFC1-08002BE10318} /v UpperFilters /t REG_MULTI_SZ /d mouclass /f

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt.

 

Zresetuj ręcznie system i zweryfikuj co z urządzeniami.

 

2. Akcje w przeglądarkach:

- W Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox.

- W Google Chrome: Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Zresetuj ustawienia przeglądarki. Zresetuj też cache wtyczek: w pasku adresów wpisz chrome://plugins i ENTER, na liście wtyczek wybierz dowolną i kliknij Wyłącz, następnie wtyczkę ponownie Włącz.

 

3. Jeśli aplikacja Mobogenie nie była instalowana celowo, odinstalować. A wygląda to na jakąś wymuszoną instalację, bo obiekty tworzone w tym samym czasie co "1clickmoviedownloader.com".

 

4. Uruchom AdwCleaner. Zastosuj Szukaj, a po tym Usuń. Powstanie folder C:\AdwCleaner z raportem z usuwania.

 

5. Zrób nowy skan FRST (bez Addition). Dołącz plik fixlog.txt i log z AdwCleaner.

 

 

 

.

[kosa351]

Zewnętrzne urządzenia wskazujące USB zaczęły działać. Touch nadal nieaktywny. Reinstalowałem sterownik bez efektu. Menadżer urządzeń nie widzi tego urządzenia. Sprawdziłem na Linuxie Live tam również nieaktywny. Wniosek: problem sprzętowy. 

 

Wklejam logi.

http://pastebin.com/PZkLWXVj

http://pastebin.com/X9WqLGaP

http://pastebin.com/jxj52G1Q

[fatziom]

Jestem zwolennikiem najprostszych rozwiązań. Może jest jakiś przełącznik sprzętowy. FN+COŚ tam i wyłącza touchpada ?

[kosa351]

Jestem zwolennikiem najprostszych rozwiązań. Może jest jakiś przełącznik sprzętowy. FN+COŚ tam i wyłącza touchpada ?

Nie, nie sprawdzone