Laptop zamula - adware - nie moge zrobić logów

[Rucek]

Witam,

 

lenovo, win7, 64-bit,

kumpela przyniosła zaśmieconego lapka, jakieś reklamy podobno wyskakują itp.

z tego co ja widzę: wolno chodzą przeglądarki, nie pobiera mi tdsskiller, nie mogę zrobić logów, ani normalnie anie w trybie awaryjnym,

 

wyskakują komunikaty ze "nie jest prawidłową aplikacją win32"  - pliki pobrałem dobre, to samo wyskakuje np w FRST 32-bit.

jak to ugryźć?

 

(PS jutro wieczorem musze lapka oddac...)

[Zappa]

Ale można zrobić logi z FRST na niestartującym systemie

 

https://www.fixitpc.pl/topic/4414-diagnostyka-infekcji-na-niestartujacych-windows/

[Rucek]

system startuje normalnie, po prostu nie moge odpalić skanerów... nie da sie tego inaczej zrobić? musze z botowalnych płyt/penów?

[Zappa]

spróbuj awaryjny z wierszem polecenia. na pendraku umieść FRST i odpalasz komendą X:\FRST.exe  - X to literka pod którą jest pendrak.

[Rucek]

HA udalo sie, skanuje, tak jak powiedziales, działa

tego samego z OTL i GMER nie zrobie nie?

EDIT: logi

[picasso]

OTL i GMER można uruchomić w taki sam sposób, wklepując w linii komend bezpośrednią ścieżkę do pliku exe. W dostarczonych raportach widać tylko adware i wcale tak dużo tego nie ma. Wstępne działania:

 

1. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
S2 Update SmarterPower; C:\Program Files (x86)\SmarterPower\updateSmarterPower.exe [524024 2014-10-23] ()
S2 Util SmarterPower; C:\Program Files (x86)\SmarterPower\bin\utilSmarterPower.exe [524024 2014-10-23] ()
S1 {5eeb83d0-96ea-4249-942c-beead6847053}Gw64; C:\Windows\System32\drivers\{5eeb83d0-96ea-4249-942c-beead6847053}Gw64.sys [61080 2014-08-30] (StdLib)
S2 avast! Firewall; "C:\Program Files\AVAST Software\Avast\afwServ.exe" [X]
S1 aswKbd; \??\C:\Windows\system32\drivers\aswKbd.sys [X]
S1 aswTdi; \??\C:\Windows\system32\drivers\aswTdi.sys [X]
S3 atillk64; \??\C:\Program Files (x86)\AMD\System Monitor\atillk64.sys [X]
GroupPolicy: Group Policy on Chrome detected 
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction 
HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wp.pl/
HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.com/ie
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = www.wp.pl/?src01=dp220140831
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = www.wp.pl/?src01=dp220140831
SearchScopes: HKCU - {6A1806CD-94D4-4689-BA73-E35EA1EA9990} URL = http://www.google.com/search?q={sear
BHO-x32: SmarterPower -> {bd7c9b62-a7d9-4405-be51-7fd633f08791} -> C:\Program Files (x86)\SmarterPower\SmarterPowerbho.dll (SmarterPower)
Toolbar: HKLM - No Name - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} - No File
Toolbar: HKLM - No Name - {CC1A175A-E45B-41ED-A30C-C9B1D7A0C02F} - No File
ShellIconOverlayIdentifiers: [DropboxExt1] -> {FB314ED9-A251-47B7-93E1-CDD82E34AF8B} => No File
ShellIconOverlayIdentifiers: [DropboxExt2] -> {FB314EDA-A251-47B7-93E1-CDD82E34AF8B} => No File
ShellIconOverlayIdentifiers: [DropboxExt3] -> {FB314EDB-A251-47B7-93E1-CDD82E34AF8B} => No File
ShellIconOverlayIdentifiers: [DropboxExt4] -> {FB314EDC-A251-47B7-93E1-CDD82E34AF8B} => No File
C:\ProgramData\Trend Micro
C:\Users\Teresa\AppData\Local\Google\Chrome\User Data\Default
C:\Users\Teresa\AppData\Local\Google\Chrome\User Data\Profile 1\Preferences
C:\Windows\System32\drivers\{5eeb83d0-96ea-4249-942c-beead6847053}Gw64.sys
Reg: reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2 /f
CMD: sc config "PLAY ONLINE. RunOuc" start= demand
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Z poziomu Trybu awaryjnego uruchom FRST i kliknij w Fix. System zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Przejdź w Tryb normalny i przez Panel sterowania odinstaluj adware SmarterPower, stare wersje Adobe Flash Player 10 ActiveX, Adobe Flash Player 10 Plugin oraz problematyczny zbędnik ASUS WebStorage.

 

3. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt.

 

 

 

.

[Rucek]

pisze z innego kompa, po uruchomieniu fixa, i restarcie nie moge odpalic ani chrome ani IE, wyswietla sie ciagle w przegladarkach https://netia.portal.fon.com/pl/netia

 

dołączam logi

 

EDIT:

- uzupełniłem o log z FRST

- w przegladarkach póki co już nie ma tej netii, nadal troche zamulają ale wygląda już normalnie

- na pulpicie pojawiło się jakieś małe okienko (foto-okienko) Edit: po restarcie okienko juz sie nie pokazuje...

- Frst i otl odpalają już normalnie, GMER i mbar - nadal wyskakuje ten sam błąd (jaka jest przyczyna tego? co odpowiada za tę blokadę?)

[picasso]

GMER i mbar - nadal wyskakuje ten sam błąd (jaka jest przyczyna tego? co odpowiada za tę blokadę?)

Jeśli chodzi o błąd "nie jest prawidłową aplikacją win32", to pliki są uszkodzone i należy ponownie pobrać aplikacje.

 

Jeśli chodzi o adware, zostało pomyślnie usunięte i nie ma już nic czynnego. Tylko drobne poprawki:

 

1. Otwórz Notatnik i wklej w nim:

 

RemoveDirectory: C:\Program Files (x86)\SmarterPower
RemoveDirectory: C:\Users\Teresa\AppData\Roaming\ASUS WebStorage
DeleteQuarantine:

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Przedstaw wynikowy fixlog.txt.

 

2. Uruchom AdwCleaner. Zastosuj Szukaj, a po tym Usuń. Dostarcz log z folderu C:\AdwCleaner.

 

 

 

.

[Rucek]

ok, zrobione, ponizej logi

 

EDIT: mbar sie odpalił, nie znalazł

lapek już oddany

 

dziękuję!

[picasso]

Lapka już oddałeś, ale skomentuję:

 

Fix pomyślnie wykonany. AdwCleaner dokasował szczątki adware, z jednym wyjątkiem:

 

Klucz Usunięto : [x64] HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\0FF2AEFF45EEA0A48A4B33C1973B6094

 

To ogólny klucz związany z biblioteką msvcr71.dll. Klucz może być używany przez aplikacje poprawne oraz szkodliwe. Nie wiadomo co tak naprawdę wykrył AdwCleaner, bo brak tu zawartości klucza. Mogła zostać uszkodzona rejestracja MSI któregoś poprawanego programu (np. AMD Catalyst Center). Gdyby jakiś błąd związany z "Instalatorem Windows" się ujawnił, należy przeinstalować dany program figurujący na błędzie.

 

 

.

[Rucek]

ok, wielkie dzięki, przekażę uwagę dalej.