Samoistne otwieranie pustych kart w IE, zamykanie aplikacji po starcie systemu

[kronopio]

Nie tak dawno, dzięki nieodzownej pomocy pani Administrator uporałem się ze zrywaniem polączenia w IE itp. (raz jeszcze ogromne podziękowania).

Niestety ponownie coś zaczęło szwankować:

1. Sporadycznie, do szybkiego podglądu artykułów uzywam IE. Niestety podczas przeglądania stron w programie Internet Explorer za każdym razem otwierają się nowe puste karty, tym więcej, im więcej zakładek do czytania otworzę podczas sesji i ciągle narasta ich ilość... Nie mam pojęcia co się dzieje.
    
2. Czasami również, zaraz po wystartowaniu systemu, zaczyn sypać się jakiś program, np. otrzymuje informację: Flash Player został zamknięty z powodu awarii, panel sterowania nVidia również, czy tez sterowniki audio. Nie jest to czeste, ale się zdarza.
    
3. Poza tym potrafi przymulić tak, że system na pewien czas "zamarza", a użycie CPU przez System Idle Process sięga możliwych maksimów.
    

Wszystko działało bez zarzutów do czasu ponowienia mojego sławetnego kroku popełnionego poprzednio (tutaj archiwum dla ciekawych), czyli zainstalowania Returnil System Safe Pro 2011.
Teoretycznie nie powinien mieć na nic innego wpływu, jednak pro forma, pozbyłem się go w tempie błyskawicznym, zastepując programem Buffer Zone Security. Później juz zaczęły się owe "hocki klocki" z otwieraniem kart i sypaniem się aplikacji.

Głupio mi, że po raz kolejny czegoś nie dopilnowałem i musze zawracac głowę, no ale takie życie z tymi piekielnymi maszynami

BTW tak pojawiam się na stronach typu "dobre programy" itp, ale jeśli coś pobieram to jak ognia wystrzegam się ich "asystentów pobierania". Pobieram tylko bezpośrednie linki do programów.

Załączam wymagane logi prosząc o przejrzenie:
 

Addition.txt

FRST.txt

Shortcut.txt

OTL.Txt

Extras.Txt

GMER.txt

[picasso]

W raportach nie ma żadnych oznak infekcji, również zupełnie nic z nich nie wynika pod kątem opisywanego problemu.

 

 

Poza tym potrafi przymulić tak, że system na pewien czas "zamarza", a użycie CPU przez System Idle Process sięga możliwych maksimów.

"Proces bezczynności systemu" jest interpretowany odwrotnie niż pozostałe: im wyższa liczba CPU (procent procesora w spoczynku), tym lepiej.

 

 

Wszystko działało bez zarzutów do czasu ponowienia mojego sławetnego kroku popełnionego poprzednio (tutaj archiwum dla ciekawych), czyli zainstalowania Returnil System Safe Pro 2011.

Teoretycznie nie powinien mieć na nic innego wpływu, jednak pro forma, pozbyłem się go w tempie błyskawicznym, zastepując programem Buffer Zone Security. Później juz zaczęły się owe "hocki klocki" z otwieraniem kart i sypaniem się aplikacji.

Jak mówiłam, Returnil nie powinien mieć w owym czasie nic do rzeczy. Natomiast obecnie podejrzanym jest właśnie nowa instalacja Buffer Zone Security, oczywiście nie w kontekście szkodliwości tylko w kontekście inwazyjnych modyfikacji systemowych, które mogłyby być przyczyną dziwnych zachowań. Zdecydowana różnica między poprzednimi raportami a bieżącymi to właśnie liczne modyfikacje Buffer (duża ilość procesów i załadowanych modułów, sterowniki, wszczepienia w powłokę):

 

==================== Processes (Whitelisted) =================
 

() C:\Program Files\Admin\BufferZone\ClntSvc.exe

() C:\Program Files\Admin\BufferZone\BZRpcSs.exe

() C:\Program Files\Admin\BufferZone\BZDcomLaunch.exe

() C:\Program Files\Admin\BufferZone\ClientGUI.exe
 

==================== Loaded Modules (whitelisted) =============
 

2013-12-29 11:56 - 2013-12-29 11:56 - 00572320 _____ () C:\Program Files\Admin\BufferZone\RLHOOK32.DLL

2013-12-29 11:57 - 2013-12-29 11:57 - 03142000 _____ () C:\Program Files\Admin\BufferZone\CLNTSVC.EXE

2013-12-29 11:56 - 2013-12-29 11:56 - 00235424 _____ () C:\Program Files\Admin\BufferZone\BZRPCSS.EXE

2013-12-29 11:56 - 2013-12-29 11:56 - 00239008 _____ () C:\Program Files\Admin\BufferZone\BZDCOMLAUNCH.EXE

2013-12-29 11:57 - 2013-12-29 11:57 - 00148896 _____ () C:\Program Files\Admin\BufferZone\WINBORDER.DLL

2013-12-29 11:56 - 2013-12-29 11:56 - 03408808 _____ () C:\Program Files\Admin\BufferZone\ClientGUI.exe
 

==================== Registry (Whitelisted) ==================
 

HKLM\...\Run: [bufferZone] => C:\Program Files\Admin\BufferZone\CLIENTGUI.EXE [3408808 2013-12-29] ()

ShellIconOverlayIdentifiers: [0_sxBZOverlayIcon] -> {6457FB0A-5C02-4393-909C-2139A5D5571F} => C:\Windows\system32\RlShellExt.dll (TODO: )

ShellIconOverlayIdentifiers: [0_sxConfidentialOIcon] -> {871FE18B-B68D-4437-BC76-6634996CDB97} => C:\Windows\system32\RlShellExt.dll (TODO: )

ShellIconOverlayIdentifiers: [0_sxForbiddenOIcon] -> {1F03249C-6AB2-4E31-8C10-86F7E31E3B4E} => C:\Windows\system32\RlShellExt.dll (TODO: )
 

========================== Services (Whitelisted) =================
 

R2 BufferZoneSvc; C:\Program Files\Admin\BufferZone\CLNTSVC.EXE [3142000 2013-12-29] ()
 

==================== Drivers (Whitelisted) ====================
 

R1 REDLIGHT; C:\Windows\System32\drivers\REDLIGHT.SYS [457120 2013-12-29] (BufferZone)

R2 RLMUPFLT; C:\Windows\system32\drivers\RLMUPFLT.sys [14752 2013-12-29] (BufferZone)

R2 RLNSIFLTR; C:\Windows\system32\drivers\RLNSIFLTR.sys [13216 2013-12-29] (BufferZone)

 

Poza tym, w Dzienniku zdarzeń są błędy związane z Buffer:

 

Application errors:

==================

Error: (12/18/2014 11:11:11 PM) (Source: BufferZoneSvc) (EventID: 0) (User: )

Description: Nieprawidłowe dojście
 

CodeIntegrity Errors:

===================================

Date: 2014-12-18 23:12:06.074

Description: Code Integrity is unable to verify the image integrity of the file \Device\HarddiskVolume5\Program Files\Admin\BufferZone\RlHook32.dll because the set of per-page image hashes could not be found on the system.

 

PS. Poprzednio usuwałam folder C:\Users\rambo\AppData\Roaming\Returnil z dysku. Wg OTL on nadal jest. To tylko uwaga poboczna, ten odpadek jest bez związku.

[kronopio]

...obecnie podejrzanym jest właśnie nowa instalacja Buffer Zone Security, oczywiście nie w kontekście szkodliwości tylko w kontekście inwazyjnych modyfikacji systemowych, które mogłyby być przyczyną dziwnych zachowań. Zdecydowana różnica między poprzednimi raportami a bieżącymi to właśnie liczne modyfikacje Buffer (duża ilość procesów i załadowanych modułów, sterowniki, wszczepienia w powłokę):

 

PS. Poprzednio usuwałam folder C:\Users\rambo\AppData\Roaming\Returnil z dysku. Wg OTL on nadal jest. To tylko uwaga poboczna, ten odpadek jest bez związku.

 

Tak usuwałaś i został usunięty folder Returnil, jednak zainstalowałem Returnila ponownie, gdyż nie miał sprawiać problemów, ale jednak z moją konfiguracją coś szwankował i po tym jak zaczęły się problemy z obciążeniem CPU, podmieniłem go na Buffer Zone Security, jak widać wpadłem " z deszczu pod rynnę".

 

Obecnie usunąłem Buffer Zone i wszystko "śmiga" o wiele lepiej niż poprzednio. Skończyło się otwieranie pustych kart w IE oraz spadło obciążenie CPU. Przypuszczam, że problemy z wywalaniem aplikacji i sterowników podczas startu systemu też się dzięki temu skończą.

 

Jak widać Buffer Zone jest mocno inwazyjny, więc moj kolejny pomysł na piaskownicę padł... Nie mam pomysłu czym zastąpić Sandboxie, wiec chyba do niego wrócę.

 

Picasso, dziękuję za pomoc!

.