Skoki pingu wywołane przez proces/wirus

[DamnSlayer]

Witam! Rozpisze się ze szczegółami bo myślę, że może wspomnę o czymś istotnym 2 tygodnie temu zrobiłem reinstall systemu, gdyż miałem błąd przez źle pobraną aktualizację windowsa 8.1. Zainstalowałem windows 7 przy czym doszło do formatu dysku C, pliki na dysku D nie zostały naruszone. 12 dni temu zmienili mi antenę od internetu, szybkość internetu 6mb/s podniesiona z 2mb/s. Przez tydzień było wszystko w porządku. Lecz od dwóch dni miałem stały ping 300ms+. W chwili obecnej mam normalnie po 20-30 pingu, lecz co chwilę, na kilka sekund, wzrasta do 300, czasami nawet do 2000  .

 

Menedżer zadań > wydajność > monitor zasobów.

Tutaj proces svchost.exe (local service/network service) wykorzystuje sieć w dużym stopniu. Myślę, że jest to spowodowane jakimś wirusem, jak wyłączam ten proces, to za chwilę sam się włącza.

 

Poza tym, gdy korzystam ze Steam i Spotify, bardzo często mam w menedżerze zadań odpalonych kilka steamwebhelper.exe i spotifywebhelper.exe, to drugie (spotify), często wyskakuje onko: " Program Spotify Web Helper przestał działać.

 

Czy da się jakoś to usunąć. Jestem ciemny w ty sprawach. Jakieś instrukcje?

 

@Edit: Aha, zapomniałem o jednym. Przez około 10 dni, 4 razy miałem bluescreen'a

@Edit2: Podczas robienia logu GMER pojawił się bluescreen.

FRST.txt

Addition.txt

Shortcut.txt

OTL.Txt

Extras.Txt

GMER.txt

[DamnSlayer]

Przepraszam ze piszę w kolejnym poście zamiast zedytować, lecz nie mogę tego zrobić, ponieważ piszę z telefonu, a myślę, że to może coś ważnego.

Właśnie przed chwilą normalnie kliknąłem zamknij, by wyłączyć komputer. Jak przy każdym wyłączaniu, na ekranie pojawił się napis "Trwa zamykanie systemu..." lecz trwało to jakieś 5-10 minut, po czym pojawił się blue screen, coś załadowało się do 100 (we wcześniejszych bluescreen'ach, o ktòrych wspomniałem, miało miejsce to samo) i komputer ponownie się uruchomił.

[marcin878787]

To coś to zapewne były aktualizacje i proces svchost.exe jest za to odpowiedzialny. Zrób także test pamięci programem memtest86. Jak - > Google.

[DamnSlayer]

Zrobiłem test pamięci, trwał 47 minut, wykryto 0 Errors, nacisnąłem Esc, żeby wyłączyć komputer. 

 

Jakieś inne pomysły?

[marcin878787]

Możesz przyspieszyć proces aktualizacji w windows update - > wyszukać aktualizacje i następnie je instalować.

Trzeba zobaczyć jaka będzie sytuacja gdy wszystkie będą zainstalowane.

[DamnSlayer]

Po tym teście pamięci o dziwo przestał skakać ping, lecz tak czy siak jakbyś Picasso była w stanie przejrzeć logi i coś doradzić, bo te procesy, o których wspomniałem zabierają dużo pamięci komputera, więc tak czy siak troszke zamula, i nie wykluczone, że ping powróci

[marcin878787]

Obok Frst utwórz plik tekstowy o nazwie fixlist - > wklej do niego  zawartość spoilera - > Uruchom Frst jako Administrator - > kliknij na fix po czym pokaż powstały fixlog.

 

ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => No File
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
CHR Extension: (Prezentacje Google) - C:\Users\Mikołaj\AppData\Local\Google\Chrome\User Data\Default\Extensions\aapocclcgogkmnckokdopfmhonfmgoek [2014-12-20]
CHR Extension: (Dokumenty Google) - C:\Users\Mikołaj\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2014-12-20]
CHR Extension: (Dysk Google) - C:\Users\Mikołaj\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2014-12-20]
CHR Extension: (YouTube) - C:\Users\Mikołaj\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2014-12-20]
CHR Extension: (Szukaj w Google) - C:\Users\Mikołaj\AppData\Local\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2014-12-20]
CHR Extension: (Arkusze Google) - C:\Users\Mikołaj\AppData\Local\Google\Chrome\User Data\Default\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2014-12-20]
CHR Extension: (Google Wallet) - C:\Users\Mikołaj\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2014-12-20]
CHR Extension: (Gmail) - C:\Users\Mikołaj\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2014-12-20]
CHR HKLM-x32\...\Chrome\Extension: [lifbcibllhkdhoafpjfnlhfpfgnpldfl] - C:\Program Files (x86)\Skype\Toolbars\ChromeExtension\skype_chrome_extension.crx [2014-07-14]
R2 AMD FUEL Service; C:\Program Files\ATI Technologies\ATI.ACE\Fuel\Fuel.Service.exe [344064 2013-09-11] (Advanced Micro Devices, Inc.) [File not signed]
R2 ASGT; C:\Windows\SysWOW64\ASGT.exe [55296 2012-01-17] () [File not signed]
R4 IOMap; \??\C:\Windows\system32\drivers\IOMap64.sys [X]
2015-01-03 22:47 - 2015-01-03 22:47 - 00000000 ___SD () C:\ComboFix
2015-01-03 22:47 - 2015-01-03 22:47 - 00000000 ____D () C:\Qoobox
2015-01-03 22:47 - 2011-06-26 07:45 - 00256000 _____ () C:\Windows\PEV.exe
2015-01-03 22:47 - 2010-11-07 18:20 - 00208896 _____ () C:\Windows\MBR.exe
2015-01-03 22:47 - 2009-04-20 05:56 - 00060416 _____ (NirSoft) C:\Windows\NIRCMD.exe
2015-01-03 22:47 - 2000-08-31 01:00 - 00518144 _____ (SteelWerX) C:\Windows\SWREG.exe
2015-01-03 22:47 - 2000-08-31 01:00 - 00406528 _____ (SteelWerX) C:\Windows\SWSC.exe
2015-01-03 22:47 - 2000-08-31 01:00 - 00098816 _____ () C:\Windows\sed.exe
2015-01-03 22:47 - 2000-08-31 01:00 - 00080412 _____ () C:\Windows\grep.exe
2015-01-03 22:47 - 2000-08-31 01:00 - 00068096 _____ () C:\Windows\zip.exe
2014-12-25 20:23 - 2014-12-25 20:23 - 00000000 ____D () C:\ProgramData\1078601655
2014-12-25 12:35 - 2014-12-25 12:35 - 00000000 ____D () C:\Users\Mikołaj\AppData\Roaming\RHEng
2014-12-25 12:35 - 2014-12-25 12:35 - 00000000 ____D () C:\Users\Mikołaj\AppData\Roaming\OpenCandy
2015-01-03 23:50 - 2009-07-14 05:45 - 00013584 ____H () C:\Windows\system32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0
2015-01-03 23:50 - 2009-07-14 05:45 - 00013584 ____H () C:\Windows\system32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0
emptytemp:

 

[DamnSlayer]

Log:

Fixlog.txt

[marcin878787]

Po wykonaniu fixa system uruchomił się ponownie? Pokaż nowe logi Frst.

[DamnSlayer]

Tak, komputer uruchomił się ponownie, plik w moim wcześniejszym poście utworzony został po wykonaniu fixa.

 

Teraz zrobiłem nowy skan FRST, domyślam się, że o to chodziło.

Addition.txt

FRST.txt

[picasso]

marcin878787

 

Zasady działu

 

Twój "Fix" FRST to nie wiadomo co to miało być i czemu służyć. W "Fixie" wywalasz poprawne obiekty: pliki licencji Windows, usługi AMD i ASUS GPU Tweak, dewastacja całego Google Chrome poprzez usunięcie poprawnych rozszerzeń.

 

 

CHR Extension: (Prezentacje Google) - C:\Users\Mikołaj\AppData\Local\Google\Chrome\User Data\Default\Extensions\aapocclcgogkmnckokdopfmhonfmgoek [2014-12-20]

CHR Extension: (Dokumenty Google) - C:\Users\Mikołaj\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2014-12-20]

CHR Extension: (Dysk Google) - C:\Users\Mikołaj\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2014-12-20]

CHR Extension: (YouTube) - C:\Users\Mikołaj\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2014-12-20]

CHR Extension: (Szukaj w Google) - C:\Users\Mikołaj\AppData\Local\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2014-12-20]

CHR Extension: (Arkusze Google) - C:\Users\Mikołaj\AppData\Local\Google\Chrome\User Data\Default\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2014-12-20]

CHR Extension: (Google Wallet) - C:\Users\Mikołaj\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2014-12-20]

CHR Extension: (Gmail) - C:\Users\Mikołaj\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2014-12-20]

CHR HKLM-x32\...\Chrome\Extension: [lifbcibllhkdhoafpjfnlhfpfgnpldfl] - C:\Program Files (x86)\Skype\Toolbars\ChromeExtension\skype_chrome_extension.crx [2014-07-14]

R2 AMD FUEL Service; C:\Program Files\ATI Technologies\ATI.ACE\Fuel\Fuel.Service.exe [344064 2013-09-11] (Advanced Micro Devices, Inc.) [File not signed]

R2 ASGT; C:\Windows\SysWOW64\ASGT.exe [55296 2012-01-17] () [File not signed]

 

2015-01-03 23:50 - 2009-07-14 05:45 - 00013584 ____H () C:\Windows\system32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0

2015-01-03 23:50 - 2009-07-14 05:45 - 00013584 ____H () C:\Windows\system32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0

 

 

O tyle tu się "upiekło", że z Google Chrome już nastąpiła w międzyczasie zmiana i obiekty zadane do usunięcia w większości nie zostały przetworzone, reszta niestety tak.

 

 

DamnSlayer

 

Pomijając to co stało się powyżej, zaszły nowe niekorzystne okoliczności. Poprzednio poprawna wersja Google Chrome (wersja stabilna) obecnie została przez adware przekonwertowana do wersji "developement", a w systemie pojawiły się nowe obiekty adware. Instrukcje rozpiszę potem, gdyż po powrocie z wakacji potrzebuję czasu na analizę raportów i przejrzenie działu czy aby nie ma tu podobnych kwiatków do powyższych.

[DamnSlayer]

No trochę się pozmieniało, ustawienia w niektórych programach, zapisane hasła w chrome, ale to zbytnio nie przeszkadza. Dzięki za zainteresowanie, czekam na Twoje instrukcje

 

@Edit Aha, jeszcze mam info, że "Ta kopia systemu Windows nie jest oryginalna". Mnie tam wszystko jedno czy oryginał czy pirat, tylko pytanie, czy nie będzie to miało jakiś skutków w przyszłości.

[picasso]

Aha, jeszcze mam info, że "Ta kopia systemu Windows nie jest oryginalna". Mnie tam wszystko jedno czy oryginał czy pirat, tylko pytanie, czy nie będzie to miało jakiś skutków w przyszłości.

To jest skutek przetworzenia w nieszczęsnym "Fixie" FRST plików licencji Windows:

 

2015-01-03 23:50 - 2009-07-14 05:45 - 00013584 ____H () C:\Windows\system32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0

2015-01-03 23:50 - 2009-07-14 05:45 - 00013584 ____H () C:\Windows\system32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0

 

W związku ze szkodami zrób Przywracanie systemu do czasu przed operacjami w FRST, a jest to ostatnia pozycja na tej liście datowana na 1 styczeń:

 

==================== Restore Points =========================
 

20-12-2014 12:35:29 Installed TP-LINK Wireless Configuration Utility and Driver

20-12-2014 12:35:48 Instalacja pakietu sterownika urządzenia: TP-LINK Karty sieciowe

20-12-2014 12:36:02 Installed TP-LINK Wireless Configuration Utility

20-12-2014 13:01:53 Microsoft Visual C++ 2012 Redistributable (x86) - 11.0.50727

20-12-2014 13:03:21 Windows Update

20-12-2014 13:05:15 Windows Update

20-12-2014 13:07:15 Microsoft Visual C++ 2012 Redistributable (x64) - 11.0.50727

20-12-2014 13:10:15 Zainstalowane ASUS GPU Tweak

20-12-2014 13:10:58 Installed GPUTweakStreaming

20-12-2014 13:27:55 Zainstalowane Realtek Ethernet Controller Driver

20-12-2014 13:56:59 Zainstalowany program DirectX

20-12-2014 17:50:17 Windows Update

20-12-2014 18:34:14 Zainstalowany program DirectX

20-12-2014 18:45:00 Zainstalowany program DirectX

20-12-2014 18:55:12 Windows Update

20-12-2014 19:06:14 Zainstalowany program DirectX

21-12-2014 22:24:35 Zainstalowany program DirectX

25-12-2014 12:28:25 avast! antivirus system restore point

25-12-2014 20:21:30 avast! antivirus system restore point

01-01-2015 16:54:08 Zainstalowany program DirectX

01-01-2015 17:02:36 Zainstalowany program DirectX

 

To powinno naprawić szkody a także wyzerować wiele modyfikacji adware. Po akcji zrób nowe raporty FRST (główny, Addition, Shortcut) i opisz jakie są problemy bieżące.

[DamnSlayer]

Jak na razie problem z pingiem zniknął, zmiany wprowadzone przez fix mi nie przeszkadzają, myślę, że jak przywrócę system to problem znów powróci. Na razie nie będę podejmował dalszych kroków. Temat można zamknąć. Jeśli problem powróci, to zrobię tak jak napisałaś i poproszę o otwarcie tematu.

Dziękuję za zainteresowanie

[picasso]

DamnSlayer, system jest w gorszym stanie niż był przed "Fixem" (a "Fix" nie ma żadnego związku z problemem głównym): uszkodzona licencja Windows, usunięte poprawne usługi programów firmowych AMD i ASUS, uszkodzone Google Chrome zmienione całkowicie przez adware (ze stabilnej do development, co i tak wymusza kompleksową reinstalację od zera) i kupa adware. Tak nie może zostać, proszę wykonaj co mówię.

[DamnSlayer]

Dobrze, jutro do południa wrzucę logi

[DamnSlayer]

Problem z pingiem zniknął, aczkolwiek, jeśli byś mogła sprawdzić logi, czy nie ma innych niepotrzebnych syfów, będę wdzięczny.

FRST.txt

Addition.txt

Shortcut.txt

[picasso]

Podkręślę na wszelki wypadek: w pierszych logach w ogóle nie było żadnych objawów infekcji i problem z pingiem miał inną przyczynę. To dopiero potem gdzieś w czasie "Fixa" FRST przypadkowo nabyłeś adware. Jeśli chodzi o bieżącą sytuację, to usunięte obiekty pomyślnie odtworzone, ale i tak jest tu jeszcze co robić. Pozostały odpadki adware i Norton Intrnet Security. Akcja:

 

1. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
CreateRestorePoint:
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction 
CHR HomePage: Default -> hxxp://isearch.omiga-plus.com/?type=hppp&ts=1420381661&from=cor&uid=WDCXWD10EZEX-08M2NA0_WD-WMC3F281549915499
CHR StartupUrls: Default -> "hxxp://isearch.omiga-plus.com/?type=hppp&ts=1420381661&from=cor&uid=WDCXWD10EZEX-08M2NA0_WD-WMC3F281549915499"
CHR DefaultSearchKeyword: Default -> mystartsearch
CHR Extension: (PriceLuess) - C:\Users\Mikołaj\AppData\Local\Google\Chrome\User Data\Default\Extensions\jkngfjpfofkopgcobmmjmjjonnanfjje [2015-01-04]
CHR HKLM-x32\...\Chrome\Extension: [lifbcibllhkdhoafpjfnlhfpfgnpldfl] - C:\Program Files (x86)\Skype\Toolbars\ChromeExtension\skype_chrome_extension.crx [Not Found]
StartMenuInternet: IEXPLORE.EXE - C:\Program Files (x86)\Internet Explorer\iexplore.exe
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => No File
R4 IOMap; \??\C:\Windows\system32\drivers\IOMap64.sys [X]
C:\Program Files (x86)\Opera
C:\Program Files (x86)\PriceLuess
C:\Program Files (x86)\Temp
C:\Program Files (x86)\XTab
C:\ProgramData\9d8b341775c5ca4a
C:\ProgramData\IHProtectUpDate
C:\ProgramData\PriceLuess
C:\ProgramData\WindowsMangerProtect
C:\Users\Mikołaj\AppData\Local\Chromatic Browser
C:\Users\Mikołaj\AppData\Local\Comodo
C:\Users\Mikołaj\AppData\Local\Opera Software
C:\Users\Mikołaj\AppData\Local\Torch
C:\Users\Mikołaj\AppData\Roaming\RHEng
C:\Users\Mikołaj\AppData\Roaming\mystartsearch
C:\Users\Mikołaj\AppData\Roaming\omiga-plus
C:\Users\Mikołaj\AppData\Roaming\Opera Software
C:\Users\Administrator
C:\Users\HomeGroupUser$
C:\Users\Gość
C:\Windows\SysWOW64\GroupPolicy\GPT.INI
RemoveDirectory: C:\found.000
RemoveDirectory: C:\found.001
RemoveDirectory: C:\found.002
RemoveDirectory: C:\Windows.old
RemoveDirectory: C:\Windows.old.000
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. W Google Chrome:

• Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Zresetuj ustawienia przeglądarki. Zakładki i hasła nie zostaną naruszone.
• Ustawienia > karta Ustawienia > sekcja Wyszukiwanie > klik w Zarządzanie wyszukiwarkami > skasuj z listy niedomyślne śmieci (o ile będą).
• Zresetuj cache wtyczek. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie Włącz.

3. Zastosuj Norton Removal Tool.

 

4. Zrób nowy log FRST z opcji Scan, zaznacz pole Addition, by pozyskać dwa logi. Dołącz też plik fixlog.txt.

 

 

 

.