Automatyczne przełączanie w tryb 16 bit kolorów

[Amakesh]

Witam! Problem jak w temacie. Ustawiam kolory 32 bit(w panelu sterowania lub Catalyst Control Center), wraca efekt aero, restartuję laptopa, system się ładuje (z przezroczystym paskiem) po czym ekran na chwilę robi się czarny i ustawienia wracają do 16 bit. Dlaczego tak się dzieje?

ComboFixLog.txt

[Rucek]

Co do używania Combofixa to tutaj masz info, dlaczego lepiej nie używać: https://www.fixitpc.pl/topic/7-dezynfekcja-narz%C4%99dzie-combofix/?p=34

 

zapoznaj się prosze z zasadami działu:
1. https://www.fixitpc.pl/forum-38/announcement-3-wa%C5%BCne-zak%C5%82adanie-tematu-obowi%C4%85zkowe-logi/
2. https://www.fixitpc.pl/forum-38/announcement-2-wa%C5%BCne-oprogramowanie-emuluj%C4%85ce-nap%C4%99dy/
3. https://www.fixitpc.pl/forum-38/announcement-1-wa%C5%BCne-u%C5%BCytkownicy-uprawnieni-do-pomocy/

Przeczytaj wszystko dokładnie przed wykonaniem dzialan.
Postepujac zgodnie z powyzszymi instrukcjami - dołącz wymagane logi do tematu.
Łącznie mają być 4 logi: (GMER [recznie wklejasz wynik skanowania do pliku GMER.txt], FRST [FRST.txt, Addition.txt, Shortcut.txt],
Jak coś nie bedzie chciało sie uruchomić - to odpal system w trybie awaryjnym i wtedy zrób logi.
Jeśli z czymś bedzie problem - pisz w poście.
Po wrzuceniu logów nie dokonuj już żadnych zmian na kompie - logi muszą być aktualne.
Przeczytaj dokładnie info na temat GMERa.
Jak coś zmieniasz w poście to używaj opcji EDYTUJ by był porządek.
Czekaj cierpliwie na pomoc Picasso.

[Amakesh]

Na razie wrzucam tylko logi z FRST, bo próba skanowania prez GMER skończyła się bluescreenem. Postaram się jednak jakoś ten log uzyskać.

 

EDIT: Udało mi się dokończyć skanowanie w trybie awaryjnym. Log w załącznikach.

Shortcut.txt

Addition.txt

FRST.txt

GMER.txt

[picasso]

Ustawiam kolory 32 bit(w panelu sterowania lub Catalyst Control Center), wraca efekt aero, restartuję laptopa, system się ładuje (z przezroczystym paskiem) po czym ekran na chwilę robi się czarny i ustawienia wracają do 16 bit. Dlaczego tak się dzieje?

Czy ustawianie w Panelu sterowania wyglądało tak jak tu: KLIK? Czy próbowałeś diagnostyka Aero: KLIK? Widzę też, że była reinstalacja sterowników AMD. Podejrzane rzeczy w logu, które ewentualnie mogą mieć związek:

 

1. Jakieś dziwne niedomyślne zadanie w Harmonogramie (usuwam w poniższym skrypcie), choć ono nie wygląda na czynne, gdyż komenda jest ucięta (pewnie dalsza część w partii "Arguments" zadania). Czy w tym systemie były jakieś modyfikacje związane z plikami systemowymi i patchowaniem?

 

Task: {7C551868-054F-420C-AED0-141EEDCA1E9C} - System32\Tasks\Restart UxSms to fix Aero lag => net.

 

2. Nielegalny Windows. Na piratach jest deaktywowane Aero, a tu są ślady matactwa z aktywacją i błędy w Dzienniku z tego wynikające:

 

Application errors:

==================

Error: (04/07/2015 03:08:10 PM) (Source: Winlogon) (EventID: 4103) (User: )

Description: Aktywacja licencji systemu Windows nie powiodła się. Błąd 0x00000000.
 

Error: (04/07/2015 03:08:10 PM) (Source: Software Protection Platform Service) (EventID: 8198) (User: )

Description: Wystąpił błąd aktywacji licencji (slui.exe), kod błędu:

0x800401F9

 

 

 

---

Owszem, jest tu adware (przede wszystkim w Harmonogramie zadań aktywne szkodniki takie jak 24Seven savings i globalUpdate), ale to chyba raczej nie jest przyczyna problemów z Aero. Niemniej doczyść to oraz inne dziwactwa (niepoprawnie odinstalowany Lavasoft Web Companion, puste skróty i wpisy, stare wersje):

 

1. Przez Panel sterowania odinstaluj:

 

- Adware: ContinueToSave 1.66, GoHD. To są uszkodzone obiekty, w razie braku ich widoczności lub błędów deinstalacji kontynuuj dalej, zajmę się tymi odpadkami w drugiej fazie.

- Stare wersje: Adobe AIR, Adobe Flash Player 16 ActiveX, Adobe Shockwave Player 12.1, Java 7 Update 51 (64-bit), Java 7 Update 51, Java SE Development Kit 7 Update 4 (64-bit), Java SE Development Kit 7 Update 51 (64-bit), Java SE Development Kit 7 Update 51, Java™ 6 Update 32 (64-bit), Java™ 7 (64-bit), Java™ SE Development Kit 6 Update 32 (64-bit), JavaFX 2.1.0 (64-bit), JavaFX 2.1.0 SDK (64-bit), JavaFX 2.1.1.

 

2. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
CreateRestorePoint:
Task: {0BA610E6-2B13-492A-935D-AAEDB2BAA520} - System32\Tasks\24seven_savings_updating_service => C:\Program Files (x86)\24Seven savings\24seven_savings_updating_service.exe [2015-04-01] ()
Task: {1875CF8A-2029-4F88-A2D9-11D975A6BAF9} - System32\Tasks\globalUpdateUpdateTaskMachineUA => C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe [2014-10-25] (globalUpdate) 
Task: {2D76C0B9-70A7-4A2B-B203-D084CCC2B151} - System32\Tasks\24seven_savings_notification_service => C:\Program Files (x86)\24Seven savings\24seven_savings_notification_service.exe [2015-04-01]
Task: {4FDFCBF9-5BB2-49CB-BB07-E20B7E56A9CC} - System32\Tasks\{03175872-4DD3-47A0-94E7-D9A010B56889} => pcalua.exe -a "C:\Program Files (x86)\MATLAB71\uninstall\uninstall.exe" -c C:\Program Files (x86)\MATLAB71\
Task: {5A68D70D-0723-4DDC-9BDF-59C00703EEB0} - System32\Tasks\AmiUpdXp => C:\Users\Administrator\AppData\Local\14601\Updater.exe 
Task: {7C551868-054F-420C-AED0-141EEDCA1E9C} - System32\Tasks\Restart UxSms to fix Aero lag => net
Task: {A2761996-72FF-4F2B-A11C-49E3F8C820EB} - System32\Tasks\globalUpdateUpdateTaskMachineCore => C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe [2014-10-25] (globalUpdate) 
Task: C:\Windows\Tasks\24seven_savings_notification_service.job => C:\Program Files (x86)\24Seven savings\24seven_savings_notification_service.exeë/url='http:/cdn.selectbestopt.com/notf_sys/index.html' /crregname='24Seven savings' /appid='73143' /srcid='2913' /bic='3a6e1baacb5819237f72422e947c768e' /verifier='98cd89d52521b607b83b37873d1d357d' /installerversion='1.50.3.10' /statsdomain='http:/stats.buildomserv.com/data.gif?' /errorsdomain='http:/stats.buildomserv.com/data.gif?' /monetizationdomain='http:/logs.buildomserv.com/monetization.gif?' /installationtime='1427901856' /runfrom='task' /brwtype='notbg' /postponedhours='6'.Adm
Task: C:\Windows\Tasks\24seven_savings_updating_service.job => C:\Program Files (x86)\24Seven savings\24seven_savings_updating_service.exe° /campid=2913 /verid=1 /url=http:/cdn.buildomserv.com/txt/@CAMPID@/@VER@/file.txt /appid=73143 /taskname=24seven_savings_updating_service /funurl=http:/stats.buildomserv.com
Task: C:\Windows\Tasks\globalUpdateUpdateTaskMachineCore.job => C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe 
Task: C:\Windows\Tasks\globalUpdateUpdateTaskMachineUA.job => C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe 
S3 globalUpdatem; C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe [68608 2014-10-25] (globalUpdate) [File not signed]
S2 LavasoftTcpService; C:\Program Files (x86)\Lavasoft\Web Companion\TcpService\2.2.9.5\LavasoftTcpService.exe [1351512 2014-11-27] (Lavasoft Limited)
S3 avchv; system32\DRIVERS\avchv.sys [X]
S3 catchme; \??\C:\ComboFix\catchme.sys [X]
S3 cpuz136; \??\C:\Windows\TEMP\cpuz136\cpuz136_x64.sys [X]
S3 dump_wmimmc; \??\D:\Gry\Lineage II\system\GameGuard\dump_wmimmc.sys [X]
S1 prodrv06; \SystemRoot\System32\drivers\prodrv06.sys [X]
S2 TVicPort; No ImagePath
S3 wacomvhid; system32\DRIVERS\wacomvhid.sys [X]
GroupPolicy: Group Policy on Chrome detected 
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction 
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction 
HKU\S-1-5-21-2948893786-2576746275-1645524499-500\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction 
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page =
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL =
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL =
HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
HKU\S-1-5-21-2948893786-2576746275-1645524499-500\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
BHO-x32: Better-Surf -> {8271B5D6-76D3-4ABF-AEB3-1721161C76BC} -> C:\Program Files (x86)\Better-Surf\ie\BetterSrf.dll [2013-11-25] ()
FF Plugin-x32: @pandonetworks.com/PandoWebPlugin -> C:\Program Files (x86)\Pando Networks\Media Booster\npPandoWebPlugin.dll No File
FF Plugin-x32: @staging.google.com/globalUpdate Update;version=10 -> C:\Program Files (x86)\globalUpdate\Update\1.3.25.0\npGoogleUpdate4.dll [2014-10-25] (globalUpdate)
FF Plugin-x32: @staging.google.com/globalUpdate Update;version=4 -> C:\Program Files (x86)\globalUpdate\Update\1.3.25.0\npGoogleUpdate4.dll [2014-10-25] (globalUpdate)
FF HKLM-x32\...\Firefox\Extensions: [50f4938a44228@50f4938a44261.com] - C:\Users\Administrator\AppData\Roaming\Mozilla\Firefox\Profiles\b1ltqxbe.default\extensions\50f4938a44228@50f4938a44261.com
FF HKLM-x32\...\Firefox\Extensions: [12x3q4@3244516.com] - C:\Program Files (x86)\Better-Surf\ff
C:\Program Files (x86)\24Seven savings
C:\Program Files (x86)\Better-Surf
C:\Program Files (x86)\globalUpdate
C:\Program Files (x86)\Lavasoft
C:\Program Files (x86)\Opera Next
C:\Users\Administrator\AppData\Local\globalUpdate
C:\Users\Administrator\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\µTorrent.lnk
C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\SendTo\Evernote.lnk
C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\JoWooD
C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\NCsoft
C:\Windows\SysWOW64\029B560A371F4E00AB32838EBC01B9E7
Folder: C:\Program Files (x86)\Aurora
Folder: C:\Program Files (x86)\Mozilla Firefox
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Google\Chrome\Extensions /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

3. Profil Firefox jest zanieczyszczony. W Firefox/Aurora: menu Pomoc > Informacje dla pomocy technicznej > Odśwież program Firefox. Zakładki i hasła nie zostaną naruszone, ale rozszerzenia Adblock Plus i Flashblock trzeba będzie przeinstalować.

 

4. Zrób nowy log FRST z opcji Scan, zaznacz ponownie pole Addition, by powstały dwa logi. Dołącz też plik fixlog.txt. Wypowiedz się czy problemy nadal występują.