Combofix - po restarcie nie działa internet

[Jano]

Witam, tak jak w temacie, po restarcie nie działa mi internet. Robiłem skan combofixem bo jakieś wirusy mi powchodziły tzw. "oursurfing" itp...Potem combofixa usunąłem comendą combofix /uninstall.
Po restarcie na następny dzień wchodzę, włączam mozille i strony nie działają, nie łączy się wgl z internetem. Dodam, że podczas uruchomienia komputera wyświetlają mi się teraz jakieś dodakowe opcje, których wcześniej nie było, to chyba się nazywało konsola odzskiwania czy jakoś tak.
Jest tam dodatkowy system"Windows XP PROFESSIONAL" którego wcześniej wgl nie było, jak w niego wchodzę to włącza mi się system sprzed ponad roku(i tam normalnie działa internet). Jednak chciałbym normalnie przy włączeniu komputera wchodzić na swój system, tak jak to miało miejsce przed combofixem...
//Oczywiście jak każdy głupi skanowałem kombofixem sam, kompletnie zielony nie wiedząc, co dokładnie robię...
Dodaje logi z combofixa oraz z tego programu z tutorialu

Jestem w tym zielony więc wołam o pomoc.

 

Dziękuję.

 

//wszystkie logi załączone, czekam na odpowiedź.

Addition.txt

ComboFix.txt

FRST.txt

GMER.txt

Shortcut.txt

[jessica]

A próbowałeś tego

https://www.fixitpc.pl/topic/7-dezynfekcja-narz%C4%99dzie-combofix/?do=findComment&comment=55

?

 

Najlepszym wyjściem byłoby zrobienie zwykłego "Przywracania Systemu", ale u Ciebie to niemożliwe:

ATTENTION: System Restore is disabled.

 

 

Ja w logach nie widzę niczego szczególnego.

 

Otwórz Notatnik i wklej w nim:

 

HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
HKU\S-1-5-21-1123561945-789336058-682003330-1004\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
URLSearchHook: [s-1-5-21-1123561945-789336058-682003330-1005] ATTENTION ==> Default URLSearchHook is missing.
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86}" /f
Reg: reg delete "HKU\S-1-5-21-1123561945-789336058-682003330-1004\Software\Microsoft\Internet Explorer\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86}"
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f
CHR StartupUrls: Default -> "hxxp://www.oursurfing.com/?type=hp&ts=1430260888&from=amt&uid=ST3200827AS_4ND2DS5AXXXX4ND2DS5A"
CHR DefaultSearchKeyword: Default -> oursurfing
CHR DefaultSearchURL: Default -> http://www.oursurfing.com/web/?type=ds&ts=1430260888&from=amt&uid=ST3200827AS_4ND2DS5AXXXX4ND2DS5A&q={searchTerms}
S3 VBoxNetFlt; system32\DRIVERS\VBoxNetFlt.sys [X]
S3 cpuz130; \??\C:\DOCUME~1\User\USTAWI~1\Temp\cpuz130\cpuz_x32.sys [X]
S3 EagleXNt; \??\C:\WINDOWS1\system32\drivers\EagleXNt.sys [X]
S3 OSFMount; \??\C:\CS GO\Counter-Strike Global Offensive\image\x86\OSFMount.sys [X]
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix.

 

jessi

[Jano]

Konsola odzyskiwania u mnie nie zadziała ponieważ nie mam nawet jak włożyć płytki CD/DVD, mój napęd dvd jest kompletnie odłączony od płyty głównej, a ja nie mam pojęcia jak i gdzie go podłączyć.


Zrobiłem ten "fix". Problem dalej występuję z internetem. Dodam, że internet mam po kablu.
załączam ten log od FRST i czekam cierpliwie na dalsze pomysły .

Fixlog.txt

[pawel315]

 
Name: Karta sieciowa 1394
Description: Karta sieciowa 1394
Class Guid: {4D36E972-E325-11CE-BFC1-08002BE10318}
Manufacturer: Microsoft
Service: NIC1394
Problem: : This device is disabled. (Code 22)
Resolution: In Device Manager, click "Action", and then click "Enable Device". This starts the Enable Device wizard. Follow the instructions.

 

Może dlatego, że karta sieciowa jest wyłaczona, możesz ją włączyć ?

[Jano]

Serio myślisz, że to by było takie proste?
To nawet nie jest połączenie mojej karty...

 

[Zappa]

karte sieciową masz włączyć w Menedrzeże Urządeń a nie w połaczeniach sieciowych.

[picasso]

jessika & Zappa

Na obrazku widać, że są dwa połączenia: Karta sieciowa 1394 (to urządzenie wyłączone) oraz Połączenie lokalne urządzenia Realtek PCIe GBE Family (to jest właściwe urządzenie o które tu chodzi).


Jano

 

Potem combofixa usunąłem comendą combofix /uninstall.

ComboFix resetuje wszystkie ustawienia sieci, co m.in. oznacza wymazanie ustawień serwerów. Została zrobiona kopia zapasowa tych ustawień w C:\Qoobox\Quarantine\Registry_backups\tcpip.reg. Niestety usunąłeś tę kopię uruchamiając proces deinstalacji ... Jest jednak dodatkowa całościowa surowa kopia rejestru:

2015-04-29 02:15 - 2015-04-29 02:34 - 00000000 ____D () C:\WINDOWS1\erdnt

Wyekstraktuj z niej ustawienia:

1. Do Notatnika wklej:

Reg: reg load HKLM\TEMP C:\WINDOWS1\ERDNT\Hiv-backup\SYSTEM
Reg: reg export HKLM\TEMP\ControlSet001\services\Tcpip "C:\Documents and Settings\User\Pulpit\Tcpip.reg"
Reg: reg unload HKLM\TEMP

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie kolejny fixlog.txt + na Pulpicie Tcpip.reg. Dostarcz pierwszy plik, natomiast:

2. REG wymaga obróbki. Otwórz go do edycji w Notatniku, CTRL+H i "Zamień wszystko":

HKEY_LOCAL_MACHINE\TEMP

... na:

HKEY_LOCAL_MACHINE\SYSTEM

Zapisz zmiany, zaimportuj plik do rejestru i zresetuj system.

 

Dodam, że podczas uruchomienia komputera wyświetlają mi się teraz jakieś dodakowe opcje, których wcześniej nie było, to chyba się nazywało konsola odzskiwania czy jakoś tak.
Jest tam dodatkowy system"Windows XP PROFESSIONAL" którego wcześniej wgl nie było, jak w niego wchodzę to włącza mi się system sprzed ponad roku(i tam normalnie działa internet). Jednak chciałbym normalnie przy włączeniu komputera wchodzić na swój system, tak jak to miało miejsce przed combofixem...

 
Panel sterowania > System > Zaawansowane > Uruchamianie i odzyskiwanie > Edytuj, co otworzy plik C:\boot.ini do edycji. Usuń z niego zakreślone linie i zapisz zmiany:

[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS1
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS1="Microsoft Windows XP Home Edition" /noexecute=optin /fastdetect
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect

 

[Jano]

dodaje fixlog, ale jest problem, ponieważ nic mi na pulpit oprócz tego nie wyleciało :/

Fixlog.txt

[picasso]

Nie ma folderu C:\WINDOWS1\ERDNT\Hiv-backup. Może jest tam podfolder sUBS, o ile oczywiście nie uziemiono tej kopii ComboFix. Podaj spis zawartości folderu:

 

Do Notatnika wklej:

 

Folder: C:\WINDOWS1\ERDNT

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Dostarcz wynikowy fixlog.txt

[Jano]

Zrobiłem jak powyżej i załączam fixlog.

Mam szybkie pytanie, jak nic się nie uda i będzie trzeba zrobić format, to po formacie normalnie wszystko wróci do normy?


Te instalowanie windowsa i driverów/aktalizacji doprowadzi mnie do szału...

Fixlog.txt

[picasso]

Cóż, nie ma kopii zapasowej rejestru ERUNT, została usunięta. Czyli nie posiadasz żadnej kopii zapasowej sprzed uruchomienia ComboFix. Sprawdź czy sieć zacznie działać, jeśli ustawisz na sztywno serwery DNS Google 8.8.8.8 (Podstawowy) + 8.8.4.4 (Zapasowy) i zresetujesz komputer: KLIK.

[Jano]

Niestety nie działa. Mam robić formata?

[picasso]

W systemie powinna być jeszcze jedna kopia rejestru C:\WINDOWS1\Repair, utworzona zaraz po instalacji Windowsa, nie ma ona żadnych danych na temat instalacji robionych w późniejszym czasie i jej przywrócenie za dużo wyzerowałoby, ale może przyda sę do ekstrakcji selektywnej danych.

 

1. Na razie zaprezentuj jak wygląda bieżący klucz Tcpip po akcji ComboFix w porównaniu do klucza utworzonego zaraz po instalacji Windows (o ile Repair istieje). Do Notatnika wklej:

 

Reg: reg query HKLM\SYSTEM\CurrentControlSet\services\Tcpip /s
Reg: reg load HKLM\TEMP C:\WINDOWS1\Repair\SYSTEM
Reg: reg query HKLM\TEMP\ControlSet001\services\Tcpip /s
Reg: reg unload HKLM\TEMP

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Dostarcz wynikowy fixlog.txt.

 

2. Potem, zamiast formatu, będzie można jeszcze spróbować brutalnej reinstalacji TCPIP: KLIK.

[Jano]

Mam spróbować tej brutalnej deinstalacji teraz?

 

// Wiesz, wolę zrobić formata i mieć pewność, że żaden wirus tam się nie zachował i nie zacznie mi znów pierodlić w systemie jak tylko przywrócę neta. Poza tym komp jest zasyfiony dosyć ostro więc nie wiem czy chcesz się ze mną Męczyć
Fixlog:

Fixlog.txt

[picasso]

// Wiesz, wolę zrobić formata i mieć pewność, że żaden wirus tam się nie zachował i nie zacznie mi znów pierodlić w systemie jak tylko przywrócę neta. Poza tym komp jest zasyfiony dosyć ostro więc nie wiem czy chcesz się ze mną Męczyć

Po pierwsze: to nie były wirusy tylko instalacje adware/PUP. Po drugie: logi przecież mam, nie ma żadnych obiektów adware w stanie czynnym (nie ma źródła rekonstrukcji), przywrócenie sieci na nic nie wpłynie, o ile sam się to tego nie przyczynisz, bo te "wirusy" to własną ręką zatwierdziłeś. Ponadto, istnieje możliwość, że po formacie złapiesz to samo kompletując oprogramowanie: KLIK.

 

 

Mam spróbować tej brutalnej deinstalacji teraz?

Chwilowo nie mam czasu na analizę porównawczą tego ostatniego Fixlog. W międzyczasie możesz wdrożyć te instrukcje i zobaczymy czy sieć wróci.

[Jano]

1. Wykonaj edycję pliku instalacyjnego odblokowującą deinstalację TCP/IP.

 

Start > Uruchom > C:\Windows\inf\nettcpip.inf

 

To nawet nie chce mi się uruchomić - coś tam, że niby ten plik został przesunięty gdzie indziej, że niby znajduje się w sieciu lub na dysku...

 

Także muszę mieć dziś na wieczór naprawionego kompa więc robię formata.

 

Dziękuję za pomoc i nie omieszkam wspomóc finansowo strony jak tylko dostanę przelew

[picasso]

To nawet nie chce mi się uruchomić - coś tam, że niby ten plik został przesunięty gdzie indziej, że niby znajduje się w sieciu lub na dysku...

Tak, bo przecież u Ciebie Windows jest w innej nietypowej ścieżce (skutki replikacji dwóch Windowsów na tej samej partycji): C:\WINDOWS1. Czyli uruchamiasz komendę: C:\Windows1\inf\nettcpip.inf

[Jano]

Tego też próbowałem, taki sam komunikat wyszedł
//Już po formacie i wszystko zainstalowane i działa pomyślnie. Dzięki za starania, cenię takie usługi