Skocz do zawartości
WAŻNE - Użytkownicy uprawnieni do pomocy
WAŻNE - Zakładanie tematu: obowiązkowe logi
Nadchodzące zmiany w logowaniu

Nieustające tworzenie się skrótu flashdrive

greg1311

Przez greg1311
w Dział pomocy doraźnej

Rekomendowane odpowiedzi

greg1311

greg1311

Opublikowano
Opublikowano

witam, od kilku tygodni pojawia się problem- tworzy się skrót. Nawet gdy sformatuję dysk czy usunę ukryte pliki i tak przy drugim podłączeniu pendrive tworzy się skrót. Próbowałem do notatnika kopiować tekst z innych wątków choćby z tego forum. Skanowanie systemu Avirą również nie przyniosło rozwiązania. Adwcleaner, easycleaner, ccleaner nie dają rady.

 

Prosze o pomoc.

FRST.txt

Addition.txt

Shortcut.txt

gmer.txt

UsbFix Listing 1 IDEA-PC.txt

Odnośnik do komentarza
Pomoc jest darmowa, ale proszę rozważ przekazanie dotacji na utrzymanie serwisu: klik.
picasso

picasso

Opublikowano
Opublikowano

W systemie dwie infekcje oraz dużo adware. Adware nabyłeś poprzez "Asystenta pobierania" dobrychprogramów: KLIK.

 

 

Akcje do przeprowadzenia:

 

1. Przez Panel sterowania odinstaluj:

- Adware/PUP: istartsurf uninstall, FileViewPro, Search App by Ask, WordAnchor 1.10.0.20.

- Stare wersje: Adobe AIR, Adobe Flash Player 10 Plugin, Adobe Reader 8.1.1, Driver Cleaner 3, Java 8 Update 40.

 

2. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
R2 IHProtect Service; C:\Program Files (x86)\MiuiTab\ProtectService.exe [125112 2015-06-24] (XTab system)
R2 VSSS; C:\Users\Lenovo\AppData\Roaming\Microsoft\SystemCertificates\VSSVC.exe [99147904 2015-06-23] (Microsoft Corporation) [File not signed] 
S3 SWDUMon; C:\Windows\system32\DRIVERS\SWDUMon.sys [16056 2015-07-09] (SlimWare Utilities, Inc.)
R1 wafd_vw_1_10_0_20; C:\Windows\System32\drivers\wafd_vw_1_10_0_20.sys [57728 2015-07-06] (WA)
R4 KProcessHacker2; \??\C:\Program Files\kprocesshacker.sys [X]
HKU\S-1-5-21-2431670907-3491424385-537474094-1001\...\CurrentVersion\Windows: [Load] C:\ProgramData\msnbr.exe 
HKLM\...\Policies\Explorer: [TaskbarNoNotification] 1
HKLM\...\Policies\Explorer: [HideSCAHealth] 1
Task: {059C5B36-6F18-4FF0-AFA2-19C0028EB7F1} - System32\Tasks\Opera N Saturday => C:\Program Files (x86)\Opera\launcher.exe
Task: {5F41E279-F71D-4B36-890D-68513E876D9F} - System32\Tasks\UpdateTask => C:\Users\Lenovo\AppData\Local\Chromium\APPLIC~1\450244~1.0\INSTAL~1\UNINST~1.EXE
Task: {C74D064E-5113-42EE-A932-90C51D0DDA2D} - System32\Tasks\Opera N Sunday => C:\Program Files (x86)\Opera\launcher.exe
Task: {C9871C15-CAA9-4E61-BDBB-49498D67BE70} - System32\Tasks\Lenovo\Lenovo Customer Feedback Program => C:\Program Files\Lenovo\Customer Feedback Program\Lenovo.TVT.CustomerFeedback.Agent.exe
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.istartsurf.com/?type=hp&ts=1436878569&z=c81499d4d64a34e3f57cc87gbz0c4q8b3mbb0w2w7g&from=cor&uid=ST1000LM014-1EJ164_W380FGRHXXXXW380FGRH
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = http://www.istartsurf.com/?type=hp&ts=1436878569&z=c81499d4d64a34e3f57cc87gbz0c4q8b3mbb0w2w7g&from=cor&uid=ST1000LM014-1EJ164_W380FGRHXXXXW380FGRH
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.istartsurf.com/web/?type=ds&ts=1436878569&z=c81499d4d64a34e3f57cc87gbz0c4q8b3mbb0w2w7g&from=cor&uid=ST1000LM014-1EJ164_W380FGRHXXXXW380FGRH&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = http://www.istartsurf.com/web/?type=ds&ts=1436878569&z=c81499d4d64a34e3f57cc87gbz0c4q8b3mbb0w2w7g&from=cor&uid=ST1000LM014-1EJ164_W380FGRHXXXXW380FGRH&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.istartsurf.com/?type=hp&ts=1436878569&z=c81499d4d64a34e3f57cc87gbz0c4q8b3mbb0w2w7g&from=cor&uid=ST1000LM014-1EJ164_W380FGRHXXXXW380FGRH
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.istartsurf.com/?type=hp&ts=1436878569&z=c81499d4d64a34e3f57cc87gbz0c4q8b3mbb0w2w7g&from=cor&uid=ST1000LM014-1EJ164_W380FGRHXXXXW380FGRH
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.istartsurf.com/web/?type=ds&ts=1436878569&z=c81499d4d64a34e3f57cc87gbz0c4q8b3mbb0w2w7g&from=cor&uid=ST1000LM014-1EJ164_W380FGRHXXXXW380FGRH&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.istartsurf.com/web/?type=ds&ts=1436878569&z=c81499d4d64a34e3f57cc87gbz0c4q8b3mbb0w2w7g&from=cor&uid=ST1000LM014-1EJ164_W380FGRHXXXXW380FGRH&q={searchTerms}
HKU\S-1-5-21-2431670907-3491424385-537474094-1001\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.istartsurf.com/?type=hp&ts=1436878569&z=c81499d4d64a34e3f57cc87gbz0c4q8b3mbb0w2w7g&from=cor&uid=ST1000LM014-1EJ164_W380FGRHXXXXW380FGRH
HKU\S-1-5-21-2431670907-3491424385-537474094-1001\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.istartsurf.com/?type=hp&ts=1436878569&z=c81499d4d64a34e3f57cc87gbz0c4q8b3mbb0w2w7g&from=cor&uid=ST1000LM014-1EJ164_W380FGRHXXXXW380FGRH
SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.istartsurf.com/web/?type=ds&ts=1436878569&z=c81499d4d64a34e3f57cc87gbz0c4q8b3mbb0w2w7g&from=cor&uid=ST1000LM014-1EJ164_W380FGRHXXXXW380FGRH&q={searchTerms}
SearchScopes: HKLM -> {2f23ab71-4ac6-41f2-a955-ea576e553146} URL =
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.istartsurf.com/web/?type=ds&ts=1436878569&z=c81499d4d64a34e3f57cc87gbz0c4q8b3mbb0w2w7g&from=cor&uid=ST1000LM014-1EJ164_W380FGRHXXXXW380FGRH&q={searchTerms}
SearchScopes: HKLM-x32 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.istartsurf.com/web/?type=ds&ts=1436878569&z=c81499d4d64a34e3f57cc87gbz0c4q8b3mbb0w2w7g&from=cor&uid=ST1000LM014-1EJ164_W380FGRHXXXXW380FGRH&q={searchTerms}
SearchScopes: HKLM-x32 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.istartsurf.com/web/?type=ds&ts=1436878569&z=c81499d4d64a34e3f57cc87gbz0c4q8b3mbb0w2w7g&from=cor&uid=ST1000LM014-1EJ164_W380FGRHXXXXW380FGRH&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2431670907-3491424385-537474094-1001 -> DefaultScope {2023ECEC-E06A-4372-A1C7-0B49F9E0FFF0} URL = http://www.istartsurf.com/web/?utm_source=b&utm_medium=cor&utm_campaign=install_ie&utm_content=ds&from=cor&uid=ST1000LM014-1EJ164_W380FGRHXXXXW380FGRH&ts=1436878654&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2431670907-3491424385-537474094-1001 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = http://www.istartsurf.com/web/?utm_source=b&utm_medium=cor&utm_campaign=install_ie&utm_content=ds&from=cor&uid=ST1000LM014-1EJ164_W380FGRHXXXXW380FGRH&ts=1436878654&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2431670907-3491424385-537474094-1001 -> {2023ECEC-E06A-4372-A1C7-0B49F9E0FFF0} URL = http://www.istartsurf.com/web/?utm_source=b&utm_medium=cor&utm_campaign=install_ie&utm_content=ds&from=cor&uid=ST1000LM014-1EJ164_W380FGRHXXXXW380FGRH&ts=1436878654&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2431670907-3491424385-537474094-1001 -> {2f23ab71-4ac6-41f2-a955-ea576e553146} URL = http://www.istartsurf.com/web/?utm_source=b&utm_medium=cor&utm_campaign=install_ie&utm_content=ds&from=cor&uid=ST1000LM014-1EJ164_W380FGRHXXXXW380FGRH&ts=1436878654&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2431670907-3491424385-537474094-1001 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.istartsurf.com/web/?utm_source=b&utm_medium=cor&utm_campaign=install_ie&utm_content=ds&from=cor&uid=ST1000LM014-1EJ164_W380FGRHXXXXW380FGRH&ts=1436878654&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2431670907-3491424385-537474094-1001 -> {E733165D-CBCF-4FDA-883E-ADEF965B476C} URL = http://www.istartsurf.com/web/?utm_source=b&utm_medium=cor&utm_campaign=install_ie&utm_content=ds&from=cor&uid=ST1000LM014-1EJ164_W380FGRHXXXXW380FGRH&ts=1436878654&type=default&q={searchTerms}
BHO-x32: LuckyTab Class -> {51D26BB4-4D2C-4AE4-9873-5FF41B6DED1F} -> C:\Program Files (x86)\MiuiTab\SupTab.dll [2015-06-24] (Thinknice Co. Limited)
CHR HKLM\...\Chrome\Extension: [aaaaaiabcopkplhgaedhbloeejhhankf] - C:\ProgramData\AskPartnerNetwork\Toolbar\Shared\CRX\aaaaaiabcopkplhgaedhbloeejhhankf.crx [2015-05-26]
CHR HKLM-x32\...\Chrome\Extension: [aaaaaiabcopkplhgaedhbloeejhhankf] - C:\ProgramData\AskPartnerNetwork\Toolbar\Shared\CRX\aaaaaiabcopkplhgaedhbloeejhhankf.crx [2015-05-26]
C:\Program Files\*.exe
C:\Program Files (x86)\AVG
C:\Program Files (x86)\MiuiTab
C:\Program Files (x86)\Opera
C:\Program Files (x86)\WordAnchor_1.10.0.20
C:\ProgramData\msnbr.exe
C:\ProgramData\IHProtectUpDate
C:\ProgramData\AVG
C:\ProgramData\Temp
C:\Users\Lenovo\AppData\Local\Avg
C:\Users\Lenovo\AppData\Local\Chromium
C:\Users\Lenovo\AppData\Local\Opera Software
C:\Users\Lenovo\AppData\Roaming\AVG
C:\Users\Lenovo\AppData\Roaming\istartsurf
C:\Users\Lenovo\AppData\Roaming\Microsoft\SystemCertificates\VSSVC.exe
C:\Users\Lenovo\AppData\Roaming\OpenCandy
C:\Users\Lenovo\AppData\Roaming\Opera Software
C:\Users\Lenovo\AppData\Roaming\Shortcut
C:\Windows\system32\Drivers\wafd_vt_1_10_0_20.sys
C:\Windows\system32\Drivers\wafd_vw_1_10_0_20.sys
C:\Windows\system32\Drivers\SWDUMon.sys
C:\WINDOWS\SysWOW64\sqlite3.dll
H:\pendrive (16GB).lnk
CMD: attrib /d /s -s -h H:\*
Reg: reg delete HKCU\Software\1Q1F1S1C1P1E1C1F1N1C1T1H2UtF1E1I /f
Reg: reg delete HKCU\Software\dobreprogramy /f
Reg: reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run32 /v "Adobe Reader Speed Launcher" /f
Reg: reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run32 /v SunJavaUpdateSched /f
CMD: netsh advfirewall reset
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Przejdź w Tryb awaryjny Windows. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. opuść Tryb awaryjny. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

3. W Google Chrome:

  • Zresetuj synchronizację (o ile włączona): KLIK.
  • Ustawienia > karta Rozszerzenia > odinstaluj Ask Search (w logu widziane jako "no name"), o ile nadal będzie widoczny po w/w deinstalacji globalnej.
  • Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Zresetuj ustawienia przeglądarki. Zakładki i hasła nie zostaną naruszone.
  • Ustawienia > karta Ustawienia > sekcja Wyszukiwanie > klik w Zarządzanie wyszukiwarkami > skasuj z listy niedomyślne śmieci (o ile będą).
  • Zresetuj cache wtyczek. W pasku adresów wpisz chrome://plugins i ENTER. Na liście wtyczek wybierz dowolną i kliknij Wyłącz. Następnie wtyczkę ponownie Włącz.
4. Zrób nowe logi: FRST z opcji Scan (zaznacz ponownie pole Addition) + Farbar Service Scanner + USBFix z opcji Listing. Dołącz też plik fixlog.txt.
Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Infekcje pomyślnie usunięte, z wyjątkiem skutków na pendrive. Fix FRST nie znalazł dysku "H" podczas przetwarzania, prawdopodobnie z powodu pracy w Trybie awaryjnym. Kolejne poprawki:

 

1. Nie odinstalowałeś adware Search App by Ask. To nadal do wykonania.

 

2. Otwórz Notatnik i wklej w nim:

 

HKU\S-1-5-21-2431670907-3491424385-537474094-1001\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.istartsurf.com/web/?type=dspp&ts=1436878630&z=e4e2de05a7cf759d75d5928g3z6c1q8bam5b4qfg5o&from=cor&uid=ST1000LM014-1EJ164_W380FGRHXXXXW380FGRH&q={searchTerms}
HKU\S-1-5-21-2431670907-3491424385-537474094-1001\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.istartsurf.com/web/?type=dspp&ts=1436878630&z=e4e2de05a7cf759d75d5928g3z6c1q8bam5b4qfg5o&from=cor&uid=ST1000LM014-1EJ164_W380FGRHXXXXW380FGRH&q={searchTerms}
RemoveDirectory: C:\autorun.inf
H:\pendrive (16GB).lnk
CMD: attrib /d /s -s -h H:\*

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie kolejny fixlog.txt. Przedstaw go.

 

3. Jeśli powyższa akcja się wykona, na pendrive zostanie uwidoczniony folder "bez nazwy", w którym infekcja schowała dane. Wejdź do niego, swoje dane przenieś poziom wyżej, a następnie folder przez SHIFT+DEL skasuj. Po akcji zrób nowy log USBFix z opcji Listing.

 

4. Uruchom AdwCleaner. Na razie wybierz tylko opcję Szukaj (nic jeszcze nie usuwaj) i dostarcz log wynikowy z folderu C:\AdwCleaner.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Ten skrót z pendrive nie chce zniknąć. Ale zanim podejmę kolejną próbę jego usuwania, dostarcz poprawny AdwCleaner. Posługujesz się archaicznym AdwCleaner v3.309 najwyraźniej zachomikowanym na dysku - nie ma sensuprogramu trzymać "na zapas", bo jest tak często aktualizowany. Jest dostępna o wiele nowsza i rzecz jasna wykrywająca o wiele więcej wersja v4.208. Wracaj do przyklejonego, pobierz AdwCleaner i dostarcz nowy log.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Otwórz Notatnik i wklej w nim:

 

H:\pendrive (16GB).lnk
RemoveDirectory: C:\Program Files (x86)\DriverToolkit
RemoveDirectory: C:\Program Files\slimcleaner plus
RemoveDirectory: C:\ProgramData\apn
RemoveDirectory: C:\ProgramData\slimware utilities inc
RemoveDirectory: C:\Users\Lenovo\AppData\Local\DriverToolkit
RemoveDirectory: C:\Users\Lenovo\AppData\Local\FileViewPro
RemoveDirectory: C:\Users\Lenovo\AppData\Local\slimware utilities inc
RemoveDirectory: C:\Users\Lenovo\AppData\Local\Temp\apn
RemoveDirectory: C:\Users\Lenovo\Documents\Probit Software
RemoveDirectory: C:\32788R22FWJFW
RemoveDirectory: C:\FRST\Quarantine
Reg: reg delete HKCU\Software\DriverToolkit /f
Reg: reg delete HKCU\Software\PRODUCTSETUP /f
Reg: reg delete HKCU\Software\DriverToolkit /f
Reg: reg delete HKCU\Software\PRODUCTSETUP /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Classes\Interface\{917CAAE9-DD47-4025-936E-1414F07DF5B8} /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\IHProtect /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\istartsurfSoftware /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\SupDp /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\SupTab /f
Reg: reg delete HKLM\SOFTWARE\Classes\Interface\{917CAAE9-DD47-4025-936E-1414F07DF5B8} /f
Reg: reg delete HKU\.DEFAULT\Software\AskPartnerNetwork /f

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie kolejny fixlog.txt. Przedstaw go.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Ten skrót na pendrive nie został już znaleziony. Reszta usuwania przeprowadzona pomyślnie. Na zakończenie:

 

1. Odinstaluj USBFix. Następnie zastosuj DelFix.

 

2. Infekcja wyłączyła Przywracanie systemu:

 

==================== Restore Points =========================
 

ATTENTION: System Restore is disabled

 

Wejdź do konfiguracji Przywracania: KLIK. Zaznacz Ochronę dla dysku C.

 

3. Na wszelki wypadek zmień także hasła logowania w serwisach online (bank, poczta, etc).

Odnośnik do komentarza
greg1311

greg1311

Opublikowano
  • Autor
Opublikowano

bardzo dziękuję za rozwiązanie problemu, postaram sie jakiś datek przelać na Wasze konto. 

Mam jeszcze jedno pytanie, mogłabyś polecić jakiś program/sposób do zabezpieczenia pendrive przed dostawaniem się na niego wirusów? 

Często używam pendrive na uczelni, drukarni lub pożyczam. Kontakt z wirusami niestety nieunikniony. 

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Mam jeszcze jedno pytanie, mogłabyś polecić jakiś program/sposób do zabezpieczenia pendrive przed dostawaniem się na niego wirusów?

Często używam pendrive na uczelni, drukarni lub pożyczam. Kontakt z wirusami niestety nieunikniony.

- Jedyne co można zrobić, to zabezpieczyć pendrive przed automatycznym wykonaniem ze szkodliwych plików autorun.inf, np. za pomocą Panda USB Vaccine - opcja USB Vaccination tworzy na pendrive "lewy" plik autorun.inf zablokowany tak, że nie da się go w ogóle usunąć (czyli infekcja też nie może go nadpisać wstawiając własny plik). Ta metoda nie blokuje infekcji która tu była, bo to inny rodzaj: KLIK.

- Niestety brak 100% metody zabezpieczenia nośnika. Takową byłoby zablokowanie zapisu na urządzeniu, ale wtedy pendrive przestałby pełnić swoją funkcję wymiany i migracji danych między komputerami.

Odnośnik do komentarza
Gość
Ten temat został zamknięty. Brak możliwości dodania odpowiedzi.
Tematy

  • Ostatnio przeglądający   0 użytkowników

    • Brak zarejestrowanych użytkowników przeglądających tę stronę.
×
×
  • Dodaj nową pozycję...