Skocz do zawartości
Ten temat
WAŻNE - Zakładanie tematu: obowiązkowe logi

Safe finder - proszę o pomoc

czeslaw666

Przez czeslaw666
w Dział pomocy doraźnej

Rekomendowane odpowiedzi

Pomoc jest darmowa, ale proszę rozważ przekazanie dotacji na utrzymanie serwisu: klik.
picasso

picasso

Opublikowano
Opublikowano

Tym razem log FRST źle skonfigurowany: opcje "MD5 sterowników" + "Lista BCD" nie miały być zaznaczone... Problem stanowią wpisy AppInit_DLLs kierujące na moduły Lightzap odnawiające te przekierowania. Operacje do wykonania:

 

1. Odinstaluj stare wersje: Adobe Reader X (10.1.16) MUI, Adobe Shockwave Player 12.1, Java™ 6 Update 24 (64-bit), Java™ 6 Update 24. Przewertuj też inne aplikacje i czego nie używasz również odinstaluj.

 

2. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
CreateRestorePoint:
AppInit_DLLs: C:\ProgramData\Lightzap\Plusreddom.dll => C:\ProgramData\Lightzap\Plusreddom.dll [518656 2015-12-09] ()
AppInit_DLLs-x32: C:\ProgramData\Lightzap\Topsailtom.dll => C:\ProgramData\Lightzap\Topsailtom.dll [320512 2015-12-09] ()
S2 Lightzap; C:\ProgramData\\Lightzap\\Lightzap.exe -f "C:\ProgramData\\Lightzap\\Lightzap.dat" -l -a
S3 EsgScanner; C:\Windows\System32\DRIVERS\EsgScanner.sys [22704 2015-12-09] ()
HKU\S-1-5-21-1590238946-3112356359-1456329767-1000\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://%66%65%65%64.%73%6E%61%70%64%6F.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBPxn49PYmQ6e1krQXBFZY3cpckxO3PQdmsdB8UbwxBWOZSNtCRnWs0QAPr6yg-8BwQHv1FXLKxPpYOWpnvZumlV7VjUmSyejsWCGttYUzfajqN2iHyxTbmCZEss3dk1roL27LYl6H21e6jfpwLVe9CVjCL4ky-7yktbw,,
HKU\S-1-5-21-1590238946-3112356359-1456329767-1000\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBPxn49PYmQ6e1krQXBFZY3cpckxO3PQdmsdB8UbwxBWOZSNtCRnWs0QAPr6yg-8BwQHv1FXLKxPpYOWpnvZumlV7nPgOqaXg_anCBfgVtjll6KgvQ7Yu0Zzy1wW6xsyIUtfNd2dKP2GeRkYuuWbfb9iZ_gjrECTnu8Gg,,&q={searchTerms}
HKU\S-1-5-21-1590238946-3112356359-1456329767-1000\Software\Microsoft\Internet Explorer\Main,Search Bar = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBPxn49PYmQ6e1krQXBFZY3cpckxO3PQdmsdB8UbwxBWOZSNtCRnWs0QAPr6yg-8BwQHv1FXLKxPpYOWpnvZumlV7nPgOqaXg_anCBfgVtjll6KgvQ7Yu0Zzy1wW6xsyIUtfNd2dKP2GeRkYuuWbfb9iZ_gjrECTnu8Gg,,&q={searchTerms}
HKU\S-1-5-21-1590238946-3112356359-1456329767-1000\Software\Microsoft\Internet Explorer\Main,SearchAssistant = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBPxn49PYmQ6e1krQXBFZY3cpckxO3PQdmsdB8UbwxBWOZSNtCRnWs0QAPr6yg-8BwQHv1FXLKxPpYOWpnvZumlV7nPgOqaXg_anCBfgVtjll6KgvQ7Yu0Zzy1wW6xsyIUtfNd2dKP2GeRkYuuWbfb9iZ_gjrECTnu8Gg,,&q={searchTerms}
SearchScopes: HKLM -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = hxxp://www.bing.com/search?q={searchTerms}&form=HPNTDF&pc=HPNTDF&src=IE-SearchBox
SearchScopes: HKLM-x32 -> DefaultScope {ielnksrch} URL =
SearchScopes: HKLM-x32 -> ielnksrch URL = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBPxn49PYmQ6e1krQXBFZY3cpckxO3PQdmsdB8UbwxBWOZSNtCRnWs0QAPr6yg-8BwQHv1FXLKxPpYOWpnvZumlV7nPgOqaXg_anCBfgVtjll6KgvQ7Yu0Zzy1wW6xsyIUtfNd2dKP2GeRkYuuWbfb9iZ_gjrECTnu8Gg,,&q={searchTerms}
SearchScopes: HKLM-x32 -> {2fa28606-de77-4029-af96-b231e3b8f827} URL = hxxp://eu.ask.com/web?q={searchterms}&l=dis&o=HPNTDF
SearchScopes: HKU\S-1-5-21-1590238946-3112356359-1456329767-1000 -> {2fa28606-de77-4029-af96-b231e3b8f827} URL = hxxp://eu.ask.com/web?q={searchterms}&l=dis&o=HPNTDF
SearchScopes: HKU\S-1-5-21-1590238946-3112356359-1456329767-1000 -> {ielnksrch} URL = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBPxn49PYmQ6e1krQXBFZY3cpckxO3PQdmsdB8UbwxBWOZSNtCRnWs0QAPr6yg-8BwQHv1FXLKxPpYOWpnvZumlV7nPgOqaXg_anCBfgVtjll6KgvQ7Yu0Zzy1wW6xsyIUtfNd2dKP2GeRkYuuWbfb9iZ_gjrECTnu8Gg,,&q={searchTerms}
Task: {95230BBE-A5E0-41F0-A4A2-1DE6E9594693} - System32\Tasks\{35A59853-6A85-4FD2-95FD-627815B88FF0} => pcalua.exe -a "C:\Program Files (x86)\WinRAR\WinRAR.exe" -d C:\Users\Tomek\Desktop -c "C:\Users\Tomek\Desktop
Task: {E9DE53ED-B4B8-440E-8131-6E52DB6B339A} - System32\Tasks\{38601B00-F9EF-4B24-8C60-C5089F39D9AA} => pcalua.exe -a "C:\Program Files (x86)\Common Files\Zamzozwarm\uninstall.exe" -c -f "C:\Program Files (x86)\Common Files\Zamzozwarm\uninstall.dat" -a uninstallme B6EDBCB0-7A3B-4682-BB8B-EE124B2E12CA DeviceId=d1dd2932-58f5-97d7-fcac-44522e886b18 BarcodeId=50028003 ChannelId=3 DistributerName=APSFIsc
HKLM-x32\...\Run: [] => [X]
C:\ProgramData\lscb.lc
C:\ProgramData\Lightzap
C:\ProgramData\Lightzaps
C:\Users\Tomek\AppData\Roaming\*.*
C:\Users\Tomek\Desktop\Ze starego komputera\WA-PRO\Mozilla Firefox.lnk
C:\Users\Tomek\Desktop\Ze starego komputera\WAZNE\Skype.lnk
C:\Windows\System32\drivers\EsgScanner.sys
C:\Windows\SysWOW64\findit.xml
CMD: for /d %f in (C:\Users\Tomek\AppData\Local\{*}) do rd /s /q "%f"
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Google /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Adobe Reader Speed Launcher" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SunJavaUpdateSched" /f
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

3. Wyczyść Firefox z adware:

  • Odłącz synchronizację (o ile włączona): KLIK.
  • Menu Pomoc > Informacje dla pomocy technicznej > Odśwież program Firefox. Zakładki i hasła nie zostaną naruszone.
  • Menu Historia > Wyczyść całą historię przeglądania.
4. Zrób nowy log FRST z opcji Skanuj (Scan), ponownie z Addition, ale już bez Shortcut. Dołącz też plik fixlog.txt.
Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Wszystko pomyślnie wykonane, choć odinstalowałeś Firefox zamiast go wyczyścić, co i tak zostawiło profil FF z adware na dysku i kolejna świeża instalacja Firefox załaduje to adware. Kolejne poprawki:

 

1. Ustaw Internet Explorer jako domyślną przeglądarkę, obecnie brak wyasygnowanej.

 

2. Uruchom narzędzie Microsoftu: KLIK. Zaakceptuj > Wykryj problemy i pozwól mi wybrać poprawki do zastosowania > Odinstalowywanie > zaznacz na liście odpadkowy wpis Adobe swMSM > Dalej.

 

3. Otwórz Notatnik i wklej w nim:

 

(EasyBits Software AS) C:\Windows\SysWOW64\ezSharedSvcHost.exe
R2 ezSharedSvc; C:\Windows\SysWOW64\ezSharedSvcHost.exe [514232 2010-04-23] (EasyBits Software AS) [brak podpisu cyfrowego]
S3 clwvd; system32\DRIVERS\clwvd.sys [X]
Task: {7CB2E5B9-9B18-409E-87A3-E7C2C47E105C} - System32\Tasks\Adobe Acrobat Update Task => C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe [2015-10-28] (Adobe Systems Incorporated)
HKLM-x32\...\Run: [Magic Desktop for HP notification] => C:\ProgramData\Easybits Magic Desktop for HP\mdhpSUN.exe [1444880 2015-11-26] (Easybits)
HKLM\...\Policies\Explorer: [EnableShellExecuteHooks] 1
HKU\S-1-5-21-1590238946-3112356359-1456329767-1000\...\Run: [Adobe Reader Synchronizer] => "C:\Program Files (x86)\Adobe\Reader 10.0\Reader\AdobeCollabSync.exe"
BHO: Java(tm) Plug-In 2 SSV Helper -> {DBC80044-A445-435b-BC74-9C25C1C588A9} -> C:\Program Files\Java\jre6\bin\jp2ssv.dll => Brak pliku
BHO-x32: Java(tm) Plug-In 2 SSV Helper -> {DBC80044-A445-435b-BC74-9C25C1C588A9} -> C:\Program Files (x86)\Java\jre6\bin\jp2ssv.dll => Brak pliku
FirewallRules: [{9B8C8A2C-7C2C-4270-A270-4CAC906EE570}] => (Allow) C:\Windows\system32\ezSharedSvcHost.exe
FirewallRules: [{4FD5DA3C-5AE4-4912-83BA-291517287AF0}] => (Allow) C:\Program Files (x86)\EasyBits For Kids\ezDesktop.exe
RemoveDirectory: C:\FRST\Quarantine
RemoveDirectory: C:\MATS
RemoveDirectory: C:\Program Files (x86)\Common Files\Adobe
RemoveDirectory: C:\ProgramData\Adobe
RemoveDirectory: C:\ProgramData\CyberLink
RemoveDirectory: C:\ProgramData\Easybits Magic Desktop for HP
RemoveDirectory: C:\Users\Tomek\AppData\Local\Mozilla
RemoveDirectory: C:\Users\Tomek\AppData\Roaming\Mozilla
CMD: del /q C:\Windows\SysWOW64\ezSharedSvcHost.exe
Reg: reg delete HKCU\Software\Mozilla /f
Reg: reg delete HKCU\Software\MozillaPlugins /f
Reg: reg delete HKLM\SOFTWARE\Mozilla /f
Reg: reg delete HKLM\SOFTWARE\MozillaPlugins /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Mozilla /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\mozilla.org /f
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\MozillaPlugins /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\services\CLKMSVC10_38F51D56" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\BDRegion" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Easybits Recovery" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\RemoteControl10" /f

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Tym razem nie będzie restartu. Przedstaw wynikowy fixlog.txt.

 

4. Uruchom AdwCleaner. Wybierz opcję Skanuj i dostarcz log wynikowy z folderu C:\AdwCleaner.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Miałeś tylko dostarczyć wyniki skanu AdwCleaner i nic za jego pomocą nie usuwać, a skorzystałeś z opcji Usuń. Druga sprawa, w momencie gdy usuwałam obiekty Firefox z dysku i rejestru był on odinstalowany, teraz jest zainstalowany ponownie - czy na pewno instalowałeś go po uruchomieniu skryptu FRST? W przeciwnym wypadku mój skrypt uszkodził nową instalację i trzeba ponownie reinstalować FF.

 

 

  Cytat

Narzędzia microsoftu nie odpaliłem bo ciągle jakiś błąd wyskakuje

Uruchom Zoek. W oknie wklej:

 

swMSM;u
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{2fa28606-de77-4029-af96-b231e3b8f827}];r64
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Adobe ARM];r64

 

Klik w Run Script. Przedstaw wynikowy log zoek-results.txt (po zmianie nazwy z *.log).

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano
  Cytat

Prawdopodobnie użyłem FRST po zainstalowaniu FF.

Jeśli tak, to jak mówiłam należy przeinstalować Firefox.

 

 

  Cytat

IE nie używam dlatego, że co chwile mi zrzuca przez niego pamięć i nie wiem dlaczego, nawet na nowym systemie.

Sprawdź czy coś pomoże: Panel sterowania > Sieć i internet > Opcje internetowe > Zaawansowane > Resetuj.

 

 

  Cytat

Dzis udalo mi sie usunąć fixitem swMSM a poźniej użyłem zoek'a.

To było albo albo, a nie oba na raz. I nie podałeś raportu zoek-results.txt.

 

 

  Cytat

Z laptopem juz wszystko ok dziękuje bardzo i pytanie czy ze stacjonarka dało by sie coś zrobić bo nie da rady na nim pracować :/ podobna sytuacja jak z laptopem.

Wątki poprzedniego systemu nie skończone. Zajmę się drugim komputerem potem.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Kończąc sprawy pierwszego komputera:

 

1. Usuń z Pulpitu folder frst. Następnie popraw jeszcze za pomocą DelFix oraz wyczyść foldery Przywracania systemu: KLIK.

 

2. Odpowiedz czy ta operacja ma jakieś skutki:

 

  picasso napisał(a):

Sprawdź czy coś pomoże: Panel sterowania > Sieć i internet > Opcje internetowe > Zaawansowane > Resetuj.[/quote[

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

DelFix wykonał zadanie. Skasuj z dysku plik C:\delfix.txt.

 

 

  Cytat

Resetowanie nic nie dalo. Pamieć zrzuca przy operacjach na kilku otwartych oknach.

To jest prawdopodobnie problem sterowników karty hybrydowej. W Twoim raporcie FRST są następujące "sparowane" pozycje:

 

ATI Catalyst Install Manager (HKLM\...\{9A11B072-9CE7-ABB9-2F65-EC971A7B839D}) (Version: 3.0.816.0 - ATI Technologies, Inc.)

Intel® Display Audio Driver (HKLM-x32\...\{F0E3AD40-2BBD-4360-9C76-B9AC9A5886EA}) (Version: 6.14.00.3074 - Intel Corporation)

 

Do porównania ten temat: KLIK.

 

  picasso napisał(a):

KB2670838 - rozwiń blok "Incompatibility issues on certain computers that have hybrid video cards" i przeczytaj co tam jest napisane.

Z raportu wynika że Twój komputer jest modelem Hewlett-Packard. Sprawdź na w/w stronie Microsoftu sekcję HP systems czy jest pasujący do Twojego model i co jest na ten temat napisane. Poszukaj też bezpośrednio na stronie producenta HP aktualizacji sterowników do karty hybrydowej.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Wracając do postu #10:

 

  Cytat

pytanie czy ze stacjonarka dało by sie coś zrobić bo nie da rady na nim pracować :/ podobna sytuacja jak z laptopem.

Tu nie ma problemu infekcji. Za to mamy tu scrackowany Windows (spatchowane pliki generują błędy w Dzienniku zdarzeń). Nie objaśniłeś na czym polega problem "nie da się na nim pracować". Jeśli występuje jakieś zamulenie, to następujące sugestie:

 

1. Bieda z wolnym miejscem na dysku. Brak dostatecznie dużej przestrzeni może być powodem spowolnienia.

 

Drive c: () (Fixed) (Total:97.65 GB) (Free:6.59 GB) NTFS ==>[dysk z komponentami startowymi (pozyskano odczytując BCD)]

 

2. Pozbądź się bardzo starych programów, które aktywnie się ładują przy udziale usług i sterowników. Tzn.:

- Z poziomu Menu Start uruchom deinstalator Alcohol 120%. Następnie z poziomu Panelu sterowania odinstaluj stary TuneUp Utilities 2011. Możesz także pozbyć się aktualizatora NVIDIA GeForce Experience 1.8.2.1, kilka procesów odpadnie.

- Zastosuj narzędzie SPTDInst, by wyrzucić powiązany z Alcoholem sfatygowany SPTD.

 

3. Aktywność ESET Smart Security może mieć coś do rzeczy. Jeśli w/w kroki nie wniosą nic do sprawy, przetestuj jak system działa po deinstalacji.

 

 

PS. A w spoilerze drobne działania poboczne i skrypt kosmetyczny do wykonania (mikro odpadki adware, wpisy puste), on nie rozwiąże problemów:

 

 

  Pokaż ukrytą zawartość

 

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Fix FRST wykonany. Na koniec te same kroki jak w przypadku poprzedniego komputera + aktualizacja Java.

 

  picasso napisał(a):

Usuń z Pulpitu folder frst. Następnie popraw jeszcze za pomocą DelFix oraz wyczyść foldery Przywracania systemu: KLIK.

I prawdopodobnie temat drugiego komputera wydzielę w nowy w dziale Windows, bo nie ma związku z infekcją. Na przyszłość: różne komputery = różne tematy.

Odnośnik do komentarza
Gość
Ten temat został zamknięty. Brak możliwości dodania odpowiedzi.
Tematy

  • Ostatnio przeglądający   0 użytkowników

    • Brak zarejestrowanych użytkowników przeglądających tę stronę.
×
×
  • Dodaj nową pozycję...