Otwierająca się przeglądarka

[afarek]

Witam! Mam problem z przeglądarką która sama się otwiera problem występuje od  tego tygodnia. Najprawdopodobniej jest to związane z programem mail.ru. Nie wiem skąd to się znalazło na moim pc widocznie brat musiał coś pobierać. Poniżej wrzucam logi, OTL jest z całego tygodnia

 

Addition.txt

FRST.txt

[picasso]

Logi z przestarzałego OTL w ogóle nie są tu brane pod uwagę, usuwam. Zabrakło za to trzeciego obowiązkowego raportu FRST Shortcut.

 

Problem generuje adware w Harmonogramie:

 

Task: {BFF311F5-F661-4B11-9945-B3D76D3DBD64} - System32\Tasks\yocoursenewsnetjhgs => Chrome.exe yocoursenews.net/jhgs <==== UWAGA

 

Masz też zainstalowany program miernej reputacji Hotspot Shield 6.0.4. Wersja darmowa generuje przekierowania i reklamy: KLIK. Przy okazji będą czyszczone szczątki po programach i aktualizacji z Windows 7 do 10.

 

 

Działania do przeprowadzenia:

 

1. Klawisz z flagą Windows+X > Programy i funkcje > odinstaluj Hotspot Shield 6.0.4. Następnie otwórz Chrome i w Rozszerzeniach odinstaluj Hotspot Shield VPN Free Proxy – Unblock Sites.

 

2. Uruchom FRST. Z klawiatury CTRL+Y, zostanie otworzony plik fixlist.txt. Wklej do pliku następującą treść:

 

CloseProcesses:
GroupPolicy: Ograniczenia - Chrome <======= UWAGA
GroupPolicy\User: Ograniczenia <======= UWAGA
HKU\S-1-5-21-511756095-493730230-178181468-1000\Software\Microsoft\Internet Explorer\Main,Start Page =
HKU\S-1-5-21-511756095-493730230-178181468-1000\...\Policies\Explorer: []
HKU\S-1-5-21-511756095-493730230-178181468-1000\...\StartupApproved\Run: => "GoogleChromeAutoLaunch_3A28731608BE3B1B1AB1BA9CD2FD08D4"
HKU\S-1-5-21-511756095-493730230-178181468-1000\...\StartupApproved\Run: => "AMDDVR"
HKU\S-1-5-18\...\Run: [script_fcbd] => "D:\Programy\Far Cry 3 Blood Dragon\fcbd.bat"
HKLM\...\StartupApproved\StartupFolder: => "fcbd.bat"
HKLM-x32\...\Run: [] => [X]
Tcpip\..\Interfaces\{82b17876-3e2d-49f3-8399-60a2902367ff}: [DhcpNameServer] 89.233.43.71 91.239.100.100
S3 BstHdAndroidSvc; "C:\Program Files (x86)\BlueStacks\HD-Service.exe" BstHdAndroidSvc Android [X]
S2 BstHdLogRotatorSvc; C:\Program Files (x86)\BlueStacks\HD-LogRotatorService.exe [X]
S3 BstHdPlusAndroidSvc; "C:\Program Files (x86)\BlueStacks\HD-Plus-Service.exe" BstHdPlusAndroidSvc Android [X]
S2 BstHdUpdaterSvc; C:\Program Files (x86)\BlueStacks\HD-UpdaterService.exe [X]
S2 CodeMeter.exe; C:\Program Files (x86)\CodeMeter\Runtime\bin\CodeMeter.exe [X]
S3 HnGSteamService; D:\SteamLibrary\steamapps\common\Heroes & Generals\hngservice.exe [X]
S3 OpenVPNService; "C:\Program Files\OpenVPN\bin\openvpnserv.exe" [X]
S3 WsDrvInst; "C:\Program Files (x86)\Wondershare\Dr.Fone for Android\DriverInstall.exe" [X]
S2 amdacpksd; \??\C:\WINDOWS\system32\drivers\amdacpksd.sys [X]
S2 BstHdDrv; \??\C:\Program Files (x86)\BlueStacks\HD-Hypervisor-amd64.sys [X]
S2 BstkDrv; \??\C:\Program Files (x86)\BlueStacks\BstkDrv.sys [X]
U3 idsvc; Brak ImagePath
U3 wpcsvc; Brak ImagePath
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> Brak pliku
CustomCLSID: HKU\S-1-5-21-511756095-493730230-178181468-1000_Classes\CLSID\{0B628DE4-07AD-4284-81CA-5B439F67C5E6}\localserver32 -> D:\Programy\Nowy folder (2)\AutoCAD 2016\acad.exe /Automation => Brak pliku
CustomCLSID: HKU\S-1-5-21-511756095-493730230-178181468-1000_Classes\CLSID\{149DD748-EA85-45A6-93C5-AC50D0260C98}\localserver32 -> D:\Programy\Nowy folder (2)\AutoCAD 2016\acad.exe => Brak pliku
CustomCLSID: HKU\S-1-5-21-511756095-493730230-178181468-1000_Classes\CLSID\{5370C727-1451-4700-A960-77630950AF6D}\localserver32 -> D:\Programy\Nowy folder (2)\AutoCAD 2016\acad.exe /Automation => Brak pliku
CustomCLSID: HKU\S-1-5-21-511756095-493730230-178181468-1000_Classes\CLSID\{E2C40589-DE61-11ce-BAE0-0020AF6D7005}\InprocServer32 -> D:\Programy\Nowy folder (2)\AutoCAD 2016\en-US\acadficn.dll => Brak pliku
Task: {023AA27A-3A54-4C30-B58A-A887C8CA4389} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> Brak pliku <==== UWAGA
Task: {2644D489-0CF7-4B04-BF29-F5BF9D18D549} - System32\Tasks\Microsoft\Windows\Media Center\SqlLiteRecoveryTask => C:\WINDOWS\ehome\mcupdate.exe
Task: {288E3856-5273-448E-A68D-4994DE5B2EB8} - System32\Tasks\Microsoft\Windows\Media Center\ObjectStoreRecoveryTask => C:\WINDOWS\ehome\mcupdate.exe
Task: {33C14721-ACAC-4FB1-8169-B2CAB3BF1D6A} - \Microsoft\Windows\Setup\GWXTriggers\Time-Weekend -> Brak pliku <==== UWAGA
Task: {3C710460-9150-4DFE-88B7-85FA8423A089} - System32\Tasks\{8CED52AA-FB6F-4179-B949-EC3663E7C022} => pcalua.exe -a "C:\Program Files (x86)\Youtube AdBlock\uninstall.exe"
Task: {40EFBFD4-016B-48E2-B8C3-4B4F1159E3A2} - System32\Tasks\Microsoft\Windows\Media Center\MediaCenterRecoveryTask => C:\WINDOWS\ehome\mcupdate.exe
Task: {5068A5DF-A3B8-48D8-8184-E7DB8BE04BD8} - System32\Tasks\Microsoft\Windows\Media Center\RegisterSearch => C:\WINDOWS\ehome\ehPrivJob.exe
Task: {5E0197E0-0B07-4B13-B8E4-C2F264A88B50} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeReminderTime -> Brak pliku <==== UWAGA
Task: {5F8C9063-F618-4F6F-AB5F-8B3D51687DAC} - System32\Tasks\Microsoft\Windows\Media Center\InstallPlayReady => C:\WINDOWS\ehome\ehPrivJob.exe
Task: {63D845BB-FB1C-43F2-868E-BC9FF7C1484B} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> Brak pliku <==== UWAGA
Task: {695559B3-3A3B-419F-8061-AF529D46917B} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> Brak pliku <==== UWAGA
Task: {7075E855-2824-4BBC-A77C-E57878B9B1F1} - System32\Tasks\Microsoft\Windows\Media Center\OCURActivate => C:\WINDOWS\ehome\ehPrivJob.exe
Task: {711E75E2-FBD9-4815-A646-A69D3A7B99A4} - \Microsoft\Windows\Setup\gwx\rundetector -> Brak pliku <==== UWAGA
Task: {75C795FE-06AF-4B35-A904-37DD34498807} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> Brak pliku <==== UWAGA
Task: {787FBB1B-47BB-4FEF-B620-863D5C8CBEEF} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> Brak pliku <==== UWAGA
Task: {7AF8A9B9-7AF9-494C-B539-47D291277647} - System32\Tasks\Microsoft\Windows\Media Center\mcupdate_scheduled => C:\WINDOWS\ehome\mcupdate.exe
Task: {7C607B05-2F2B-437C-9A02-CD24D8149CB3} - System32\Tasks\Microsoft\Windows\Media Center\PvrRecoveryTask => C:\WINDOWS\ehome\mcupdate.exe
Task: {7FCD7235-A847-43B2-89DD-FB2941D57766} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeTime -> Brak pliku <==== UWAGA
Task: {86B8D89F-0E93-4521-81C7-74F0D3AEF415} - System32\Tasks\Microsoft\Windows\Media Center\UpdateRecordPath => C:\WINDOWS\ehome\ehPrivJob.exe
Task: {8FE16D08-F8EF-4628-A198-9EB316E31DF7} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> Brak pliku <==== UWAGA
Task: {959F8243-FCD5-48FE-A172-BE3CB5F1C8F7} - System32\Tasks\Microsoft\Windows\Media Center\ReindexSearchRoot => C:\WINDOWS\ehome\ehPrivJob.exe
Task: {9D6801A2-8304-40F8-88DF-8968604F491F} - System32\Tasks\Microsoft\Windows\Media Center\OCURDiscovery => C:\WINDOWS\ehome\ehPrivJob.exe
Task: {9FAC9D96-BDE1-49DF-8997-7A5443EBF440} - System32\Tasks\Microsoft\Windows\Media Center\ehDRMInit => C:\WINDOWS\ehome\ehPrivJob.exe
Task: {B7C6A81F-556F-4354-B645-CB932FEEA0D0} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> Brak pliku <==== UWAGA
Task: {B968F33F-6742-4162-8085-4FFB31F93E42} - System32\Tasks\CreateExplorerShellUnelevatedTask => C:\WINDOWS\explorer.exe /NOUACCHECK
Task: {BFE91675-8F75-412B-8A3A-14808CCD0590} - System32\Tasks\Microsoft\Windows\Media Center\PBDADiscovery => C:\WINDOWS\ehome\ehPrivJob.exe
Task: {BFF311F5-F661-4B11-9945-B3D76D3DBD64} - System32\Tasks\yocoursenewsnetjhgs => Chrome.exe yocoursenews.net/jhgs <==== UWAGA
Task: {CB241A5C-12C9-4AC2-93A7-05A9B4868B50} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> Brak pliku <==== UWAGA
Task: {CCA68BEB-300B-45CF-AA84-F0AE01A4B5AA} - System32\Tasks\Microsoft\Windows\Media Center\DispatchRecoveryTasks => C:\WINDOWS\ehome\ehPrivJob.exe
Task: {CF01E53B-8498-4DC8-84D5-DAB01D481458} - System32\Tasks\{00CADB98-FD7A-4B92-A661-669FBBA34590} => Chrome.exe hxxp://ui.skype.com/ui/0/7.21.0.100/pl/abandoninstall?page=tsProgressBar
Task: {D704CA20-8E32-4FE6-93EA-53FD70284219} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> Brak pliku <==== UWAGA
Task: {DBFE4768-67C5-48A7-B9D0-641C553E18A5} - System32\Tasks\Microsoft\Windows\Media Center\ActivateWindowsSearch => C:\WINDOWS\ehome\ehPrivJob.exe
Task: {DD70211F-D7BB-40C0-A82D-D8B65C2948E6} - \Microsoft\Windows\Setup\GWXTriggers\OnIdle-5d -> Brak pliku <==== UWAGA
Task: {E1631652-5E76-4C34-B780-E6AEA7A93364} - System32\Tasks\Microsoft\Windows\Media Center\PeriodicScanRetry => C:\WINDOWS\ehome\MCUpdate.exe
Task: {ED7EFA8B-EA87-4A0E-8451-8DC2AAE40257} - System32\Tasks\Microsoft\Windows\Media Center\PBDADiscoveryW2 => C:\WINDOWS\ehome\ehPrivJob.exe
Task: {F3A3AD5F-A6FF-4B64-B873-F0304E73227D} - System32\Tasks\Microsoft\Windows\Media Center\StartRecording => C:\WINDOWS\ehome\ehrec.exe
Task: {F4137ADA-D8AF-471E-AE1F-3987E5D09311} - System32\Tasks\Microsoft\Windows\Media Center\PBDADiscoveryW1 => C:\WINDOWS\ehome\ehPrivJob.exe
Task: {F4693630-A628-4D2D-9581-5D6614435291} - System32\Tasks\Microsoft\Windows\Media Center\ConfigureInternetTimeService => C:\WINDOWS\ehome\ehPrivJob.exe
Task: {F61856C4-0C35-4FDF-8CD3-D947BBD69D3D} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> Brak pliku <==== UWAGA
Task: {F9C826A3-E66C-44DE-8D0F-B1B8963EB7D4} - System32\Tasks\Microsoft\Windows\Media Center\mcupdate => C:\WINDOWS\ehome\mcupdate.exe
Task: {FBABB958-B2C5-488B-B1F0-9FCEA7410030} - System32\Tasks\Microsoft\Windows\Media Center\RecordingRestart => C:\WINDOWS\ehome\ehrec.exe
Task: {FDF473CB-F543-452F-BAD0-6EE363C6FFAC} - System32\Tasks\Microsoft\Windows\Media Center\PvrScheduleTask => C:\WINDOWS\ehome\mcupdate.exe
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Microsoft\Windows\Media Center
DeleteKey: HKLM\SOFTWARE\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Wow6432Node\MozillaPlugins
C:\ProgramData\hash.dat
C:\ProgramData\SoftwareUpdateTemp.xml
C:\Users\Darek\AppData\Local\*.*
C:\Users\Darek\AppData\Local\{*}
C:\Windows\ehome
C:\Windows\System32\Tasks\Microsoft\Windows\Media Center
CMD: netsh advfirewall reset
Hosts:
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Z klawiatury CTRL+S, by zapisać zmiany. Następnie w oknie FRST klik w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

3. Zrób nowy log FRST z opcji Skanuj (Scan), z zaznaczonym polem Shortcut. Dołącz też plik fixlog.txt.

[afarek]

Zrobione. Programem FRST robiłem scan dwa razy, za pierwszym razem plik FRST był pusty.

 

FRST.txt

Shortcut.txt

Fixlog.txt

[picasso]

Zabrakło pliku FRST Addition, doczep.

 

1. Wg Fixlog prawie wszystko elegancko usunięte z jednym wyjątkiem. Hotspot wygląda na odinstalowany (wg śladów w FRST.txt, brak Addition potwierdzającego to), ale nadal widzę rozszerzenie Hotspot Shield VPN Free Proxy – Unblock Sites w Chrome. Omyłkowo pominąłeś czy go nie widzisz na liście rozszerzeń?

 

2. Drobne działania poboczne, tzn. usunięcie pustych skrótów widzianych w Shortcut.txt i kwarantann narzędzi. Uruchom FRST, z klawiatury CTRL+Y, zostanie otworzony plik fixlist.txt. Wklej do pliku następującą treść:

 

RemoveDirectory: C:\AdwCleaner
RemoveDirectory: C:\FRST\Quarantine
RemoveDirectory: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Autodesk
RemoveDirectory: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Battlefield Hardline
RemoveDirectory: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Image-Line
RemoveDirectory: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\OpenVPN
RemoveDirectory: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Sony
RemoveDirectory: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Wondershare
RemoveDirectory: C:\Users\Darek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Image-Line
RemoveDirectory: C:\Users\Darek\Downloads\FRST-OlderVersion
StartBatch:
del /q "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\R.G. Mechanics\Farming Simulator 15\Play Farming Simulator 15 (x64).lnk"
del /q "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\R.G. Mechanics\Farming Simulator 15\Play Farming Simulator 15 (x86).lnk"
del /q "C:\Users\Darek\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Bloody5.lnk"
del /q "C:\Users\Darek\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\TeamSpeak 3 Client.lnk"
del /q "C:\Users\Darek\AppData\Roaming\Microsoft\Windows\Start Menu\BlueStacks.lnk"
del /q "C:\Users\Darek\Documents\Euro Truck Simulator 2\readme.rtf.lnk"
EndBatch:

 

Z klawiatury CTRL+S, by zapisać zmiany. Następnie w oknie FRST klik w Napraw (Fix). Tym razem nie będzie restartu. Dostarcz wynikowy fixlog.txt.

 

Mam też pytanie czy instalacja AutoCAD 2016 działa? W raportach stanowczo zbyt dużo wpisów notujących brak plików, pomimo że program figuruje na liście zainstalowanych.

[afarek]

AutoCad usunięty, faktycznie coś było nie tak.

 

Addition.txt

FRST.txt

Shortcut.txt

Fixlog.txt

[picasso]

1. Na liście zainstalowanych nadal następujące wejścia Autodesk:

 

ACA & MEP 2016 Object Enabler (Version: 7.8.41.0 - Autodesk) Hidden
ACAD Private (Version: 20.1.49.0 - Autodesk) Hidden
AutoCAD 2016 - English (Version: 20.1.49.0 - Autodesk) Hidden
AutoCAD 2016 (Version: 20.1.49.0 - Autodesk) Hidden
AutoCAD 2016 Language Pack - English (Version: 20.1.49.0 - Autodesk) Hidden
Autodesk ReCap 2016 (Version: 1.5.0.33 - Autodesk) Hidden
SketchUp Import 2016 (HKLM-x32\...\{C769FB7C-1F55-4B31-9A2A-21CEC50F4F92}) (Version: 2.0.0 - Autodesk)

 

Ostatnie widoczne w Panelu sterowania i powinno się dać odinstalować tradycyjną drogą. Ale wszystkie pozostałe są ukryte i należy się nimi zająć za pomocą Program Install and Uninstall Troubleshooter. Program należy uruchomić tyle razy ile wejść, akcja zbiorcza nie jest możliwa.

 

2. Mały skrypt poprawkowy na pozostałe wejścia pozostawione po AutoCAD. Uruchom FRST, z klawiatury CTRL+Y, zostanie otworzony plik fixlist.txt. Wklej do pliku następującą treść:

 

ShellIconOverlayIdentifiers: [AutoCAD Digital Signatures Icon Overlay Handler] -> {36A21736-36C2-4C11-8ACB-D4136F2B57BD} => C:\WINDOWS\system32\AcSignIcon.dll [2015-02-06] (Autodesk, Inc.)
HKLM\...\StartupApproved\Run32: => "ADSKAppManager"
HKU\S-1-5-21-511756095-493730230-178181468-1000\Software\Classes\.scr: AutoCADScriptFile => C:\WINDOWS\system32\notepad.exe "%1"
HKU\S-1-5-21-511756095-493730230-178181468-1000\Software\Classes\regfile: regedit.exe "%1" <===== UWAGA
C:\Program Files\Autodesk
C:\ProgramData\Autodesk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Autodesk ReCap 2016
C:\Users\Darek\AppData\Roaming\Autodesk
C:\WINDOWS\system32\AcSignIcon.dll

 

Z klawiatury CTRL+S, by zapisać zmiany. Następnie w oknie FRST klik w Napraw (Fix). Dostarcz wynikowy fixlog.txt.

 

3. Jeden z plików Microsoftu wygląda na uszkodzony i to jakaś nowa usterka (w poprzednich logach tego nie było):

 

R2 BFE; C:\WINDOWS\System32\bfe.dll [794112 2016-07-29] (Microsoft Corporation) [brak podpisu cyfrowego]

 

Uruchom sfc /scannow i dostarcz przefiltrowane wyniki: KLIK.

[afarek]

Postarałem się zrobić wszystko jak najlepiej, po wszystkim znowu skanowałem FRST.

 

Addition.txt

FRST.txt

Shortcut.txt

sfc.txt

Fixlog.txt

[picasso]

Co do uszkodzonego pliku, to wyniki są dziwne... Skan SFC w ogóle tego nie notuje (wzamian dziwne adnotacje na spodzie), ale BFE obecnie znów nie widać w raporcie FRST jako naruszony... Zostawiam więc ten wątek w spokoju.

 

1. Na koniec zastosuj DelFix, następnie wyczyść foldery Przywracania systemu: KLIK.

 

2. Sugeruję wymianę µTorrent z reklamodawczymi modułami na czysty wariant alternatywny qBittorrent.

 

To wszystko.