Blue screen (critical error) i wyskakujące okna w przeglądarce

[badi1988]

Dobry wieczór,

 

Od kilku tygodni mam problem z przeglądarką. Co kilkanaście minut uruchamiając się nowe okna z różnymi stronami.

Co jakieś 2-3h uruchamia się instalacja jakiegoś programu, która kończona jest błędem.

 

A od kilku dni pojawia się coraz częściej Blue screen, który musi skończyć się zamknięciem systemu, dzisiaj pojawia się już co 2-3 minuty...

 

Logi w załączeniu.

Addition.txt

FRST.txt

Shortcut.txt

[Miszel03]

A od kilku dni pojawia się coraz częściej Blue screen, który musi skończyć się zamknięciem systemu, dzisiaj pojawia się już co 2-3 minuty...

 

To ma priorytet (choć w raportach widoczne są infekcje). 

 

1. Dostarcz do analizy pliki zrzutu pamięci, w tym celu skopiuj na pulpit folder C:\Windows\Minidump, spakuj go (np. za pomocą WinRAR), a następnie wstaw na hosting plików (np. na MediaFire).

 

2. Wykonaj diagnostykę dysku za pomocą CrystalDiskInfo i dostarcz wynikowy log.

[badi1988]

Spakowany folder Minidump, aczkolwiek folder jest pusty.

http://uploadfile.pl/pokaz/1362692---cldq.html

W załączeniu log z CrystalDiskInfo.

Crystal.txt

[Miszel03]

Dysk wygląda raczej w porządku. 

Szkoda, że nie ma plików zrzutu pamięci. 

 

Jeśli będę nadal występować bluescreeny to poszerzymy diagnostykę. 

Zalecam również skopiowanie najważniejszych danych na media przenośne (co i tak powinno być robione regularnie).

 

---

 

W raportach widoczne są infekcje adware m.in mail.ru oraz szkodliwe zadania w Harmonogramie zadań, a także podejrzane rozszerzenia w przeglądarce Google Chrome. 

Oprócz dezynfekcji posprzątam również system z martwych skrótów / wpisów, szczątek po oprogramowaniu (m.in po przeglądarce Mozilla FireFox) itd. 

 

Portale z oprogramowaniem / Instalatory - na co uważać

 

1. Sugeruję odinstalować Ace Stream Media 3.1.16.1, gdyż to program ze zintegrowanym modułem adware preaktywowanym po pewnym czasie. 

 

Zainstalowane są również dwa oprogramowania zabezpieczające - Avast i Avira - wybierz jedno pakiet. Oba mogą powodować konflikty i dublowanie się akcji. 

 

2. Uruchom FRST. Z klawiatury CTRL+Y, zostanie otworzony plik tekstowy. Wklej do pliku następującą treść:

 

CloseProcesses:
CreateRestorePoint:
ContextMenuHandlers4: [XXX Groove GFS Context Menu Handler XXX] -> [CC]{6C467336-8281-4E60-8204-430CED96822D} =>  -> Brak pliku
Task: {083DBD78-6142-4412-889A-5C2FF00931A8} - System32\Tasks\oudkhUIy => C:\Program Files (x86)\Common Files\oDilKaTEO.bat [2013-08-22] () 
Task: {686BFC1A-ACF6-4F7B-97D0-FB09235494D7} - System32\Tasks\SAAUauULUHEA => C:\Users\Tom\AppData\Roaming\EvuyXJiab.bat [2013-08-22] () 
Task: {43AD0FC1-8A67-4B75-9973-607FCA0C4158} - System32\Tasks\dzopercomjhar => "C:\Program Files (x86)\Google\Chrome\Application\chrome.exe" dzoper.com/jhar 
C:\Program Files (x86)\Common Files\oDilKaTEO
C:\Users\Tom\AppData\Roaming\EvuyXJiab
C:\Users\Tom\VieKIdn.bat
File: C:\Users\Tom\AppData\Local\eoAAiZW.exe
File: C:\Program Files (x86)\yeIGOyz.exe
C:\Users\Tom\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk
ShortcutWithArgument: C:\Users\Tom\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\ff13ca23fee04978\Ewa - Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> --profile-directory="Profile 5"
ShortcutWithArgument: C:\Users\Tom\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\48499db33039e897\Tomasz - Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> --profile-directory="Profile 4"
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Windows Media Player.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\VitoWP\Deinstalacja.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\VitoWP\Pomoc.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\VitoWP\VitoWP w internecie.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\VitoWP\VitoWP.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\SopCast\SopCast web site.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\SopCast\Uninstall.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Rodos_LE 2010\Instrukcja instalacji.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Rodos_LE 2010\Pierwsze kroki.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Rodos_LE 2010\Rodos 2010 - edycja studencka.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Lightshot\Deinstalacja programu Lightshot.lnk
C:\Users\Tom\Links\OneDrive.lnk
C:\Users\Tom\Desktop\Menedżer Realtek HD Audio.lnk
C:\Users\Tom\Desktop\Programy\Domekt.lnk
C:\Users\Tom\Desktop\Programy\Malwarebytes.lnk
C:\Users\Tom\Desktop\Programy\SopCast.lnk
C:\Users\Tom\Desktop\Programy\UnHackMe.lnk
C:\Users\Tom\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Mad Max.lnk
C:\Users\Tom\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\MadMax.lnk
C:\Users\Tom\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Pro Evolution Soccer 2017.lnk
C:\Users\Tom\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Tropico 5 - Complete Collection.lnk
C:\Users\Tom\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\SopCast\SopCast.lnk
C:\Users\Tom\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Domekt\Uninstall.lnk
GroupPolicy: Ograniczenia 
GroupPolicy\User: Ograniczenia 
HKU\S-1-5-21-3585312160-345975134-3153727662-1001\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://mail.ru/cnt/10445?gp=811141
SearchScopes: HKU\S-1-5-21-3585312160-345975134-3153727662-1001 -> DefaultScope {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={searchTerms}&fr=ntg&product_id=%7B50A97ECF-19C2-403C-B8D8-053718DD94B3%7D&gp=811142
SearchScopes: HKU\S-1-5-21-3585312160-345975134-3153727662-1001 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={searchTerms}&fr=ntg&product_id=%7B50A97ECF-19C2-403C-B8D8-053718DD94B3%7D&gp=811142
CHR HKLM-x32\...\Chrome\Extension: [bhjhnafpiilpffhglajcaepjbnbjemci] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [dijfnbhlogmffhgpelodglnnkncadnbi] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [flliilndjeohchalpbbcdekjklbdgfkk] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [hcadgijmedbfgciegjomfpjcdchlhnif] - hxxps://clients2.google.com/service/update2/crx
CHR HomePage: Profile 4 -> inline.go.mail.ru
CHR DefaultSearchURL: Profile 4 -> hxxps://inline.go.mail.ru/search?inline_comp=dse&q={searchTerms}&fr=chxtn12.0.23
CHR DefaultSearchKeyword: Profile 4 -> inline.go.mail.ru
CHR DefaultSuggestURL: Profile 4 -> hxxp://suggests.go.mail.ru/chrome?q={searchTerms}
S3 MBAMWebProtection; \??\C:\Windows\system32\drivers\mwac.sys [X]
DeleteKey: HKCU\Software\Mozilla
DeleteKey: HKCU\Software\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Mozilla
DeleteKey: HKLM\SOFTWARE\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Wow6432Node\Mozilla
DeleteKey: HKLM\SOFTWARE\Wow6432Node\mozilla.org
DeleteKey: HKLM\SOFTWARE\Wow6432Node\MozillaPlugins
C:\Users\Tom\AppData\Local\Mozilla
C:\Users\Tom\AppData\Roaming\Mozilla
C:\Users\Tom\AppData\Roaming\Profiles
CMD: dir /a "C:\Program Files"
CMD: dir /a "C:\Program Files (x86)"
CMD: dir /a "C:\Program Files\Common Files\System"
CMD: dir /a "C:\Program Files (x86)\Common Files\System"
CMD: dir /a C:\ProgramData
CMD: dir /a C:\Users\Tom\AppData\Local
CMD: dir /a C:\Users\Tom\AppData\LocalLow
CMD: dir /a C:\Users\Tom\AppData\Roaming
CMD: dir /a C:\Users
Powershell: wevtutil el | Foreach-Object {wevtutil cl "$_"}
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Z klawiatury CTRL+S, by zapisać zmiany. Następnie w oknie FRST klik w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

3. Wyczyść przeglądarkę Google Chrome (dotyczy Profile 4):

• Zresetuj synchronizację (o ile włączona): KLIK.
• Ustawienia > karta Rozszerzenia > odinstaluj adware / PUP: Mail.Ru, Домашняя страница Mail.Ru oraz wszystkie nieznane inne i niepotrzebne Ci rozszerzenia.
• Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Resetowanie ustawień. Zakładki i hasła nie zostaną naruszone.
• Ustawienia > karta Ustawienia > sekcja Szukaj > klik w Zarządzanie wyszukiwarkami > skasuj z listy wszystko z wyjątkiem Google (choć w skrypcie już to wykonałem, ale sprawdź czy rzeczywiście nic się tam nie znajduję).

4. Całościowo przeskanuj system za pomocą Malwarebytes AntiMalware. Jeśli coś wykryje to niczego nie usuwaj, a dostarcz raport. 

 

5. Zrób nowy log FRST z opcji Skanuj (Scan) wraz z Addition, ale już bez Shortcut. Dołącz też plik Fixlog.

[badi1988]

Dziękuje ogromnie,
 
Na ten moment, system działa poprawnie (już ponad godzinę) od kilku dni co 2-3 min Critical error restartował go.

Zainstalowane są również dwa oprogramowania zabezpieczające - Avast i Avira - wybierz jedno pakiet. Oba mogą powodować konflikty i dublowanie się akcji. 

 

Hmmm, nie mogę znaleźć nigdzie Aviry na komputerze (ani w programach do deinstalacji, ani w CCleaner), wygląda tak jakby go jej było...
 
2. Fixlog w załączeniu.

 

• Ustawienia > karta Rozszerzenia > odinstaluj adware / PUP: Mail.Ru, Домашняя страница Mail.Ru oraz wszystkie nieznane inne i niepotrzebne Ci rozszerzenia.

 

3. W przeglądarce brak jakichkolwiek rozszerzeń.
4. Raport z błędów w załączeniu.
5. Addition i FRST w załączeniu.
 
PS. Podczas "Ponownego uruchomienia" pokazał się Bluescreen.

Fixlog.txt

Malwarebytes.txt

Addition.txt

FRST.txt

[Miszel03]

PS. podczas "Ponownego uruchomienia" pokazał sie Bluescreen.

 

Nadal żadnych danych w folderze zrzutów pamięci?

Raczej nie możemy iść dalej, póki nie ustalimy przyczyny, gdyż BSoD ma priorytet i może oznaczać poważne uszkodzenia (a wykonywana dezynfekcja może się na nie nałożyć).

 

W przypadku kolejnego wystąpienia proszę albo zapisać jego treść albo wykonać zdjęcie i załączyć je.

[badi1988]

W załączeniu zdjęcie bluescreen'a, ukończono 0% i nawet nie drgnie dalej...

Folder Minidump nadal pusty.

[Rucek]

Jeszcze jedno pytanie:

Czy sprawdzane były temperatury? Czy nic się nie grzeje, nie bucha gorącym powietrzem? Komp był czyszczony z kurzu (+ ew. pasty termoprzewodzące jeśli nigdy nie były wymieniane) nie dawniej niż 6-12 miesięcy?
Dodaj foto z zakładki SENSORS w HwInfo - tak by było widać temperatury (patrz na suwak po prawej stronie, by zrobić zdjęcie wszystkiego, a nie tylko części).
http://www.fixitpc.pl/topic/155-zak%C5%82adanie-tematu-jakie-informacje-podawa%C4%87/?do=findComment&comment=132168

[badi1988]

Gorącem nie bucha, ale głośny jest od zawsze
A z kurzu nie był czyszczony na pewno już ze 2 lata... 

[Miszel03]

A z kurzu nie był czyszczony na pewno już ze 2 lata...

 

Czas najwyższy się za to zabrać, ale proszę wykonywać to bardzo ostrożnie. 

Temperatury są już nie najlepsze. Ale to po dezynfekcji. 

 

---

 

CRITICAL_PROCESS_DIED to bardzo ogólny błąd i nie potrafię na podstawie tego postawić konkretnej przyczyny (a to pokazać by mógł zrzut pamięci).

Najczęściej jednak dotyczy on problematycznych sterowników. Wszystkie trzeba uaktualnić. 

 

Szczególnie ten:

 

==================== Wadliwe urządzenia w Menedżerze urządzeń =============
 
Name: Deskjet F4500 series
Description: Deskjet F4500 series
Class Guid: {4d36e971-e325-11ce-bfc1-08002be10318}
Manufacturer: HP
Service: 
Problem: : This device is disabled. (Code 22)
Resolution: In Device Manager, click "Action", and then click "Enable Device". This starts the Enable Device wizard. Follow the instructions.
 
Name: Deskjet F4500 series
Description: Deskjet F4500 series
Class Guid: {6bdd1fc6-810f-11d0-bec7-08002be2092f}
Manufacturer: HP
Service: StillCam
Problem: : This device is disabled. (Code 22)
Resolution: In Device Manager, click "Action", and then click "Enable Device". This starts the Enable Device wizard. Follow the instructions.

 

 

Gdy to zostanie zrobione i BSoD ustąpi:

 

Jest OK, teraz doczyszczenia: 

 

1. Zagrożenia wykryte przez Malwarebytes daj do kasacji.

 

2. Ręcznie za pomocą klawiszy SHIFT + DELETE skasuj:

 

C:\ProgramData\Mail.Ru

C:\Users\Tom\AppData\Local\Mail.Ru

C:\Users\Tom\AppData\Roaming\EvuyXJiab.bat

C:\Program Files (x86)\Common Files\oDilKaTEO.bat

 

3. Wykonaj drugą metodę usuwania niezgodnych danych w Centrum zabezpieczeń (chodzi o Avire). Wydaję mi się, że metoda powinna zaaplikować się na Windows 10. 

 

4. Napisz jak podsumowujesz obecny stan systemu, czy problem związany z przeglądarkami ustąpił?