Skocz do zawartości
WAŻNE - Użytkownicy uprawnieni do pomocy
WAŻNE - Zakładanie tematu: obowiązkowe logi
Nadchodzące zmiany w logowaniu

Nieautoryzowane działanie systemu i programów. Prośba o sprawdzenie logów.

MarioBluesBrothers

Rekomendowane odpowiedzi

MarioBluesBrothers

MarioBluesBrothers

Opublikowano
Opublikowano

Witam. Ostatnio w laptopie zmieniałem pakiet ochrony komputera z COMODO Internet Security na ESET Internet Security i zaczęły się dziać dziwne rzeczy. ESET Internet Security nie startuje z Windows, Adguard przestał startować z Windows, Malwarebytes przestał startować z Windows, Ashampoo Uinstaller przestał startować z Windows, Ashampoo Optimizer przestał startować z Windows, VPN SurfShark przestał startować z Windows. Programy mają skróty na pulpicie i po włączeniu Windows i kliknięciu na ikony włączają się ale nie startują samodzielnie z Windows jak to było wcześniej. Nie wiem czy mój komputer nie został zchakowany. Czasami wywala mi niebieski ekran, a czasami inne programy się nie włączają dopiero po restarcie komputera. Proszę o pomoc. Z góry dziękuję. Mario

Zapomniałem dodać iż nagle, znienacka straciłem pełną licencje na MalwareBytes jest teraz w darmowej wersji, dokupiłem nowy kod aktywujący i licencja działała także półtora dnia potem sama się zmieniła na darmową.

Addition.txt FRST.txt

Odnośnik do komentarza
Pomoc jest darmowa, ale proszę rozważ przekazanie dotacji na utrzymanie serwisu: klik.
jessica

jessica

Opublikowano
Opublikowano

Nie widzę tu żadnej infekcji.

 

Tylko kosmetyka - (do usuwania daję m.in.: strumienie ADS pozostawione przez Comodo, sterowniki i pliki Pandy, której nie masz zainstalowanej)

Uruchom FRST.
Skopiuj to poniższe: (ale nigdzie nie wklejaj tego!)

Spoiler

START::
HKU\S-1-5-21-2770710654-563048816-2845096244-1000\Software\Classes\scrfile:  <==== UWAGA
HKU\S-1-5-21-2770710654-563048816-2845096244-1000\Software\Classes\.scr: scrfile =>  <==== UWAGA
BHO: ExplorerWnd Helper -> {10921475-03CE-4E04-90CE-E2E7EF20C814} -> Brak pliku
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\NanoServiceMain => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\PSUAService => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NanoServiceMain => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\PSUAService => ""="Service"
AlternateDataStreams: C:\Windows\system32\aelupsvc.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\apphelp.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\COLORCNV.DLL:$CmdTcID [130]
AlternateDataStreams: C:\Windows\system32\CPFilters.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\D3DCompiler_40.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\d3dx10_40.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\D3DX9_40.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\els.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\EncDec.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\fixmapi.exe:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\ksproxy.ax:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\ksuser.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\mcmde.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\mfvdsp.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\MFWMAAEC.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\MP3DMOD.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\MP43DECD.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\MP4SDECD.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\MPG4DECD.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\msmpeg2adec.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\MSMPEG2ENC.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\RESAMPLEDMO.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\sdbinst.exe:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\shimeng.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\SysFxUI.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\VIDRESZR.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\WMADMOD.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\WMADMOE.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\WMALFXGFXDSP.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\WMSPDMOD.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\WMSPDMOE.DLL:$CmdTcID [130]
AlternateDataStreams: C:\Windows\system32\WMVDECOD.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\WMVENCOD.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\WMVSDECD.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\WMVSENCD.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\WMVXENCD.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\wshrm.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\apphelp.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\COLORCNV.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\CPFilters.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\D3DCompiler_40.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\d3dx10_40.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\D3DX9_40.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\devenum.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\els.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\EncDec.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\fixmapi.exe:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\javaws.exe:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\ksproxy.ax:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\ksuser.dll:$CmdTcID [130]
AlternateDataStreams: C:\Windows\SysWOW64\mapistub.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\mfvdsp.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\MFWMAAEC.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\MP3DMOD.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\MP43DECD.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\MP4SDECD.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\MPG4DECD.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\msmpeg2adec.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\MSMPEG2ENC.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\msmpeg2vdec.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\PhysXCompatCplUI.exe:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\PhysXCplUI.exe:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\qasf.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\qedit.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\RESAMPLEDMO.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\sdbinst.exe:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\shimeng.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\VIDRESZR.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\WISPTIS.EXE:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\WMADMOD.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\WMADMOE.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\wmpmde.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\WMSPDMOD.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\WMSPDMOE.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\WMVDECOD.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\WMVENCOD.DLL:$CmdTcID [130]
AlternateDataStreams: C:\Windows\SysWOW64\WMVSDECD.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\WMVSENCD.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\WMVXENCD.DLL:$CmdTcID [64]
AlternateDataStreams: C:\Windows\SysWOW64\wshrm.dll:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\Drivers\drmk.sys:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\Drivers\drmkaud.sys:$CmdTcID [64]
AlternateDataStreams: C:\Windows\system32\Drivers\portcls.sys:$CmdTcID [64]
HKLM\...\Policies\Explorer: [DisableLocalMachineRun] 1
HKLM\...\Policies\Explorer: [DisableCurrentUserRun] 1
HKLM\...\Policies\Explorer: [DisableLocalMachineRunOnce] 1
HKLM\...\Policies\Explorer: [DisableCurrentUserRunOnce] 1
HKU\S-1-5-19\...\RunOnce: [IsMyWinLockerReboot] => msiexec.exe /qn /x{voidguid} (Brak pliku)
HKU\S-1-5-20\...\RunOnce: [IsMyWinLockerReboot] => msiexec.exe /qn /x{voidguid} (Brak pliku)
HKU\S-1-5-18\...\RunOnce: [IsMyWinLockerReboot] => msiexec.exe /qn /x{voidguid} (Brak pliku)
HKU\S-1-5-18\...\RunOnce: [panda] => reg.exe delete "HKCU\Software\AppDataLow\Software\panda" /f (Brak pliku) <==== UWAGA
HKU\S-1-5-18\...\RunOnce: [panda_XP] => reg.exe delete "HKCU\Software\panda" /f (Brak pliku) <==== UWAGA
GroupPolicyScripts-x32: Ograniczenia <==== UWAGA
Task: {30F7855C-1A61-4D00-99D5-ABB4565B80F3} - \Microsoft\Windows\End Of Support\Notify1 -> Brak pliku <==== UWAGA
Task: {50DC7695-4C2B-4164-98F1-4DF1F224754D} - System32\Tasks\{594951B5-95B2-4045-B275-9BC6742D7D98} => C:\Windows\system32\pcalua.exe -a "C:\Users\Andrzej\Downloads\MinecraftZyczu (1).exe" -d C:\Users\Andrzej\Downloads
Task: {8786F6DE-0F5B-4D4A-B7D3-6DFDE05E1BFA} - System32\Tasks\{00381B84-EE59-474B-9597-BBF643F7047D} => C:\Windows\system32\pcalua.exe -a "C:\Users\Andrzej\Desktop\MinecraftZyczu (1).exe" -d C:\Users\Andrzej\Desktop
Task: {932C9FA4-A4EC-49CA-BF63-EA59F237314A} - System32\Tasks\{CE8FADDB-27A2-4864-B8A2-F9FF75A97278} => C:\Windows\system32\pcalua.exe -a "C:\Zbiornik\PP1300WGDIWinx86_1611120PL (1)\PP1300WGDIWinx86_1611120PL\setup.exe" -d "C:\Zbiornik\PP1300WGDIWinx86_1611120PL (1)\PP1300WGDIWinx86_1611120PL"
Task: {D35A644C-5D79-4E0B-818E-20892E94AD86} - \Microsoft\Windows\End Of Support\Notify2 -> Brak pliku <==== UWAGA
Task: {D38A1F2E-9F54-4020-A9C0-B9D465CB3165} - \Auslogics\Registry Defrag\Show Registry Defrag Report on Andrzej Logon -> Brak pliku <==== UWAGA
Task: {F983A445-1D09-4585-A655-0BDB92772947} - \{D967F7B1-A910-433A-8B32-563DDFE91EFB} -> Brak pliku <==== UWAGA
Task: {FE00F345-912F-4DFA-A8E8-43421C492A89} - System32\Tasks\{9570C199-27A7-475D-BBF3-A20AEE4A32EF} => C:\Windows\system32\pcalua.exe -a C:\Users\Andrzej\Desktop\MinecraftZyczu.exe -d C:\Users\Andrzej\Desktop
HKU\S-1-5-21-2770710654-563048816-2845096244-1000\SOFTWARE\Policies\Microsoft\Internet Explorer: Ograniczenia <==== UWAGA
S0 C2397F875; Brak ImagePath
S0 ctsvgn; Brak ImagePath
S0 nmfmfx; Brak ImagePath
S3 BVRPMPR5a64; \??\C:\Windows\system32\drivers\BVRPMPR5a64.SYS [X]
U0 Partizan; system32\drivers\Partizan.sys [X]
R1 NNSALPC; C:\Windows\System32\DRIVERS\NNSAlpc.sys [94456 2015-12-04] (Panda Security S.L. -> Panda Security, S.L.)
R1 NNSHTTP; C:\Windows\System32\DRIVERS\NNSHttp.sys [201464 2015-12-04] (Panda Security S.L. -> Panda Security, S.L.)
R1 NNSHTTPS; C:\Windows\System32\DRIVERS\NNSHttps.sys [110840 2015-12-04] (Panda Security S.L. -> Panda Security, S.L.)
R1 NNSIDS; C:\Windows\System32\DRIVERS\NNSIds.sys [110840 2015-12-04] (Panda Security S.L. -> Panda Security, S.L.)
R1 NNSNAHSL; C:\Windows\System32\DRIVERS\NNSNAHSL.sys [48912 2015-04-27] (Panda Security S.L. -> Panda Security, S.L.)
R1 NNSPICC; C:\Windows\System32\DRIVERS\NNSPicc.sys [103160 2015-12-04] (Panda Security S.L. -> Panda Security, S.L.)
R1 NNSPIHSW; C:\Windows\System32\DRIVERS\NNSPihsw.sys [80592 2016-03-14] (Panda Security S.L -> Panda Security, S.L.)
R1 NNSPOP3; C:\Windows\System32\DRIVERS\NNSPop3.sys [124152 2015-12-04] (Panda Security S.L. -> Panda Security, S.L.)
R1 NNSPROT; C:\Windows\System32\DRIVERS\NNSProt.sys [300280 2015-12-04] (Panda Security S.L. -> Panda Security, S.L.)
R1 NNSPRV; C:\Windows\System32\DRIVERS\NNSPrv.sys [177424 2016-02-17] (Panda Security S.L -> Panda Security, S.L.)
R1 NNSSMTP; C:\Windows\System32\DRIVERS\NNSSmtp.sys [113400 2015-12-04] (Panda Security S.L. -> Panda Security, S.L.)
R1 NNSSTRM; C:\Windows\System32\DRIVERS\NNSStrm.sys [264976 2016-02-17] (Panda Security S.L -> Panda Security, S.L.)
R1 NNSTLSC; C:\Windows\System32\DRIVERS\NNSTlsc.sys [106232 2015-12-04] (Panda Security S.L. -> Panda Security, S.L.)
R2 PSINAflt; C:\Windows\System32\DRIVERS\PSINAflt.sys [171792 2016-08-05] (Panda Security S.L -> Panda Security, S.L.)
R2 PSINFile; C:\Windows\System32\DRIVERS\PSINFile.sys [127248 2016-08-05] (Panda Security S.L -> Panda Security, S.L.)
R1 PSINKNC; C:\Windows\System32\DRIVERS\psinknc.sys [205072 2016-08-05] (Panda Security S.L -> Panda Security, S.L.)
R2 PSINProc; C:\Windows\System32\DRIVERS\PSINProc.sys [131344 2016-08-05] (Panda Security S.L -> Panda Security, S.L.)
R2 PSINProt; C:\Windows\System32\DRIVERS\PSINProt.sys [144656 2016-08-05] (Panda Security S.L -> Panda Security, S.L.)
R2 PSINReg; C:\Windows\System32\DRIVERS\PSINReg.sys [114960 2016-08-05] (Panda Security S.L -> Panda Security, S.L.)
S3 PSKMAD; C:\Windows\System32\DRIVERS\PSKMAD.sys [70360 2016-08-08] (Panda Security S.L -> Panda Security, S.L.)
RemoveDirectory: C:\Users\Andrzej\Downloads\FRST-OlderVersion
C:\Windows\System32\DRIVERS\NNSAlpc.sys
C:\Windows\System32\DRIVERS\NNSHttp.sys
C:\Windows\System32\DRIVERS\NNSHttps.sys
C:\Windows\System32\DRIVERS\NNSIds.sys
C:\Windows\System32\DRIVERS\NNSNAHSL.sys
C:\Windows\System32\DRIVERS\NNSPicc.sys
C:\Windows\System32\DRIVERS\NNSPihsw.sys
C:\Windows\System32\DRIVERS\NNSPop3.sys
C:\Windows\System32\DRIVERS\NNSProt.sys
C:\Windows\System32\DRIVERS\NNSPrv.sys
C:\Windows\System32\DRIVERS\NNSSmtp.sys
C:\Windows\System32\DRIVERS\NNSStrm.sys
C:\Windows\System32\DRIVERS\NNSTlsc.sys
C:\Windows\System32\DRIVERS\PSINAflt.sys
C:\Windows\System32\DRIVERS\PSINFile.sys
C:\Windows\System32\DRIVERS\psinknc.sys
C:\Windows\System32\DRIVERS\PSINProc.sys
C:\Windows\System32\DRIVERS\PSINProt.sys
C:\Windows\System32\DRIVERS\PSINReg.sys
C:\Windows\System32\DRIVERS\PSKMAD.sys
EmptyEventLogs:
EmptyTemp:
END::


W FRST kliknij na Fix (NAPRAW).

 

==================

Cytat

Error: (06/01/2022 02:39:06 PM) (Source: WinMgmt) (EventID: 10) (User: )
Description: Event filter with query "SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA "Win32_Processor" AND TargetInstance.LoadPercentage > 99" could not be reactivated in namespace "//./root/CIMV2" because of error 0x80041003. Events cannot be delivered through this filter until the problem is corrected.

Do Notatnika wklej:

Spoiler

strComputer = "."

Set objWMIService = GetObject("winmgmts:" _
& "{impersonationLevel=impersonate}!\\" _
& strComputer & "\root\subscription")

Set obj1 = objWMIService.ExecQuery("select * from __eventfilter where name='BVTFilter' and query='SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA ""Win32_Processor"" AND TargetInstance.LoadPercentage > 99'")

For Each obj1elem in obj1

set obj2set = obj1elem.Associators_("__FilterToConsumerBinding")

set obj3set = obj1elem.References_("__FilterToConsumerBinding")

For each obj2 in obj2set

WScript.echo "Deleting the object"

WScript.echo obj2.GetObjectText_

obj2.Delete_

next

For each obj3 in obj3set

WScript.echo "Deleting the object"

WScript.echo obj3.GetObjectText_

obj3.Delete_

next

WScript.echo "Deleting the object"

WScript.echo obj1elem.GetObjectText_

obj1elem.Delete_

Next


Z Menu Notatnika >> Plik >> Zapisz jako >> Ustaw rozszerzenie na Wszystkie pliki >> Zapisz jako> Workaround.vbs>>

Zamknij Notatnik.

Plik uruchom (dwuklik i OK).

 

jessi

Odnośnik do komentarza
MarioBluesBrothers

MarioBluesBrothers

Opublikowano
  • Autor
Opublikowano

Piękne dzięki za pomoc 😊

FRST uruchomiona naprawa i ok. Skrypt skopiowany do notatnika, zapisany i uruchomiony - wyrzuca błąd (załacznik jpg). System zrestartowany nadal nie uruchamia przy starcie ESET Internet Security ( ręcznie po uruchomieniu Win z ikony odpala). Adguard nie startuje, nie mogę go zlokalizować w systemie, a przy próbie instalacji daje komunikat, że jest już zainstalowany sic... Załączam ponownie nowe logi z FRST. Pozdrawiam. Mario

Access denied.jpg

Addition.txt FRST.txt Fixlog.txt

Odnośnik do komentarza
jessica

jessica

Opublikowano
Opublikowano
Cytat

Adguard nie startuje, nie mogę go zlokalizować w systemie

Teoretycznie powinien być w C:\Program Files

Może byś jako

AdGuard lub {aa20a42b-6cff-4300-aa71-505c4a58c8be}

 

W logach nie widzę niczego podejrzanego.

 

Error: (06/01/2022 07:42:28 PM) (Source: WinMgmt) (EventID: 10) (User: )

Ponieważ naprawa prze pomocy skryptu nie powiodła się, to spróbujemy to zrobić przy pomocy narzędzia  Microsoftu:

Ściągnij MicrosoftFixit50688.msi stąd > http://www.mediafire.com/download/6hwcm6b77098cbb/MicrosoftFixit50688.msi
i go uruchom jako Administator.

 

jessi

 

Odnośnik do komentarza

Jeśli chcesz dodać odpowiedź, zaloguj się lub zarejestruj nowe konto

Jedynie zarejestrowani użytkownicy mogą komentować zawartość tej strony.

Zarejestruj nowe konto

Załóż nowe konto. To bardzo proste!

Zarejestruj się

Zaloguj się

Posiadasz już konto? Zaloguj się poniżej.

Zaloguj się
Tematy

  • Ostatnio przeglądający   0 użytkowników

    • Brak zarejestrowanych użytkowników przeglądających tę stronę.
×
×
  • Dodaj nową pozycję...