Malwarebytes blokuje podejrzany adres

[zazul]

Dzień dobry,

10-letni laptop Lenovo E-540, win 10. Przeszedł różne bitwy, przynajmniej raz klonowanie dysku HDD->SSD, ale zachowywał się zadziwiająco przyzwoicie. Raczej nie było żadnych piratów, ale co do przeglądarek to ciekawość nosiła po różnych zakamarkach. Firefox używany z NoScript, ostatnio także z uBlock Origin. Jest też zainstalowany Malwarebytes (darmowy), który co jakiś czas proponuje okres próbny dla nowej wersji.

Kilka miesięcy temu po podwyżkach cen energii ustawiłem komputer na usypianie do hibernacji. Był problem ze wstawaniem systemu z hibernacji - brak POST, tylko czarny ekran i podświetlenie. Po Wyłączeniu laptopa ponowny start przebiega poprawnie, wszystko wydaje się przywrócone, więc nie walczyłem z tym.

Jakaś podejrzana witryna nie za bardzo działała pod firefoxem, więc mnie podkusiło użyć Edga. Mam wrażenie (ale głowy nie dam), że wtedy zaczęły się problemy. Na początku zaczęły się mnożyć procesy Mbambgnativemsg.exe. Forum Malwarebytes coś pisało o związku z Edge, ale mętnie, wymiękłem przy próbach rozwiązania sprawy.

Były skany MS Defenderem i darmowym Malwarebytes, nic nie znaleziono.

Test SMART dysku z poziomu BIOS - OK.

Potem zrobiło się niedobrze, próby uruchomienia niektórych programów kończyły się niczym, a przynajmniej ja nie widziałem reakcji, restart sytemu trwał coraz dłużej, a potem w ogóle udawał się raz na kilka razy (zawis z napisem "restarting", ale nie dochodziło do fazy BIOSu). Wprawdzie pliki robocze były zabezpieczone na OneDrive, ale nie chciałem tracić 10-letniego systemu. Miesiąc temu zresetowałem telefon i nadal klnę w żywy kamień bo co chwilę jakaś apka piszczy o zalogowanie. Kilka dni kopałem się z urządzeniem - sfc, próby backupu zakończone failem, nawet próba reinstalacji/upgrade windows. Ta ostatnia też się nie udała, ale chyba coś nadpisała, bo komputer znowu śmiga, restarty przechodzą bez zająknięcia, udało się rozwiązać problemy z backupem systemu (zastrzeżona partycja systemowa wilekości 50 MB. Wykorzystałem nieużywany ogon dysku 500 MB i backup się wykonuje).

Teraz Malwarebytes znowu zaproponował okres próbny Real Time Protection, była też opcja wykrywania rootkitów. Nic nie wykrył, ale zaczął zgłaszać podejrzane strony, albo wręcz takie z trojanem. Niepokoi mnie bardzo, że w większości procesem odwołującym się do tych adresów jest svchost.exe. Zauważyłem, że w historii MB są analogiczne zapisy z poprzednich okresów aktywności jego pełnej wersji.

Bardzo bym prosił o ocenę, czy te odwołania do podejrzanych adresów są normalne, czy też mam jakiegoś karalucha. Zajrzałem do logów FRST i zwątpiłem. Jak Wy tam w ogóle możecie cokolwiek wypatrzeć?! Cyborgi, jak pragnę zdrowia, czapki z głów ..

 

Cytat

Addition.txt FRST.txt Shortcut.txt

[Illidan]

To że Malwaresbytes co jakiś czas proponuje przejście z trybu darmowego na płatny, jest normalne. To normalne. Co do dysku, mówisz że S.M.A.R.T. masz ok, a mógłbyś pokazać jakieś screeny? Chętnie bym się przyjrzał jak to wygląda. Może z darmowego Crystal Disk Info. Mówisz że są problemy z backupem, gdzie robisz ten backup i jakim programem?

[zazul]

Tak wiem, i korzystam z okresu próbnego zawartego w tych propozycjach.. Chodzi mi o to, że (ograniczona czasowo) pełna wersja wychwytuje połączenia do podejrzanych adresów. Jakiś proces robi to na konto hosta usług svchost.exe, a to nie może być dobre.

 

Informacja o poprawnym SMART była z poziomu testów w BIOS po przerwaniu sekwencji startu. Załączam screeny, oraz screen CrystalDiskInfo z poziomu winzgrozy.

 

Backup to windowsowa "kopia zapasowa i przywracanie (Windows 7)". Zaznaczony jest dysk C oraz obraz systemu. W okresie kiedy system wierzgał, backup mielił wiele godzin, i kończył z failem. Po próbie reinstalacji windows, która też poległa, ale po niej system zaczął śmigać, backup nadal się nie wykonywał, ale numer błędu był inny. Wyczytałem że chodzi o zbyt małą partycję startową (50MB). Przeniosłem wg opisu i teraz jest dobrze, backup się wykonuje. Miejsce to dysk USB Y:, ten który w CrystalDiskInfo nie ma żadnych uwag.

 

Z problemów pozostało jedynie te odwołania do podejrzanych stron przez svchost.exe oraz wstawanie z hibernacji w kratkę, ale to już mniej istotne, jakiś drajwer pewnie niedorobiony.

 

Cytat

 

[Illidan]

Dysk systemowy masz ok. 

Co do problemów z hibernacja, to tu dobrze by było uaktualnić wszystkie sterowniki w systemie jak i sam BIOS o ile jest nowsza wersja. Sterowniki możesz próbować aktualizować ręcznie, pobierając je odpowiednio że stron producentów podzespołów komputera, lub użyć programu do tego, jak np. darmowy "DriverCloud".

Logi sprawdzę dziś wieczorem jeśli nikt tego nie zrobi wcześniej.

Uruchom FRST. Skopiuj zawartość podaną niżej i nigdzie nie wklejaj-FRST sam znajdzie "fixlist" w schowku systemowym.

 

Spoiler

Start::
C:\Users\Administrator\Links\Desktop.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\AutoCAD 2023 - English\License Transfer Utility - AutoCAD 2023.lnk
C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\OneDrive.lnk
C:\Users\Grzegorz\AppData\Roaming\Microsoft\Word\CV-Kusmierz-pl%202024-08-12311477871631145234\CV-Kusmierz-pl%202024-08-12.doc.lnk
C:\Users\Grzegorz\AppData\Roaming\Microsoft\Word\CV-Kusmierz-en%202024-08-12311477772283128385\CV-Kusmierz-en%202024-08-12.doc.lnk
C:\Users\Grzegorz\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Amazon\Amazon Kindle\Kindle.lnk
C:\Users\Grzegorz\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Amazon\Amazon Kindle\Uninstall Kindle.lnk
HKLM\SYSTEM\...\Terminal Server: [fDenyTSConnections] = 0 <==== UWAGA
HKU\S-1-5-21-2027166484-3782133906-805342782-1001\...\Run: [Epson Stylus Photo P50] => C:\Windows\system32\spool\DRIVERS\x64\3\E_IATIFFE.EXE [223232 2008-10-09] (Microsoft Windows Hardware Compatibility Publisher -> SEIKO EPSON CORPORATION) <==== UWAGA
HKU\S-1-5-21-2027166484-3782133906-805342782-1001\...\Run: [com.messenger] => "C:\Users\Grzegorz\AppData\Local\Programs\Messenger\Messenger.exe" messenger://openAtLogin (Brak pliku)
HKU\S-1-5-21-2027166484-3782133906-805342782-1001\...\Policies\Explorer: [] 
GroupPolicy: Ograniczenia ? <==== UWAGA
Policies: C:\ProgramData\NTUSER.pol: Ograniczenia <==== UWAGA
Task: {DBDAE263-5429-454F-B9ED-651B26F404E8} - System32\Tasks\IUM-F1E24CA0-B63E-4F13-A9E3-4ADE3BFF3473 => C:\Program Files (x86)\Intel\Intel(R) Update Manager\bin\iumsvc.exe  --automatic (Brak pliku)
Task: {1555B8C6-14AA-4CDE-9E97-82CC362AE5B9} - System32\Tasks\Lenovo\Vantage\Schedule\BatteryGaugeAddinDailyScheduleTask => C:\Program Files (x86)\Lenovo\VantageService\3.13.43.0\ScheduleEventAction.exe  BatteryGaugeAddinDailyScheduleTask (Brak pliku)
Task: {356BBD18-2B5C-4951-86B4-883B7A477B24} - System32\Tasks\Lenovo\Vantage\Schedule\Lenovo.Vantage.SmartPerformance.SScan => C:\Program Files (x86)\Lenovo\VantageService\3.13.43.0\ScheduleEventAction.exe  Lenovo.Vantage.SmartPerformance.SScan (Brak pliku)
Task: {68E97DD3-F214-42AD-BD02-A7E0EFD0EBD4} - System32\Tasks\Lenovo\Vantage\Schedule\NotificationCenter => C:\Program Files (x86)\Lenovo\VantageService\3.13.72.0\ScheduleEventAction.exe  NotificationCenter (Brak pliku)
Task: {216588B8-EB41-4B9E-A9B7-1C30805D7C50} - System32\Tasks\Lenovo\Vantage\Schedule\SmartLock.ExpireReminder => C:\Program Files (x86)\Lenovo\VantageService\4.0.52.0\ScheduleEventAction.exe  SmartLock.ExpireReminder (Brak pliku)
FF Extension: (Asystent zakupów AliPrice dla Amazon) - C:\Users\Grzegorz\AppData\Roaming\Mozilla\Firefox\Profiles\27bx41zc.default-release\Extensions\jid2-kOqZHmOwLzTaFg@Amazon.xpi [2022-02-16] [UpdateUrl:hxxps://www.aliprice.com/extension_page/amazon/updates.json]
FF Plugin-x32: @foxitsoftware.com/Foxit PhantomPDF Plugin,version=1.0,application/vnd.cpdf -> C:\Program Files (x86)\Foxit Software\Foxit PDF Editor\plugins\npFoxitPDFEditorPlugin.dll [Brak pliku]
FF Plugin-x32: @foxitsoftware.com/Foxit PhantomPDF Plugin,version=1.0,application/vnd.xdp -> C:\Program Files (x86)\Foxit Software\Foxit PDF Editor\plugins\npFoxitPDFEditorPlugin.dll [Brak pliku]
FF Plugin-x32: @foxitsoftware.com/Foxit PhantomPDF Plugin,version=1.0,application/vnd.xfdf -> C:\Program Files (x86)\Foxit Software\Foxit PDF Editor\plugins\npFoxitPDFEditorPlugin.dll [Brak pliku]
CHR StartupUrls: Default -> "hxxp://mysearch.avg.com?cid={CC3CD367-E553-4455-8810-CCD1DD383C10}&mid=593055d7b0a747d2adb9d150dfae89cc-b7226b32a50fce3b1df6912c8b62b68c4b0f6924&lang=en&ds=es011&coid=avgtbdises&cmpid=&pr=sa&d=2014-01-16 12:00:55&v=17.3.1.91&pid=safeguard&sg=&sap=hp"
S2 OptionsPlusUpdaterService; "C:\Program Files\LogiOptionsPlus\logioptionsplus_updater.exe" --run-as-service [X]
R3 ALSysIO; C:\Users\Grzegorz\AppData\Local\Temp\ALSysIO64.sys [43528 2025-01-16] (Microsoft Windows Hardware Compatibility Publisher -> Arthur Liberman) <==== UWAGA
S3 semav6msr64; \??\C:\WINDOWS\system32\drivers\semav6msr64.sys [X]
CustomCLSID: HKU\S-1-5-21-2027166484-3782133906-805342782-1001_Classes\CLSID\{14100442-9664-1407-2647-000000000000}\localserver32 -> "C:\Users\Grzegorz\AppData\Local\Wondershare\Wondershare NativePush\WsToastNotification.exe" -ToastActivated => Brak pliku
CustomCLSID: HKU\S-1-5-21-2027166484-3782133906-805342782-1001_Classes\CLSID\{84B5A313-CD5D-4904-8BA2-AFDC81C1B309}\InprocServer32 -> C:\Users\Grzegorz\AppData\Local\GoToMeeting\19950\G2MOutlookAddin64.dll => Brak pliku
ContextMenuHandlers5: [igfxcui] -> {3AB1675A-CCFF-11D2-8B20-00A0C93CB1F4} =>  -> Brak pliku
AlternateDataStreams: C:\Windows:CM_2a732c3f1e3eb40b63fe062d0180f157c71684af0a0442ab953224075801bb78 [74]
AlternateDataStreams: C:\Windows:CM_bf41c588bad5a092a453669c0d3c66d1ec2c072fbf5c15cc6acda24c9e4d0955 [74]
AlternateDataStreams: C:\Users\Grzegorz\Downloads\calibre-64bit-6.15.1.msi:MBAM.Zone.Identifier [142]
AlternateDataStreams: C:\Users\Grzegorz\Downloads\calibre-64bit-7.24.0.msi:MBAM.Zone.Identifier [596]
AlternateDataStreams: C:\Users\Grzegorz\Downloads\LibreOffice_24.8.4_Win_x86-64.msi:MBAM.Zone.Identifier [134]
AlternateDataStreams: C:\Users\Grzegorz\Downloads\LibreOffice_24.8.4_Win_x86-64_helppack_en-US.msi:MBAM.Zone.Identifier [202]
AlternateDataStreams: C:\Users\Grzegorz\Downloads\LibreOffice_24.8.4_Win_x86-64_helppack_pl.msi:MBAM.Zone.Identifier [199]
FirewallRules: [UDP Query User{94AFB3CC-F6AD-4483-A8C1-2C4EE00A88BC}C:\users\grzegorz\appdata\local\tidal\app-2.35.0\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.35.0\tidal.exe => Brak pliku
FirewallRules: [TCP Query User{C32EE03B-0574-4CD6-8DF3-E143206E8D55}C:\users\grzegorz\appdata\local\tidal\app-2.35.0\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.35.0\tidal.exe => Brak pliku
FirewallRules: [UDP Query User{707F9544-0191-4DEB-9FC1-A41929D7C907}C:\users\grzegorz\appdata\local\temp\microsoftedgedownloads\ba249f09-6dbd-4b8b-8ef8-cd66827c7353\winbox64.exe] => (Allow) C:\users\grzegorz\appdata\local\temp\microsoftedgedownloads\ba249f09-6dbd-4b8b-8ef8-cd66827c7353\winbox64.exe => Brak pliku
FirewallRules: [TCP Query User{A937BE54-AA04-4BAD-B779-2649E7772489}C:\users\grzegorz\appdata\local\temp\microsoftedgedownloads\ba249f09-6dbd-4b8b-8ef8-cd66827c7353\winbox64.exe] => (Allow) C:\users\grzegorz\appdata\local\temp\microsoftedgedownloads\ba249f09-6dbd-4b8b-8ef8-cd66827c7353\winbox64.exe => Brak pliku
FirewallRules: [UDP Query User{E1F09228-DCE4-421B-99C6-54D1A12C1690}C:\users\grzegorz\appdata\local\tidal\app-2.34.5\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.34.5\tidal.exe => Brak pliku
FirewallRules: [TCP Query User{30D8B06E-4C73-4205-811E-4374C95E9DC1}C:\users\grzegorz\appdata\local\tidal\app-2.34.5\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.34.5\tidal.exe => Brak pliku
FirewallRules: [UDP Query User{A9712834-B70C-417E-B7DE-1E244623C626}C:\users\grzegorz\appdata\local\tidal\app-2.34.3\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.34.3\tidal.exe => Brak pliku
FirewallRules: [TCP Query User{1DD23F84-5B7D-41D7-8439-2471D2317E52}C:\users\grzegorz\appdata\local\tidal\app-2.34.3\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.34.3\tidal.exe => Brak pliku
FirewallRules: [UDP Query User{0690E799-3B62-42E7-A78E-60E2CB0DA4EE}C:\users\grzegorz\appdata\local\discord\app-1.0.9013\discord.exe] => (Allow) C:\users\grzegorz\appdata\local\discord\app-1.0.9013\discord.exe => Brak pliku
FirewallRules: [TCP Query User{A084F309-0817-41B7-BF51-04A506C17F3D}C:\users\grzegorz\appdata\local\discord\app-1.0.9013\discord.exe] => (Allow) C:\users\grzegorz\appdata\local\discord\app-1.0.9013\discord.exe => Brak pliku
FirewallRules: [{152555DE-ADAA-4B11-93F1-8088527B4ECD}] => (Block) C:\users\grzegorz\appdata\local\tidal\app-2.34.2\tidal.exe => Brak pliku
FirewallRules: [{9B7F6FC8-1CEA-46FE-8A27-987749C5F817}] => (Block) C:\users\grzegorz\appdata\local\tidal\app-2.34.2\tidal.exe => Brak pliku
FirewallRules: [UDP Query User{860187FC-BB30-451E-979B-5343CC298C9A}C:\users\grzegorz\appdata\local\tidal\app-2.34.2\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.34.2\tidal.exe => Brak pliku
FirewallRules: [TCP Query User{08DB4493-8F61-47C9-8724-5BBAD2224B91}C:\users\grzegorz\appdata\local\tidal\app-2.34.2\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.34.2\tidal.exe => Brak pliku
FirewallRules: [UDP Query User{A5681EC8-CB2B-4DDD-8D76-F3689B8725F8}C:\users\grzegorz\appdata\local\tidal\app-2.33.2\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.33.2\tidal.exe => Brak pliku
FirewallRules: [TCP Query User{08BD7076-6A1B-4750-99A0-A4334FEDAFC4}C:\users\grzegorz\appdata\local\tidal\app-2.33.2\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.33.2\tidal.exe => Brak pliku
FirewallRules: [UDP Query User{608CBAF5-F590-45FA-AED2-1782418CC9B8}C:\users\grzegorz\appdata\local\tidal\app-2.32.0\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.32.0\tidal.exe => Brak pliku
FirewallRules: [TCP Query User{F71F848F-43A0-4E99-BCAA-DD2E8CFE9FA6}C:\users\grzegorz\appdata\local\tidal\app-2.32.0\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.32.0\tidal.exe => Brak pliku
FirewallRules: [UDP Query User{99F84432-BB96-4342-BFA6-7E303863F390}C:\users\grzegorz\appdata\local\tidal\app-2.31.2\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.31.2\tidal.exe => Brak pliku
FirewallRules: [TCP Query User{01F50888-F6F0-40D4-9C87-2D8189D15EEB}C:\users\grzegorz\appdata\local\tidal\app-2.31.2\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.31.2\tidal.exe => Brak pliku
FirewallRules: [{76DD3692-2DE6-4573-AD54-E930B85D9C51}] => (Allow) C:\Program Files\LogiOptionsPlus\logioptionsplus_agent.exe => Brak pliku
FirewallRules: [UDP Query User{873363D6-139B-41C3-8867-FBA62E90CA5B}C:\users\grzegorz\appdata\local\tidal\app-2.30.4\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.30.4\tidal.exe => Brak pliku
FirewallRules: [TCP Query User{295B438B-9195-4CC9-A50B-39C0970E7559}C:\users\grzegorz\appdata\local\tidal\app-2.30.4\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.30.4\tidal.exe => Brak pliku
FirewallRules: [{E5F7B23B-4806-4934-8D77-5C9C936A0E5E}] => (Block) C:\users\grzegorz\appdata\local\tidal\app-2.30.1\tidal.exe => Brak pliku
FirewallRules: [{A2CAC2D8-5D8C-4055-BFCF-77D1E7D3B6F3}] => (Block) C:\users\grzegorz\appdata\local\tidal\app-2.30.1\tidal.exe => Brak pliku
FirewallRules: [UDP Query User{2282FF61-2A80-4A8B-8C7A-861615712757}C:\users\grzegorz\appdata\local\tidal\app-2.30.1\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.30.1\tidal.exe => Brak pliku
FirewallRules: [TCP Query User{F8DADBA2-87CB-4C08-9148-0BE8DD0C4E23}C:\users\grzegorz\appdata\local\tidal\app-2.30.1\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.30.1\tidal.exe => Brak pliku
FirewallRules: [{379B530D-889E-4EBF-B8E1-17C2CACC9DB0}] => (Block) C:\users\grzegorz\appdata\local\tidal\app-2.30.0\tidal.exe => Brak pliku
FirewallRules: [{9495E95B-6BC7-414D-83DB-506D1B9EC7CD}] => (Block) C:\users\grzegorz\appdata\local\tidal\app-2.30.0\tidal.exe => Brak pliku
FirewallRules: [UDP Query User{BB3EC89C-9AA7-4F60-8FA9-4F22A229F63C}C:\users\grzegorz\appdata\local\tidal\app-2.30.0\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.30.0\tidal.exe => Brak pliku
FirewallRules: [TCP Query User{48B4EA94-FCA6-4F5A-AE3D-6B361C08276C}C:\users\grzegorz\appdata\local\tidal\app-2.30.0\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.30.0\tidal.exe => Brak pliku
FirewallRules: [UDP Query User{80DC9443-10C0-441F-8DF8-821B3F089DC2}C:\users\grzegorz\appdata\local\tidal\app-2.29.7\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.29.7\tidal.exe => Brak pliku
FirewallRules: [TCP Query User{43A403E8-AD12-4D7B-8550-27D69ABB7499}C:\users\grzegorz\appdata\local\tidal\app-2.29.7\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.29.7\tidal.exe => Brak pliku
FirewallRules: [{04AEFBB3-DE8D-45DE-BD7C-8AC3AE791BA1}] => (Allow) C:\Program Files (x86)\BARROT Corporation\BRLink\iBridgeCS.exe => Brak pliku
FirewallRules: [{634E7E92-204E-4EE4-AE6D-6365788087AD}] => (Allow) C:\Program Files (x86)\BARROT Corporation\BRLink\iBridgeCS.exe => Brak pliku
FirewallRules: [{77DEC6C3-A132-44E6-B712-49B1048317E6}] => (Allow) C:\Program Files\KeyShot5\bin\keyshot_daemon.exe => Brak pliku
FirewallRules: [{C516A280-0D90-4E71-9058-9E3D54DACADC}] => (Allow) C:\Program Files\KeyShot5\bin\keyshot_daemon.exe => Brak pliku
FirewallRules: [{F7BF9EAC-1EF1-4DF3-91DC-E9F1A3BBF8BE}] => (Allow) C:\Program Files\uvnc bvba\UltraVNC\winvnc.exe => Brak pliku
FirewallRules: [{CE622F0F-33E5-4BFC-AD85-57D3110661F2}] => (Allow) C:\Program Files\uvnc bvba\UltraVNC\winvnc.exe => Brak pliku
FirewallRules: [UDP Query User{7C20C415-4C0D-4A5A-A0FB-C57107CFEF64}C:\users\grzegorz\appdata\local\tidal\app-2.28.0\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.28.0\tidal.exe => Brak pliku
FirewallRules: [TCP Query User{C77D1EC0-13F2-4193-93B5-052C0ABEDFA9}C:\users\grzegorz\appdata\local\tidal\app-2.28.0\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.28.0\tidal.exe => Brak pliku
FirewallRules: [{5369B9CC-154F-4668-BE8A-B0F73C7D735B}] => (Allow) C:\Program Files\LogiOptionsPlus\logioptionsplus_agent.exe => Brak pliku
FirewallRules: [{914D4A67-5071-4AB3-B208-8B005B0DC5ED}] => (Allow) C:\Program Files\LogiOptionsPlus\logivoice\logioptionsplus_logivoice => Brak pliku
FirewallRules: [TCP Query User{9C6240D8-B7C6-4CE0-BC46-09713696E0C8}C:\users\grzegorz\appdata\local\tidal\app-2.36.2\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.36.2\tidal.exe => Brak pliku
FirewallRules: [UDP Query User{226C53FC-28BF-45E6-B93C-8D7C3CE3B7C7}C:\users\grzegorz\appdata\local\tidal\app-2.36.2\tidal.exe] => (Allow) C:\users\grzegorz\appdata\local\tidal\app-2.36.2\tidal.exe => Brak pliku
FirewallRules: [TCP Query User{E85E52FD-6EC0-49C0-958C-4D289EDE3191}C:\users\grzegorz\appdata\local\wondershare\wondershare nativepush\wstoastnotification.exe] => (Allow) C:\users\grzegorz\appdata\local\wondershare\wondershare nativepush\wstoastnotification.exe => Brak pliku
FirewallRules: [UDP Query User{5881B93D-CB3D-4A69-A9DE-8573D4A2C08D}C:\users\grzegorz\appdata\local\wondershare\wondershare nativepush\wstoastnotification.exe] => (Allow) C:\users\grzegorz\appdata\local\wondershare\wondershare nativepush\wstoastnotification.exe => Brak pliku
FirewallRules: [{9A038742-4C00-49D3-A5F0-BF5877B81581}] => (Block) C:\users\grzegorz\appdata\local\wondershare\wondershare nativepush\wstoastnotification.exe => Brak pliku
FirewallRules: [{6F1B1E9F-EDE4-40E3-B10B-8DF1622037F4}] => (Block) C:\users\grzegorz\appdata\local\wondershare\wondershare nativepush\wstoastnotification.exe => Brak pliku
FirewallRules: [{CDD02CC7-8931-4A84-9B83-99C7C58CC53F}] => (Allow) C:\Users\Grzegorz\AppData\Local\Temp\7zS1677\HPDiagnosticCoreUI.exe => Brak pliku
FirewallRules: [{902930C4-860F-4752-9CCD-D9D3322FEC3D}] => (Allow) C:\Users\Grzegorz\AppData\Local\Temp\7zS1677\HPDiagnosticCoreUI.exe => Brak pliku
FirewallRules: [TCP Query User{E3A1B93D-C959-4A49-906E-B08D987FB91A}C:\users\grzegorz\appdata\local\temp\microsoftedgedownloads\8234adc3-1580-47f7-9d98-27b1a4c19009\winbox64.exe] => (Allow) C:\users\grzegorz\appdata\local\temp\microsoftedgedownloads\8234adc3-1580-47f7-9d98-27b1a4c19009\winbox64.exe => Brak pliku
FirewallRules: [UDP Query User{5F2D5BC7-EB50-4FE0-AF25-FB20FFA51AEF}C:\users\grzegorz\appdata\local\temp\microsoftedgedownloads\8234adc3-1580-47f7-9d98-27b1a4c19009\winbox64.exe] => (Allow) C:\users\grzegorz\appdata\local\temp\microsoftedgedownloads\8234adc3-1580-47f7-9d98-27b1a4c19009\winbox64.exe => Brak pliku
FirewallRules: [TCP Query User{6E08269B-33C6-443D-868B-50AFFD9A18F8}C:\users\grzegorz\downloads\---\winbox64.exe] => (Allow) C:\users\grzegorz\downloads\---\winbox64.exe => Brak pliku
FirewallRules: [UDP Query User{9EB71A34-8F94-4736-9B5A-1B5212D13E54}C:\users\grzegorz\downloads\---\winbox64.exe] => (Allow) C:\users\grzegorz\downloads\---\winbox64.exe => Brak pliku
FirewallRules: [{CAE8BDC9-3609-42AD-9754-949F68B840BD}] => (Allow) C:\Program Files\WindowsApps\Microsoft.SkypeApp_15.128.3207.0_x64__kzf8qxf38zg5c\Skype\Skype.exe => Brak pliku
FirewallRules: [{54DE73BC-6581-41D1-AEDB-C95128F8F086}] => (Allow) C:\Program Files\WindowsApps\Microsoft.SkypeApp_15.128.3207.0_x64__kzf8qxf38zg5c\Skype\Skype.exe => Brak pliku
FirewallRules: [{1C96437D-35F9-459F-BD3E-2D06E71E13B6}] => (Allow) C:\Program Files\WindowsApps\Microsoft.SkypeApp_15.128.3207.0_x64__kzf8qxf38zg5c\Skype\Skype.exe => Brak pliku
FirewallRules: [{475C53BD-36DB-40A6-B890-2C9479E5FDAF}] => (Allow) C:\Program Files\WindowsApps\Microsoft.SkypeApp_15.128.3207.0_x64__kzf8qxf38zg5c\Skype\Skype.exe => Brak pliku
FirewallRules: [{A221704C-0A20-45F5-AAEF-ED319DB1C48F}] => (Allow) C:\Program Files\WindowsApps\Microsoft.SkypeApp_15.132.3201.0_x64__kzf8qxf38zg5c\Skype\Skype.exe => Brak pliku
FirewallRules: [{296CE573-32DE-47BA-9DC7-98446165CB4B}] => (Allow) C:\Program Files\WindowsApps\Microsoft.SkypeApp_15.132.3201.0_x64__kzf8qxf38zg5c\Skype\Skype.exe => Brak pliku
FirewallRules: [{7FB60C03-7B56-47BF-AD7F-EECBC03910D3}] => (Allow) C:\Program Files\WindowsApps\Microsoft.SkypeApp_15.132.3201.0_x64__kzf8qxf38zg5c\Skype\Skype.exe => Brak pliku
FirewallRules: [{F8B3C7B2-AB9D-4B52-881E-940BE3F8082B}] => (Allow) C:\Program Files\WindowsApps\Microsoft.SkypeApp_15.132.3201.0_x64__kzf8qxf38zg5c\Skype\Skype.exe => Brak pliku
CreateRestorePoint:
EmptyTemp:
End::

Fixlist przeznaczona tylko dla autora tematu!

W FRST kliknij opcję "Napraw" (Fix). Pokaż raport  "fixlog.txt", który otrzymasz po restarcie komputera. Pobierz darmowy "ADWCleaner" i tak samo, skanowanie, usuwanie jeśli coś zostanie wykryte, pokaż raport z usuwania.

[zazul]

Zrobione. FRST wylogował mnie z serwisów w przeglądarce, i usunął niektóre programy, m.in. MikroTikowy Winbox. ADWCleaner znalazł jakieś pozostałości oraz preinstalowane programy Lenovo, ale tego nie wyrzucałem. Czy w tych działaniach został znaleziony jakiś szkodnik, odpowiedzialny za odwołania do podejrzanych adresów?

Fixlog.txt AdwCleaner[S00].txt AdwCleaner[C00].txt

[Illidan]

W zasadzie nic takiego w logach nie widze co by odwoływało gdzieś do podejrzanych adresów, było trochę niepotrzebnych rzeczy w Windows, pozostałości po programach i usługach. Odchudziliśmy  system z tego. Co do tej aplikacji "MikroTikowy Winbox" to nie widze nic co w logach było by z nią bezposrednio powiązane że przestała działać, chyba ze jakaś usługa. W logach nic nie było bezpostrednio dodane usuwające ta aplikację.

Jak ogólnie zachowuje sie system teraz?

[zazul]

Winbox to program do zarządzania ruterami MikroTik-a. Coś tam FRST wyżynał. Wydaje mi się, że miałem go tu zainstalowanego, ale to żaden problem, będzie potrzebny to się powtórzy.

Hibernacja nadal w kratkę, ale walczył nie będę. Szansa na zwycięstwo w wojnie sterowników jest taka sama jak na totalny rozpierdziel, więc zostawię to, za mało dokuczliwe żeby ryzykować.

Poza tym nie mam żadnych zastrzeżeń do zachowania systemu. Działa gładko i szybko. Szkoda tylko, że skończył się okres próbny Malwarebytes i nie będzie już powiadomień o podejrzanych stronach, jeśli odwołania się jeszcze zdarzą. Może mógłbyś wskazać jakiegoś firewalla z podobną funkcjonalnością?