Toshiba Win7 - Svchost.com - jak usunąć ciągłe pytania o zmiany?

Witam.
Zainstalowałem na laptopie Win7 oryginał oczywiście wersja 64.
Od początku cały czas przy odpalaniu dowolnego programu jak i po starcie systemu wyskakuje okno z pytaniem czy zezwolić programowi Svchost.com na wprowadzenie zmian na komputerze. Co to jest? Jak to wywalić?
Program-plik jest w katalogu Windowsa a po jego wywaleniu i próbie włączenia np Firefoxa system pyta jakiego programu użyć do otwarcia tego programu WTF???

Czytałem w necie że ludzie mają problemy z tym Svchost-em ale im obciąża procesor i zżera pamięć ale u mnie tego nie ma po za tymi ciągłymi pytaniami.

Uzyj AdwCleaner, opcja Scan i Clean/Szukaj i Usun: http://www.bleepingcomputer.com/download/adwcleaner/

Zamiesc w zalaczniku logi z FRST (Frst.txt oraz Addition.txt):
http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/

Zrob pelny skan przy pomocy Mbam i usun to co wykryje:
http://www.bleepingcomputer.com/download/malwarebytes-anti-malware/

A więc AdwCleaner nie wykrył nic ale Mbam znalazł 5szt jakiegoś świństwa w tym svchost. Usunięte zostało wszystko. Problem znikł.

A teraz pytanie. System oryginał zainstalowany a więc skąd wziął się ten syf?

Zamiesc logi z FRST.

Np. z pendrive'a, ale nie ma sensu zgadywac, tym bardziej, ze juz czesc usunales.

FRST nie idzie potrzebna wersja 64.
A pendriva można czymś przeskanować?

pier napisał:

FRST nie idzie potrzebna wersja 64.

Pobierz Farbar Recovery Scan Tool http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/ zgodny z wersją systemu 32-bit lub 64-bit.
Uruchom FRST i kliknij "Scan". Wstaw raport FRST i Addition jako załączniki.

Tutaj masz 64

A przepraszam nie zauważyłem że są dwie opcje pobierania.

Dodano po 4 [minuty]:

No i mam te raporty.

Tak jak pisalem wczesniej, musiales podlaczyc do komputera zainfekowany nosnik, to ta infekcja:
http://www.wiruspc.pl/encyclopedia/newexe/id,12339/virus.win32.neshta.a.html

Obok frst.exe utworz pliK Fixlist.txt z zawartoscia:
Task: {BF0ED768-FE3B-4075-BB99-0F17E6618B2C} - System32\Tasks\{2ED14423-EA7E-44A7-A6CD-CA5F8B1FCB59} => pcalua.exe -a C:\Windows\svchost.com -d "C:\Program Files (x86)\Mozilla Firefox" -c "C:\PROGRA~2\MOZILL~1\firefox.exe"
S2 InstallerService; "C:\Program Files\TrueKey\Mcafee.TrueKey.InstallerService.exe" [X]
2016-07-28 22:14 - 2016-07-28 22:14 - 00000000 ____D C:\AdwCleaner
2016-07-28 08:38 - 2016-07-28 08:38 - 00003202 _____ C:\Windows\System32\Tasks\{2ED14423-EA7E-44A7-A6CD-CA5F8B1FCB59}
2016-07-28 00:21 - 2016-07-28 22:19 - 00000082 _____ C:\Windows\directx.sys
2016-07-28 00:11 - 2016-07-28 00:11 - 00000000 ____D C:\Users\piotr\AppData\Roaming\WinBatch
EmptyTemp:

W FRST wybierz Napraw.

Zrobiłem jak Napisałeś.
Mam nadzieję że to koniec problemów.

System instalowałem wczoraj i jedyne zewnętrzne nośniki to płyta Win7 i pendrive.
Pendriv-a skanowałem Mbam-em i znalazł potencjalne zagrożenie które usunąłem ale nie wiem co to było.
Sprawdzać jeszcze jakoś pendriva?

Mozesz podlaczyc i uzyc USBFix, opcja Clean.
http://www.majorgeeks.com/files/details/usbfix.html

Zrobiłem jak Pisałeś.
Żadnych powiadomień nie było o zagrożeniach.
Dodaję raport z jego działania.

Mam też inny problem. System startuje bardzo szybko ale strasznie długo łączy się z siecią wifi i komputer wtedy na nic nie reaguje jakby był zawieszony. Potrafi to trwać nawet dwie minuty.

AMD E1-2100 to slaby procesor, to moze byc przyczyna zawieszenia sie wszystkiego przy starcie.

Wiem że procesor jest jaki jest ale przed reinstalacją systemu nie było tego problemu.

W logu widac:

Error: (07/28/2016 10:12:05 PM) (Source: Service Control Manager) (EventID: 7011) (User: )
Description: Upłynął limit czasu (30000 ms) podczas oczekiwania na odpowiedź transakcji z usługi Wlansvc.

Zamiesc screen z:
http://portableapps.com/apps/utilities/crystaldiskinfo_portable

Jusched.exe-brak dysku. Taki komunikat jeszcze czasami wywala po starcie systemu.

Screen z crystaldiscinfo.

Wylacz w msconsig -> uruchamianie ten wpis:
HKLM-x32\...\Run: [SunJavaUpdateSched] => C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe [640024 2016-07-28] ()

A możesz dokładniej opisać jak to zrobić?

Z moim dyskiem wszystko w porządku?

Klikasz Menu Start wpisujesz msconfig, po pokazaniu się msconfig.exe klikasz na to i z zakładki Uruchamianie usuwasz podany wpis. A co do dysku to w CDI w zakładce Language zmień na język polski i wstaw jeszcze raz SMART dysku tylko całe okno ze wszystkimi parametrami.

Ręce opadają.
Firefox przestał działać nawet nie mogę go odinstalować.
Cały czas jest svchost nawet po usunięciu przez Malwarebytes jest znowu.

Zamiesc nowe logi z FRST, ze skanowania.

Są wyniki skanowania.

Pobierz najnowsza wersje FF: https://www.mozilla.org/pl/firefox/new/

Uzyj: http://www.avg.com/pl-pl/remove-win32-neshta.tpl-stdfull po uzyciu rmneshta.exe zamiesc log, ktory sie utworzy.

Fixlist.txt dla FRST:
CloseProcesses:
Task: {E13A7CBD-CDE3-4907-BEE6-AFE2DC240792} - System32\Tasks\{005781CF-89A8-420E-9AE6-30E710981044} => pcalua.exe -a "C:\Program Files (x86)\Mozilla Firefox\uninstall\helper.exe"
2016-07-29 20:18 - 2016-07-29 20:55 - 00000065 _____ C:\Windows\directx.sys
2016-07-29 20:18 - 2016-07-29 20:18 - 00003116 _____ C:\Windows\System32\Tasks\{005781CF-89A8-420E-9AE6-30E710981044}

Po wykonaniu zamiesc Fixlog oraz nowe logi ze skanowania.

Zrob skan przy pomocy Cureit: http://ftp.drweb.com/pub/drweb/cureit/launch.exe

Fixlog i nowe logi ze skanowania.

Tego nie wykonales:
> Uzyj: http://www.avg.com/pl-pl/remove-win32-neshta.tpl-stdfull po uzyciu rmneshta.exe zamiesc log, ktory sie utworzy.

Dlatego nadal masz infekcje.

Skan przy pomocy cureit tez zrob.

Skan rmneshta zrobiony.
Virus Remover for Win32/Neshta version 1.2.0.956

C:\Autorun.inf\lpt1.UsbFix Not Found
C:\rmneshta.log Can't open
C:\System Volume Information\{3808876b-c176-4e48-b7ae-04046e6cc752} Can't open
C:\System Volume Information\{6f21dc72-5447-11e6-98bc-645a04598e66}{3808876b-c176-4e48-b7ae-04046e6cc752} Can't open
C:\System Volume Information\{9a509cfd-543c-11e6-94ba-645a04598e66}{3808876b-c176-4e48-b7ae-04046e6cc752} Can't open
C:\System Volume Information\{9a509d73-543c-11e6-94ba-645a04598e66}{3808876b-c176-4e48-b7ae-04046e6cc752} Can't open
C:\System Volume Information\{9a509d93-543c-11e6-94ba-645a04598e66}{3808876b-c176-4e48-b7ae-04046e6cc752} Can't open
C:\System Volume Information\{9a509d97-543c-11e6-94ba-645a04598e66}{3808876b-c176-4e48-b7ae-04046e6cc752} Can't open
C:\System Volume Information\{ea818ef3-5443-11e6-97b7-645a04598e66}{3808876b-c176-4e48-b7ae-04046e6cc752} Can't open
C:\System Volume Information\{ea818ef8-5443-11e6-97b7-645a04598e66}{3808876b-c176-4e48-b7ae-04046e6cc752} Can't open
C:\System Volume Information\{eaa9536f-54a1-11e6-874b-645a04598e66}{3808876b-c176-4e48-b7ae-04046e6cc752} Can't open
C:\System Volume Information\{f814c1cb-5441-11e6-8282-645a04598e66}{3808876b-c176-4e48-b7ae-04046e6cc752} Can't open
D:\Autorun.inf\lpt1.UsbFix Not Found
D:\Toshiba SATELLITE C50D-A-133 PSCGWE\AMD Chipset, AHCI, USB 3.0 and RAID Drivers Win 7_8.1 64-bit\amd-catalyst-omega-14.12-sb-sata-ahci-win8.1-win7\$_OUTDIR\Bin\Setup.exe Cleaned
D:\Toshiba SATELLITE C50D-A-133 PSCGWE\Sterowniki\Windows 7 64-bit\USB Driver - AMD 2.0.10.273\TCA0091400B\Bin64\ATISetup.exe Cleaned
D:\Toshiba SATELLITE C50D-A-133 PSCGWE\Sterowniki\Windows 7 64-bit\USB Driver - AMD 2.0.10.273\TCA0091400B\Bin64\Setup.exe Cleaned
D:\Toshiba SATELLITE C50D-A-133 PSCGWE\Sterowniki\Windows 7 64-bit\USB Driver - AMD 2.0.10.273\TCA0091400B\Packages\Apps\VC10RTx86\vcredist_x86\Setup.exe Cleaned
D:\Toshiba SATELLITE C50D-A-133 PSCGWE\Sterowniki\Windows 7 64-bit\USB Driver - AMD 2.0.10.273\TCA0091400B\Setup.exe Cleaned

-- EOF --

Uruchomiles rmneshta.exe z prawami administratora?

Wykonales skan przy pomocy cureit?

Wykonałem skan rmneshta jako administrator.

Virus Remover for Win32/Neshta version 1.2.0.956

C:\Autorun.inf\lpt1.UsbFix Not Found
C:\rmneshta.log Can't open
C:\System Volume Information\{3808876b-c176-4e48-b7ae-04046e6cc752} Can't open
C:\System Volume Information\{6f21dc72-5447-11e6-98bc-645a04598e66}{3808876b-c176-4e48-b7ae-04046e6cc752} Can't open
C:\System Volume Information\{9a509cfd-543c-11e6-94ba-645a04598e66}{3808876b-c176-4e48-b7ae-04046e6cc752} Can't open
C:\System Volume Information\{9a509d73-543c-11e6-94ba-645a04598e66}{3808876b-c176-4e48-b7ae-04046e6cc752} Can't open
C:\System Volume Information\{9a509d93-543c-11e6-94ba-645a04598e66}{3808876b-c176-4e48-b7ae-04046e6cc752} Can't open
C:\System Volume Information\{9a509d97-543c-11e6-94ba-645a04598e66}{3808876b-c176-4e48-b7ae-04046e6cc752} Can't open
C:\System Volume Information\{ea818ef3-5443-11e6-97b7-645a04598e66}{3808876b-c176-4e48-b7ae-04046e6cc752} Can't open
C:\System Volume Information\{ea818ef8-5443-11e6-97b7-645a04598e66}{3808876b-c176-4e48-b7ae-04046e6cc752} Can't open
C:\System Volume Information\{eaa9536f-54a1-11e6-874b-645a04598e66}{3808876b-c176-4e48-b7ae-04046e6cc752} Can't open
C:\System Volume Information\{f814c1cb-5441-11e6-8282-645a04598e66}{3808876b-c176-4e48-b7ae-04046e6cc752} Can't open
D:\Autorun.inf\lpt1.UsbFix Not Found

-- EOF --

Skan Cureit też zrobiony nic nie znalazł ale nie wiem gdzie zapisał log.

Wylacz na chwile przywracania systemu, nastepnie wlacz i utworz nowy punkt przywracania.

Zamiesc nowe logi z FRST, ze skanowania.

Kolobos napisał:

Wylacz na chwile przywracania systemu, nastepnie wlacz i utworz nowy punkt przywracania.

Zamiesc nowe logi z FRST, ze skanowania.

Zrobione.

Nowy Fixlist.txt:
2016-07-29 21:40 - 2016-07-29 22:10 - 00000125 _____ C:\Windows\directx.sys

Po wykonaniu uruchom ponownie komputer i sprawdz czy infekcja znowu wrocila czy nie.