Prośba o sprawdzenie logów systemowych - podejrzenie malware

Proszę o sprawdzenie logów.

Wykonaj Fixlist.txt dla FRST:
Task: {03654A12-C76F-47B0-83A2-B2F57DA362C8} - System32\Tasks\{360DB950-FC05-432A-8D0C-3EE538105645} => pcalua.exe -a C:\Windows\system32\pcwrun.exe -c C:\eLearn\eLearn.exe
Task: {9EBDA4A4-B436-42CD-9124-ACE7981C935C} - System32\Tasks\Opera scheduled Autoupdate 1494568472 => C:\Program Files\Opera\launcher.exe [2017-05-31] (Opera Software)
Task: {AD92553C-7A31-4422-A385-08A2A8032B19} - System32\Tasks\{27E706D1-52AA-47E0-B886-8594691D71C1} => pcalua.exe -a J:\setup.exe -d J:\
HKU\S-1-5-21-3115364357-4284120714-2028101812-1001\...\Policies\Explorer: []
HKU\S-1-5-21-3115364357-4284120714-2028101812-1001\...\MountPoints2: {7b8cd59d-057c-11e7-ad58-d85d4c824f41} - J:\SETUP.EXE
HKU\S-1-5-21-3115364357-4284120714-2028101812-1001\...\MountPoints2: {eebddd0b-48c7-11e5-9727-d85d4c824f41} - J:\Start.exe
GroupPolicy: Ograniczenia <======= UWAGA
GroupPolicy\User: Ograniczenia <======= UWAGA
FF Keyword.URL: Mozilla\Firefox\Profiles\rsn326fn.default -> hxxp://go.mail.ru/distib/ep/?product_id=%7B7D662187-1473-453A-8D57-96DDFCADB7D0%7D&gp=811014
CHR NewTab: Default -> "active" : true
CHR DefaultSearchURL: Default -> hxxp://go.mail.ru/distib/ep/?q={searchTerms}&product_id=%7B4CC9B498-F4BC-46BC-B748-B7121AD7E77E%7D&gp=811014
CHR DefaultSearchKeyword: Default -> mail.ru
CHR DefaultSuggestURL: Default -> hxxp://suggests.go.mail.ru/ff3?q={searchTerms}
CHR HKU\S-1-5-21-3115364357-4284120714-2028101812-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [lmjegmlicamnimmfhcmpkclmigmmcbeh] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [eofcbnmajmjmplflapaojjnihcjkigck] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gomekmidlodglbbmalcneegieacbdmki] - hxxps://clients2.google.com/service/update2/crx
2017-06-15 11:17 - 2017-06-15 11:22 - 00000000 ____D C:\AdwCleaner
2015-07-16 15:53 - 2015-07-16 15:53 - 53205728 _____ () C:\Users\Jarek\AppData\Roaming\chport.exe
2015-07-13 19:35 - 2015-07-29 19:52 - 0000001 _____ () C:\Users\Jarek\AppData\Roaming\update.dat
EmptyTemp:

Po wykonaniu zamiesc nowe logi z FRST, ze skanowania.

Po naprawie i restarcie systemu taki oto komunikat:
Fatal error

INTERNAL ERROR: cannot create temporary directory!

Logi

> Fatal error

Jaki program wyswietlil ten blad? Czy po ponownym uruchomieniu wyswietla sie nadal?

Jaki to program zgłasza to nie wiem.
Po ponownym restarcie też się pojawił.

Uzyj Process Explorer ze strony MS, w programie przeciagnij ikone celownika na to okno i podaj jaki program to wyswietla.

Komunikat wyswietla Vivid WorkshopData ATI. Mozesz sprobowac przeinstalowac ten program, ewntualnie wylaczyc w services.msc usluge: WorkshopDBService.

Gdy wyłączę proces w services.msc program nie odpowiada, czyli muszę go przeinstalować.

Dodano po 58 [minuty]:

Odinstalowałem program. Zrobiłem restart i dalej wyskakuje Fatal Error.

Nadal ten sam proces wyswietla ten komunikat?

Zamiesc nowy log z FRST, wystarczy sam frst.txt.

Nowy log FRST

Sprawdz czy masz poprawnie ustawiona zmienna temp:
http://www.tomshardware.co.uk/answers/id-2137...mporary-directory-error-software-install.html

Sory ale z angielskim u mnie słabiutko.

Prawy klik na Moj Komputer -> Wlasciwosci -> Zaawansowane ustawienia systemu -> Zmienne srodowiskowe -> TEMP i TMP maja byc ustawione na: %USERPROFILE%\AppData\Local\Temp

Po zmianie temp i restarcie systemu

Ktory proces teraz wyswietla ten komunikat?

Wychodzi że googledrivesync.

Wykonaj Fixlist:
HKU\S-1-5-21-3115364357-4284120714-2028101812-1001\...\Run: [GoogleDriveSync] => C:\Program Files (x86)\Google\Drive\googledrivesync.exe [23819304 2017-03-21] (Google)

Mozesz tez przeinstalowac sam program https://tools.google.com/dlpage/drive

Z tego co widze, to wczesniej tez googledrivesync.exe wyswietlal ten komunikat, a ten drugi program tylko startowal.

Po Fixlist i restarcie komunikatu brak. Hura.
Wychodzi na to że chyba niepotrzebnie odinstalowałem Vivid WorkshopData ATI ?
Przeinstalować program
https://tools.google.com/dlpage/drive ? Czy już nie potrzeba?

> Wychodzi na to że chyba niepotrzebnie odinstalowałem Vivid WorkshopData ATI ?

Tak, mozesz zainstalowac go ponownie.

> Przeinstalować program

Jezeli uzywasz Google Drive to tak.

Jesteś WIELKI!!!!
DZIĘKI
Mogę zamknąć temat?

Na to wyglada.

Właśnie zacząłem instalować googledrivesync i w trakcie komunikat się znowu pojawił.

Dodano po 5 [minuty]:

Zamknąłem komunikat, dokończyłem instalować i restart kompa. Komunikatu brak.

Przed ponowna instalacja, sprobuj usunac katalog:
C:\Users\Jarek\AppData\Local\Google\Drive\

Problem rozwiązany. Temat zamykam.

Dodano po 4 [minuty]:

Kolobos napisał:

Przed ponowna instalacja, sprobuj usunac katalog:
C:\Users\Jarek\AppData\Local\Google\Drive\

Po tym zabiegu bez zmian, czyli w trakcie instalacji googlesyncdrive wyskakuje komunikat. Trzeba go zamknąć dopiero można dokończyć instalację.

Dodano po 16 [godziny] 18 [minuty]:

Dzisiaj musiałem przywrócić system. Działy się dziwne rzeczy. Po przywróceniu systemu "dziwne rzeczy" zniknęły ale pojawiły się znowu "ruskie śmieci". Dzisiaj jednakże od razu zastosowałem AdwCleaner nie tak jak wczoraj najpierw odinstalowałem te śmieci za pomocą Revouninstalera, a potem dopiero AdwCleaner.
W związku z tym proszę o ponowne sprawdzenie logów.
P.S. googlesyncdrive działa bez problemu nie wyświetlają się żadne Fatal Error.

Zmien domyslna przegladarke na IE, FF czy co tam chcesz.

Fixlist.txt dla FRST:
Task: {03654A12-C76F-47B0-83A2-B2F57DA362C8} - System32\Tasks\{360DB950-FC05-432A-8D0C-3EE538105645} => pcalua.exe -a C:\Windows\system32\pcwrun.exe -c C:\eLearn\eLearn.exe
Task: {9EBDA4A4-B436-42CD-9124-ACE7981C935C} - System32\Tasks\Opera scheduled Autoupdate 1494568472 => C:\Program Files\Opera\launcher.exe [2017-05-31] (Opera Software)
Task: {AD92553C-7A31-4422-A385-08A2A8032B19} - System32\Tasks\{27E706D1-52AA-47E0-B886-8594691D71C1} => pcalua.exe -a J:\setup.exe -d J:\
HKU\S-1-5-21-3115364357-4284120714-2028101812-1001\...\Run: [KometaAutoLaunch_23CFC82489A06EDAA87AED941AA24ECB] => "C:\Users\Jarek\AppData\Local\Kometa\Application\kometa.exe" --no-startup-window /prefetch:5
HKU\S-1-5-21-3115364357-4284120714-2028101812-1001\...\Policies\Explorer: []
HKU\S-1-5-21-3115364357-4284120714-2028101812-1001\...\MountPoints2: {7b8cd59d-057c-11e7-ad58-d85d4c824f41} - J:\SETUP.EXE
HKU\S-1-5-21-3115364357-4284120714-2028101812-1001\...\MountPoints2: {eebddd0b-48c7-11e5-9727-d85d4c824f41} - J:\Start.exe
GroupPolicy: Ograniczenia <======= UWAGA
GroupPolicy\User: Ograniczenia <======= UWAGA
Handler: WSWSVCUchrome - Brak wartości CLSID
CHR Extension: (Brak nazwy) - C:\Users\Jarek\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2017-06-16]
CHR Extension: (Brak nazwy) - C:\Users\Jarek\AppData\Local\Google\Chrome\User Data\Default\Extensions\cfhdojbkjhnklbpkdaibdccddilifddb [2017-06-16]
CHR Extension: (Brak nazwy) - C:\Users\Jarek\AppData\Local\Google\Chrome\User Data\Default\Extensions\efaidnbmnnnibpcajpcglclefindmkaj [2017-06-16]
CHR Extension: (Brak nazwy) - C:\Users\Jarek\AppData\Local\Google\Chrome\User Data\Default\Extensions\eofcbnmajmjmplflapaojjnihcjkigck [2017-06-16]
CHR Extension: (Brak nazwy) - C:\Users\Jarek\AppData\Local\Google\Chrome\User Data\Default\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2017-06-16]
CHR Extension: (Brak nazwy) - C:\Users\Jarek\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2017-06-16]
CHR Extension: (Brak nazwy) - C:\Users\Jarek\AppData\Local\Google\Chrome\User Data\Default\Extensions\gomekmidlodglbbmalcneegieacbdmki [2017-06-16]
CHR Extension: (Brak nazwy) - C:\Users\Jarek\AppData\Local\Google\Chrome\User Data\Default\Extensions\llaficoajjainaijghjlofdfmbjpebpa [2017-06-16]
CHR Extension: (Brak nazwy) - C:\Users\Jarek\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2017-06-16]
CHR Extension: (Brak nazwy) - C:\Users\Jarek\AppData\Local\Google\Chrome\User Data\Default\Extensions\pkedcjkdefgpdelpbcmbmeomcjbeemfm [2017-06-16]
CHR HKU\S-1-5-21-3115364357-4284120714-2028101812-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [apdfllckaahabafndbhieahigkjlhalf] - C:\Users\Jarek\AppData\Local\Google\Drive\user_default\apdfllckaahabafndbhieahigkjlhalf_live.crx [2017-06-16]
CHR HKU\S-1-5-21-3115364357-4284120714-2028101812-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [lmjegmlicamnimmfhcmpkclmigmmcbeh] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [eofcbnmajmjmplflapaojjnihcjkigck] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gomekmidlodglbbmalcneegieacbdmki] - hxxps://clients2.google.com/service/update2/crx
2017-06-16 13:58 - 2017-06-16 14:01 - 00000000 ____D C:\AdwCleaner

PS. Rozszerzenia w Chrome zainstaluj ponownie.

Ale ja nie chciałbym zmieniać opery. Naprawdę muszę?

Przeciez nigdzie nie pisalem zebys zmienial przegaldarke, masz tylko ustawic ta, ktora uzywasz jako domyslna. Teraz masz ustawiona ruska komete.

Ok. Wielkie dzięki. Teraz mogę zamknąć temat.
Wszystko śmiga.