Prośba o sprawdzanie logów FRST pod kątem wirusów/śmieci

[Darioner]

Witam, tam jak w temacie proszę o sprawdzanie pod kątem wirusów i śmieci czy trzeba coś przeczyścić może usunąć albo coś siedzi, ostatnio komputer lekko muli.

 

 

FRST.txt Shortcut.txt Shortcut.txt

[Bromidum]

Zamieściłeś dwa razy Shortcut.txt, nie ma pliku Addition.txt - uzupełnij to zerknę. 

Uruchom FRST/FRST64.exe, wciśnij kombinację klawiszy ctrl + y. Otworzy się notatnik, do którego wklej zawartość skryptu. Zamknij i zapisz. W FRST kliknij „napraw” →


SystemRestore: On 
CloseProcesses:
CreateRestorePoint:
AlternateShell:  <==== UWAGA
Task: {89CBAB13-0113-4D41-AB7C-151498CA8DAF} - System32\Tasks\Microsoft\Windows\Windows Defender\Windows Defender Cache Maintenance => C:\ProgramData\Microsoft\Windows Defender\platform\4.18.2007.8-0\MpCmdRun.exe [516776 2020-08-13] (Microsoft Windows Publisher -> Microsoft Corporation)
Task: {F20B57DE-91BA-428A-AAE6-CFBE393F6450} - System32\Tasks\Microsoft\Windows\Windows Defender\Windows Defender Cleanup => C:\ProgramData\Microsoft\Windows Defender\platform\4.18.2007.8-0\MpCmdRun.exe [516776 2020-08-13] (Microsoft Windows Publisher -> Microsoft Corporation)
Task: {6D440052-DBDA-4D2E-B7F6-AB0B7E614F40} - System32\Tasks\Microsoft\Windows\Windows Defender\Windows Defender Scheduled Scan => C:\ProgramData\Microsoft\Windows Defender\platform\4.18.2007.8-0\MpCmdRun.exe [516776 2020-08-13] (Microsoft Windows Publisher -> Microsoft Corporation)
Task: {EF695119-7B8E-46E4-B02A-9DE6D4545260} - System32\Tasks\Microsoft\Windows\Windows Defender\Windows Defender Verification => C:\ProgramData\Microsoft\Windows Defender\platform\4.18.2007.8-0\MpCmdRun.exe [516776 2020-08-13] (Microsoft Windows Publisher -> Microsoft Corporation)
Task: {9A603E76-65A7-49BB-BF1A-37716D0DC4EE} - System32\Tasks\Mozilla\Firefox Background Update E4674EA2533419F4 => E:\FireFOx\firefox.exe [676256 2023-11-08] (Mozilla Corporation -> Mozilla Corporation) -> --MOZ_LOG sync,prependheader,timestamp,append,maxsize:1,Dump:5 --MOZ_LOG_FILE C:\ProgramData\Mozilla-1de4eec8-1241-4177-a864-e594e8d1fb38\updates\E4674EA2533419F4\backgroundupdate.moz_log --backgroundtask backgroundupdate
Task: {BF889E5F-6636-4AED-BD14-276EDEFF7946} - System32\Tasks\Opera scheduled Autoupdate 1656938251 => C:\Users\Seba\AppData\Local\Programs\Opera\launcher.exe [2730912 2023-08-09] (Opera Norway AS -> Opera Software)
Tcpip\Parameters: [DhcpNameServer] 89.228.4.126 31.11.173.2
Tcpip\..\Interfaces\{d503ae16-613f-40c9-b2e2-21c0f8fd2fac}: [DhcpNameServer] 89.228.4.126 31.11.173.2
Shortcut: C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\OneDrive.lnk -> C:\Users\Seba\AppData\Local\Microsoft\OneDrive\OneDrive.exe (Brak pliku)
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\VideoLAN\Documentation.lnk -> E:\Nowy folder\VLC\Documentation.url (Brak pliku)
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\VideoLAN\Release Notes.lnk -> E:\Nowy folder\VLC\NEWS.txt (Brak pliku)
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\VideoLAN\VideoLAN Website.lnk -> E:\Nowy folder\VLC\VideoLAN Website.url (Brak pliku)
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\VideoLAN\VLC media player - reset preferences and cache files.lnk -> E:\Nowy folder\VLC\vlc.exe (Brak pliku)
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\VideoLAN\VLC media player skinned.lnk -> E:\Nowy folder\VLC\vlc.exe (Brak pliku)
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\VideoLAN\VLC media player.lnk -> E:\Nowy folder\VLC\vlc.exe (Brak pliku)
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Riot Games\Klient Riot.lnk -> E:\Riot Games\Riot Client\RiotClientServices.exe (Brak pliku)
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Riot Games\Riot Client.lnk -> E:\Riot Games\Riot Client\RiotClientServices.exe (Brak pliku)
CMD: DISM.exe /Online /Cleanup-image /Restorehealth
CMD: sfc /scannow 
EmptyEventLogs:
EmptyTemp: 

 

[Darioner]

Nie moge dodac do 1 posta, takze daje tutaj

 

Addition.txt

[Bromidum]

Uruchom FRST/FRST64.exe, wciśnij kombinację klawiszy ctrl + y. Otworzy się notatnik, do którego wklej zawartość skryptu. Zamknij i zapisz. W FRST kliknij „napraw” →


CloseProcesses:
CreateRestorePoint:
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot => "AlternateShell"=""
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\AutorunsDisabled => "AlternateShell"="cmd.exe cmd.exe cmd.exe cmd.exe cmd.exe cmd.exe cmd.exe cmd.exe"
FirewallRules: [TCP Query User{67C9B7BE-4659-4F92-A27D-60834146B98C}C:\users\seba\appdata\local\discord\app-1.0.9013\discord.exe] => (Allow) C:\users\seba\appdata\local\discord\app-1.0.9013\discord.exe => Brak pliku
FirewallRules: [UDP Query User{5B565917-CE0C-4C39-89AA-B3ED31D79E9B}C:\users\seba\appdata\local\discord\app-1.0.9013\discord.exe] => (Allow) C:\users\seba\appdata\local\discord\app-1.0.9013\discord.exe => Brak pliku

[Darioner]

najpierw mam zrobic to 1 co dałeś a poznej to 2 do usuwania?

[Bromidum]

Można złączyć obie fixlisty i zrobić za pierwszym razem:
 

CloseProcesses:
CreateRestorePoint:
AlternateShell:  <==== UWAGA
Task: {89CBAB13-0113-4D41-AB7C-151498CA8DAF} - System32\Tasks\Microsoft\Windows\Windows Defender\Windows Defender Cache Maintenance => C:\ProgramData\Microsoft\Windows Defender\platform\4.18.2007.8-0\MpCmdRun.exe [516776 2020-08-13] (Microsoft Windows Publisher -> Microsoft Corporation)
Task: {F20B57DE-91BA-428A-AAE6-CFBE393F6450} - System32\Tasks\Microsoft\Windows\Windows Defender\Windows Defender Cleanup => C:\ProgramData\Microsoft\Windows Defender\platform\4.18.2007.8-0\MpCmdRun.exe [516776 2020-08-13] (Microsoft Windows Publisher -> Microsoft Corporation)
Task: {6D440052-DBDA-4D2E-B7F6-AB0B7E614F40} - System32\Tasks\Microsoft\Windows\Windows Defender\Windows Defender Scheduled Scan => C:\ProgramData\Microsoft\Windows Defender\platform\4.18.2007.8-0\MpCmdRun.exe [516776 2020-08-13] (Microsoft Windows Publisher -> Microsoft Corporation)
Task: {EF695119-7B8E-46E4-B02A-9DE6D4545260} - System32\Tasks\Microsoft\Windows\Windows Defender\Windows Defender Verification => C:\ProgramData\Microsoft\Windows Defender\platform\4.18.2007.8-0\MpCmdRun.exe [516776 2020-08-13] (Microsoft Windows Publisher -> Microsoft Corporation)
Task: {9A603E76-65A7-49BB-BF1A-37716D0DC4EE} - System32\Tasks\Mozilla\Firefox Background Update E4674EA2533419F4 => E:\FireFOx\firefox.exe [676256 2023-11-08] (Mozilla Corporation -> Mozilla Corporation) -> --MOZ_LOG sync,prependheader,timestamp,append,maxsize:1,Dump:5 --MOZ_LOG_FILE C:\ProgramData\Mozilla-1de4eec8-1241-4177-a864-e594e8d1fb38\updates\E4674EA2533419F4\backgroundupdate.moz_log --backgroundtask backgroundupdate
Task: {BF889E5F-6636-4AED-BD14-276EDEFF7946} - System32\Tasks\Opera scheduled Autoupdate 1656938251 => C:\Users\Seba\AppData\Local\Programs\Opera\launcher.exe [2730912 2023-08-09] (Opera Norway AS -> Opera Software)
Tcpip\Parameters: [DhcpNameServer] 89.228.4.126 31.11.173.2
Tcpip\..\Interfaces\{d503ae16-613f-40c9-b2e2-21c0f8fd2fac}: [DhcpNameServer] 89.228.4.126 31.11.173.2
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot => "AlternateShell"=""
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\AutorunsDisabled => "AlternateShell"="cmd.exe cmd.exe cmd.exe cmd.exe cmd.exe cmd.exe cmd.exe cmd.exe"
FirewallRules: [TCP Query User{67C9B7BE-4659-4F92-A27D-60834146B98C}C:\users\seba\appdata\local\discord\app-1.0.9013\discord.exe] => (Allow) C:\users\seba\appdata\local\discord\app-1.0.9013\discord.exe => Brak pliku
FirewallRules: [UDP Query User{5B565917-CE0C-4C39-89AA-B3ED31D79E9B}C:\users\seba\appdata\local\discord\app-1.0.9013\discord.exe] => (Allow) C:\users\seba\appdata\local\discord\app-1.0.9013\discord.exe => Brak pliku
Shortcut: C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\OneDrive.lnk -> C:\Users\Seba\AppData\Local\Microsoft\OneDrive\OneDrive.exe (Brak pliku)
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\VideoLAN\Documentation.lnk -> E:\Nowy folder\VLC\Documentation.url (Brak pliku)
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\VideoLAN\Release Notes.lnk -> E:\Nowy folder\VLC\NEWS.txt (Brak pliku)
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\VideoLAN\VideoLAN Website.lnk -> E:\Nowy folder\VLC\VideoLAN Website.url (Brak pliku)
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\VideoLAN\VLC media player - reset preferences and cache files.lnk -> E:\Nowy folder\VLC\vlc.exe (Brak pliku)
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\VideoLAN\VLC media player skinned.lnk -> E:\Nowy folder\VLC\vlc.exe (Brak pliku)
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\VideoLAN\VLC media player.lnk -> E:\Nowy folder\VLC\vlc.exe (Brak pliku)
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Riot Games\Klient Riot.lnk -> E:\Riot Games\Riot Client\RiotClientServices.exe (Brak pliku)
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Riot Games\Riot Client.lnk -> E:\Riot Games\Riot Client\RiotClientServices.exe (Brak pliku)
CMD: DISM.exe /Online /Cleanup-image /Restorehealth
CMD: sfc /scannow 
EmptyEventLogs:
EmptyTemp: 

 

Edytowane 13 listopada 2023 przez Bromidum

[Darioner]

zauważyłem bardzo ciekawa i dziwna rzecz, mianowicie nikt nie dotykał komputera a tam na 1 sec się odpaliło to tak jakby okienko "cmd" to było chyba to, bo ledwo co zdarzyłem zobaczyć i znikło nawet nie wiem czy to była sekunda...

[Bromidum]

W logach nie widać co mogłoby uruchamiać cmd.exe. Zapewne to jakaś preinstalowana aplikacja producenta lub sterownika. 

[Darioner]

Ciekawie to wygląda dzieje się to tak szybko, ze nie jestem fizycznie praktycznie tego w stanie zauważyć, dzieje się to zazwyczaj w stanie spoczynku, gdy nie dotykam komputera coś się uruchamia na dosłownie 1 sekundę może i mniej i znika wygląda to jak konsola z CMD, by trza kamerę ustawić na monitor i czekać 24h na ten przeskok jak jakieś zjawisko paranormalne.

[Bromidum]

https://learn.microsoft.com/pl-pl/sysinternals/downloads/process-explorer
 - możesz zawsze włączyć weryfikację sygnatur + VirusTotal i obserwować, czy coś się pojawia niepokojącego.