Съмнение за заразена система

27 юли 20197 г.

Здравейте, имам проблем с file name extensions на уиндоус 8.1 - не мога да махна отметката. Съответно непрекъснато виждам разширението на файловете - пример: (.txt) Ползвам антивирусна програма Bitdefender Antivirus Free, но не открива вирус. Интересното е, че по някое време мога да махна отметката, но след рестарт на компютъра упорито се завръща...

Четох Ето тук и нито един от методите не работи при мен, надявам се да можете да ми помогнете.

27 юли 20197 г.

Здравейте,

Подгответе лог файловете от FRST:

Системата ми е инфектирана - Какво да правя сега?

27 юли 20197 г.

Автор

FRST.txt Addition.txt

27 юли 20197 г.

Не се виждат зловредни обекти:

Премахнете отметката отново и се уверете, че не се е върнала. След това изтеглете Process Monitor и я разархивирайте на удобно място и стартирайте файла Procmon.exe. От меню Options изберете Enable Boot Logging и потвърдете с OK. Рестартирайте системата. Изчакайте да се появи папката отмеетката, стартирайте Process Monitor отново и на въпроса за запазване на събраната информация отговорете с Yes. Запазете файла на удобно място, архивирайте го с архиватор по избор, качете го на някой файлов хостинг и публикувайте линк за изтегляне на архива в следващия си коментар.

Друг вариант е да се сложи програма като Registry Guard и да се създаде правило да се следи следния ключ за промени и да се види кое ги причинява евентуално.

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced

https://www.novirusthanks.org/products/registry-guard/

Поздрави!

27 юли 20197 г.

Автор

Отметката на file name extensions се махна след рестарт на компютъра. Но както казах и преди се е случвало, до следващия рестарт като пак се появява. Все пак да съм спокоен, че не е някоя буба...

Линк

27 юли 20197 г.

Но вие казахте, че отметката се е връщала след рестарт, не че се е премахвала след рестарт.

За съжаление в логовете на Process Explorer не се е хванала променя на гореспоменатия ключ, а само имената на процесите, които го проверяват.

C:\Windows\system32\svchost.exe

C:\Windows\system32\atbroker.exe

C:\Windows\Explorer.EXE

C:\Windows\SysWOW64\runonce.exe

C:\Windows\WinStore\WSHost.exe

C:\Windows\system32\utilman.exe

C:\Program Files (x86)\ASUS\ATK Package\ATK Hotkey\SimAppExec.exe

C:\Program Files (x86)\ASUS\ASUS Smart Gesture\AsTPCenter\x64\AsusTPLauncher.exe

C:\Program Files\NVIDIA Corporation\Display\nvxdsync.exe

C:\Program Files (x86)\ASUS\Splendid\ACMON.exe

C:\Program Files\ASUS\P4G\BatteryLife.exe

C:\Program Files (x86)\ASUS\ASUS Smart Gesture\AsTPCenter\x64\AsusTPLoader.exe

C:\Program Files (x86)\Common Files\Adobe\OOBE\PDApp\UWA\updaterstartuputility.exe

C:\Program Files (x86)\Bluetooth Suite\BtvStack.exe

C:\Program Files (x86)\Common Files\Adobe\AdobeGCClient\AGCInvokerUtility.exe

C:\Program Files (x86)\PicPick\picpick.exe

C:\Program Files (x86)\HTC Home 3\Clock.exe

C:\Program Files\Cyberfox\Cyberfox.exe

C:\Program Files\Bitdefender Antivirus Free\vsserv.exe

C:\Program Files (x86)\ASUS\ASUS Smart Gesture\AsTPCenter\x64\AsusTPCenter.exe

C:\Program Files (x86)\ASUS\ASUS InstantOn\InsOnCfg.exe

Като изключим първите 6 процеса, които са на Windows, останалите са все от външни програми. Дори самия Bitdefender го проверява. Вие сещате ли се кога започна проблема (след инсталацията на коя от тези програми може да е започнал)?

27 юли 20197 г.

Автор

Имах предвид, че когато успея да махна отметката при следващия рестарт пак я има и няма махане. В конкретния случай преди стартирането на Procmon.exe не можах да я махна. След рестарт се получи. Подозирам, че проблема се появи след инсталирането на Bitdefender Antivirus Free...

Как да създам правило в Registry Guard да се следи следния ключ за промени? Видях текстовия документ, но не съм добър по английски.

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced

27 юли 20197 г.

Би трябвало правилото да изглежда така: Rules => Edit Rules => добавете следното правило:

[%OPR%: WRITE_VALUE] [%EXE%: *regedit.exe] [%KEY%: *\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced] [%VAL%: *]

27 юли 20197 г.

Автор

Благодаря за помощта, желая Ви здраве!

27 юли 20197 г.

Какво стана? Да не се появи информацията за програмата в Events менюто?

Лично тествах правилото и работи, но може да се наложи временно да изтриете правилата от менюто Exclusions в програмата. И ползвайте програмата само докато откриете проблема, защото може да забрани доста неща и инсталацията на нов софтуер ако не се настрои правилно.

Друга програма за наблюдение на ключовете в регистрите е MJ Registry Watcher:

https://www.jacobsm.com/mjsoft.htm#rgwtchr

Ще се радвам ако споделите дали са успели да помогнат.

Поздрави!

27 юли 20197 г.

Автор

Още не съм добавил правилото, утре ще се занимавам. Ще споделя като разбера от какво точно е.

Четох много теми в нета за проблема и наистина се проявява при наличието на Bitdefender , на 99% съм сигурен, че е от нея...

Поздрави!

27 юли 20197 г.

Да, както споменах тя присъстваше в логовете на ProcMon като процес, който проверява въпросния ключ.

И повод за размисъл. Няма как да е вирус (защото като изключим чистите лог файлове) няма логика вирус да се опитва да ви показва файловите разширения. Те обикновено се опитват да ги скрият за да могат да подлъжат потребител да стартира зловреден файл с двойно разширение от сорта на file.jpg.exe, но при скрити файлови разширения потребителя ще види само file.jpg и може да реши да отвори "снимката". Затова, ако е Bitdefender просто един вид ви прави и услуга.

Поздрави!

1 август 20197 г.

Успяхте ли да установите дали проблема е от Bitdefender?

1 август 20197 г.

Автор

Не, още не съм. Но вижте на какво попаднах: https://www.tenforums.com/general-support/131404-cannot-hide-file-extensions-bitdefender.html

9 август 20197 г.

Автор

Обещах да пиша като има развитие. И така, понеже най-накрая успях да „счупя“ прозореца 8.1 след 3 години. Излезе ми: 0х0000225. Започнах да търся решение с друг лаптоп как да го оправя и се сетих, че на същия съм сложил Bitdefender (уин 7). И на него беше отметнато file name extensions, но го махнах без проблем... В крайна сметка след пробване на всички методи за поправка на 0х0000225 се наложи преинсталиране, сложих си 7 pro и последната версия на Bitdefender. За сега не виждам отметнато file name extensions...

9 август 20197 г.

Така и не стана ясно дали пробвахте инструментите, защото не виждам как по-друг начин щяхте да го хванете. И аз подозирах BitDefender-a, но това си бяха само догадки. Така или иначе системата бе чиста и проблема може да се е дължал на омазан Windows. А грешката, която сте получили е причинена от повреден или липсващ файл BCD (Boot Configuration Data) по една или друга причина. Добре е да се тества и диска за лоши сектори ей така за всеки случай.

Иначе ето съвети за тази грешка:

https://www.drivereasy.com/knowledge/0xc0000225-error-code-on-windows-10-fixed/#m3

9 август 20197 г.

Автор

Ами Registry Guard не записа логове, пробвах ги тези съвети за грешката , но не помогнаха. Бях изключил system restore и не можах да го възстановя. Че се беше поомазал - беше...Сега с 7-цата е Ок!

Още веднъж благодаря за помощта!

9 август 20197 г.

Странно за Registry Guard. Бяхте ли премахнали Exclusions правилата, както бях писал? Може би MJ Registry Watcher щеше да ви е по-лесна да пробвате да добавите ключа да се следи в реално време.

А last Good Know Configuration не помогна ли? Иначе можеше и други команди да се опитат разбира се и дори скрипт за FRST под Recovery Environment, но здраве да е.

Все пак съветвам да се пусне един chkdsk c: /x /f /r и да се натисне Enter и да се избере Y и пак Enter и да се рестартира. След това да се търси лог файла в Event Viewer => Application => запис с име Wininit и код EVENT ID 1001

9 август 20197 г.

Автор

Да, бях премахнал другите правила, само това: [%OPR%: WRITE_VALUE] [%EXE%: *regedit.exe] [%KEY%: *\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced] [%VAL%: *] оставих...

Ето резултата от командата: chkdsk 😄 /x /f /r

Log Name:      Application
Source:        Microsoft-Windows-Wininit
Date:          9.8.2019 г. 17:49:01 ч.
Event ID:      1001
Task Category: None
Level:         Information
Keywords:      Classic
User:          N/A
Computer:      .........
Description:

Checking file system on 😄
The type of the file system is NTFS.

A disk check has been scheduled.
Windows will now check the disk.

CHKDSK is verifying files (stage 1 of 5)...
176128 file records processed.

File verification completed.
218 large file records processed.

0 bad file records processed.

2 EA records processed.

60 reparse records processed.

CHKDSK is verifying indexes (stage 2 of 5)...
219314 index entries processed.

Index verification completed.
0 unindexed files scanned.

0 unindexed files recovered.

CHKDSK is verifying security descriptors (stage 3 of 5)...
176128 file SDs/SIDs processed.

Cleaning up 224 unused index entries from index $SII of file 0x9.
Cleaning up 224 unused index entries from index $SDH of file 0x9.
Cleaning up 224 unused security descriptors.
Security descriptor verification completed.
21594 data files processed.

CHKDSK is verifying Usn Journal...
33848488 USN bytes processed.

Usn Journal verification completed.
CHKDSK is verifying file data (stage 4 of 5)...
176112 files processed.

File data verification completed.
CHKDSK is verifying free space (stage 5 of 5)...
38843663 free clusters processed.

Free space verification is complete.
CHKDSK discovered free space marked as allocated in the
master file table (MFT) bitmap.
CHKDSK discovered free space marked as allocated in the volume bitmap.
Windows has made corrections to the file system.

207640575 KB total disk space.
51920708 KB in 85466 files.
     63076 KB in 21595 indexes.
         0 KB in bad sectors.
    282135 KB in use by the system.
     65536 KB occupied by the log file.
155374656 KB available on disk.

4096 bytes in each allocation unit.
51910143 total allocation units on disk.
38843664 allocation units available on disk.

Internal Info:
00 b0 02 00 40 a2 01 00 47 32 03 00 00 00 00 00 [email protected]......
ac 00 00 00 3c 00 00 00 00 00 00 00 00 00 00 00 ....<...........
00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................

Windows has finished checking your disk.
Please wait while your computer restarts.

Event Xml:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
<System>
    <Provider Name="Microsoft-Windows-Wininit" Guid="{206f6dea-d3c5-4d10-bc72-989f03c8b84b}" EventSourceName="Wininit" />
    <EventID Qualifiers="16384">1001</EventID>
    <Version>0</Version>
    <Level>4</Level>
    <Task>0</Task>
    <Opcode>0</Opcode>
    <Keywords>0x80000000000000</Keywords>
    <TimeCreated SystemTime="2019-08-09T14:49:01.000000000Z" />
    <EventRecordID>1237</EventRecordID>
    <Correlation />
    <Execution ProcessID="0" ThreadID="0" />
    <Channel>Application</Channel>
    <Computer>.............</Computer>
    <Security />
</System>
<EventData>
    <Data>