Powolna i muląca praca komputera

[kamos1602]

Witam, ostatnio siostra poprosiła mnie o przeczyszczenie jej komputera, ponieważ strasznie wolno pracował (siostra nie czyściła go od 2 lat). Zrobiłem optymalizację windowsa (defragmentacja, sprawdzanie dysków, przeczyściłem odkurzaczem adwcleanerem, przeskanowałem antywirusem oraz oczywiście pousuwałem wszystkie zbędne pliki). Niewiele to jednak dało, więc proszę Was o sprawdzenie logów (na pewno będzie co usuwać, bo gmer skanował ponad 2h!). Z góry dziękuję za pomoc. Pozdrawiam

[NieWiem]

Czy to jest jakaś domowo modyfikowana wersja systemu XP?

[kamos1602]

Jest to oryginalny Windows XP Home Edition. Przynajmniej taka w szufladzie leży płyta i taki był przeze mnie instalowany 2-3 lata temu. Wątpię, żeby siostra coś tutaj majstrowała, bo nie zna się kompletnie na komputerach. Z tego co pamiętam nie pomagacie tutaj ludziom z pirackimi windowsami, więc jeśli stanowi to jakiś problem to mogę przeinstalować system.

A tutaj zdjęcie oryginalnej płytki z moim nickiem i dzisiejszą datą na potwierdzenie moich słów
http://oi57.tinypic.com/29m37f6.jpg

[NieWiem]

Nie, nie w tym jest rzecz. Raport pokazuje mnóstwo pozmienianych plików systemowych i to mnie zastanawia, bo sumy kontrolne krytycznych plików mi się nie zgadzają.

Przeczytaj uważnie instrukcję uruchomienia programu ComboFix i zastosuj się do niej.
Załącz raport z działania programu.

[kamos1602]

Zastosowałem się do wszystkich zasad, jednak ComboFix wywalił informację o prośbie zamknięcia aktywnego Antivir Desktop (Avira), którego nawet nie mogłem znaleźć na komputerze. Przeszukałem Dodaj/usuń programy; wszystkie dyski (program files na C); w aktywnych procesach też nic nie widziałem. Ściągnąłem Avira RegCleaner i przeczyściłem nim rejestr (mam nadzieję, że to coś dało, bo to jedyny ślad Avira jaki znalazłem).

PS. Ten komputer nie korzysta z Avira tylko z Avasta, którego oczywiście wyłączyłem na czas skanowania

A oto log z Combifixa:

[NieWiem]

Szczątki od Aviry na pewno są i brużdżą. Je na pewno usuniemy, tylko że nie mogę ich znaleźć.

Pobierz FSS
Uruchom jako administrator.
Upewnij się, że wszystkie opcje są zaznaczone i wciśnij Scan.
Wynikowy raport przeklej.

[kamos1602]

Log z FSS

Kod: Zaznacz wszystko

Farbar Service Scanner Version: 14-05-2014
Ran by User (administrator) on 20-05-2014 at 13:31:42
Running from "D:\Jdownloader"
Microsoft Windows XP Home Edition Dodatek Service Pack 3 (X86)
Boot Mode: Normal
****************************************************************

Internet Services:
============

Connection Status:
==============
Localhost is accessible.
LAN connected.
Google IP is accessible.
Google.com is accessible.
Yahoo.com is accessible.


Windows Firewall:
=============

Firewall Disabled Policy:
==================
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"EnableFirewall"=DWORD:0


System Restore:
============
Srservice Service is not running. Checking service configuration:
The start type of Srservice service is OK.
The ImagePath of Srservice service is OK.
The ServiceDll of Srservice service is OK.

sr Service is not running. Checking service configuration:
The start type of sr service is OK.
The ImagePath of sr service is OK.


System Restore Disabled Policy:
========================


Security Center:
============


Windows Update:
============

Windows Autoupdate Disabled Policy:
============================


Other Services:
==============


File Check:
========
C:\WINDOWS\system32\dhcpcsvc.dll
[2006-03-02 14:00] - [2008-04-14 22:50] - 0126464 ____A (Microsoft Corporation) 6B4AFE7C676CFF3EFF2DC06A4EE945F7

C:\WINDOWS\system32\Drivers\afd.sys => MD5 is legit
C:\WINDOWS\system32\Drivers\netbt.sys => MD5 is legit
C:\WINDOWS\system32\Drivers\tcpip.sys => MD5 is legit
C:\WINDOWS\system32\Drivers\ipsec.sys => MD5 is legit
C:\WINDOWS\system32\dnsrslvr.dll
[2006-03-02 14:00] - [2009-04-20 19:19] - 0045568 ____A (Microsoft Corporation) 082BE13166A3354F25F78E0B2601012B

C:\WINDOWS\system32\ipnathlp.dll
[2006-03-02 14:00] - [2008-04-14 22:50] - 0330752 ____A (Microsoft Corporation) DA5C015911F68F22ED821E9EE49AB233

C:\WINDOWS\system32\netman.dll
[2006-03-02 14:00] - [2008-04-14 22:50] - 0198144 ____A (Microsoft Corporation) 4FE97D0B1B182DF2A9BDD4C02155EF5E

C:\WINDOWS\system32\wbem\WMIsvc.dll
[2011-07-11 18:01] - [2008-04-14 22:51] - 0145408 ____A (Microsoft Corporation) 70C22297534A88B0AD0568900AB5A6D9

C:\WINDOWS\system32\srsvc.dll
[2011-07-11 18:03] - [2008-04-14 22:50] - 0171520 ____A (Microsoft Corporation) 316D0E66074AE4CDE641C50D3A1C5148

C:\WINDOWS\system32\Drivers\sr.sys
[2011-07-11 18:03] - [2008-04-14 22:04] - 0073472 ____A (Microsoft Corporation) EB032822BE406EF220D546DDFFCF0002

C:\WINDOWS\system32\wscsvc.dll
[2006-03-02 14:00] - [2008-04-14 22:51] - 0080896 ____A (Microsoft Corporation) B6669F49D42E09BC0F9889FAA0F3336D

C:\WINDOWS\system32\wbem\WMIsvc.dll
[2011-07-11 18:01] - [2008-04-14 22:51] - 0145408 ____A (Microsoft Corporation) 70C22297534A88B0AD0568900AB5A6D9

C:\WINDOWS\system32\wuauserv.dll
[2011-07-11 18:04] - [2008-04-14 22:51] - 0006656 ____A (Microsoft Corporation) 04550D5EB7EE82C115DB547C01DF09FD

C:\WINDOWS\system32\qmgr.dll
[2011-07-11 18:04] - [2008-04-14 22:50] - 0409088 ____A (Microsoft Corporation) 78200FAA6FD9C69394134C238C87FB7F

C:\WINDOWS\system32\es.dll
[2006-03-02 14:00] - [2008-07-07 22:29] - 0253952 ____A (Microsoft Corporation) 6AFF804839C85859E0247164FBE5F5BB

C:\WINDOWS\system32\cryptsvc.dll
[2006-03-02 14:00] - [2008-04-14 22:50] - 0062464 ____A (Microsoft Corporation) 6B105FE95F2E9F0B6346044BA59D41C9

C:\WINDOWS\system32\svchost.exe
[2006-03-02 14:00] - [2008-04-14 22:51] - 0014336 ____A (Microsoft Corporation) 8607D35D92528E2DF386F19A960D23CE

C:\WINDOWS\system32\rpcss.dll
[2006-03-02 14:00] - [2009-02-09 12:53] - 0401408 ____A (Microsoft Corporation) A37311D9D628C1042A2836731787F0F3

C:\WINDOWS\system32\services.exe
[2006-03-02 14:00] - [2009-02-09 13:25] - 0111104 ____A (Microsoft Corporation) 02A467E27AF55F7064C5B251E587315F


Extra List:
=======
aswTdi(11) Gpc(3) HssDrv(8) IPSec(5) NetBT(6) PSched(7) Tcpip(4)
0x0B00000005000000010000000200000003000000040000000B0000000A00000006000000070000000800000009000000
IpSec Tag value is correct.

**** End of log ****

[NieWiem]

Nie wiem co tam instalowałeś od IOBit, ale to korporacja o wątpliwej reputacji. Wywalam.

Otwórz notatnik i wklej do niego zawartość ramki:

Kod: Zaznacz wszystko

SecCenter::
AV: AntiVir Desktop *Enabled/Outdated* {AD166499-45F9-482A-A743-FDD3350758C7}

Folder::
c:\program files\IObit
c:\documents and settings\All Users\Dane aplikacji\IObit



Plik zapisz jako CFScript.txt
Przeciągnij i upuść ten plik na ikonę ComboFixa - to uruchomi proces.
Przeklej wynikowy raport.

[kamos1602]

Z IOBit zainstalowałem wczoraj Game Booster'a bo chciałem coś sprawdzić.

Log z ComboFix'a:

[NieWiem]

Chyba więcej nie widzę. Jest sterownik oreans32, który posługuje się techinkami spyware, ale wykorzystują go także gry jako element ich zabezpieczeń. Ponieważ widzę poinstalowane gry, więc wolę nie ruszać.

Wykonaj:
- nowy raport z FSS
- nowe raporty z FRST z zaznaczoną opcją addition

[kamos1602]

Gra jest jedna, ale można ją usunąć i ten sterownik również, ponieważ na tym komputerze raczej nie będą instalowane gry

A oto logi:

[NieWiem]

Dobra, to w takim razie - jak rozumiem - mamy doprowadzić ten komputer do maksymalnej możliwej użytkowalności?

Jeśli tak - to udaj się do Panelu sterowania i stamtąd odinstaluj co nie będzie używane. Pozbądź się wszystkiego. Następnie (jak już to zrobisz) wygenerujesz mi nowe raporty z FRST z opcją addition i wtedy skryptami doczyszczę resztki i usunę wpisy z rejestru.

[kamos1602]

Dokładnie tak jak napisałeś Trochę trwało to usuwanie, bo komputer strasznie muli (jeden program/gra potrafi się usuwać 10min).

A to świeżutkie logi:

[NieWiem]

Przepraszam, że nie odpisałem wczoraj, ale dzień mi się skurczył bardzo gwałtownie

Parę rzeczy jeszcze przedyskutujmy.
1. Przeglądarki tak na moje oko wyglądają na przeładowane różnego rodzaju dodatkami.
2. Usług połowę możemy wywalić
3. Jest tu jeszcze zainstalowane coś od AOL, co ma nie najlepszą reputację. Mówiąc szczerze - tez bym wywalił. Masz taki folder na pulpicie: AOL Saved PFC - powiedz mi co w nim jest?

Nie będę też ukrywał, że 2gb ranu to mało. Wiem, że XP nie jest superwymagający, ale przy starym systemie (i pewnie starym laptopie) to cudów i tak tu nie uradzimy.

[kamos1602]

Nie ma sprawy

1. Co do przeglądarek to nie widzę dużej ilości dodatków. Operę już odinstalowałem, została Mozilla i Chrome oraz oczywiście Explorer. Co do dodatków to w Chromie i Mozilli jest jedynie ADBlocker + Javy itp.

2. To wywalamy

3. Program AOL usunąłem wczoraj, ale pozostałości jeszcze są. A w tym folderze zajrzałem i są jakieś pliki cache.

PS. To nie jest laptop, tylko stacjonarny Służy on teraz głównie do pobierania muzyki, przeglądania internetu i pisania zamówień w Excelu przez moją siostrę, więc myślę, że 2gb ramu wystarczy na takie użytkowanie.

[NieWiem]

No dobra, lećmy zatem.

Otwórz notatnik i wklej do niego zawartość ramki:

Kod: Zaznacz wszystko

Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"57815:TCP"=-
"57815:UDP"=-

Driver::
oreans32
dump_wmimmc
EagleNT
EagleXNt
IntelIde
TlntSvr;
wanatw

File::
c:\windows\system32\drivers\oreans32.sys
C:\Documents and Settings\All Users\Pulpit\Game Booster 3.lnk

DDS::
uInternet Settings,ProxyServer = http=127.0.0.1
uInternet Settings,ProxyOverride = <local>

Folder::
C:\Documents and Settings\User\Pulpit\AOL Saved PFC
C:\Documents and Settings\All Users\Menu Start\Programy\Game Booster 3
C:\Documents and Settings\User\Ustawienia lokalne\Dane aplikacji\AOL
C:\Documents and Settings\User\Dane aplikacji\AOL
C:\Documents and Settings\All Users\Dane aplikacji\AOL



Plik zapisz jako CFScript.txt
Przeciągnij i upuść ten plik na ikonę ComboFixa - to uruchomi proces.
Przeklej wynikowy raport.

Dalej:
Skłaniałbym się także za wyrzuceniem RealPlayera i wszystkich jego dodatków - odchudzić przeglądarkę do maksymalnie możliwej postaci. Jako odtwarzacz polecałbym VLC, bezkodekowy. Wtedy można także wyrzucić K-Lite.

[kamos1602]

Wyrzucono K-Lite i RealPlayera oraz dodatkowo ALLPlayer'a, XFire, SubEdit i pozostałości po Operze

Powyższe czynności wykonałem po tym skrypcie, więc na logach mogą być jeszcze widoczne te programy:

[NieWiem]

Skoro były zmiany, to potrzebuję nowe raporty FRST + Addition.

[kamos1602]

Zrobione

[NieWiem]

RealPlayer dalej jest obecny w raportach. Wywalać?
Odinstaluj jeszcze z panelu starą Javę - stara Java (nawet jeśli nie jest uaktywniona) nie może pozostać w systemie, a tutaj widzę: Java(TM) 6 Update 35

Daj znać jak to zrobisz, wywalę resztki skryptem