Problem z bsdriver i mpckpt

**Posty:** 11 · przez **Vendesum** 08 Lut 2016, 13:39

Witam,
Kilka dni temu reinstalowałem system, podczas pobierania kilku plików jeden z nich zainfekował mi komputer wieloma programami adware i nie tylko.
Avast po pełnym przeskanowaniu wywalił ponad 30 zagrożeń, większość usunął, ale to problemu nie rozwiązało. AdwCleaner usunął prawie wszystkie, zostały tylko dwa które usuwa w kółko i się instalują na nowo a dokładniej "bsdriver" i "MPCKpt". Dorzucam skan z FRST. Dodam tylko że główne symptomy to problemy z przeglądarką, rozłączanie się stron, nie ładowanie części, a czasem strona się ładuje ale np. części ich nie.
http://www.wklej.org/id/1932321/

**Posty:** 4765 · przez **ordynat** 08 Lut 2016, 15:26

Otwórz Notatnik i wklej w nim:

ppInit_DLLs: C:\ProgramData\Airtostrong\Keyhome.dll => C:\ProgramData\Airtostrong\Keyhome.dll [805376 2016-02-06] ()
AppInit_DLLs-x32: C:\ProgramData\Airtostrong\Supertex.dll => C:\ProgramData\Airtostrong\Supertex.dll [257536 2016-02-06] ()
C:\ProgramData\Airtostrong
HKU\S-1-5-21-2281496507-3703587837-1400874183-1001\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBUTxkij9_B3vZOxc6r0vkIwdNUNyU84D8TqNANV67-uEtgzmtmy8m6onA6MIiOarVfLnGgqMuCU3hN1lJOzsOmxgoL6hJOo8uZE4MNEXCPFsdvwOBg6ivEx9Pk5TwZxOybwTyxwRcc7ha_zmOUdS4yTpMrAXCGLWNUR4w4IOc8-1bYK3G-Jlo,&q={searchTerms}
HKU\S-1-5-21-2281496507-3703587837-1400874183-1001\Software\Microsoft\Internet Explorer\Main,SearchAssistant = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBUTxkij9_B3vZOxc6r0vkIwdNUNyU84D8TqNANV67-uEtgzmtmy8m6onA6MIiOarVfLnGgqMuCU3hN1lJOzsOmxgoL6hJOo8uZE4MNEXCPFsdvwOBg6ivEx9Pk5TwZxOybwTyxwRcc7ha_zmOUdS4yTpMrAXCGLWNUR4w4IOc8-1bYK3G-Jlo,&q={searchTerms}
FF HKLM\...\Firefox\Extensions: [{8C3CBF0E-AD22-407D-8EAC-9EF895641EE4}] - C:\Program Files\shopperz060220161028\Firefox\{8C3CBF0E-AD22-407D-8EAC-9EF895641EE4}.xpi => nie znaleziono
FF HKLM\...\Firefox\Extensions: [{15A4CF24-C072-4EB9-84EC-B4E618727594}] - C:\Program Files\groover060220161629\Firefox\{15A4CF24-C072-4EB9-84EC-B4E618727594}.xpi => nie znaleziono
FF HKLM-x32\...\Firefox\Extensions: [{8C3CBF0E-AD22-407D-8EAC-9EF895641EE4}] - C:\Program Files\shopperz060220161028\Firefox\{8C3CBF0E-AD22-407D-8EAC-9EF895641EE4}.xpi => nie znaleziono
FF HKLM-x32\...\Firefox\Extensions: [{15A4CF24-C072-4EB9-84EC-B4E618727594}] - C:\Program Files\groover060220161629\Firefox\{15A4CF24-C072-4EB9-84EC-B4E618727594}.xpi => nie znaleziono
C:\Program Files\groover060220161629
C:\Program Files\shopperz060220161028
CHR DefaultSearchURL: Default -> hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBUTxkij9_B3vZOxc6r0vkIwdNUNyU84D8TqNANV67-uEtgzmtmy8m6onA6MIiOarVfLnGgqMuCU3hN1lJOzsOmxgoc5DnRs2w6sMP6q02p8Do-o8yBhBIxzZFp2qWAEs1hyvWedobmtgvgmePrdLrTrOfu3CH0v2UaQFVHERJdspBcWuhIYLQ,&q={searchTerms}
CHR DefaultSearchKeyword: Default -> feed.sonic-search.com
CHR DefaultSuggestURL: Default -> hxxps://search.yahoo.com/sugg/chrome?output=fxjson&appid=crmas&command={searchTerms}
2016-02-06 16:58 - 2016-02-06 16:58 - 3204414 _____ () C:\Program Files\Common Files\kevtsbxj.exe
2016-02-06 15:58 - 2016-02-06 15:58 - 0041472 _____ () C:\Users\Sobie\AppData\Local\statstrip.dat
2016-02-06 15:58 - 2016-02-06 15:58 - 0000187 _____ () C:\Users\Sobie\AppData\Local\statstrip.exe.config
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix (NAPRAW).
Powstanie plik fixlog.txt.
Daj ten log.

Zrób nowe logi z FRST.
Przed skanem zaznacz "Addition.txt"
.

**Posty:** 11 · przez **Vendesum** 08 Lut 2016, 15:36

Fixlog: http://www.wklej.org/id/1932398/
FRST: http://www.wklej.org/id/1932399/
Addition: http://www.wklej.org/id/1932400/
Na tą chwilę dziękuje.

**Posty:** 4765 · przez **ordynat** 08 Lut 2016, 15:54

Otwórz Notatnik i wklej w nim:

Task: {12519C3F-2ABE-4D79-A677-1DEB88FA3B36} - System32\Tasks\Dapdixt => C:\PROGRA~1\GROOVE~1\Gojywit.bat
Task: {1989C406-CD15-4348-8E3C-28C56322D953} - System32\Tasks\{98D7AEEC-7F26-47B9-9A30-10A4E6D145DD} => pcalua.exe -a C:\Users\Sobie\AppData\Local\03AA02FC-1454774337-0552-9806-700700080009\Uninstall.exe
C:\PROGRA~1\GROOVE~1
Task: {7EA11170-3AA5-4CB1-8EA5-BAE0B860C1F9} - System32\Tasks\Vuzajei => C:\PROGRA~1\SHOPPE~1\Fyollu.bat
C:\PROGRA~1\SHOPPE~1
R1 bsdriver; C:\Windows\system32\drivers\bsdriver.sys [34712 2016-02-06] ()
C:\Windows\system32\drivers\bsdriver.sys
R1 MPCKpt; C:\Windows\System32\DRIVERS\MPCKpt.sys [60136 2016-02-06] (DotC United Inc)
C:\Windows\System32\DRIVERS\MPCKpt.sys
AppInit_DLLs: C:\ProgramData\Airtostrong\Keyhome.dll => Brak pliku
HOSTS:
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix (NAPRAW).
.

**Posty:** 11 · przez **Vendesum** 08 Lut 2016, 16:32

Log po fixie: http://www.wklej.org/id/1932456/
Dodam tylko że komputer nie zrestartował się tak jak po poprzednim razie, instalka FRST sama znikła z miejsca które wybrałem na moich oczach a po chwili AVG wywaliło komunikat że usunęło wirusa w postaci FRST. Ponowić fixa z wyłączonym antyvirem?

**Posty:** 4765 · przez **ordynat** 08 Lut 2016, 17:39

Zrób sobie nowy log FRST, i zobacz, czy dalej jest w nim:
R1 MPCKpt; C:\Windows\System32\DRIVERS\MPCKpt.sys [60136 2016-02-06] (DotC United Inc)

Jeśli dalej jest, to powtórz usuwanie.
.

**Posty:** 11 · przez **Vendesum** 08 Lut 2016, 18:05

Log po fixie: http://www.wklej.org/id/1932519/ / Jak zainstalowałem program za drugim razem i znów zrobiłem fixa tym razem komputer się zrestartował, ale niewiele to pomogło z tego co widzę w logach.
Całkowity log: http://www.wklej.org/id/1932530/
Addition log: http://www.wklej.org/id/1932531/

Coś nie może usunąć tej usługi a linijka którą podałeś cały czas tam jest, chyba że źle patrze

**Posty:** 4765 · przez **ordynat** 08 Lut 2016, 21:30

A może to są prawidłowe, legalne obiekty?
Sprawdź te pliki:
C:\Windows\system32\drivers\bsdriver.sys
C:\Windows\System32\Drivers\MPCKpt.sys
na --> JOTTI/ albo na VIRUSTOTAL

Dodatkowo:
Otwórz Notatnik i wklej w nim:

File: C:\Windows\system32\drivers\bsdriver.sys
File: C:\Windows\System32\DRIVERS\MPCKpt.sys

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix (NAPRAW).
Powstanie plik fixlog.txt.
Daj ten log.
.

**Posty:** 11 · przez **Vendesum** 08 Lut 2016, 22:17

https://virusscan.jotti.org/en-US/filescanjob/89guudl0tu - Jeden jest zainfekowany
https://virusscan.jotti.org/en-US/filescanjob/9ffqr4cmc0 - Drugi czysty

A tu opis tych dwóch plików
http://www.wklej.org/id/1932775/

**Posty:** 4765 · przez **ordynat** 08 Lut 2016, 22:40

Otwórz Notatnik i wklej w nim:

R1 bsdriver; C:\Windows\system32\drivers\bsdriver.sys [34712 2016-02-06] ()
C:\Windows\system32\drivers\bsdriver.sys
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix (NAPRAW).
Powstanie plik fixlog.txt.
Daj ten log.

Uruchom FRST.
W polu SEARCH (SZUKAJ) wklej:

bsdriver.sys

kliknij na przycisk "Search Files (Szukaj Plików)".
Raport z tego będzie tam, gdzie jest FRST.

Uruchom FRST.
W polu SEARCH (SZUKAJ) wklej:

bsdriver.sys

kliknij na przycisk "Search Registry" (Szukaj w Rejestrze).
Raport z tego będzie tam, gdzie jest FRST.
.

**Posty:** 11 · przez **Vendesum** 08 Lut 2016, 22:55

Log ogólny: http://www.wklej.org/id/1932809/
Log "Szukaj plików": http://www.wklej.org/id/1932810/
Log "Szukaj w rejestrze": http://www.wklej.org/id/1932812/

**Posty:** 4765 · przez **ordynat** 09 Lut 2016, 00:06

1) Do Notatnika wklej:

Kod: Zaznacz wszystko: Windows Registry Editor Version 5.00 [-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\bsdriver] [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\bsdriver] [HKEY_USERS\S-1-5-21-2281496507-3703587837-1400874183-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\TypedPaths] "url2"=-

Z Menu Notatnika >> Plik >> Zapisz jako >> Ustaw rozszerzenie na Wszystkie pliki >> Zapisz jako> FIX.REG >>
plik uruchom (dwuklik i OK).

2) Otwórz Notatnik i wklej w nim:

C:\Windows\System32\drivers\bsdriver.sys
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix (NAPRAW).

3) Zrób takie same wyszukiwanie, jak ostatnio.
.

**Posty:** 11 · przez **Vendesum** 09 Lut 2016, 00:16

Fixlog: http://www.wklej.org/id/1932886/
Szukaj pliku: http://www.wklej.org/id/1932888/
Szukaj w rejestrze: http://www.wklej.org/id/1932890/
Proszę.

**Posty:** 4765 · przez **ordynat** 09 Lut 2016, 00:22

Ależ uparte diabelstwo.

Wejdź w Tryb Awaryjny (F8 przed startem Systemu).

Otwórz Notatnik i wklej w nim:

DeleteKey: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\bsdriver
DeleteKey: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\bsdriver
C:\Windows\system32\drivers\bsdriver.sys
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix (NAPRAW).

Zrób takie samo wyszukiwanie, jak ostatnio.

(ja już idę spać).
.

**Posty:** 11 · przez **Vendesum** 09 Lut 2016, 00:25

Na tą chwilę dziękuje, zaraz zobaczę jaki będzie efekt.
Jeszcze raz, dzięki za poświęcony czas i powodzenia.
*Jeżeli nie zapomnę to edytuje ten post i napiszę coś normalnego

http://www.wklej.org/id/1932897/
http://www.wklej.org/id/1932899/
http://www.wklej.org/id/1932902/

**Posty:** 4765 · przez **ordynat** 09 Lut 2016, 09:21

"C:\Windows\system32\drivers\bsdriver.sys" => Nie można przenieść

Czarno to widzę.

1) Uruchom BlitzBlank i w karcie Script wklej:

Kod: Zaznacz wszystko: DisableDriver: bsdriver DeleteFile: C:\Windows\System32\drivers\bsdriver.sys DeleteRegKey: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\bsdriver DeleteRegKey: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\bsdriver

Kliknij w Execute Now. Zatwierdź restart komputera.

2. Daj wynikowy log z BlitzBlank C:\blitzblank.log (o ile Blitz w ogóle zadziała, bo nie był planowany na WIN 10)

3) Daj log z >TDSSKiller
.

**Posty:** 11 · przez **Vendesum** 09 Lut 2016, 12:32

Błąd składni w 5 linijce kodu. "C:\Windows\system32\drivers\bsdriver.sys" Brak drogi do pliku. Nie widzi systemowych?

**Posty:** 4765 · przez **ordynat** 09 Lut 2016, 13:15

spróbuj tę ścieżkę wziąć w cudzysłów
czyli
DeleteFile:
"C:\Windows\System32\drivers\bsdriver.sys"

**Posty:** 11 · przez **Vendesum** 09 Lut 2016, 13:50

Dalej ten sam błąd składni

**Posty:** 4765 · przez **ordynat** 09 Lut 2016, 14:02

użyj TDSSKiller - może akurat wykryje ten plik i usunie?
Choć to raczej mało prawdopodobne.
.

Kto jest na forum