Windows 10 COM Surrogate

[ejvram]

Ahoj, chci se zeptat co dělá tento proces. Pokaždé když připojím svůj externí disk k PC tak po pár desítkách sekund mi tento proces využívá takřka 100% disku. Viz screenshot. Před upgradem z Windows 8.1 na Windows 10 jsem tento problém nezaznamenal.

[Rudy]

Zdravím!
Je to šmejd. Dejte log FRST: http://forum.viry.cz/viewtopic.php?f=13&t=133100 .

[ejvram]

Tady to je .

[Rudy]

Otevřte poznámkový blok a zkopírujte do něj:

Start
HKLM-x32\...\Run: [SunJavaUpdateSched] => C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe [334896 2015-06-08] (Oracle Corporation)
NETSVCx32: NetSetupSvc -> C:\Windows\SysWOW64\NetSetupSvc.dll ==> No File
NETSVCx32: UserManager -> C:\Windows\SysWOW64\usermgr.dll ==> No File
C:\WINDOWS\Tasks\GoogleUpdateTaskMachineUA1d043bbd6d7d963.job
C:\WINDOWS\Tasks\GoogleUpdateTaskMachineUA.job
C:\WINDOWS\Tasks\GoogleUpdateTaskMachineCore1d043bbd6b90648.job
C:\WINDOWS\Tasks\GoogleUpdateTaskMachineCore.job
C:\WINDOWS\SysWOW64\WDPABKP.dat
C:\ProgramData\DP45977C.lfl
C:\Users\Adam\AppData\Local\Temp
AlternateDataStreams: C:\Users\Adam\OneDrive:ms-properties
End

Uložte na plochu jako fixlist.txt. Spusťte znovu FRST a klikněte na >Fix<. Po skončení akce se objeví log, který sem zkopírujte.

[ejvram]

Fix result of Farbar Recovery Scan Tool (x64) Version:06-08-2015
Ran by Adam (2015-08-08 11:36:34) Run:1
Running from C:\Users\Adam\Desktop
Loaded Profiles: Adam (Available Profiles: Adam)
Boot Mode: Normal
==============================================

fixlist content:
*****************
Start
HKLM-x32\...\Run: [SunJavaUpdateSched] => C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe [334896 2015-06-08] (Oracle Corporation)
NETSVCx32: NetSetupSvc -> C:\Windows\SysWOW64\NetSetupSvc.dll ==> No File
NETSVCx32: UserManager -> C:\Windows\SysWOW64\usermgr.dll ==> No File
C:\WINDOWS\Tasks\GoogleUpdateTaskMachineUA1d043bbd6d7d963.job
C:\WINDOWS\Tasks\GoogleUpdateTaskMachineUA.job
C:\WINDOWS\Tasks\GoogleUpdateTaskMachineCore1d043bbd6b90648.job
C:\WINDOWS\Tasks\GoogleUpdateTaskMachineCore.job
C:\WINDOWS\SysWOW64\WDPABKP.dat
C:\ProgramData\DP45977C.lfl
C:\Users\Adam\AppData\Local\Temp
AlternateDataStreams: C:\Users\Adam\OneDrive:ms-properties
End
*****************

HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\\SunJavaUpdateSched => value removed successfully
HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\SvcHost\\netsvcs NetSetupSvc => removed successfully
HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\SvcHost\\netsvcs UserManager => removed successfully
C:\WINDOWS\Tasks\GoogleUpdateTaskMachineUA1d043bbd6d7d963.job => moved successfully.
C:\WINDOWS\Tasks\GoogleUpdateTaskMachineUA.job => moved successfully.
C:\WINDOWS\Tasks\GoogleUpdateTaskMachineCore1d043bbd6b90648.job => moved successfully.
C:\WINDOWS\Tasks\GoogleUpdateTaskMachineCore.job => moved successfully.
C:\WINDOWS\SysWOW64\WDPABKP.dat => moved successfully.
Could not move "C:\ProgramData\DP45977C.lfl" => Scheduled to move on reboot.

"C:\Users\Adam\AppData\Local\Temp" folder move:

Could not move "C:\Users\Adam\AppData\Local\Temp" => Scheduled to move on reboot.

"C:\Users\Adam\OneDrive" => ":ms-properties" ADS not found.

Result of scheduled files to move (Boot Mode: Normal) (Date&Time: 2015-08-08 11:38:30)<=

"C:\ProgramData\DP45977C.lfl" => Could not move
C:\Users\Adam\AppData\Local\Temp => moved successfully

==== End of Fixlog 11:38:30 ====

[Rudy]

Smazáno. Nastala nějaká změna?

[ejvram]

Stále stejné. Zajímavé je, že ten proces využívá jen externí disk. Žádný jiný disk v procesech není tímto procesem zatěžován.

[Rudy]

Dejte log ComboFix:

Stahnete a ulozte nejlepe na plochu ComboFix: http://download.bleepingcomputer.com/sUBs/ComboFix.exe

pote spustte aplikaci pod uctem s administratorskym opravnenim

hned po startu se zobrazi obrazovka s licencnimi podminkami, pokracujte kliknutim na tlacitko Ano.

v klidu si postavte na kafe (cela akce trva cca. 5-10 minut, nekdy i dele - dle toho, o jak rychly stroj se

jedna a kolika soubory se skener bude muset prodirat), behem skenu se nepokousejte spoustet zadne jine

aplikace ani nic jineho

behem skenovani nepropadejte panice, vas stroj muze byt restartovan (predevsim pri prvni aplikaci skeneru)

upozorneni: pokud pouzivate antispyware s rezidentnim stitem, prepnete jeho rezidentni stit do Install Mode,

pripadne jej po dobu skenu uplne deaktivujte, protoze dochazi pri skenu a vymazu pripadneho malware k

nezadoucim kolizim s rezidentem antispyware.

[ejvram]

Combofix nepodporuje Windows 10. Nelze spustit v žádném režimu kompatibility ani normálně jako správce.

[Rudy]

Pardon, zapoměl jsem. Udělejte tedy kompletní sken MBAM: http://www.malwarebytes.org/mbam.php a dejte log. Předem nic nemažte.

[ejvram]

Malwarebytes Anti-Malware
www.malwarebytes.org

Datum skenování: 8. 8. 2015
Čas skenování: 21:43
Protokol: asd.txt
Správce: Ano

Verze: 2.1.8.1057
Databáze malwaru: v2015.08.08.03
Databáze rootkitů: v2015.08.06.01
Licence: Zkušební verze
Ochrana proti malwaru: Zapnuto
Ochrana proti škodlivým webovým stránkám: Zapnuto
Ochrana programu: Vypnuto

OS: Windows 10
CPU: x64
Souborový systém: NTFS
Uživatel: Adam

Typ skenu: Sken hrozeb
Výsledek: Dokončeno
Prohledaných objektů: 386020
Uplynulý čas: 7 min, 14 sek

Paměť: Zapnuto
Po spuštění: Zapnuto
Souborový systém: Zapnuto
Archivy: Zapnuto
Rootkity: Zapnuto
Heuristika: Zapnuto
PUP: Zapnuto
PUM: Zapnuto

Procesy: 0
(Nenalezeny žádné škodlivé položky)

Moduly: 0
(Nenalezeny žádné škodlivé položky)

Klíče registru: 0
(Nenalezeny žádné škodlivé položky)

Hodnoty registru: 0
(Nenalezeny žádné škodlivé položky)

Data registru: 0
(Nenalezeny žádné škodlivé položky)

Složky: 0
(Nenalezeny žádné škodlivé položky)

Soubory: 0
(Nenalezeny žádné škodlivé položky)

Fyzické sektory: 0
(Nenalezeny žádné škodlivé položky)


(end)

[Rudy]

Nic nenašel a je problém, že ho tam nevdím. A nastává problém s tím, co nám bude na desítkách fungovat. Zkuste toto: http://www.slunecnice.cz/sw/stopzilla/ .

[ejvram]

Něco to našlo. Ale nemůžu to přes program odstranit, protože nevlastním licenci.

[Rudy]

Zkuste to ručně smazat. Cestu k souboru tam máte.

[ejvram]

Vypadá to zatím dobře. Můžu se zeptat na názor na software od firmy Iobit? Na internetu jsem četl, že je to čínský šmejd. Mám jej radši odinstalovat ? Díky