ClearLNK - удаление параметров запуска у ярлыков 2.9.0.16

[Dragokas]

А каким способом подавался ярлык на лечение?

 

[Phoenix]

Dragokas, Стас, скажи зачем ты "исправляешь" такое C:\Users\luser\AppData\Local\Yandex\YandexBrowser\Application\browser.exe --profile-directory="Default"
\browser.exe --profile-directory="Profile 2
\browser.exe --profile-directory="Profile 4"
Это ярлыки с иконками на конкретные профили - замучился восстанавливать. А ?

 

[Dragokas]

Давай подумаем. Это тот случай, когда легитим от нелегитима трудно отличить.
Была такая тема (сейчас уже не дам ссылку), где реклама лезла на учетку конкретного юзера, причем профиль Chrome был специально склонирован. Имя там было правда иное, чем default X, но тем не менее факт остается фактом. Такого вида заражения имеются. К тому же я не думаю, что этой фичей с профилями браузеров так часто пользуются. Зачем тогда разные учетки системы придумали?

На счет

--profile-directory="Default"

это был баг, который долгое время гулял. Эта запись равносильна стандартному профилю, поэтому исправлять ее не имеет смысла.

 

[Phoenix]

К тому же я не думаю, что этой фичей с профилями браузеров так часто пользуются. Зачем тогда разные учетки системы придумали?

А я не думаю, что учётками часто пользуются. Профиль означает синхронизацию паролей, истории и др. Можно зайти на новую систему и вернуть всё как было за 10 секунд. А от системных учёток какой барыш ? Только пароли вводить. Кроме того без отключения синхронизации всё вернётся взад и пользы от лечения не выйдет.

 

[Dragokas]

Пользователь Dragokas обновил ресурс ClearLNK - удаление параметров запуска у ярлыков новой записью:

Правка багов

2.8.0.9
[баг] ClearLNK при запуске изменяла тему оформления рабочего стола на стандартную на некоторых системах.
[баг] Исправлена ошибка интерпретации 64-битных путей из базы данных браузеров.
Улучшено определение запуска из под архива.
Убраны лишние строки (SKIP) в отчете об исправленных иконках.
Пополнены базы.

Узнать больше об этом обновлении...

 

[thyrex]

Вирус в браузере, exe.emorhc.bat - Лечение компьютерных вирусов - CyberForum.ru
Может ли быть так, что утилита неверно восстановила иконки?

 

[Dragokas]

Там проблема в другом.
Давай проясним.
Пользователь запускает из трея, а значит название ярлыка не видит, поэтому не может явно утверждать, что именно он сейчас запускает.
Т.к. лечащая утилита отработала нормально (путь в логе верный), а иконка выглядит, как у IE, предполагаем, что это ярлык от IE.
После запуска ярлыка, открывается Chrome, в адресной строке которого указан полный путь к Internet Explorer, значит путь в ярлыке указан верно,
но открывается он почему то с помощью хрома.
Мое предположение - повреждение ассоциации EXE. Менее вероятное - повреждение ассоциации LNK.
Почему на этот счет нет ничего интересного в логах AVZ / FRST мне неизвестно.
Нужны полные экспорты (например, через MiniRegTool by FarBar):
HKEY_CLASSES_ROOT\exefile
HKEY_CLASSES_ROOT\lnkfile
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.lnk
Может и где-то еще. В Windows 10 с ассоциациями все еще более запутано.

И я еще для контроля взял бы отчет ярлыков FRST, вдруг там что-то непонятно в трее висит.
Если ничего не выяснится, то лог Process Monitor.
Кстати, та же картина должна повторяться и с ярлыками к другим программам.

 

[mike 1]

Dragokas, а я думаю проблема в другом.

Task: {06E2D3F3-19FC-4B3C-9C8E-F6BB5C0239AA} - System32\Tasks\Soft installer => C:\Users\Lerston\AppData\Local\Host installer\3303612125_installcube.exe [2015-08-29] (norday name)
Task: {9F524BAA-4C2D-47C3-BC43-35356203CC8D} - System32\Tasks\SystemScript => C:\Users\Lerston\AppData\Local\Microsoft\Windows\toolbar.exe

 

[Dragokas]

Нужно коллективное мнение, а то постоянно натыкаемся на грабли:

Нужно ли менять поведение программы ClearLNK?

- [h] c:\1\some.lnk -> c:\1.exe

при вставке такой строки в главное окно программы, она будет игнорироваться, как и в отчете, потому что стоит знак минус.
Может, для главного окна сделать исключение? - Пусть лечит все, что скопировали в окно (невзирая на - ) ?

 

[Vvvyg]

Было бы логично, на мой взгляд.
А если без "-" - удалит аттрибуты "скрытый" у ярлыков?
Или заменить на >>> для верности?

 

[SNS-amigo]

Меня все устраивает. Если что браузер - не такая сложная вещь, можно и переустановить и вручную баты-зачистить.
Конечно же одна утилита, которая ищет и лечит - была бы предпочтительней, но ответ на данный контекст уже знаю.

 

[thyrex]

я думаю проблема в другом

Наивно было на это надеяться

Может, для главного окна сделать исключение? - Пусть лечит все, что скопировали в окно (невзирая на - ) ?

Думаю, да

 

[Dragokas]

А если без "-" - удалит аттрибуты "скрытый" у ярлыков?

Да.

 

[Dragokas]

Пользователь Dragokas обновил ресурс ClearLNK - удаление параметров запуска у ярлыков новой записью:

Изменение в поведении

2.8.0.10
Теперь обрабатываются все ярлыки, скопированные в окно программы, вне зависимости от наличия знака - (минус) перед строкой.
Убраны лишние строки в секции "расположение иконок".
Пополнены базы.

Узнать больше об этом обновлении...

 

[Vvvyg]

Dragokas, Спасибо за оперативность, даже не успел скопипастить пути к ярлыкам в скрипт для AVZ

 

[thyrex]

Dragokas, есть идеи Вирус в браузере, exe.emorhc.bat - Сообщение 8027615 - Лечение компьютерных вирусов ? Если это возможно, займись им дальше, пожалуйста

 

[mike 1]

Наивно было на это надеяться

А это осталось

HKLM-x32\...\Run: [app-helper] => C:\Program Files (x86)\Application Assistance\app-helper.exe
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.haо123.com/?tn=29065018_239_hao_pg
2015-08-29 11:42 - 2015-08-29 11:42 - 00000000 ____D C:\Users\Все пользователи\{BAF091CA-86C4-4627-ADA1-897E2621C1B0}
2015-08-29 11:42 - 2015-08-29 11:42 - 00000000 ____D C:\ProgramData\{BAF091CA-86C4-4627-ADA1-897E2621C1B0}
2015-08-29 11:41 - 2015-08-29 11:41 - 00000000 ____D C:\Users\Lerston\AppData\Roaming\SPI
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\QQPCRTP => ""="service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\QQPCRTP => ""="service"

 

[Dragokas]

thyrex, интересная ситуация. Хорошо, подхвачу, но по мере свободного времени сегодня. Есть пару идей.
mike 1, спасибо. Проверю и это тоже.

 

[Dragokas]

Потестируйте, пожалуйста, на предмет багов, вылетов, неверной кодировки при вставке списка.

Смена интерфейса.
Поле ввода и кнопки заменены на юникодные. Теперь можно вставлять пути с любыми крякозябликами в именах ярлыков.
Перетаскивание файлов на форму временно отключено.

 

[Кирилл]

Перетаскивание работает при если на программу кинуть.
Багов не замечено.