Pliki Libre Office tylko do odczytu, Avast blokuje aplikację soffice.bin

Dla specjalistów Bezpieczeństwo
#1

Witam
Od rana mam problem z dostępem do plików LibreOffice, problem pojawia się pierwszy raz, jeszcze wczoraj czy przedwczoraj wszystko było ok. Dziś przy pierwszej próbie otwarcia pliku pojawiają się dwa komunikaty.
Jeden Windowsowy:
„Dokument w użyciu
Plik dokumentu ‘…’ został zablokowany przed edycja przez:
Nieznany użytkownik
Otwórz dokument w trybie tylko do odczytu lub otwórz kopię dokumentu w trybie do edycji.”

Drugi Avastowy:
„Właśnie ochroniliśmy twój plik
Aplikacja soffice.bin próbuje zmienić lub usunąć plik … w chronionym folderze Desktop
Co chcesz zrobić - blokuj nadal , zezwól na dostęp
Tymczasowo zablokowaliśmy aplikację, aby chronić twój plik. Aby ją odblokować zezwól aplikacji na wprowadzenie zmian w plikach.”

Sytuacja dotyczy wszystkich plików, chociaż nie zawsze pojawia się komunikat Avasta, natomiast zawsze jest komunikat Windows, że „dokument w użyciu”, został zablokowany przed edycją. Nie próbowałem wchodzić poprzez otworzenie tylko do odczytu czy otworzenie kopii, bo po komunikacie Avasta mam obawy czy to może być jakieś wirus.
Dlatego chciałem się spytać czy to Avast coś wariuje, wykrył jakieś zagrożenie, które zagrożeniem nie jest i dlatego blokuje otwieranie plików libreoffice? Ktoś się z czymś takim spotkał? Nie wiem czy powinienem ignorować te ostrzeżenia Avasta?
Nie wiem czy wstawiać raport frst, bo dość niedawno tutaj go wstawiałem (wtedy to eset wykrywał mi szkodliwe aplikacje zwiazane z Avastem) i nic poważnego nie wykazało.

Byłbym wdzięczny za jakieś rady, co z tym problemem można zrobić i czy to coś poważnego. Jeśli przydałby się ten raport frst to piszecie, postaram się wrzucić jak najszybciej. Jeśli idzie o skanowanie, to skanuję esetem online, ale przy moim starym kompie, to musi trochę potrwać, więc na razie nie mam wyniku, jedynie wykryło już 2obiekty, ale patrząc na miejsce wykrycie, to są te same obiekty, które wykrywało poprzednio, związane z avastem.

#2

Witaj @gizmo21

Wielokrotnie zdarzało się, że Avast (między innymi) blokował dostęp do plików

Sprawdźmy
Naciśnij Win+R
Wpisz cmd
Wklej to co poniżej (to jest w jednej linii) i naciśnij [Enter]
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options" /s

Wstaw zawartość do wglądu w odpowiedzi.
Możesz w okienku cmd zaznaczyć wynik myszką i dać ctrl+c

Pozdrawiam serdecznie
Julliusz

1 polubienie
#3

Wszystko zrobiłem, tylko za bardzo nie wiem jak to skopiować, nie da się zaznaczyć tego myszką, albo coś źle robię.

#4

Kliknij myszką za ostatnim znakiem w cmd
Przytrzymaj klawisz i zaznacz, aż do początku wyniku
Wtedy puść klawisz, powinno zapamiętać treść w schowku i zaznaczenie zniknie
Wtedy wklej do wiadomości ctrl+v

#5

Jak wciskam ctrl+c, to wyskakuje mi dodatkowe na samym dole "C:\Users", za każdym razem następne i następne.

#6

Ok, udało się przez prawy przycisk mysz → oznacz, potem zaznaczenie i enter.

Microsoft Windows [Wersja 6.1.7601]
Copyright (c) 2009 Microsoft Corporation. Wszelkie prawa zastrzeżone.

C:\Users\Matthias>reg query „HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\Cu
rrentVersion\Image File Execution Options” /s


HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\AvastBrowserUpdate.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\DllNXOptions
    mscoree.dll    REG_DWORD    0x1
    mscorwks.dll    REG_DWORD    0x1
    mso.dll    REG_DWORD    0x1
    msjava.dll    REG_DWORD    0x1
    msci_uno.dll    REG_DWORD    0x1
    jvm.dll    REG_DWORD    0x1
    jvm_g.dll    REG_DWORD    0x1
    javai.dll    REG_DWORD    0x1
    vb40032.dll    REG_DWORD    0x1
    vbe6.dll    REG_DWORD    0x1
    ums.dll    REG_DWORD    0x1
    main123w.dll    REG_DWORD    0x1
    udtapi.dll    REG_DWORD    0x1
    mscorsvr.dll    REG_DWORD    0x1
    eMigrationmmc.dll    REG_DWORD    0x1
    eProcedureMMC.dll    REG_DWORD    0x1
    eQueryMMC.dll    REG_DWORD    0x1
    EncryptPatchVer.dll    REG_DWORD    0x1
    Cleanup.dll    REG_DWORD    0x1
    divx.dll    REG_DWORD    0x1
    divxdec.ax    REG_DWORD    0x1
    fullsoft.dll    REG_DWORD    0x1
    NSWSTE.dll    REG_DWORD    0x1
    ASSTE.dll    REG_DWORD    0x1
    NPMLIC.dll    REG_DWORD    0x1
    PMSTE.dll    REG_DWORD    0x1
    AVSTE.dll    REG_DWORD    0x1
    NAVOPTRF.dll    REG_DWORD    0x1
    DRMINST.dll    REG_DWORD    0x1
    TFDTCTT8.dll    REG_DWORD    0x1
    DJSMAR00.dll    REG_DWORD    0x1
    xlmlEN.dll    REG_DWORD    0x1
    ISSTE.dll    REG_DWORD    0x1
    symlcnet.dll    REG_DWORD    0x1
    ppw32hlp.dll    REG_DWORD    0x1
    Apitrap.dll    REG_DWORD    0x1
    Vegas60k.dll    REG_DWORD    0x1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\ExtExport.exe
    MitigationOptions    REG_QWORD    0x100

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\FlashUtil32_14_0_0_125_pepper.exe
    DisableExceptionChainValidation    REG_DWORD    0x0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\FlashUtil32_14_0_0_145_pepper.exe
    DisableExceptionChainValidation    REG_DWORD    0x0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\FlashUtil32_14_0_0_179_pepper.exe
    DisableExceptionChainValidation    REG_DWORD    0x0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\FlashUtil32_15_0_0_152_pepper.exe
    DisableExceptionChainValidation    REG_DWORD    0x0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\FlashUtil32_15_0_0_189_pepper.exe
    DisableExceptionChainValidation    REG_DWORD    0x0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\FlashUtil32_15_0_0_223_pepper.exe
    DisableExceptionChainValidation    REG_DWORD    0x0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\FlashUtil32_15_0_0_239_pepper.exe
    DisableExceptionChainValidation    REG_DWORD    0x0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\FlashUtil64_14_0_0_125_pepper.exe
    DisableExceptionChainValidation    REG_DWORD    0x0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\FlashUtil64_14_0_0_145_pepper.exe
    DisableExceptionChainValidation    REG_DWORD    0x0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\FlashUtil64_14_0_0_179_pepper.exe
    DisableExceptionChainValidation    REG_DWORD    0x0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\FlashUtil64_15_0_0_152_pepper.exe
    DisableExceptionChainValidation    REG_DWORD    0x0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\FlashUtil64_15_0_0_189_pepper.exe
    DisableExceptionChainValidation    REG_DWORD    0x0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\FlashUtil64_15_0_0_223_pepper.exe
    DisableExceptionChainValidation    REG_DWORD    0x0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\FlashUtil64_15_0_0_239_pepper.exe
    DisableExceptionChainValidation    REG_DWORD    0x0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\GoogleUpdate.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\ie4uinit.exe
    MitigationOptions    REG_QWORD    0x100

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\ieinstal.exe
    MitigationOptions    REG_QWORD    0x100

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\ielowutil.exe
    MitigationOptions    REG_QWORD    0x100

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\ieUnatt.exe
    MitigationOptions    REG_QWORD    0x100

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\iexplore.exe
    DisableExceptionChainValidation    REG_DWORD    0x0
    DisableUserModeCallbackFilter    REG_DWORD    0x1
    MitigationOptions    REG_QWORD    0x100

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\msfeedssync.exe
    MitigationOptions    REG_QWORD    0x100

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu
tion Options\mshta.exe
    MitigationOptions    REG_QWORD    0x100

C:\Users\Matthias>
#7

Jednak nie jest to ten sam problem

Zrób skan FRST, może tam zauważę coś więcej

#8

FRST.txt (18,0 KB)
Addition.txt (33,4 KB)
Shortcut.txt (31,1 KB)

Jeśli idzie o skanowanie Esetem online, to nie wykazał nic więcej poza 2problemy z aplikacjami związanymi z Avastem, czyli to samo o czym tutaj ostatnio pisałem.

#9

Dodawałeś może ten plik z LibreOffice do Białej listy w Avast?

#10

A co to jest ta biała lista? Tzn. nic nie robiłem z żadnym plikiem, nawet nie próbowałem otwierać tylko do odczytu. Zresztą tak jak pisałem, sytuacja dotyczy każdego pliku LibreOffice, przy próbie otwarcia jakiegokolwiek pliku pojawia się ten problem.

Samo przeskanowanie danego pliku Avastem też nic nie wykazuje, nie znajduje żadnego wirusa.

Nie mam pojęcia co się za bardzo stało, wczoraj jeszcze wszystko było ok. Avast chyba się zaktualizował ostatnio, ale nie wydaje mi się by było to wczoraj, a raczej parę dni temu, natomiast ostatnio pliki z libreoffice otwierałem wczoraj lub przedwczoraj i wszystko było wtedy jeszcze ok.

#11

Libre Office jak i Microsoft Office uzywają coś co nazywa sie blokadą plików.
Zajrzyj tu. To o Microsoft

Zajrzyj tez tu. Jest tam tez linki do forum Libre Office.
Moze tam szukaj odpowiedzi.

1 polubienie
#12

W menedżerze zadań nie ma nic otwartego jeśli chodzi o libreoffice, więc raczej to nie jest kwestia tego, że program/plik pozostaje gdzieś nadal otwarty. Ale zrobiłem coś innego, spróbowałem otworzyć sam libreoffice i działa. Program się otwiera, ale jest właśnie pewne „ale”, które sprawiło, że coś mi zaczyna świtać i sobie coś przypomnaiłem, tylko nie wiem na ile to faktycznie może być problemem i jak to rozwiązać. Tak więc do rzeczy. Gdy ostatnio używałem libreoffice, to myślałem, że przez przypadek musiałem coś wcisnąć, bo nagle w pliku strasznie urosła mi czcionka (mimo, że w opcjach cały czas była 12), a do tego coś dziwnego stało się z marginesami (strasznie się rozciągnęły). Ogólnie myślałem, że coś przez przypadek wcisnąłem i się pochrzaniło, nie wiedziałem za bardzo jak to cofnąć, więc po prostu zamknąłem plik bez zapisywania. Potem jak go otworzyłem, to wszystko było ok, normalna czcionka i marginesy, więc stwierdziłem, że wszystko w porządku i dlatego wcześniej o tym nic nie pisałem. Jednak jak teraz otwarłem libreoffice, to jest dokładnie to samo, co było wtedy. Tzn. litery są ogromne (mimo czcionki 12), przez to, że marignesy są rozjechane na duże odległości. Nie mam pojęcia czy to może powodować taką sytuacje jak u mnie, że nie otwiera mi plików? W każdym razie to jest jedyne co mi w tym momencie przychodzi na myśli i jakoś zbiega się to w czasie ze sobą. Tylko nie wiem jak to się da zmienić? Najpewniej faktycznie coś musiałem wcisnąć, tylko nie wiem co? I nie wiem czy faktycznie coś takiego mogłoby mieć takie konsekwencje jak blokowanie otwarcia plików?
Dodam jeszcze, że plik zapisany teraz, ale napisany właśnie przy tych jakichś dziwnych ustawieniach, otwiera się potem bez problemu.

Zmniejszyć te marginesy/czcionkę się udało, po prostu była przesunięta na +350%… Ale i tak to nic nie zmieniło pliki nadal się nie otwierają…Więc nie wiem czy tutaj może być jakaś przyczyna, chyba jednak nie bardzo. Chyba, że teraz muszę dać zgodę na otwarcie pliku po komunikacie avasta, bo są one już zablokowane? Wcześniej jak się wyświetlał komunikat, to było, że po 30sekundach tymczasowo zablokujemy plik, więc nie wiem na jak długo to „tymczasowo” obowiązuje.

Żeby napisać dokładniej, Avast blokuje aplikację: C:\ProgramFiles(x86)\LibreOffice5\program\soffice.bin, folder chroniony C:\users, wykryte jako osłona przed ransomware.

#13

Tu chodzi o usuniecie plików bedacych blokadą.
Z reguły o ile z Windows nie ma problemu to robią to tak
„Zamknij LibreOffice; w Eksploratorze Windows przejdź do katalogu (folderu) zawierającego plik wymieniony w komunikacie. Ustaw Eksploratora Windows, aby wyświetlał ukryte pliki. Zlokalizuj i usuń wszystkie pliki o nazwach takich jak .~lock.xxxx, gdzie xxxx to nazwa pliku dokumentu LibreOffice.
Oprócz tego przeszukać całość dysku pod względem ~lock.xxxx”

Co do blokady poprzez Avast to sadze że gdzies w ustawieniach musi być opcja podobna do tej w Defender.
Kontrola
P.S. Wyłacz Avast i sprawdz czy problem z LO występuje

3 polubienia
#14

W logach nie ma nic szczególnego

Problem leży w ustawieniach Ransomware w Avast
czyli tak jak zauważył @Yakii

Podobny temat rozwiązany na Forum Avast (en)

Jeśli dodanie pliku soffice.bin do listy bezpiecznych plików w Ransomware nie pomoże
to warto spróbować odinstalować LibreOffice, po restarcie zainstalować aktualną wersję LO
Avast powinien zapytać, czy pliki LibreOffice mogą mieć dostęp do katalogu użytkownika i wtedy należy potwierdzić

Problem ustąpi

Pozdrawiam serdecznie
Juliusz

2 polubienia
#15

@iJuliusz @Yakii
Co ciekawe wczoraj wieczorem udało mi się plik otworzyć. Po zmianach w ustawieniach libreoffice, o czym wspominałem z tym powiększeniem tekstu, gdy wyłączyłem komputer, a następnie uruchomiłem ponownie, to było ok, pliki libreoffice się otwierały. Myślałem, że już sprawa została załatwiona, a dziś rano odpalam kompa, próbuję uruchomić plik i znowu to samo… Trochę przyznaję, że już zgłupiałem i za bardzo nie rozumiem o co tutaj chodzi.

Co do Avasta i ustawień to jest „osłona plików”, ale to jeśli wyłączę, to odnośnie wszystkich plików, więc chyba niezbyt dobre rozwiązanie. W zakładce „osłona przed ransomware” jest wymieniona lista chronionych folderów i mogę je wyłączyć spod osłony. Jest też lista blokowanych aplikacji, ale tutaj jest pusto i jest też opcja że można dodać aplikacje na którą avast będzie zezwalać, teoretycznie można tam wybrać libreoffice, ale jest tylko soffice.exe, nie ma soffice.bin, chociaż niby jest opcja „wybierz aplikację ręcznie”. Mogę też zezwolić na dostęp wtedy, gdy po prostu przy próbie otwarcia pliku pojawia się taki komunikat Avasta, czy zablokować aplikację czy zezwolić, chcoiaż tak jak wspominałem, to nie pojawia się przy każdym pliku, natomiast przy każdym pojawia się komunikat windows, więc nie wiem czy to by coś dało na dłuższą metę.

A te pliki ~lock.xxxx jeśli usunę to nic z tymi plikami się nie stanie, w sensie czy nie ma ryzyka ich utraty czy coś w tym stylu?

Wyłączenie Avasta sprawia, że pliki LO otwierają się bez problemu, tak więc tutaj jest potwierdzenie, że to blokowanie jest na pewno ze strony Avasta. Pytanie tylko dlaczego tak się dzieje, skoro wcześniej nigdy takich problemów nie było? Teoretycznie myślałem, że może jednak faktycznie to coś z powodu tej zmiany ustawień w LO o której wspominałem, bo tak jak napisałem wczoraj wieczorem, gdy uruchomiłem ponownie komputer pliki się znowu otwierały, ale dzisiaj problem znowu się pojawił.

Co do zainstalowania aktualnej wersji LO, to nie wiem jak to wygląda odnośnie spraw systemowych, tzn. nie wiem czy najnowsza wersja będzie działać na Windows7 i moim sprzęcie. Niektóre najnowsze programy (np.Malwarebytes) już nie działają i nie mogę ich zainstalować.

Tak więc nie wiem co w tym momencie konkretnie powinienem zrobić? Usunąć te wspomniane wyżej pliki? Dodać do listy tę aplikację by avast jej nie blokował? Czy może jeszcze coś innego? Najbaridzje nie daje mi spokoju, co spowodowało, że nagle z dnia na dzień Avast zaczął blokować LO, chociaż przez tyle lat nie było z tym żadnego problemu?

PS. Dodam jeszcze, że plik stworzony teraz, po zapisaniu na komputerze, otwiera się bez żadnych problemów.

#16

Kiedy tworzysz dokument to oprócz niego jest tworzony ukryty plik o podobnej nazwie z przedrostkiem ~lock. Bardzo czesto po rozszerzeniu pliku jest krzyżyk #. Słuzy wyłacznie do poinformowania Libre, że plik jest już używany,
Gdy tworzony dokument jest prawidłowo zamykany ten plik jest samoczynnie kasowany.
Chyba ze mamy jakąś awarie a wtedy plik moze nie zostać usuniety i stwarzać problemy.
Posiłkuje sie wiedza między innymi stąd gdzie problem dotyczył Windows 7 i został rozwiazany.
Niestety jest tam również podobny ale nie identyczny, nierozwiazany problem ale dotyczy Mac-a a nie Windowsa

2 polubienia
#17

Dałem w ustawieniach by pokazywało ukryte pliki tak jak pisałeś, ale w folderze, gdzie znajdują się te pliki LO, które nie chcą się otwierać nie ma żadnych plików z tym ~lock. Teraz popołudniu nie otwiera się także plik nowo utworzony rano, który jak pisałem wtedy otwierał się bez żadnego problemu.

#18

Może Hvast dodaje z opóźnieniem pliki do ochrony, spróbuj na siłę dodać soffice.bin, jak jest zabezpieczenie to będzie komunikat o nieprawidłowym programie.

Być może przez lata nie było ochrony przed ransomware by Hvast lub aktywowałeś ją do miesiąca wstecz.

#19

Wiem, że jakoś w ostatnich dniach Avast miał jakąś aktualizację, ale czy to mogło to spowodować? Nie wiem. Bardziej wydaje mi się, że coś jest na rzeczy z LO. Tak jak wspominałem problemy zaczęły się od tego powiększenia. Chociaż to może po prostu taka zbieżność, a nie kwestia przyczyny i skutku. Nie mam pojęcia.
W takim razie co powinienem zrobić? W opcjach Avasta dodać LO jako wyjątek? Czy to ma być ten konkretny plik z soffice.bin?

Jak tworzę nowy plik i go zapisuję, to się potem normalnie otwiera, ale po ponownym uruchomieniu komputera ten plik już jest tak samo blokowany jak wszystkie, które znajdywały się wcześniej na komputerze.

#20

Avast. Dodaj ten konkretny plik o którym piszesz
Wypróbuj tez opcję wyłączajaca blokadę w Libre.

Patrz ostatni i przedostatni post.
Jesli brak plików ~lockJak to możliwe ze jest problem z systemem wraz z Libre,
Polega to na tym ze Windows „nie wie” ze ma otworzyć plik przez Libre i usiłuje uruchomić poprzez inną aplikacje np. WordPad mimo że uruchamiasz przez Libre i następuje blokada. Trzeba szukać np. poprzez process explorer czy w tym momencie nie startuje jakis proces powiazany np. z Wordpad.
Wtedy, jak sądzę, pozostaje reinstalacja. Jednego i drugiego
P.S.
Przeskanuj system w cmd jako administrator poleceniem sfc /scannow.
Dowiesz sie wtedy czy pliki systemowe nie sa uszkodzone.
Masz Win 7 oraz Libre z 2016 r.
A także Avast który jest tak naprawdę aktualizowany dla Win 10 i 11 oraz dla kompatybilnych z tymi systemami aplikacjami.

1 polubienie