Pozostałości po AntiVirus 2009

[wlazlkoti (Kotan666)]

Znajomy przyniósł komputer, na początku w ogóle nie dało się na nim pracować, odpalał się, ale zawieszał na pulpicie, po usunięciu większości wpisów w autostarcie z msconfig (nazw już dokładnie nie pamiętam) komputer jakoś ruszył, przeskanowałem NODem, znalazł właśnie pliki AntiVirus2009 i ieexplorer32.exe i ieupdates.exe, winsrc.dll, msxml71.dll, 41f75857.exe w katalogu \system32\ oznaczone przez NODa jako Win32/Trojan/Adware. Wszystkie te pliki usunął.

Po przeskanowaniu CCleanerem zrobiłem logi ComboFixem i SilentRunneem, ComboFix po restarcie komputera pokazał komunikat: FINDSTR: Nie można otworzyć temp01, ale mimo to utworzył log.

Log z ComboFix:

http://www.wklej.org/id/31041/

Log z SilentRunner:

http://www.wklej.org/id/31046/

Przeglądałem logi i według mnie znalazłem kilka podejrzanych wpisów, ale pierwszy raz używam tych programów i nie chce popsuć bardziej niż jest.

ComboFix: http://www.wklej.org/id/31048/

SilentRunner: http://www.wklej.org/id/31049/

[spandaupol (Spandau)]

wklej do notatnika:

File:: c:\documents and settings\All Users\Dane aplikacji\bwrofwhi\pyfafgho.exe c:\winnt\system32\41f75857.exe c:\winnt\Tasks\At1.job c:\winnt\Tasks\At10.job c:\winnt\Tasks\At11.job c:\winnt\Tasks\At12.job c:\winnt\Tasks\At13.job c:\winnt\Tasks\At14.job c:\winnt\Tasks\At15.job c:\winnt\Tasks\At16.job c:\winnt\Tasks\At17.job c:\winnt\Tasks\At18.job c:\winnt\Tasks\At19.job c:\winnt\Tasks\At2.job c:\winnt\Tasks\At20.job c:\winnt\Tasks\At21.job c:\winnt\Tasks\At22.job c:\winnt\Tasks\At23.job c:\winnt\Tasks\At24.job c:\winnt\Tasks\At3.job c:\winnt\Tasks\At4.job c:\winnt\Tasks\At5.job c:\winnt\Tasks\At6.job c:\winnt\Tasks\At7.job c:\winnt\Tasks\At8.job c:\winnt\Tasks\At9.job Folder:: c:\documents and settings\All Users\Dane aplikacji\bwrofwhi Registry:: [HKEY_USERS.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce] “nlsf”=- [HKEY_LOCAL_MACHINE\software\microsoft\windows\Currentversion\policies\explorer\Run] “D07oEMB7co”=-

Zapisz plik jako CFScript.txt najlepiej aby ikonka tego pliku znajdowała się obok ikonki ComboFix.exe

Przeciągnij i upuść plik CFScript.txt na ikonkę ComboFix.exe powinno rozpocząć się usuwanie po tym daj log na forum.

Loga wklej na http://www.wklejto.pl lub http://www.wklej.org/ a w poście daj linka

[wlazlkoti (Kotan666)]

Nowy log: http://www.wklej.org/id/31124/

Zastanawia mnie jedynie wpisy typu:

c:\winnt\Downloaded Program Files\Roulette.dll - O16 -: {18506D80-9B80-11D4-82C2-0080C8D7ED4A}

hxxp://67.15.101.33/g_bin/pl/roulette_2_0_0_27.cab

c:\winnt\Downloaded Program Files\Roulette.inf

Nie powinno się ich usunąć?

[huber2t]

Można ale nie trzeba

W logu nic nie widzę

usuń ręcznie folder C:\Qoobox , usuń instalkę Combofix z dysku.

Przeczyść system Ccleanerem

Wykonaj optymalizację autostartu

Wyłącz i włącz przywracanie systemu na wszystkich dyskach. Instrukcja

Przeskanuj obszar całego komputera http://www.kaspersky.pl/virusscanner.html Daj raport z niego na forum

lub

Dr.WEB CureIt!