Wirus tworzący skróty na pendrive

Dla specjalistów Bezpieczeństwo
#1

Witam,

Wystąpił u mnie probmel jak u użytkownika z linku poniżej;

 

http://forum.dobreprogramy.pl/jak-pozby%C4%87-si%C4%99-wirusa-kt%C3%B3ry-tworzy-skr%C3%B3ty-na-pendriveie-t506280/

 

Doszłam do momentu raportów z FRST. Co dalej ? 

 

Raporty:

 

FRST: http://www.wklej.org/id/1720836/

Addition:http://www.wklej.org/id/1720833/

Shortcut:http://www.wklej.org/id/1720834/

 

#2

Wklej do systemowego notatnika i zapisz jako plik tekstowy o nazwie fixlist :

HKLM\...\RunOnce: [] => [X]
S3 amdiox86; system32\DRIVERS\amdiox86.sys [X]
2015-05-25 11:37 - 2015-05-25 11:43 - 00000000 ____ D () C:\UsbFix
CustomCLSID: HKU\S-1-5-21-3334407308-4004900166-3367307729-1000_Classes\CLSID\{0000002F-0000-0000-C000-000000000046}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3334407308-4004900166-3367307729-1000_Classes\CLSID\{00020420-0000-0000-C000-000000000046}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3334407308-4004900166-3367307729-1000_Classes\CLSID\{00020421-0000-0000-C000-000000000046}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3334407308-4004900166-3367307729-1000_Classes\CLSID\{00020422-0000-0000-C000-000000000046}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3334407308-4004900166-3367307729-1000_Classes\CLSID\{00020423-0000-0000-C000-000000000046}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3334407308-4004900166-3367307729-1000_Classes\CLSID\{00020424-0000-0000-C000-000000000046}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3334407308-4004900166-3367307729-1000_Classes\CLSID\{00020425-0000-0000-C000-000000000046}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3334407308-4004900166-3367307729-1000_Classes\CLSID\{0002E005-0000-0000-C000-000000000046}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3334407308-4004900166-3367307729-1000_Classes\CLSID\{0BE35203-8F91-11CE-9DE3-00AA004BB851}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3334407308-4004900166-3367307729-1000_Classes\CLSID\{0BE35204-8F91-11CE-9DE3-00AA004BB851}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3334407308-4004900166-3367307729-1000_Classes\CLSID\{46763EE0-CAB2-11CE-8C20-00AA0051E5D4}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3334407308-4004900166-3367307729-1000_Classes\CLSID\{B196B286-BAB4-101A-B69C-00AA00341D07}\InprocServer32 -> No Filepath
Task: {478C5661-ABE0-4475-BBCB-A4E851FEA111} - System32\Tasks\{B7E6D925-2A19-4B0A-B22D-755A56E68567} => pcalua.exe -a E:\Driver\R305380\Setup.exe -d E:\Driver\R305380
F:\*.lnk
CMD: attrib /d /s -s -h F:\*
Folder: F:
EmptyTemp:

Uruchom FRST i kliknij Fix. Pokaż raport z usuwania Fixlog.

Kliknij Scan i pokaż nowy raport z FRST bez Addition i Shortcut.

#3

raport Fixlog http://wklej.to/LOQfK

 raport z FRST http://wklej.to/rzWmX

#4

Skoro odłączyłaś pendrive to nic nie zostało wykonane.

#5

To musze od początku wszystko zacząć jeszcze raz  ?

#6

Tak, ponownie wykonaj Fix i pokaż nowe raporty.

#7

FIXLOG : http://wklej.to/3gQFu

FRST: http://wklej.to/XLPb4

#8

Jeżeli na pendrive były jakieś pliki, to trojan przeniósł pliki do folderu bez nazwy.

Przenieś pliki do innej lokalizacji i skasuj folder bez nazwy.

Wklej do systemowego notatnika i zapisz jako plik tekstowy o nazwie fixlist :

F:\desktop.ini
F:\IndexerVolumeGuid
DeleteQuarantine:

Uruchom FRST i kliknij Fix. Skasuj folder C:\FRST

Usuń stare punkty przywracania: Aby usunąć wszystkie punkty przywracania

Dysk przeskanuj Malwarebytes Anti-Malware

Podczas instalacji usuń zaznaczenie przy Uruchom okres testowy Malwarebytes Anti-Malware Premium.

http://wstaw.org/m/2014/03/25/2014-03-25_123039.png

Język PL > Settings > General Settings > Language > Polish

Odinstaluj:

Adobe Flash Player 17 NPAPI

Java 8 Update 31

Microsoft Silverlight

Zainstaluj:

Flash Player 17.0.0.188 NPAPI

Java 8 Update 45

Silverlight 5.1.40416.0

#9

Ale jak mam znaleźć ten folder bez nazwy ?

Gdie go szukać? Bo szukałam o nazwie nowy folder i nie mam takowego…

#10

Na pendrive jest ten folder.

#11

Ok.Wszystko zrobione edług instrukcji