Wirus z Policją - białe tło

[czaru34]

Witam.

OTL.txt: http://wklejto.pl/161539

Extras.txt: http://www.wklejto.pl/161540

Dodam, że nie mogę wejść na konto zainfekowane, restartuje mi w trybie awaryjnym.

Z góry dziękuję i proszę o szybką pomoc, to bardzo pilne.

[Atis]

Uruchom OTL i kliknij Nic.

Wklej do OTL i kliknij Skanuj:

C:\Documents and Settings*.exe /s C:\Documents and Settings*.bat /s C:\Documents and Settings*.dat /s

Pokaż ten log.

[czaru34]

Wykonane w OTL.

http://www.wklejto.pl/161544

[Atis]

Nie widać infekcji. Czy skanowałeś Malwarebytes, bo widzę ten program w logu.

Uruchom tryb awaryjny z wierszem polecenia i zaloguj się na zainfekowane konto.

Uruchom OTL za pomocą notatnika.

1. W wierszu polecenia wpisz: notepad

2. W menu notatnika: Plik -> Otwórz -> Pliki typu -> Wszystkie pliki

3. Kliknij prawym na OTL i z menu kontekstowego wybierz Otwórz lub Uruchom jako…

http://wstaw.org/m/2012/12/23/2012-12-23_205834.png

[czaru34]

Przerzuce tylko OTL d ok zainfekowanego konta.

Edit. Nie, nie skanowalem Malwarebytes.

– Dodane 25.05.2013 (So) 11:46 –

Zeskanowac i wrzucić, tak?

[Atis]

OTL można uruchomić z pendrive.

Pokaż log z zainfekowanego konta.

[czaru34]

Log wykonany na zainfekowanym koncie z OTL.

http://www.wklejto.pl/161553

[Atis]

Do okna Własne opcje skanowania / skrypt wklej:

:OTL O20 - HKCU Winlogon: Shell - (C:\Documents and Settings\czaru\Dane aplikacji\skype.dat) - C:\Documents and Settings\czaru\Dane aplikacji\skype.dat () [2013-05-25 10:36:17 | 000,000,004 | ---- | M] () – C:\Documents and Settings\czaru\Dane aplikacji\skype.ini @Alternate Data Stream - 24 bytes -> C:\WINDOWS:1904F1D19549E9FF :Reg [HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] “Shell”=- :Commands [emptytemp]

Kliknij Wykonaj skrypt i zatwierdź restart.

Pokaż raport z usuwania i nowy log Skanuj.

[czaru34]

Wykonać to na zainfekowanym, czy na administratorze?

[Atis]

Wykonaj na zainfekowanym koncie.

[czaru34]

Log z usuwania wykonany w OTL.

http://wklejto.pl/161556

– Dodane 25.05.2013 (So) 12:43 –

http://www.wklejto.pl/161558

Log po usuwaniu.

– Dodane 25.05.2013 (So) 12:57 –

Czy jest już czysty?

[Atis]

Po wykonaniu skryptu mogłeś uruchomić w normalnym trybie.

Wklej i kliknij Wykonaj skrypt:

:OTL IE - HKLM…\SearchScopes{154d339e-ccaa-49a5-9b38-6878ad4220bc}: “URL” = http://www.searchamong.com/searchview.p … 4b3&query={searchTerms}&cat=webs&bar=true IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Search Bar = http://www.searchamong.com/searchview.p … 4b3&query={searchTerms}&cat=webs&bar=true IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Search Page = http://www.searchamong.com/searchview.p … 4b3&query={searchTerms}&cat=webs&bar=true IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://www.searchamong.com/?source=6402 … 2547b134b3 IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Search,Default_Search_URL = http://www.searchamong.com/searchview.p … 4b3&query={searchTerms}&cat=webs&bar=true IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.searchamong.com/searchview.p … 4b3&query={searchTerms}&cat=webs&bar=true IE - HKCU…\SearchScopes{154d339e-ccaa-49a5-9b38-6878ad4220bc}: “URL” = http://www.searchamong.com/searchview.p … 4b3&query={searchTerms}&cat=webs&bar=true IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: “ProxyOverride” = plimus.com,www.plimus.com,regnow.com,www.regnow.com,;*.local;127.0.0.1:9421; FF - prefs.js…keyword.URL: “http://www.searchamong.com/searchview.php?source=64020400f00960c0ef04052547b134b3&cat=webs&bar=true&query=” [2013-05-22 11:15:05 | 000,000,000 | —D | M] (QuickStores-Toolbar) – C:\Program Files\Mozilla Firefox\extensions\quickstores@quickstores.de [2013-01-21 21:31:54 | 006,312,677 | ---- | C] (VIO ) – C:\Documents and Settings\czaru\Dane aplikacji\vio_clean.exe [2013-01-21 21:31:51 | 000,419,554 | ---- | C] (SearchAmong ) – C:\Documents and Settings\czaru\Dane aplikacji\satoolbar.exe [2013-01-21 21:32:32 | 000,526,336 | ---- | C] (BrowserSetter) – C:\Documents and Settings\czaru\Dane aplikacji\bsetter-cml.exe :Reg [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] “AvgUninstallURL”=-

Odinstaluj:

Java 7 Update 17

Adobe Reader XI (11.0.01)

Adobe Shockwave Player 12.0

Zainstaluj:

Java 7 Update 21

Adobe Reader

Adobe Shockwave Player

Uruchom OTL i kliknij Sprzątanie.

Wyłącz i ponownie włącz przywracanie systemu:

http://support.microsoft.com/kb/310405/pl

Uruchom SecurityCheck i aktualizuj programy oznaczone jako Out of date

[czaru34]

Log po wykonaniu skryptu : http://wklejto.pl/161565

Usuwam już i instaluję.

– Dodane 25.05.2013 (So) 13:34 –

Okej, dziękuję Ci bardzo. Zrobiłem wszystko o co prosiłeś.

Można zamknąć.