[delphinista007]

Witam!
Mam problem z pewnym ustrojstwem, które zainfekowało mi komputer - nazywa się Windows Disk i podaje się za narzędzie diagnostyczne systemu. Twierdzi iż posiadam bad sectory i grozi mi utrata danych, a także muszę zoptymalizować pamięć RAM.

Log OTL: http://wklej.to/h9Q7o
Extras: http://wklej.to/tbQPh

System Windows Vista Home Premium.

Proszę o pomoc.

Pozdrawiam, delphinista007

Użytkownik delphinista007 edytował ten post 07 luty 2011, 17:44

[MORDA]

1) Użyj USBFix, >http://www.bezpiecze...hp?topic=7405.0
Kliknij w nim na: DELETION.
Daj raport z tego usuwania.

2) Uruchom OTL i w oknie Własne opcje skanowania/Script wklej to:

Cytat

:OTL
O4 - HKCU..\Run: [jbhgpI2vaQ] C:\ProgramData\jbhgpI2vaQ.exe (WISC)
O4 - HKCU..\Run: [MuXTvpYRmxcx.exe] C:\ProgramData\MuXTvpYRmxcx.exe (imgs)
O33 - MountPoints2\{20e7d06b-322f-11de-83c8-001377ac85ef}\Shell\AutoRun\command - "" = xk2n.bat
O33 - MountPoints2\{20e7d06b-322f-11de-83c8-001377ac85ef}\Shell\explore\Command - "" = xk2n.bat
O33 - MountPoints2\{20e7d06b-322f-11de-83c8-001377ac85ef}\Shell\open\Command - "" = xk2n.bat
O33 - MountPoints2\{9dca199d-8aa2-11de-b6ba-001377ac85ef}\Shell\AutoRun\command - "" = G:\whi.com
O33 - MountPoints2\{9dca199d-8aa2-11de-b6ba-001377ac85ef}\Shell\explore\Command - "" = G:\whi.com
O33 - MountPoints2\{9dca199d-8aa2-11de-b6ba-001377ac85ef}\Shell\open\Command - "" = G:\whi.com
[2011-02-07 17:18:26 | 000,000,000 | ---D | C] -- C:\Users\mama\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Windows Disk
[2011-02-07 17:12:10 | 000,377,856 | ---- | C] (WISC) -- C:\ProgramData\jbhgpI2vaQ.exe
[2011-02-07 17:12:09 | 000,457,728 | ---- | C] (imgs) -- C:\ProgramData\MuXTvpYRmxcx.exe
[2011-02-07 17:12:09 | 000,422,400 | ---- | C] (imgs) -- C:\ProgramData\jbfhsyTESfFw.dll
[2011-02-07 17:18:28 | 000,000,152 | ---- | M] () -- C:\ProgramData\~jbhgpI2vaQr
[2011-02-07 17:18:28 | 000,000,040 | ---- | M] () -- C:\ProgramData\~jbhgpI2vaQ
[2011-02-07 17:18:27 | 000,000,585 | ---- | M] () -- C:\Users\mama\Desktop\Windows Disk.lnk
[2011-02-07 17:12:10 | 000,377,856 | ---- | M] (WISC) -- C:\ProgramData\jbhgpI2vaQ.exe
[2011-02-07 17:12:09 | 000,422,400 | ---- | M] (imgs) -- C:\ProgramData\jbfhsyTESfFw.dll
[2011-02-07 17:12:08 | 000,457,728 | ---- | M] (imgs) -- C:\ProgramData\MuXTvpYRmxcx.exe
[2011-02-07 17:18:28 | 000,000,152 | ---- | C] () -- C:\ProgramData\~jbhgpI2vaQr
[2011-02-07 17:18:27 | 000,000,585 | ---- | C] () -- C:\Users\mama\Desktop\Windows Disk.lnk
[2011-02-07 17:18:27 | 000,000,040 | ---- | C] () -- C:\ProgramData\~jbhgpI2vaQ

:Files
C:\ProgramData\jbhgpI2vaQ.exe
C:\ProgramData\MuXTvpYRmxcx.exe
C:\Users\mama\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\PDYUYJC8\elxpywfuiljpymkm[1].exe
RECYCLER /alldrives

:Commands
[emptytemp]

Kliknij w Wykonaj Script. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania.
.

[imcpan]

Przeżyłem to wczoraj. Na szczęście godzinę wcześniej miałem aktualizacje więc wystarczyło przywrócenie systemu do stanu sprzed godziny. Polecam to rozwiązanie jeśli masz jakiś punkt przywracania.

[delphinista007]

Dzięki za pomoc, wszystko gra.

[tabu]

Witam
Mam ten sam problem i potrzebuje pomocy w rozwiazaniu go.

Log OTL:[url]http://wklej.to/bkMQA[url/]

Extras:[url]http://wklej.to/C454h[url/]

Windows Vista Basic

Użytkownik tabu edytował ten post 08 luty 2011, 21:27

[MORDA]

@tabu
Oprócz tytułowej infekcji widać także:

Cytat

SRV - [2006-11-02 10:46:03 | 000,171,520 | ---- | M] () [Auto | Running] -- C:\Windows\System32\tdctxte.exe -- (tdctxte)
SRV - [2006-11-02 10:46:03 | 000,046,592 | ---- | M] () [Auto | Running] -- C:\Windows\System32\mabidwe.exe -- (mabidwe)
SRV - [2006-11-02 10:46:03 | 000,046,080 | ---- | M] () [Auto | Running] -- C:\Windows\System32\soxpeca.exe -- (soxpeca)
SRV - [2006-11-02 10:46:03 | 000,045,568 | ---- | M] (module attribute) [Auto | Running] -- C:\Windows\System32\BtwSvc.dll -- (BtwSvc)
SRV - [2006-11-02 10:46:03 | 000,038,400 | ---- | M] () [Auto | Running] -- C:\Windows\System32\wsldoekd.exe -- (wsldoekd)
SRV - [2006-11-02 10:46:03 | 000,038,400 | ---- | M] () [Auto | Running] -- C:\Windows\System32\WServing.exe -- (WServing)
SRV - [2006-11-02 10:46:03 | 000,038,400 | ---- | M] () [Auto | Running] -- C:\Windows\System32\sotpeca.exe -- (sotpeca)
SRV - [2006-11-02 10:46:03 | 000,038,400 | ---- | M] () [Auto | Running] -- C:\Windows\System32\noxtcyr.exe -- (noxtcyr)
SRV - [2006-11-02 10:46:03 | 000,037,888 | ---- | M] () [Auto | Running] -- C:\Windows\System32\AFinding.exe -- (AFinding)
SRV - [2006-11-02 10:46:03 | 000,036,352 | ---- | M] (Netopsystems AG) [Auto | Running] -- C:\Windows\System32\sopidkc.exe -- (sopidkc)
SRV - [2006-11-02 10:46:03 | 000,034,816 | ---- | M] () [Auto | Running] -- C:\Windows\System32\tdxdowkc.exe -- (tdxdowkc)
SRV - [2006-11-02 10:46:03 | 000,034,816 | ---- | M] () [Auto | Running] -- C:\Windows\System32\macidwe.exe -- (macidwe)
SRV - [2006-11-02 10:46:03 | 000,034,304 | ---- | M] (Netopsystems AG) [Auto | Running] -- C:\Windows\System32\PereSvc.exe -- (peresvc)
SRV - [2006-11-02 10:46:03 | 000,034,304 | ---- | M] () [Auto | Running] -- C:\Windows\System32\routing.exe -- (Routing)
SRV - [2006-11-02 10:46:03 | 000,034,304 | ---- | M] () [Auto | Running] -- C:\Windows\System32\perfs.exe -- (perfmons)

Nie wiem, co to jest, ale wygląda jak kilkanaście Rootkitów i Backdoorów!
Sprawdź ich pliki na --> JOTTI/ albo na VIRUSTOTAL albo na VIRSCAN
Podaj wyniki.

Uruchom OTL i w oknie Własne opcje skanowania/Script wklej to:

Cytat

:OTL
SRV - File not found [Auto | Stopped] -- -- (tdydowkc)
SRV - File not found [Auto | Stopped] -- -- (sobicyt)
SRV - File not found [Auto | Stopped] -- -- (roytctm)
SRV - File not found [Auto | Stopped] -- -- (roxtctm)
SRV - File not found [Auto | Stopped] -- -- (noytcyr)
SRV - File not found [Auto | Stopped] -- -- (NOBICYT)
SRV - File not found [Auto | Stopped] -- -- (afisicx)
IE - HKCU\..\URLSearchHook: {EF99BD32-C1FB-11D2-892F-0090271D4F88} - Reg Error: Key error. File not found
O4 - HKCU..\Run: [2EfUBgHgp38lN6] C:\ProgramData\2EfUBgHgp38lN6.exe (WISC)
O4 - HKCU..\Run: [MuXTvpYRmxcx.exe] C:\ProgramData\MuXTvpYRmxcx.exe (imgs)
[2011-02-08 20:55:15 | 000,000,000 | ---D | C] -- C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Windows Disk
[2011-02-08 14:20:00 | 000,377,856 | ---- | C] (WISC) -- C:\ProgramData\2EfUBgHgp38lN6.exe
[2011-02-08 14:19:59 | 000,422,400 | ---- | C] (imgs) -- C:\ProgramData\jbfhsyTESfFw.dll
[2011-02-08 14:19:58 | 000,457,728 | ---- | C] (imgs) -- C:\ProgramData\MuXTvpYRmxcx.exe
[2011-02-08 20:58:53 | 000,000,264 | ---- | M] () -- C:\ProgramData\~2EfUBgHgp38lN6
[2011-02-08 20:58:53 | 000,000,144 | ---- | M] () -- C:\ProgramData\~2EfUBgHgp38lN6r
[2011-02-08 20:58:46 | 000,422,400 | ---- | M] (imgs) -- C:\ProgramData\jbfhsyTESfFw.dll
[2011-02-08 16:13:46 | 000,000,488 | ---- | M] () -- C:\ProgramData\2EfUBgHgp38lN6
[2011-02-08 14:20:00 | 000,377,856 | ---- | M] (WISC) -- C:\ProgramData\2EfUBgHgp38lN6.exe
[2011-02-08 14:19:55 | 000,457,728 | ---- | M] (imgs) -- C:\ProgramData\MuXTvpYRmxcx.exe
[2011-02-08 20:55:16 | 000,000,609 | ---- | C] () -- C:\Users\Admin\Desktop\Windows Disk.lnk
[2011-02-08 20:27:23 | 000,024,083 | ---- | C] () -- C:\UsbFix_Upload_Me_KSIEGOWA.zip
[2011-02-08 14:45:31 | 000,000,264 | ---- | C] () -- C:\ProgramData\~2EfUBgHgp38lN6
[2011-02-08 14:45:31 | 000,000,144 | ---- | C] () -- C:\ProgramData\~2EfUBgHgp38lN6r
[2011-02-08 14:45:17 | 000,000,488 | ---- | C] () -- C:\ProgramData\2EfUBgHgp38lN6

:Reg
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
"Start Page"="http://www.google.pl/"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="http://www.google.pl/"

:Commands
[emptytemp]
[resethosts]

Kliknij w Wykonaj Script. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania.
.

Użytkownik MORDA edytował ten post 09 luty 2011, 03:59

[tabu]

Dzieki Wielkie!!! Udało sie pozbylem sie tego syfu:)
Jeszcze raz dziekuje za pomoc

[pit79]

Witam,

Mam ten sam problem

Log OTL: https://wklej.to/Hwhxz
Extras: http://wklej.to/tbQPh

Windows XP Professional

Proszę o pomoc

Pozdrawiam,
Pit79

[mati8898]

Uruchom OTL -> w oknie Własne opcje skanowania/skrypt wklej:

Cytat

:OTL
PRC - [2011-02-08 21:20:11 | 000,377,344 | ---- | M] () -- C:\Documents and Settings\All Users.WINDOWS\Dane aplikacji\KdBQJ4AQSreI1fc.exe
PRC - [2011-02-08 21:20:07 | 000,456,704 | ---- | M] () -- C:\Documents and Settings\All Users.WINDOWS\Dane aplikacji\IsdPrSysWXe.exe
FF - prefs.js..browser.search.defaultenginename: "Web Search..."
FF - prefs.js..keyword.URL: "http://radiobar.toolbarhome.com/search.aspx?srch=ku&q="
[2010-06-19 21:40:49 | 000,001,589 | ---- | M] () -- C:\Documents and Settings\Kasia.NAZWISKO-223CC5\Dane aplikacji\Mozilla\Firefox\Profiles\1naiqez7.default\searchplugins\web-search. xml
O4 - HKLM..\Run: [hpqSRMon] File not found
O4 - HKCU..\Run: [IsdPrSysWXe.exe] C:\Documents and Settings\All Users.WINDOWS\Dane aplikacji\IsdPrSysWXe.exe ()
O4 - HKCU..\Run: [KdBQJ4AQSreI1fc] C:\Documents and Settings\All Users.WINDOWS\Dane aplikacji\KdBQJ4AQSreI1fc.exe ()
O4 - HKCU..\Run: [lxfutlnv] File not found
O4 - HKCU..\Run: [ravtidhj] File not found
[2011-02-08 21:43:32 | 000,000,000 | ---D | C] -- C:\Documents and Settings\Kasia.NAZWISKO-223CC5\Menu Start\Programy\Windows Disk
[2011-02-10 09:15:01 | 000,000,284 | ---- | M] () -- C:\WINDOWS\tasks\AppleSoftwareUpdate.job
[2011-02-09 21:57:36 | 000,000,874 | ---- | M] () -- C:\Documents and Settings\Kasia.NAZWISKO-223CC5\Pulpit\Windows Disk.lnk
[2011-01-15 01:16:38 | 000,000,346 | ---- | M] () -- C:\WINDOWS\tasks\McDefragTask.job
[2011-02-08 21:43:25 | 000,000,448 | ---- | C] () -- C:\Documents and Settings\All Users.WINDOWS\Dane aplikacji\KdBQJ4AQSreI1fc
[2011-02-08 21:20:07 | 000,421,376 | ---- | C] () -- C:\Documents and Settings\All Users.WINDOWS\Dane aplikacji\tnNYfseLTHk.dll

:Files
C:\Documents and Settings\All Users.WINDOWS\Menu Start\Programy\Autostart\Adobe Reader Speed Launch.lnk
C:\Documents and Settings\Kasia.NAZWISKO-223CC5\Menu Start\Programy\Autostart\OpenOffice.org 2.4.lnk

:Reg
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"36X Raid Configurer"=-
"Alcmtr"=-
"JMB36X IDE Setup"=-
"NeroFilterCheck"=-
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"=-

:Commands
[clearallrestorepoints]
[emptytemp]

Klikasz Wykonaj skrypt. Dajesz log z usuwania + nowe logi z OTL (tylko nie zignoruj tego tak, jak poprzednicy).

[pit79]

Super, dzięki za pomoc.

Log z usuwania: http://wklej.org/id/473662/
Log z OTL: http://wklej.org/id/473663/

Pozdrawiam,
Pit79

[MORDA]

W logu widać, że masz jeszcze ustawione szkodliwe proxy, więc:
Uruchom OTL i w oknie Własne opcje skanowania/Script wklej to:

Cytat

:OTL
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 1
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = http=127.0.0.1:5555

:Reg
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
"Start Page"="http://www.google.pl/"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="http://www.google.pl/"

:Commands
[emptytemp]

Kliknij w Wykonaj Script. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania.
.

[pit79]

Dobrze że udało się pozbyć tego ustrojstwa, jeszcze raz dzięki za pomoc

Log z usuwania: http://wklej.to/IeSqI
Log z OTL: http://wklej.to/oOR9C


Pozdrawiam,
Pit79

[MORDA]

@pit79
Jeśli połączenie z netem działa, to (...)

EDIT:
Tak, spójrz na następny post; @Mati8898 ma rację
.

Użytkownik MORDA edytował ten post 10 luty 2011, 23:24

[mati8898]

A mnie jeszcze zastanawia ten plik:

Cytat

C:\WINDOWS\System32\mssrv32.exe

Przeskanuj go na http://www.virustotal.com/ i podaj wyniki.

[pit79]

MORDA
Dzięki już Posprzątane;)

mati8898
wyniki skanowania

http://wklej.to/RYF5j

Pozdrawiam

[MORDA]

Mało Antivirusów to uznało za szkodliwe, ale wg mnie, to lepiej usunąć (http://spywarefiles....SSRV32.EXE.html

Cytat

original name: uvdmr5dk.exe

To z raportu VirusTotal.

Spróbuj to usunąć ręcznie, a jeśli się nie uda, to będziesz musiał spowrotem ściągnąć OTL, i
Uruchom OTL i w oknie Własne opcje skanowania/Script wklej to:

Cytat

:Files
C:\WINDOWS\System32\mssrv32.exe

:Services
msupdate

:Commands
[emptytemp]

Kliknij w Wykonaj Script. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania.
.

Użytkownik MORDA edytował ten post 10 luty 2011, 23:48

[pit79]

Log z usuwania: http://wklej.to/Eqhxl
Log z OTL: http://wklej.to/R8jdA

[mati8898]

Plik się już zaczął pchać do autostartu.

W OTL wklej:

Cytat

:OTL
O4 - HKLM..\Run: [mssrv32] File not found

Klikasz Wykonaj skrypt, później Sprzątanie

W UsbFix kliknij Uninstall

Przeczyść dysk oraz rejestr CCleaner

Wykonaj pełne skanowanie Malwarebytes' Anti-Malware - jeśli coś znajdzie usuń i daj raport

[krzysiekgit]

Cześć.Dziś rano pokazał mi się ten Windows Disk no i pomyślałem,że o pomoc zgłoszę się tu.

LOG OTL: http://wklej.to/iI8xp
Extras: http://wklej.to/bTwIA

Windows XP HOME EDITION

Proszę o pomoc bo komp mi potrzebny jest.Z góry dzięki.

[mati8898]

Odinstaluj toolbary: Conduit Engine, Ask Toolbar.

Uruchom OTL -> w oknie Własne opcje skanowania/skrypt wklej:

Cytat

:OTL
PRC - [2011-02-10 21:43:52 | 000,389,632 | ---- | M] () -- C:\Documents and Settings\All Users\Dane aplikacji\PdihhGsqBTe.exe
PRC - [2011-02-10 21:43:35 | 000,483,840 | ---- | M] () -- C:\Documents and Settings\All Users\Dane aplikacji\vTkcsvplsaKPIC.exe
SRV - File not found [On_Demand | Stopped] -- -- (NMIndexingService)
SRV - File not found [Auto | Stopped] -- -- (Nero BackItUp Scheduler 4.0)
FF - prefs.js..browser.search.defaultengine: "Ask.com"
FF - prefs.js..browser.search.defaultenginename: "Yahoo"
FF - prefs.js..browser.search.defaultthis.engineName: "Fast Browser Search"
FF - prefs.js..browser.search.defaulturl: "http://search.babylon.com/web/{searchTerms}?babsrc=browsersearch&AF=15627"
FF - prefs.js..browser.search.order.1: "Search the web (Babylon)"
FF - prefs.js..browser.search.param.yahoo-fr: "chr-greentree_ff&type=827316"
FF - prefs.js..browser.search.selectedEngine: "Yahoo"
FF - prefs.js..keyword.URL: "http://search.yahoo.com/search?fr=greentree_ff1&ei=utf-8&type=827316&p="
[2011-01-04 11:23:29 | 000,000,000 | ---D | M] (BitTorrentBar Community Toolbar) -- C:\Documents and Settings\ppp\Dane aplikacji\Mozilla\Firefox\Profiles\p7hffhv9.default\extensions\{88c7f2aa- f93f-432c-8f0e-b7d85967a527}
[2010-12-31 23:47:49 | 000,000,000 | ---D | M] (Babylon-English Community Toolbar) -- C:\Documents and Settings\ppp\Dane aplikacji\Mozilla\Firefox\Profiles\p7hffhv9.default\extensions\{ce18769b- c7fa-42d2-860d-17c4662c70ad}
[2011-01-04 11:23:32 | 000,000,000 | ---D | M] (Conduit Engine) -- C:\Documents and Settings\ppp\Dane aplikacji\Mozilla\Firefox\Profiles\p7hffhv9.default\extensions\engine@conduit. com
[2010-09-19 20:44:15 | 000,000,000 | ---D | M] (Ask Toolbar) -- C:\Documents and Settings\ppp\Dane aplikacji\Mozilla\Firefox\Profiles\p7hffhv9.default\extensions\toolbar@ask. com
[2010-10-08 18:42:20 | 000,002,565 | ---- | M] () -- C:\Documents and Settings\ppp\Dane aplikacji\Mozilla\Firefox\Profiles\p7hffhv9.default\searchplugins\askcom. xml
[2009-12-20 10:21:54 | 000,005,413 | ---- | M] () -- C:\Documents and Settings\ppp\Dane aplikacji\Mozilla\Firefox\Profiles\p7hffhv9.default\searchplugins\fast- browser-search.xml
O2 - BHO: (Dealio Toolbar) - {01398B87-61AF-4FFB-9AB5-1A1C5FB39A9C} - Reg Error: Value error. File not found
O2 - BHO: (Shared Library) - {AFD4AD01-58C1-47DB-A404-FBE00A6C5486} - File not found
O2 - BHO: (D) - {BD389B4D-F612-3AD3-B593-2F487D256161} - Reg Error: Value error. File not found
O2 - BHO: (IeMonitorBho Class) - {bf00e119-21a3-4fd1-b178-3b8537e75c92} - File not found
O3 - HKLM\..\Toolbar: (Dealio Toolbar) - {01398B87-61AF-4FFB-9AB5-1A1C5FB39A9C} - Reg Error: Value error. File not found
O3 - HKCU\..\Toolbar\ShellBrowser: (no name) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No CLSID value found.
O3 - HKCU\..\Toolbar\ShellBrowser: (no name) - {A057A204-BACC-4D26-C39E-35F1D2A32EC8} - No CLSID value found.
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {32099AAC-C132-4136-9E9A-4E364A424E17} - No CLSID value found.
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {4F11ACBB-393F-4C86-A214-FF3D0D155CC3} - No CLSID value found.
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {A057A204-BACC-4D26-C39E-35F1D2A32EC8} - No CLSID value found.
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {D3DEE18F-DB64-4BEB-9FF1-E1F0A5033E4A} - No CLSID value found.
O4 - HKLM..\Run: [Freecorder FLV Service] File not found
O4 - HKCU..\Run: [ares] File not found
O4 - HKCU..\Run: [Gadu-Gadu] File not found
O4 - HKCU..\Run: [KiesTrayAgent] File not found
O4 - HKCU..\Run: [PdihhGsqBTe] C:\Documents and Settings\All Users\Dane aplikacji\PdihhGsqBTe.exe ()
O4 - HKCU..\Run: [Twoje TVN24] File not found
O4 - HKCU..\Run: [vTkcsvplsaKPIC.exe] C:\Documents and Settings\All Users\Dane aplikacji\vTkcsvplsaKPIC.exe ()
[2011-02-10 21:54:55 | 000,000,000 | ---D | C] -- C:\Documents and Settings\ppp\Menu Start\Programy\Windows Disk
[2011-02-11 11:31:41 | 000,000,264 | ---- | M] () -- C:\Documents and Settings\All Users\Dane aplikacji\~PdihhGsqBTe
[2011-02-11 11:31:30 | 000,440,832 | ---- | M] () -- C:\Documents and Settings\All Users\Dane aplikacji\vBkSOFXjTtOFku.dll
[2011-02-11 11:08:42 | 000,000,144 | ---- | M] () -- C:\Documents and Settings\All Users\Dane aplikacji\~PdihhGsqBTer
[2011-02-11 11:01:00 | 000,000,230 | ---- | M] () -- C:\WINDOWS\tasks\Scheduled Update for Ask Toolbar.job
[2011-02-11 10:59:12 | 000,000,448 | ---- | M] () -- C:\Documents and Settings\All Users\Dane aplikacji\PdihhGsqBTe
[2011-02-11 09:59:46 | 000,000,810 | ---- | M] () -- C:\Documents and Settings\ppp\Pulpit\Windows Disk.lnk
[2009-04-22 13:40:36 | 000,000,012 | ---- | C] () -- C:\Documents and Settings\ppp\Dane aplikacji\wiaserva.log

:Reg
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\ FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\DOCUME~1\ppp\USTAWI~1\Temp\0.8660612584673754.exe"=-
"C:\DOCUME~1\ppp\USTAWI~1\Temp\gthre.exe"=-
"C:\WINDOWS\Explorer.EXE"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"AdobeAAMUpdater-1.0"=-
"QuickTime Task=-

:Commands
[clearallrestorepoints]
[emptytemp]

Klikasz Wykonaj skrypt. Dajesz log z usuwania + nowe logi z OTL.

Użytkownik mati8898 edytował ten post 11 luty 2011, 12:26

[krzysiekgit]

"Dajesz log z usuwania + nowe logi z OTL. "

Usunąłem te toolbary lecz nie wiem o co chodzi z tym powyżej.
Sorki że taki nie kumaty jestem.Możesz to wytłumaczyć?

[mati8898]

Odpalasz OTL i wklejasz do niego to co podałem, następnie klikasz Wykonaj skrypt. Rozpocznie się usuwanie i nastąpi restart kompa. Po restarcie powinien pojawić się log z usuwania, który podajesz na forum. Następnie uruchamiasz OTL i tworzysz nowe logi opcją Skanuj.

[krzysiekgit]

Ok juz tak robię i potem ten log z usuwania podam.A te nowe logi potem co stworzę to mam też potem podać.

All processes killed
========== OTL ==========
No active process named PdihhGsqBTe.exe was found!
No active process named vTkcsvplsaKPIC.exe was found!
Service NMIndexingService stopped successfully!
Service NMIndexingService deleted successfully!
Service Nero BackItUp Scheduler 4.0 stopped successfully!
Service Nero BackItUp Scheduler 4.0 deleted successfully!
Prefs.js: "Ask.com" removed from browser.search.defaultengine
Prefs.js: "Yahoo" removed from browser.search.defaultenginename
Prefs.js: "Fast Browser Search" removed from browser.search.defaultthis.engineName
Prefs.js: "http://search.babylon.com/web/{searchTerms}?babsrc=browsersearch&AF=15627" removed from browser.search.defaulturl
Prefs.js: "Search the web (Babylon)" removed from browser.search.order.1
Prefs.js: "chr-greentree_ff&type=827316" removed from browser.search.param.yahoo-fr
Prefs.js: "Yahoo" removed from browser.search.selectedEngine
Prefs.js: "http://search.yahoo.com/search?fr=greentree_ff1&ei=utf-8&type=827316&p=" removed from keyword.URL
Folder C:\Documents and Settings\ppp\Dane aplikacji\Mozilla\Firefox\Profiles\p7hffhv9.default\extensions\{88c7f2aa- f93f-432c-8f0e-b7d85967a527}\ not found.
Folder C:\Documents and Settings\ppp\Dane aplikacji\Mozilla\Firefox\Profiles\p7hffhv9.default\extensions\{ce18769b- c7fa-42d2-860d-17c4662c70ad}\ not found.
Folder C:\Documents and Settings\ppp\Dane aplikacji\Mozilla\Firefox\Profiles\p7hffhv9.default\extensions\engine@conduit. com\ not found.
Folder C:\Documents and Settings\ppp\Dane aplikacji\Mozilla\Firefox\Profiles\p7hffhv9.default\extensions\toolbar@ask. com\ not found.
File C:\Documents and Settings\ppp\Dane aplikacji\Mozilla\Firefox\Profiles\p7hffhv9.default\searchplugins\askcom. xml not found.
File C:\Documents and Settings\ppp\Dane aplikacji\Mozilla\Firefox\Profiles\p7hffhv9.default\searchplugins\fast- browser-search.xml not found.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{01398B87-61AF-4FFB-9AB5-1A1C5FB39A9C}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{01398B87-61AF-4FFB-9AB5-1A1C5FB39A9C}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{AFD4AD01-58C1-47DB-A404-FBE00A6C5486}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{AFD4AD01-58C1-47DB-A404-FBE00A6C5486}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{BD389B4D-F612-3AD3-B593-2F487D256161}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BD389B4D-F612-3AD3-B593-2F487D256161}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{bf00e119-21a3-4fd1-b178-3b8537e75c92}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{bf00e119-21a3-4fd1-b178-3b8537e75c92}\ deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\{01398B87-61AF-4FFB-9AB5-1A1C5FB39A9C} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{01398B87-61AF-4FFB-9AB5-1A1C5FB39A9C}\ not found.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\ShellBrowser\\{2318C2B1-4965-11D4-9B18-009027A5CD4F} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{2318C2B1-4965-11D4-9B18-009027A5CD4F}\ not found.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\ShellBrowser\\{A057A204-BACC-4D26-C39E-35F1D2A32EC8} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A057A204-BACC-4D26-C39E-35F1D2A32EC8}\ not found.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{32099AAC-C132-4136-9E9A-4E364A424E17} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{32099AAC-C132-4136-9E9A-4E364A424E17}\ not found.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{4F11ACBB-393F-4C86-A214-FF3D0D155CC3} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{4F11ACBB-393F-4C86-A214-FF3D0D155CC3}\ not found.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{A057A204-BACC-4D26-C39E-35F1D2A32EC8} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A057A204-BACC-4D26-C39E-35F1D2A32EC8}\ not found.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{D3DEE18F-DB64-4BEB-9FF1-E1F0A5033E4A} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D3DEE18F-DB64-4BEB-9FF1-E1F0A5033E4A}\ not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\ Freecorder FLV Service deleted successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\ares deleted successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\Gadu- Gadu deleted successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\KiesTrayAgent deleted successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\PdihhGsqBTe deleted successfully.
C:\Documents and Settings\All Users\Dane aplikacji\PdihhGsqBTe.exe moved successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\Twoje TVN24 deleted successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\vTkcsvplsaKPIC. exe deleted successfully.
C:\Documents and Settings\All Users\Dane aplikacji\vTkcsvplsaKPIC.exe moved successfully.
C:\Documents and Settings\ppp\Menu Start\Programy\Windows Disk folder moved successfully.
C:\Documents and Settings\All Users\Dane aplikacji\~PdihhGsqBTe moved successfully.
C:\Documents and Settings\All Users\Dane aplikacji\vBkSOFXjTtOFku.dll moved successfully.
C:\Documents and Settings\All Users\Dane aplikacji\~PdihhGsqBTer moved successfully.
File C:\WINDOWS\tasks\Scheduled Update for Ask Toolbar.job not found.
C:\Documents and Settings\All Users\Dane aplikacji\PdihhGsqBTe moved successfully.
C:\Documents and Settings\ppp\Pulpit\Windows Disk.lnk moved successfully.
C:\Documents and Settings\ppp\Dane aplikacji\wiaserva.log moved successfully.
========== REGISTRY ==========
Registry key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\ FirewallPolicy\StandardProfile\AuthorizedApplications\List not found.
Registry key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\ FirewallPolicy\StandardProfile\AuthorizedApplications\List not found.
Registry key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\ FirewallPolicy\StandardProfile\AuthorizedApplications\List not found.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\\ AdobeAAMUpdater-1.0 deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\\ not found.
========== COMMANDS ==========
Restore points cleared and new OTL Restore Point set!

[EMPTYTEMP]

User: Administrator
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes

User: All Users

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes

User: Gość
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->FireFox cache emptied: 0 bytes
->Flash cache emptied: 0 bytes

User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes

User: ppp
->Temp folder emptied: 3912811 bytes
->Temporary Internet Files folder emptied: 346042 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 46770095 bytes
->Google Chrome cache emptied: 0 bytes
->Opera cache emptied: 0 bytes
->Flash cache emptied: 456 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 16384 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 49,00 mb


OTL by OldTimer - Version 3.2.20.6 log created on 02112011_133601

Files\Folders moved on Reboot...
File\Folder C:\WINDOWS\temp\Perflib_Perfdata_5f0.dat not found!

Registry entries deleted on Reboot...

To ten logi.

[mati8898]

Teraz podaj logi robione opcją Skanuj

[blanca]

Też mam problem z Windows Disk- próbowałem zeskanować komputer Malwarebytes Anti-Malware ale w trakcie następuje restar komputera:/ spy bot coś tam usunął ale nie wszystko

Log OTL : http://wklej.to/6c1bp
Extras: http://wklej.to/bpquG

[MORDA]

@blanca
Uruchom OTL i w oknie Własne opcje skanowania/Script wklej to:

Cytat

:OTL
FF - prefs.js..extensions.enabledItems: DTToolbar@toolbarnet.com:1.1.2.0185
[2010-10-07 19:34:46 | 000,000,000 | ---D | M] ("DAEMON Tools Toolbar") -- C:\Documents and Settings\agata\Dane aplikacji\Mozilla\Firefox\Profiles\75qqeqdf.default\extensions\DTToolbar@toolbarnet. com
[2010-10-07 19:33:59 | 000,002,059 | ---- | M] () -- C:\Documents and Settings\agata\Dane aplikacji\Mozilla\Firefox\Profiles\75qqeqdf.default\searchplugins\daemon- search.xml
O3 - HKLM\..\Toolbar: (DAEMON Tools Toolbar) - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll ()
O3 - HKU\S-1-5-21-861567501-2052111302-725345543-1003\..\Toolbar\WebBrowser: (DAEMON Tools Toolbar) - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll ()
O4 - HKU\S-1-5-21-861567501-2052111302-725345543-1003..\Run: [gsfl3g3ZZkw] C:\Documents and Settings\All Users\Dane aplikacji\gsfl3g3ZZkw.exe ()
O4 - HKU\S-1-5-21-861567501-2052111302-725345543-1003..\Run: [vTkcsvplsaKPIC.exe] C:\Documents and Settings\All Users\Dane aplikacji\vTkcsvplsaKPIC.exe ()
O33 - MountPoints2\{8c5616fa-b4e5-11de-a136-000e5024b115}\Shell\AutoRun\command - "" = dolly\\bejbe.exe
O33 - MountPoints2\{8c5616fa-b4e5-11de-a136-000e5024b115}\Shell\explore\command - "" = dolly\bejbe.exe
O33 - MountPoints2\{8c5616fa-b4e5-11de-a136-000e5024b115}\Shell\install\command - "" = dolly\bejbe.exe
O33 - MountPoints2\{8c5616fa-b4e5-11de-a136-000e5024b115}\Shell\open\command - "" = dolly\bejbe.exe
[2011-02-10 22:25:14 | 000,000,000 | ---D | C] -- C:\Documents and Settings\agata\Menu Start\Programy\Windows Disk
[2011-02-10 22:25:19 | 000,000,144 | ---- | C] () -- C:\Documents and Settings\All Users\Dane aplikacji\~gsfl3g3ZZkwr
[2011-02-10 22:25:18 | 000,000,810 | ---- | C] () -- C:\Documents and Settings\agata\Pulpit\Windows Disk.lnk
[2011-02-10 22:25:18 | 000,000,264 | ---- | C] () -- C:\Documents and Settings\All Users\Dane aplikacji\~gsfl3g3ZZkw
[2011-02-10 22:25:06 | 000,000,552 | ---- | C] () -- C:\Documents and Settings\All Users\Dane aplikacji\gsfl3g3ZZkw
[2011-02-10 22:21:38 | 000,389,632 | ---- | C] () -- C:\Documents and Settings\All Users\Dane aplikacji\gsfl3g3ZZkw.exe
[2011-02-10 22:20:59 | 000,440,832 | ---- | C] () -- C:\Documents and Settings\All Users\Dane aplikacji\vBkSOFXjTtOFku.dll
[2011-02-10 22:20:32 | 000,483,840 | ---- | C] () -- C:\Documents and Settings\All Users\Dane aplikacji\vTkcsvplsaKPIC.exe
@Alternate Data Stream - 24 bytes -> C:\WINDOWS:D92BBE265A162EDC

:Files
C:\Program Files\DAEMON Tools Toolbar

:Commands
[emptytemp]

Kliknij w Wykonaj Script. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania.
.

[blanca]

Zrobiłam to co miałam Oto raport po restarcie i nowy log :
Raport: http://wklej.to/sN1DD
OTL: http://wklej.to/drvYU
raport:[url]

[MORDA]

@blanca

Nie wszystko się usunęło.
1) Do Notatnika wklej:

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]
"{D4027C7F-154A-4066-A1AD-4243D8127440}"=-

Z Menu Notatnika >> Plik >> Zapisz jako >> Ustaw rozszerzenie na Wszystkie pliki >> Zapisz jako> FIX.REG >>
plik uruchom (dwuklik i OK).

2) Ściągnij -->Avenger.
wklej do niego ten tekst:

Files to delete:
C:\Documents and Settings\All Users\Dane aplikacji\~lV7CVq1e8vH1
C:\Documents and Settings\All Users\Dane aplikacji\~lV7CVq1e8vH1r
C:\Documents and Settings\All Users\Dane aplikacji\lV7CVq1e8vH1
C:\Documents and Settings\agata\Dane aplikacji\Mozilla\Firefox\Profiles\75qqeqdf.default\extensions\DTToolbar@toolbarnet.
com
C:\Documents and Settings\agata\Dane aplikacji\Mozilla\Firefox\Profiles\75qqeqdf.default\searchplugins\daemon-
search.xml

Folders to delete:
C:\Documents and Settings\All Users\Dane aplikacji\~lV7CVq1e8vH1
C:\Documents and Settings\All Users\Dane aplikacji\~lV7CVq1e8vH1r
C:\Documents and Settings\All Users\Dane aplikacji\lV7CVq1e8vH1

Kliknij w "Execute" i zatwierdź restart komputera.
Zrestartuj komputer.
Daj Raport z Avengera z C:\avenger.txt.

3) Daj nowy log z OTL.
.

[blanca]

Mam nadzieję,ze zrobiłam to, jak trzeba
Raport z Avengera: http://wklej.to/vi6SH
OTL: http://wklej.to/FAkoY

[MORDA]

@blanca:

Cytat

[2010-10-07 19:34:46 | 000,000,000 | ---D | M] ("DAEMON Tools Toolbar") -- C:\Documents and Settings\agata\Dane aplikacji\Mozilla\Firefox\Profiles\75qqeqdf.default\extensions\DTToolbar@toolbarnet. com
[2010-10-07 19:33:59 | 000,002,059 | ---- | M] () -- C:\Documents and Settings\agata\Dane aplikacji\Mozilla\Firefox\Profiles\75qqeqdf.default\searchplugins\daemon- search.xml

To się nie usunęło.
Ale to mało ważne, więc zostawiamy to w spokoju.

Kroki końcowe:
1) W OTL kliknij na przycisk Sprzątanie - to go usunie razem z jego Kwarantanną.

2) Usuń kopie szkodników z folderu "System Volume Information" poprzez chwilowe wyłączenie "Przywracania Systemu":

Cytat

>START>Panel Sterowania>System>Przywracanie Systemu>>zaznacz w okienku przy "Wyłącz przywracanie na wszystkich dyskach">Zastosuj>OK.
(W czasie tego chwilowego wyłączenia te kopie usuną się samoczynnie, więc nie ma potrzeby zaglądania do folderu.)
Potem możesz powrócić do poprzedniego ustawienia (czyli usunąć zaznaczenie z okienka).

To wszystko.
.