fuefue.exe

[halu]

Witam, otóż mam problem taki, kiedyś miałem fuefue.exe i od tego zrobiło mi się masę skrótów na clipie do grania i na karcie pamieci w nim, komp jest już dawno po formacie i nie zaraża chyba już niczym, ale na klipie i karcie pamięci nadal są skróty documents,video itd. chciałbym się tego pozbyć i zaraz dowiedzieć czy coś innego nie jest zasyfione, jeżeli trzeba potraktować kompa innym softem, proszę mi powiedzieć.

 

FRST:

http://wklej.org/id/1678536/txt/

http://wklej.org/id/1678537/txt/

http://wklej.org/id/1678538/txt/

 

GMER:

http://wklej.org/id/1678530/txt/

 

OTL:

http://wklej.org/id/1678628/txt/

[picasso]

Logi z przestarzałego OTL już od dawna nie są obowiązkowe. Usuwam, zostawiam tylko ten z ręcznym DIR urządzeń.

 

W systemie nie widać owej infekcji, ale jest adware. Natomiast urządzenie USB musi być czyszczone z osobna. Do wdrożenia akcje:

 

1. Przez Panel sterowania odinstaluj adware Search App by Ask oraz zbędny przestarzały Spybot - Search & Destroy.

 

2. Zakładam, że urządzenia nadal są mapowane pod literami F: i H:. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
CreateRestorePoint:
Task: {1D45D0BE-2883-4C50-990D-0C39AE60E62E} - System32\Tasks\{C4AE425C-3376-4E02-B716-F42DDFDBF2E3} => pcalua.exe -a C:\Users\JUZEK\AppData\Roaming\mystartsearch\UninstallManager.exe -c -ptid=smt
Task: {AD564EB5-2784-4D5C-A683-5E982D004ACE} - System32\Tasks\{A946CA23-8AB5-43D7-BEA9-0F34049E2915} => pcalua.exe -a "C:\Program Files (x86)\YouTube Accelerator\YTAUninstall.exe"
BootExecute: autocheck autochk * sdnclean64.exe
HKU\S-1-5-21-3536290579-3074440210-3346147993-1000\...\Run: [ASRockOCTuner] => [X]
S3 cpuz135; \??\C:\Windows\TEMP\cpuz135\cpuz135_x64.sys [X]
S3 cpuz137; \??\C:\Users\JUZEK\AppData\Local\Temp\cpuz137\cpuz137_x64.sys [X]
S3 EagleX64; \??\C:\Windows\system32\drivers\EagleX64.sys [X]
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = www.wp.pl/?src01=dp220141219
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = www.wp.pl/?src01=dp220141219
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.mystartsearch.com/web/?type=ds&ts=1413540709&from=smt&uid=WDCXWD5000AAKS-00V1A0_WD-WMAWF106905269052&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = http://www.mystartsearch.com/web/?type=ds&ts=1413540709&from=smt&uid=WDCXWD5000AAKS-00V1A0_WD-WMAWF106905269052&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.mystartsearch.com/web/?type=ds&ts=1413540709&from=smt&uid=WDCXWD5000AAKS-00V1A0_WD-WMAWF106905269052&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.mystartsearch.com/web/?type=ds&ts=1413540709&from=smt&uid=WDCXWD5000AAKS-00V1A0_WD-WMAWF106905269052&q={searchTerms}
HKU\S-1-5-21-3536290579-3074440210-3346147993-1000\Software\Microsoft\Internet Explorer\Main,Start Page = www.wp.pl/?src01=dp220141219
BHO: No Name -> {A5A51D2A-505A-4D84-AFC6-E0FA87E47B8C} -> No File
BHO: No Name -> {FCE3FA8B-BA81-467C-81D8-E43C00D1BC71} -> No File
BHO-x32: No Name -> {FCE3FA8B-BA81-467C-81D8-E43C00D1BC71} -> No File
StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe http://www.mystartsearch.com/?type=sc&ts=1413113932&from=smt&uid=WDCXWD5000AAKS-00V1A0_WD-WMAWF106905269052
FF SearchPlugin: C:\Users\JUZEK\AppData\Roaming\Mozilla\Firefox\Profiles\wpguvr05.default\searchplugins\ask-search.xml [2015-03-31]
C:\ProgramData\TEMP
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\AppsHat
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ATITool
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Heroes of Newerth
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\YouTube Accelerator
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk
C:\Users\JUZEK\AppData\Roaming\BOBBU.exe
C:\Users\JUZEK\AppData\Roaming\CXNAYXY.exe
F:\*.lnk
F:\autorun.inf
F:\fuefue.exe
F:\fuefue.scr
H:\*.lnk
H:\autorun.inf
H:\fuefue.exe
H:\fuefue.scr
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\AppsHat" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\GoobzoYouTubeAccelerator" /f
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

3. Napraw uszkodzony specjalny skrót IE. W pasku eksploratora wklej poniższą ścieżkę i ENTER:

 

C:\Users\JUZEK\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools

 

Prawoklik na zlokalizowany tam skrót Internet explorer (bez dodatków) > Właściwości > w polu Element docelowy po ścieżce "C:\Program Files\Internet Explorer\iexplore.exe" dopisz dwie spacje i -extoff

 

4. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut) oraz log USBFix z opcji Listing. Dołącz też plik fixlog.txt.