Wirus na USB - skrót zamiast folderów

[jogo]

cześć wszystkim,

mam problem, z którym jak się okazuje boryka się wiele osób. Otóż mam prawdopodobnie wirusa, który robi skróty zamiast folderów na USB.

dla mnie to walka z wiatrakami.

 

w załączeniu logi z usbfix, otl i frst.

 

z gory dzięki za wszelką pomoc. 

 

I jeszcze pytanie do zorientowanych w temacie, co robić jak się okaże że nie wyczyściłem wszystkich urządzeń?

 

pozdraiwam

 

Addition.txt

UsbFix Listing 1 KAMIL-KOMPUTER.txt

OTL.Txt

[jessica]

Otwórz Notatnik i wklej w nim:

 

C:\ProgramData\mszstcuhk.exe
CMD: attrib /d /s -s -h g:\*
CMD: attrib /d /s -s -h H:\*
CMD: attrib /d /s -s -h I:\*
g:\*.lnk
H:\*.lnk
I:\*.lnk
CustomCLSID: HKU\S-1-5-21-3916604919-2912353607-3506189148-1000_Classes\CLSID\{76765B11-3F95-4AF2-AC9D-EA55D8994F1A}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3916604919-2912353607-3506189148-1000_Classes\CLSID\{77F7F122-20B0-4117-A2FB-059D1FC88256}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3916604919-2912353607-3506189148-1000_Classes\CLSID\{79EAC9E2-BAF9-11CE-8C82-00AA004BA90B}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3916604919-2912353607-3506189148-1000_Classes\CLSID\{79EAC9F2-BAF9-11CE-8C82-00AA004BA90B}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3916604919-2912353607-3506189148-1000_Classes\CLSID\{7B8A2D94-0AC9-11D1-896C-00C04FB6BFC4}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3916604919-2912353607-3506189148-1000_Classes\CLSID\{807C1E6C-1D00-453F-B920-B61BB7CDD997}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3916604919-2912353607-3506189148-1000_Classes\CLSID\{842A1268-6E6A-465C-868F-8BC445B9828F}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3916604919-2912353607-3506189148-1000_Classes\CLSID\{8856F961-340A-11D0-A96B-00C04FD705A2}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3916604919-2912353607-3506189148-1000_Classes\CLSID\{920E6DB1-9907-4370-B3A0-BAFC03D81399}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3916604919-2912353607-3506189148-1000_Classes\CLSID\{99FD978C-D287-4F50-827F-B2C658EDA8E7}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3916604919-2912353607-3506189148-1000_Classes\CLSID\{AB5C5600-7E6E-4B06-9197-9ECEF74D31CC}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3916604919-2912353607-3506189148-1000_Classes\CLSID\{B196B286-BAB4-101A-B69C-00AA00341D07}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3916604919-2912353607-3506189148-1000_Classes\CLSID\{BCDE0395-E52F-467C-8E3D-C4579291692E}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3916604919-2912353607-3506189148-1000_Classes\CLSID\{C39EE728-D419-4BD4-A3EF-EDA059DBD935}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3916604919-2912353607-3506189148-1000_Classes\CLSID\{CD773740-B187-4974-A1D5-E0FF91372277}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3916604919-2912353607-3506189148-1000_Classes\CLSID\{D9144DCD-E998-4ECA-AB6A-DCD83CCBA16D}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3916604919-2912353607-3506189148-1000_Classes\CLSID\{DCB00C01-570F-4A9B-8D69-199FDBA5723B}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3916604919-2912353607-3506189148-1000_Classes\CLSID\{E436EBB3-524F-11CE-9F53-0020AF0BA770}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3916604919-2912353607-3506189148-1000_Classes\CLSID\{E436EBB8-524F-11CE-9F53-0020AF0BA770}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3916604919-2912353607-3506189148-1000_Classes\CLSID\{E569BDE7-A8DC-47F3-893F-FD2B31B3EEFD}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3916604919-2912353607-3506189148-1000_Classes\CLSID\{E77CC89B-7401-4C04-8CED-149DB35ADD04}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3916604919-2912353607-3506189148-1000_Classes\CLSID\{E7E4BC40-E76A-11CE-A9BB-00AA004AE837}\InprocServer32 -> No Filepath
CustomCLSID: HKU\S-1-5-21-3916604919-2912353607-3506189148-1000_Classes\CLSID\{FF393560-C2A7-11CF-BFF4-444553540000}\InprocServer32 -> No Filepath
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix.
Powstanie plik fixlog.txt.
Daj ten log.

 

Zrób nowy log z USBFix LISTING.

 

Zrób nowe logi FRST.

 

jessi

[jogo]

witam,

załączam pliki zlogami z FRST i USBfix

 

czy to juz wszystko czy jeszcze coś krąży po komputerze ?

 

pozdraiwam

jogo

 

Fixlog.txt

FRST.txt

UsbFix Listing 2 KAMIL-KOMPUTER.txt

[jessica]

################## | G:\ - Removable drive (FAT32) |

 

 

################## | H:\ - Removable drive (FAT32) |

 

 

################## | I:\ - Removable drive (FAT32) |

Czy zawsze były tam foldery o takiej nazwie?

Jeśli ich nie było, to wejdź po kolei na dyski G; H i I. Na nich są foldery "- Removable drive" do których infekcja przesunęła wszystkie dane.

Przenieś z tych folderów pliki poziom wyżej, a foldery "- Removable drive" przez SHIFT+DEL skasuj.

 

Otwórz Notatnik i wklej w nim:

 

 

HKLM\...\Run: [] => [X]

HKLM\...\Policies\Explorer\Run: [1721265593] => C:\ProgramData\mszstcuhk.exe

C:\ProgramData\mszstcuhk.exe

Reg: reg delete "HKU\.DEFAULT\Software\Microsoft\Internet Explorer\SearchScopes" /f

Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f

Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f

S3 SWUMX20; system32\DRIVERS\swumx20.sys [X]

CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION

EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe

Uruchom FRST i kliknij przycisk Fix.

Powstanie plik fixlog.txt.

Daj ten log.

 

W USBFix kliknij na przycisk "VACCINATE" - powstaną obiekty zaporowe "autorun.inf".

 

Napisz, jak oceniasz sytuację na penach?

 

jessi

 

[picasso]

jessika

 

Czy zawsze były tam foldery o takiej nazwie?

To nie są nazwy obiektów na dyskach (ani foldery, ani pliki) tylko nagłówki organizujące sekcje pokazujące nazwy ogólne dysków, by łatwo się czytało spisy która lista z którego dysku pochodzi. Początkowo na każdym z dysków figurował po jednym nieukrytym pliku LNK (komendy attrib więc zbędne, bo nic ukrytego nie było). Skoro usunęłaś te pliki LNK, wszystkie trzy urządzenia są całkowicie puste i pod nagłówkami nic nie ma.

 

 

jogo

 

Na przyszłość proszę czytać zasady działu i dostarczać to co jest tu obowiązkowe. Logi z przestarzałego OTL w ogóle nie są brane pod uwagę. Obowiązkowe są FRST i GMER - FRST w pierwszym poście niekompletny (ani głównego raportu, ani Shortcut).

 

Prócz powyższego Fixlist proszę jeszcze:

 

1. Odinstaluj zbędne programy oraz stare wersje: Adobe Flash Player ActiveX (stary), Ad-Aware (jest już Avira), Bing Bar (firmowy zbędnik), Java 7 Update 71 (stary), McAfee Security Scan Plus (sponsorowany wtręt).

 

2. Po akcjach zrób nowy log FRST z opcji Scan - zaznacz pola Addition + Shortcut, by powstały trzy logi.

[jogo]

witam, 

przesylam logi z frst 

 

 

mam jeszcze pytanie jak działąć jak się okaże, że po wyczyszczeniu tych nośników, na innym jeszcze będzie jakiś syf?

 

pozdrawiam

 

Addition.txt

Fixlog.txt

FRST.txt

Shortcut.txt