Komunikat o pliku winlogon.exe

[agorka]

Po uruchamieniu Windowsa pojawia się komunikat jak w załączniku. Do tego sam Windows dłużej niż zwykle się uruchamia.

 

Czy ktoś wie jak się tego pozbyć?

 

Z góry bardzo dziękuję

Adam

OTL.Txt

Extras.Txt

[picasso]

W skład obowiązkowych logów wchodzi GMER. A przed próbą uruchomienia muszą być ściągnięte przestarzałe sterowniki Alcohola (które blokują atapi.sys);

 

DRV - [2008-04-13 23:10:32 | 000,096,512 | ---- | M] () [Kernel | Boot | Running] -- C:\WINDOWS\system32\drivers\atapi.sys -- (atapi)
DRV - [2004-04-30 09:37:02 | 000,160,640 | ---- | M] ( ) [Kernel | Boot | Running] -- C:\WINDOWS\system32\drivers\a347bus.sys -- (a347bus)
DRV - [2004-04-30 09:33:00 | 000,005,248 | ---- | M] ( ) [Kernel | Boot | Running] -- C:\WINDOWS\system32\drivers\a347scsi.sys -- (a347scsi)

 

 

Po uruchamieniu Windowsa pojawia się komunikat jak w załączniku.

 

Winę ponosi ten oto pusty wpis po infekcji:

 

O20 - HKU\S-1-5-21-2052111302-1844237615-725345543-1003 Winlogon: Shell - ("C:\Documents and Settings\Adam\winlogon.exe") -  File not found

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\Documents and Settings\Adam\Dane aplikacji\8CDC6
C:\Documents and Settings\Adam\Dane aplikacji\chrtmp
C:\WINDOWS\tasks\At*.job
C:\Program Files\mozilla firefox\searchplugins\babylon.xml
C:\Documents and Settings\Adam\Dane aplikacji\Mozilla\Firefox\Profiles\8z37amkf.default\extensions\{EEE6C361-6118-11DC-9C72-001320C79847}
 
:Reg
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"=-
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings]
"ProxyServer"=-
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}]
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}]
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{EEE7E0A3-AE64-4dc8-84D1-F5D7BAF2DB0C}]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\Program Files\SopCast\adv\SopAdver.exe"=-
 
:OTL
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\DOCUME~1\Adam\USTAWI~1\Temp\pnicml.sys -- (pnicml)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\DOCUME~1\Adam\USTAWI~1\Temp\OnlineScanner\Anti-Virus\fsgk.sys -- (F-Secure Standalone Minifilter)
DRV - File not found [Kernel | Auto | Stopped] --  -- (adfs)
DRV - File not found [Kernel | Auto | Stopped] -- C:\DOCUME~1\Adam\USTAWI~1\Temp\5689.sys -- (5689)
O3 - HKU\S-1-5-21-2052111302-1844237615-725345543-1003\..\Toolbar\WebBrowser: (no name) - {EEE6C35B-6118-11DC-9C72-001320C79847} - No CLSID value found.
O16 - DPF: {31435657-9980-0010-8000-00AA00389B71} "http://download.microsoft.com/download/e/2/f/e2fcec4b-6c8b-48b7-adab-ab9c403a978f/wvc1dmo.cab" (Reg Error: Key error.)
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} "http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB" (Reg Error: Key error.)
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} "http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab" (Reg Error: Key error.)
O16 - DPF: Microsoft XML Parser for Java "file://C:\WINDOWS\Java\classes\xmldso.cab" (Reg Error: Key error.)
FF - prefs.js..browser.search.defaultenginename: "Search the web (Babylon)"
FF - prefs.js..browser.search.order.1: "Search the web (Babylon)"
FF - prefs.js..keyword.URL: "http://search.babylon.com/?AF=110143&babsrc=adbartrp&mntrId=8cdc60b2000000000000001d7d7cfe35&q="
 
:Commands
[emptytemp]

 

Rozpocznij usuwanie przyciskiem Wykonaj skrypt. System zostanie zrestartowany i otrzymasz log z wynikami usuwania.

 

3. Wygeneruj nowy log z OTL opcją Skanuj (już bez Extras) + AdwCleaner z opcji Search + zaległy GMER. Dołącz też log z wynikami usuwania pozyskany w punkcie 1.

 

 

 

 

.

Edytowane 17 Kwietnia 2012 przez picasso
17.04.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso