Ukryta zawartość, widoczne tylko skróty na pamięci flash

[damieno87]

Witam. Przeglądałem już wcześniej wątęk, który dotyczy problemu, jaki wyraziłem w opisie tematu. Wnioskuję, że moje pendrive'y są zarażone jakimś insektem, z którym ja, przeciętny user nie potrafię sobie poradzić. Dla jasnośći: Pendrive'y, które uprzednio wielokrotnie formatowałem, jak i skanowałem programem antywirusowym po transferze plików z komputera widoczne są jako skróty wielkośći do 2kb. Natomiast rozmiar zajętej pamięci na flashach jest proporcjonalny do pliku/ów, jakie usiłuje przekopiować.

Prawdę mówiąc zarejestrowałem się na tym forum tylko ze względu na powyższy problem i jestem tutaj kompletnie zielony, a więc z góry przepszam, jeśli wszedłem w zły temat lub o czymś zapomniałem. Zebrałem, mam nadzeję w sposób poprawny, wymagane logi. Wierzę, że umiejętności tutejszych moderatorów szybko pomogą odzyskać sprawność moich pamięci. Podpiąłem 3 flashe, z czego jeden wydaje się być ok, ale ostrożności nigdy za wiele. Uprzejmie proszę o pomoc.

Extras.Txt

Gmer.txt

OTL.Txt

UsbFix.txt

[Landuss]

Log z USBFix jest źle wykonany. To miał być log z opcji Listing. Wykonaj go raz jeszcze przy podpiętych urządzeniach i przejdziemy do dalszych zaleceń.

[damieno87]

Załączam właściwy log. Dodam jeszcze, że nie posiadam już pedrive'a, który działał właściwie, a był on podpięty przy wykonywaniu wcześniejszych logów.

UsbFix.txt

[Landuss]

Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst:

 

:Files
F:\*.lnk
G:\*.lnk
attrib /d /s -s -h F:\* /C
attrib /d /s -s -h G:\* /C
 
:Commands
[emptytemp]

 

Kliknij w Wykonaj skrypt. Zatwierdź restart komputera. Powstanie log, który zachowaj.

 

Pokazujesz nowy log z USBFix z Listingu i ten, który powstał z usuwania.

[damieno87]

Proszę bardzo:

OTL reboot log.txt

UsbFix log.txt

[Landuss]

Operacja poprawnie wykonana i pliki się uwidoczniły. Więcej nic tu nie ma do roboty. Użyj opcji Sprzątanie z OTL.

[damieno87]

Dziękuje Ci Panie . Jeszcze moje jedno pytanie. Czy to zagrożenie może się znajdować również na moich innych komputerach w domu? Dane flashe wędrowały między trzema notebookami, nie wiem czy ten syf mógł mi się również i tam zakotwiczyć...

[Landuss]

To infekcja raczej na dyskach przenośnych a nie na dysku komputera. Zresztą tutaj też jej na dysku systemowym nie było. Możesz więc być spokojny. Temat zamykam.

[damieno87]

Temat doskonale znany tutejszym moderatorom. Jeszcze dziś rano cieszyłem się, że został on rozwiązny, jednak po podpięciu flashów do innego laptopa insekt ponownie powrócił. Sądzę więc, że to właśnie w nim tkwi problem.

Podsumowując: Po trasferze plików na przenośne pamięci flash pozostają widoczne tylko skróty o rozmiarze 2kb. Pamięć zapełniona jest adekwatnie do rozmiaru skopiowanego pliku, natomiast nie widać zawartości co w rezultacie uniemożliwia jakąkolwiek edycję.

OTL.Txt

Extras.Txt

UsbFix.txt

Gmer.txt

Edytowane 19 Kwietnia 2012 przez picasso
Temat doklejam do poprzedniego. //picasso

[Landuss]

1. Użyj narzędzia AdwCleaner z opcji Delete

 

2. Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst:

 

:Files
F:\*.lnk
G:\*.lnk
attrib /d /s -s -h F:\* /C
attrib /d /s -s -h G:\* /C
 
:OTL
IE - HKLM\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = http: //search.sweetim.com/search.asp?src=6&q={searchTerms}
IE - HKU\S-1-5-21-402750976-1213171207-3131089167-1000\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = http: //search.sweetim.com/search.asp?src=6&q={searchTerms}
FF - prefs.js..browser.search.defaultenginename: "SweetIM Search"
FF - prefs.js..browser.search.selectedEngine: "SweetIM Search"
FF - prefs.js..browser.startup.homepage: "http://zonedirector.com/1/"
FF - prefs.js..sweetim.toolbar.previous.browser.search.defaultenginename: "SweetIM Search"
FF - prefs.js..sweetim.toolbar.previous.browser.search.selectedEngine: "SweetIM Search"
FF - prefs.js..browser.startup.homepage: "http://home.sweetim.com/?crg=3.1010000.10011"
O4 - HKLM..\Run: []  File not found
O4 - HKLM..\Run: [Microsoft Firevall Engine] c:\Windows\mdm.exe ()
O4 - HKLM..\Run: [Windows Login access] C:\Users\Damien\AppData\Roaming\web2net.exe ()
O4 - HKU\S-1-5-21-402750976-1213171207-3131089167-1000..\Run: [Java Update Manager] C:\Users\Public\HEX-5823-6893-6818\jusched.exe ()
O4 - HKU\S-1-5-21-402750976-1213171207-3131089167-1000..\Run: [Microsoft Firevall Engine] c:\Windows\mdm.exe ()
[2012-04-19 16:43:03 | 000,003,939 | ---- | M] () -- C:\Users\Damien\AppData\Roaming\Mozilla\Firefox\Profiles\obt4yx7f.default\searchplugins\sweetim.xml
 
:Reg
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
[HKEY_USERS\S-1-5-21-402750976-1213171207-3131089167-1000\SOFTWARE\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
[HKEY_USERS\S-1-5-21-402750976-1213171207-3131089167-1000\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
:Commands
[emptytemp]

 

Kliknij w Wykonaj skrypt. Zatwierdź restart komputera.

 

3. Następnie uruchamiasz OTL ponownie, tym razem wywołujesz opcję Skanuj. Pokazujesz nowe logi z OTL oraz USBFix z Listingu.

[damieno87]

Po wklejeniu i zatwierdzeniu wykonania podanego skryptu pojawia mi się komunikat, który przedstawiam w załączniku. Gdy klikam "ok" program przestaje wykonywać dalsze czynności - zawiesza się..

[Landuss]

Wykonaj to w trybie awaryjnym Windows.

[damieno87]

Ok, poszło. Proszę bardo:

OTL reboot.txt

UsbFix.txt

[Landuss]

Wszystko wykonane jak należy. Kroki końcowe:

 

1. Wklej do OTl skrypt kosmetyczny:

 

:OTL
FF - prefs.js..keyword.URL: "http://search.sweetim.com/search.asp?src=2&crg=3.1010000.10011&q="
 
:Reg
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"c:\windows\mdm.exe"=-
"C:\Users\Public\HEX-5823-6893-6818\jusched.exe"=-

 

Klikasz w Wykonaj skrypt. Logów żadnych nie pokazujesz. Używasz opcji Sprzątanie z OTL.

 

2.Opróżnij folder przywracania systemu: KLIK

[damieno87]

Ok, myślę, że wszystko przebiegło prawidłowo. Wykonałem skrypt, posprzątałem, oraz wymazałem wcześniejsze punkty przywracania.

Dziękuje serdecznie za pomoc.