Nieusuwalny plik Autorun + niemożność wykonania raportów

[einsamkeit]

Po raz wtóry punkty ksero okazały się przekleństwem: Tym razem na moim pendrivie pojawił się plik autorun, którego nie mogę usunąć. Nie wiem od czego jest, wiem tyle, że wcześniej go nie było, generalnie jest przeszkodą.

 

Ponadto próbowałam ściągnąć FRST, aby wygenerować wymagany raport do tego tematu, ale za każdym razem mój komputer informował mnie, że po ściągnięciu ten plik został usunięty. Uprzednio nie chciał mi pozwolić na instalację, twierdząc, że nie mam uprawnień. Nie rozumiem, dopiero teraz system zaczął mi tak szaleć... 

GMER - owszem, dał się ściągnąć, ale nie dał się już w ogóle uruchomić. W menedżerze zadań proces owszem, jest, ale nie dzieje się nic poza tym i nic nie chce się ruszyć. 

Bardzo przepraszam za tę niemożność uzupełnienia posta o wymagane informacje, ale... Czy da się coś z tym zrobić, aby było to możliwe? Zależałoby mi na wyczyszczeniu pendrive'a.

[picasso]

O jakim systemie operacyjnym mowa? Czy w tle działa jakiś antywirus, a jeśli jest to czy po jego wyłączeniu jest możliwe uruchomienie w/w programów? Czy jest możliwe (korzystając jednak z zupełnie innego nośnika niż ów zainfekowany pendrive) pobrać FRST i GMER na innym komputerze (inny nośnik, by infekcji nie roznieść na drugi komputer), następnie uruchomić je z poziomu Trybu awaryjnego Windows?

[einsamkeit]

Już wiem, skąd to się wzięło. Faktycznie Norton blokował mi wszystkie działania tego typu. System to Windows 7, 32 bit.

 

Skanowania GMER również udało się dokonać, niemniej jednak nie mogę go znaleźć do dodania w załącznikach (a jest w tym samym folderze co wyniki z FRST...). Czy należy to wkleić jakoś inaczej?

[picasso]

Skanowania GMER również udało się dokonać, niemniej jednak nie mogę go znaleźć do dodania w załącznikach (a jest w tym samym folderze co wyniki z FRST...). Czy należy to wkleić jakoś inaczej?

W instrukcji zapisu raportu GMER jest napisane, iż należy raport zapisać opcją Kopiuj. Jeśli raport zapisałeś za pomocą opcji Zapisz, powstał plik o rozszerzeniu *.LOG niedopuszczalny w załącznikach. W tej sytuacji należy zmienić ręcznie nazwę rozszerzenia na *.TXT lub zapisać raport do nowego pliku TXT.

 

Druga sprawa: raporty FRST zostały dołączone z biblioteki medialnej z zasobu użytego prawdopodobnie w innym temacie (dlatego przestały się wyświetlać po usunięciu przez mnie odnośników) - nie zostały logi FRST w ogóle załadowane w tym temacie. Ponownie je wstaw - tu w temacie.

[einsamkeit]

Nie, GMER zapisałam ze schowka w notatniku, nie stosowałam opcji "zapisz", wedle instrukcji. 

Ojej, przepraszam. Nie bardzo łapię zasady działania tego panelu na tym forum... Wcześniej nie zauważyłam opcji dodawania plików (był schowany gdzieś indziej i pomyliłam "moje media" z tym). Jeszcze raz przepraszam za kłopot. 

Addition.txt

FRST.txt

GMER.txt

Shortcut.txt

[picasso]

Zapomniałam dodać poprzednio: blokowanie FRST przez Nortona to norma, nie powiązana z infekcją, dlatego w instrukcjach jest zalecenie deaktywacji programów tego typu przed próbą uruchomienia FRST.

 

Logi: Nic tu nie wskazuje, by system został zainfekowany z pendrive. Tak więc teraz należy sprawdzić co jest na pendrive. Rozumiem, że jest on teraz podpięty i widoczny pod literą F:

 

Drive f: (USB DISK) (Removable) (Total:14.92 GB) (Free:12.1 GB) FAT32

 

Dodaj log z USBFix z opcji Listing zrobiony podczas gdy urządzenie jest dostępne.

[einsamkeit]

Tak, tutaj był mój błąd, że nie wyłączyłam go uprzednio.

Done.

UsbFix Listing 1 MARTYNAKOMP.txt

[picasso]

Na pendrive widać tylko ten wspominany plik autorun.inf - on prawdopodobnie jest zablokowany przez Nortona, dlatego figuruje jako "zero bajtów". Przeprowadź następującą operację przy podpiętym urządzeniu:

 

Otwórz Notatnik i wklej w nim:

 

F:\AUTORUN.INF
BHO: No Name -> {6C680BAE-655C-4E3D-8FC4-E6A520C3D928} -> No File
Task: {1EF554BA-0D7A-41C1-83F6-D0B4D3EAB140} - System32\Tasks\DriverToolkit Autorun => C:\Program Files\DriverToolkit\DriverToolkit.exe
Task: {C23E6905-9BAC-442B-A6F3-3EFFAA29BC3B} - System32\Tasks\{5BB0C49F-0F3F-4D37-91E9-F67512A0C7A6} => pcalua.exe -a C:\SWSetup\SP66873\Setup.exe -d C:\SWSetup\SP66873
Task: C:\Windows\Tasks\DriverToolkit Autorun.job => C:\Program Files\DriverToolkit\DriverToolkit.exe
S3 massfilter; system32\DRIVERS\massfilter.sys [X]
S3 ZTEusbmdm6k; system32\DRIVERS\ZTEusbmdm6k.sys [X]
S3 ZTEusbnmea; system32\DRIVERS\ZTEusbnmea.sys [X]
S3 ZTEusbser6k; system32\DRIVERS\ZTEusbser6k.sys [X]
Reg: reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2 /f
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Przejdź w Tryb awaryjny Windows (Norton nieaktywny). Uruchom FRST i kliknij w Fix. Gdy Fix ukończy pracę, nastąpi restart, opuść Tryb awaryjny. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt. Przedstaw go.

[einsamkeit]

Chyba wszystko zrobiłam, jak trzeba...

Fixlog.txt

[picasso]

Plik F:\AUTORUN.INF nie dał się usunąć. Na tym pendrive nie ma za wiele danych - proponuję skopiować swoje ważne dane, a następnie sformatować urządzenie.

[einsamkeit]

Rozumiem. Mam pytanko... Mogę chyba usunąć podczas formatu System Volume Information? Nie bardzo wiem, co mogę usunąć, a co nie (poza tym, że wszystko, co było 'moje' mogę). 

[picasso]

Po prostu skopiuj tylko swoje dane, format przecież automatycznie usunie wszystko z urządzenia, w tym folder System Volume Information (utworzony przez Przywracanie systemu).

[einsamkeit]

Okej, wszystko ładnie pięknie śmiga już bez kłopotu... Bardzo serdecznie dziękuję za pomoc