wcześniejsza infekcja, spowolnienie komputera, proces atieclxx.exe

[pyrek94]

Witam,

 

Moje problemy zaczęły się na początku sierpnia, gdy dowiedziąłem się, że mój skype rozsyła wiadomości z linkami do moich znajomych.

Usunąlem skype'a, zrobiłem skan komputera który wykazał jakieś trojany, które usunąłem. Ponadto dla lepszego efektu z bootwalnego usb przeskanowalem laptopa narzędziem Avira Rescue System, które nie wykazalo żadnych zagrożeń. Niestety nie mam żadnych raportów z tych skanowań.

 

Wszystko byłoby dobrze gdyby nie nagłe spowolnienie kompa po uruchomieniu. Odkryłem, że winowajacą jest proces atieclxx.exe, który wykorzystuje niemal cały procesor. Po jego wyłączeniu wszystko w miare wraca do normy. Czy da sie jakos naprawić\ na stałe wyłączyć ten proces?

 

Zgodnie z zaleceniami postarałem sie pousuwać wszelkie programy do emulacji i wstawiam logi z FRST i GMER

 

Shortcut.txt

FRST.txt

Addition.txt

log gmer.txt

[jessica]

Otwórz Notatnik i wklej w nim:

 

C:\Users\Marcin\AppData\Roaming\pwo9\svchost.exe
C:\Users\Marcin\AppData\Roaming\pwo9
HKU\S-1-5-21-622708417-3539147826-3392651387-1001\...\Run: [pwo9] => C:\Users\Marcin\AppData\Roaming\pwo9\svchost.exe [7648661 2015-08-07] ()
Reg: reg delete "HKU\.DEFAULT\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\mystartsearch uninstall" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\avgua32.exe" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\Services\globalUpdatem" /f
HKLM-x32\...\Run: [] => [X]
URLSearchHook: HKU\S-1-5-21-622708417-3539147826-3392651387-1001 - (No Name) - {88c7f2aa-f93f-432c-8f0e-b7d85967a527} - No File
SearchScopes: HKLM -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKLM -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKLM-x32 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKLM-x32 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKU\S-1-5-21-622708417-3539147826-3392651387-1001 -> DefaultScope {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} URL = http://search.babylon.com/?q={searchTerms}&affID=110819&babsrc=SP_ss&mntrId=a42c31360000000000004c0f6e1bf3ee
SearchScopes: HKU\S-1-5-21-622708417-3539147826-3392651387-1001 -> {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} URL = http://search.babylon.com/?q={searchTerms}&affID=110819&babsrc=SP_ss&mntrId=a42c31360000000000004c0f6e1bf3ee
SearchScopes: HKU\S-1-5-21-622708417-3539147826-3392651387-1001 -> {77CD834D-A0BC-4CE6-8819-7F92B9C11C8F} URL = http://search.yahoo.com/search?p={searchTerms}&ei=utf-8&fr=b1ie7
SearchScopes: HKU\S-1-5-21-622708417-3539147826-3392651387-1001 -> {AD22EBAF-0D18-4fc7-90CC-5EA0ABBE9EB8} URL = http://www.daemon-search.com/search/web?q={searchTerms}
Toolbar: HKLM - No Name - {32099AAC-C132-4136-9E9A-4E364A424E17} -  No File
Toolbar: HKLM - avast! Online Security - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} -  No File
Toolbar: HKLM - No Name - {CC1A175A-E45B-41ED-A30C-C9B1D7A0C02F} -  No File
Toolbar: HKU\S-1-5-21-622708417-3539147826-3392651387-1001 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  No File
Toolbar: HKU\S-1-5-21-622708417-3539147826-3392651387-1001 -> No Name - {32099AAC-C132-4136-9E9A-4E364A424E17} -  No File
Toolbar: HKU\S-1-5-21-622708417-3539147826-3392651387-1001 -> No Name - {EF99BD32-C1FB-11D2-892F-0090271D4F88} -  No File
Toolbar: HKU\S-1-5-21-622708417-3539147826-3392651387-1001 -> No Name - {D4027C7F-154A-4066-A1AD-4243D8127440} -  No File
Toolbar: HKU\S-1-5-21-622708417-3539147826-3392651387-1001 -> No Name - {88C7F2AA-F93F-432C-8F0E-B7D85967A527} -  No File
FF SearchEngineOrder.1: Search the web (Babylon)
CHR HKU\S-1-5-21-622708417-3539147826-3392651387-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [mhfdcmehmjcclgopdodkjdicohagipid] - C:\Users\Marcin\AppData\Local\CRE\mhfdcmehmjcclgopdodkjdicohagipid.crx <not found>
Task: {449CEEC7-EC8B-468F-8B19-EC81CB49F877} - System32\Tasks\{0A33D1B2-1E34-4CD0-81B9-876422F6BF00} => pcalua.exe -a "C:\Program Files (x86)\Spin & Win\ReflexiveArcade\unins000.exe"
Task: {0342CEE7-5569-44C0-AB08-2918EDCA608E} - System32\Tasks\{F77E5A3E-D6B4-4151-9723-F435B539A694} => pcalua.exe -a C:\Users\Marcin\Desktop\bf2sp64_103.exe -d C:\Users\Marcin\Desktop
Task: {9D5E16D4-6EFE-4A81-B728-7F02FA505155} - System32\Tasks\{CB2B5FB6-34B6-4931-A1D3-F72820981C53} => pcalua.exe -a I:\Swiadectwa_SP.exe -d I:\
Task: {DE412096-CE4D-4CA3-BD72-6FF64235D379} - System32\Tasks\{678C912A-D5C5-433B-95C1-54D65F9A54C0} => pcalua.exe -a C:\Users\Marcin\Desktop\aimp_3.00.916_beta_4\aimp_3.00.916_beta_4.exe
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix.
Powstanie plik fixlog.txt.
Daj ten log.

 

Zrób nowe logi FRST.

 

winowajacą jest proces atieclxx.exe,

W logach go nie widzę, więc nie mogę go ocenić.

 

jessi

[pyrek94]

Może wpływ miało to, że wyłączylem proces przed skanem.

 

Załączam nowe logi.

Addition.txt

Fixlog.txt

FRST.txt

Shortcut.txt

[jessica]

Otwórz Notatnik i wklej w nim:

 

C:\Users\Marcin\AppData\Roaming\pwo10\audiogd.exe
C:\Users\Marcin\AppData\Roaming\pwo10
HKU\S-1-5-21-622708417-3539147826-3392651387-1001\...\Run: [pwo10] => C:\Users\Marcin\AppData\Roaming\pwo10\audiogd.exe [7879384 2015-08-12] ()
C:\Windows\Minidump\*.dmp
C:\Users\Marcin\AppData\Roaming\Solvusoft
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix.
Powstanie plik fixlog.txt.
Daj ten log.

 

Zrób nowe logi FRST.

 

jessi

[pyrek94]

Wszystko zrobione.

Addition.txt

Fixlog.txt

FRST.txt

Shortcut.txt

[jessica]

Wg mnie - jest OK.

 

Otwórz Notatnik i wklej w nim:

 

DeleteQuarantine:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST. Uruchom FRST i kliknij w Fix.
przez SHIFT+DEL usuń pozostały folder C:\FRST.

 

jessi

[pyrek94]

Wszystko zrobione.

Ten proces tez chyba się już nie uruchamia.

 

Dzięki serdeczne za pomoc.

Pozdrawiam