Brontok, pozostałości

[bpm]

Dobry wieczór,

 

Komputer przeskanowany MBAM, TDSSKiller, antywirusem. MBAM wykazał obecność wirusa Brontok. Ponowny skan już nic nie wykazał natomiast system wyraźnie przyspieszył.

 

Bardzo proszę o sprawdzenie logów pod kątem pozostałości.

 

Z góry serdecznie dziękuję.

Addition.txt

FRST.txt

gmer.txt

Shortcut.txt

[jessica]

1) Otwórz Notatnik i wklej w nim:

 

CMD: netsh advfirewall reset
C:\Users\Mariusz\Music\Uruchom Wiedźmin 2.lnk
C:\Users\Mariusz\Links\FV 2013.lnk
C:\Users\Mariusz\Links\matin.lnk
C:\Users\Mariusz\Links\ts3.lnk
C:\Users\Mariusz\Desktop\Nieużywane\ (2).lnk
C:\Users\Mariusz\Desktop\Nieużywane\ (3).lnk
C:\Users\Mariusz\Desktop\Nieużywane\.lnk
C:\Users\Mariusz\Desktop\Nieużywane\Action!.lnk
C:\Users\Mariusz\Desktop\Nieużywane\Adobe Download Assistant.lnk
C:\Users\Mariusz\Desktop\Nieużywane\Adobe Reader 9.lnk
C:\Users\Mariusz\Desktop\Nieużywane\avast! Premier (2).lnk
C:\Users\Mariusz\Desktop\Nieużywane\avast! Premier.lnk
C:\Users\Mariusz\Desktop\Nieużywane\DAEMON Tools Lite.lnk
C:\Users\Mariusz\Desktop\Nieużywane\LogMeIn Hamachi.lnk
C:\Users\Mariusz\Desktop\Nieużywane\Mobogenie.lnk
C:\Users\Mariusz\Desktop\Nieużywane\µTorrent.lnk
C:\Users\Mariusz\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Steam\Steam.lnk
C:\Users\Mariusz\Desktop\Nieużywane\Symulator Farmy 2011 .lnk
C:\Program Files (x86)\Mobogenie
Task: {523A0AA1-6A41-493A-AE4A-B25368078F45} - System32\Tasks\{71F51CE1-3FAD-4991-82E2-0F5FC01A1B99} => pcalua.exe -a "C:\Program Files\AVAST Software\Avast\aswRunDll.exe" -c "C:\Program Files\AVAST Software\Avast\Setup\setiface.dll" RunSetup
Task: {CC01BDE4-3D36-4BF7-945C-D96DD21125CE} - System32\Tasks\{F8AE7EB7-11AC-4B36-BCCA-219096F034A0} => pcalua.exe -a C:\Users\Mariusz\AppData\Roaming\.minecraft\Uninstall.exe
HKLM\...\Policies\Explorer: [TaskbarNoNotification] 1
HKLM\...\Policies\Explorer: [HideSCAHealth] 1
HKU\S-1-5-21-3923760505-3937785608-132173358-1000\...\Run: [AdobeBridge] => [X]
Reg: reg delete "HKU\.DEFAULT\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f
BHO: No Name -> {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} ->  No File
BHO: Java Plug-In 2 SSV Helper -> {DBC80044-A445-435b-BC74-9C25C1C588A9} -> C:\Program Files\Java\jre6\bin\jp2ssv.dll No File
BHO-x32: Java Plug-In 2 SSV Helper -> {DBC80044-A445-435b-BC74-9C25C1C588A9} -> C:\Program Files (x86)\Java\jre6\bin\jp2ssv.dll No File
Toolbar: HKLM - No Name - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} -  No File
Toolbar: HKLM - No Name - {CC1A175A-E45B-41ED-A30C-C9B1D7A0C02F} -  No File
Toolbar: HKU\S-1-5-21-3923760505-3937785608-132173358-1000 -> No Name - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} -  No File
S3 hdcorrer; \??\C:\Windows\system32\drivers\ngiodriver_x64 [X]
C:\Users\Mariusz\AppData\Local\Bron.tok.A9.em.bin
C:\Users\Mariusz\AppData\Local\Kosong.Bron.Tok.txt
C:\Users\Mariusz\AppData\Local\Update.9.Bron.Tok.bin
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix.
Powstanie plik fixlog.txt.
Daj ten log.

 

2)

mpsdrv Firewall Service is not running.
MpsSvc Firewall Service is not running.

Zrób log z Farbar Service Scanner >http://download.bleepingcomputer.com/farbar/FSS.exe (do skanowania zaznacz wszystko).

 

3) Zrób nowe logi FRST - już bez Shortcut.

 

jessi

[bpm]

Wykonane wg zaleceń. Nowe logi.

Addition.txt

Fixlog.txt

FRST.txt

FSS.txt

[jessica]

W nowych logach nie widzę już obiektów BRONTOK'a.

 

Could not list Devices. Check "winmgmt" service or repair WMI.

Nie jest to jasne dla mnie, bo zwykle taki komunikat pojawia się w związku z nie działającym "Przywracaniem Systemu", a tu w logu widać, że są punkty przywracania.

 

mpsdrv Service is not running.

MpsSvc Service is not running.

 

wscsvc Service is not running.

 

wuauserv Service is not running.

 

WinDefend Service is not running.

Te usługi są wyłączone, ale nie są zniszczone.

BRONTOK raczej ich wszystkich nie wyłączył, zwykle wyłącza tylko jedną.

To do wyjaśnienia sprawy przez @Picasso.

 

Ok. 23 sierpnia wraca @Picasso, więc wtedy zgłoś swój temat w tym (lub podobnym, uaktualnionym) temacie: http://www.fixitpc.p...bez-odpowiedzi/
 

 

jessi

[bpm]

Ok, dziękuję serdecznie za pomoc