wirus na pendrive tworzący skrót zamiast drzewka katalogów

[shadowcome]

Witam serdecznie, widzę kilka podobnych tematów, więc nie jestem osamotniony w tej walce, 

ale zgodnie z zasadami forum zakładam osobny temat. 

 

Problem jak w temacie: po włożeniu pendrive/hdd przenośnego zamiast plików i folderów widać skrót o nazwie takiej samej jak pendrive np. Kingstone,lnk store'n'Go.lnk itp.

 

Logi są z laptopa mojej żony, ale mogę też mieć zainfekowany komputer stacjonarny i inne dyski przenośne... po rozpoznaniu problemu proszę o info czego nie robić, żeby nie przenieść infekcji dalej. Będę bardzo wdzięczny za pomoc.

 

/Marek

 

 

Addition.txt

FRST.txt

gmerlog.txt

Shortcut.txt

UsbFix Listing 1 BEATKA-KOMPUTER.txt

[jessica]

1) Otwórz Notatnik i wklej w nim:

 

BHO-x32: Adobe PDF Link Helper -> {18DF081C-E8AD-4283-A596-FA578C2EBDC3} -> C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll Brak pliku
C:\ProgramData\msambzegs.exe
E:\STORE N GO (4GB).lnk
F:\Transcend (30GB).lnk
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix (NAPRAW).
Powstanie plik fixlog.txt.
Daj ten log.

 

2) Wejdź po kolei na dyski E i F. Na nich są foldery "bez nazwy" do których infekcja przesunęła wszystkie dane.
Przenieś z tych folderów pliki poziom wyżej, a foldery "bez nazwy" przez SHIFT+DEL skasuj.

 

3) W USBFix kliknij na przycisk VACCINATE - utworzą się obiekty zaporowe "autorun.inf", które będą utrudniać przedostawanie się takim infekcjom z komputera na pendrive, i odwrotnie.

 

4) Zrób nowy log USBFix LISTING.

 

5) Zrób logi FRST na komputerze stacjonarnym.

 

jessi

[shadowcome]

Wygląda na to że znowu sukces! Zamieszczam logi z laptopa, wygląda czysto.

Po włożeniu pendrive nic się niedobrego nie dzieje, nie zmienia nazw.

Oczywiście po zabezpieczeniu nie ma autostartu pendrive, trzeba wejść samemu przez mój komputer żeby otworzyć.

 

komputer stacjonarny mogę przeskanować dopiero w poniedziałek, wtedy dam logi

natomiast mam dodatkowe pytanie,

Mam jeszcze ze dwa pendrivy i dwa dyski hdd przenośne ale z systemem plików ntfs, dyski przenośne nie wykazywały objawów infekcji 

Jeden pendrive na 100% jest też zarażony, jak mam go wyleczyć, żeby znowu nie zarazić kompa?

i jak sprawdzić te dwa pozostałe dyski hdd.

 

UsbFix Listing 2 BEATKA-KOMPUTER.txt

Fixlog.txt

[jessica]

[02/09/2015 - 20:00:58 | SHD] - E:\

 

[06/09/2015 - 03:25:44 | SHD] - F:\

 

Log z USBFix wykonany ale przedtem miał być wykonany punkt nr 2 moich zaleceń.

Czy ten punkt został wykonany?

 

Mam jeszcze ze dwa pendrivy i dwa dyski hdd przenośne ale z systemem plików ntfs, dyski przenośne nie wykazywały objawów infekcji 

Jeden pendrive na 100% jest też zarażony, jak mam go wyleczyć, żeby znowu nie zarazić kompa?

i jak sprawdzić te dwa pozostałe dyski hdd.

 

1) Na komputerze stacjonarnym użyj USBFix z opcji VACCINATE

 

2) Zrób log(i) z USBFix LISTING, oczywiście z podpiętym(i) pamięciami przenośnymi.

 

3) Zrób logi FRST.

 

jessi

[shadowcome]

Załączam logi z komputera stacjonarnego z włożonymi 2 pendrivami (jeden ten który już był skanowany i naprawiany i drugi dodatkowy potraktowany funkcją vaccinate .

 

Punkt drugi wcześniejszych zaleceń zrealizowałem częściowo, gdyż jeden z pendrivów musiałem sformatować

(był mi potrzebny jakiś pendrive) a ten drugi z przegranymi plikami jest w niniejszym skanie z USB.

 

 

 

UsbFix_Report.txt

FRST.txt

Addition.txt

Shortcut.txt

[jessica]

Na "G" wszystko wygląda OK.

 

Na "H":

[06/09/2015 - 03:25:44 | SHD] - H:\

Przenieś z tego folderu "bez nazwy" pliki poziom wyżej, a folder "bez nazwy" przez SHIFT+DEL skasuj.

 

Co do logów FRST:

1) Odinstaluj niepotrzebny Akamai NetSession Interface

 

2) Na dysku twardym nie widzę infekcji "skrótowej"

Otwórz Notatnik i wklej w nim:

 

Task: {8A4511A3-9CFF-4415-BA22-C7C35333FF59} - System32\Tasks\{BDC9449D-A688-4E00-95FD-2D6089718193} => pcalua.exe -a C:\Users\Użytkownik\Downloads\avira_free_antivirus_en(1).exe -d "C:\Program Files (x86)\Mozilla Firefox"
Task: {92AEEDD1-3265-4C97-8ED5-FEB5D7D135A9} - System32\Tasks\{8693D677-E390-4300-A21B-979BC7F6F8AA} => pcalua.exe -a C:\Users\Użytkownik\Downloads\TagesSetup.exe -d "C:\Program Files (x86)\Mozilla Firefox"
Task: {F9E84849-99F3-41A4-8C94-31D458647249} - System32\Tasks\{631A6950-E898-4388-9CA5-9600C32F1931} => pcalua.exe -a "E:\Adobe Type Manager Deluxe\ATMD INSTALL.EXE" -d "E:\Adobe Type Manager Deluxe"
Task: {FAF23188-A67F-4681-885E-A75EEC2DEC4C} - System32\Tasks\{D899ABDA-AD1C-4F51-9DA7-4C54E849341A} => pcalua.exe -a C:\Users\Użytkownik\Downloads\War3TFT_124d_Polski.exe -d "C:\Program Files (x86)\Mozilla Firefox"
C:\Users\Użytkownik\AppData\Local\Akamai\netsession_win.exe
HKLM-x32\...\Run: [] => [X]
HKLM-x32\...\RunOnce: [] => [X]
HKU\S-1-5-21-1784219324-1765303706-3422534945-1000\...\Run: [Akamai NetSession Interface] => C:\Users\Użytkownik\AppData\Local\Akamai\netsession_win.exe [4691384 2015-07-23] (Akamai Technologies, Inc.)
SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://search.dosearches.com/web/?utm_source=b&utm_medium=smt&utm_campaign=eXQ&utm_content=ds&from=smt&uid=WDCXWD20EARS-00J2GB0_WD-WCAYY026089560895&ts=1382612118&type=default&q={searchTerms}
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://search.dosearches.com/web/?utm_source=b&utm_medium=smt&utm_campaign=eXQ&utm_content=ds&from=smt&uid=WDCXWD20EARS-00J2GB0_WD-WCAYY026089560895&ts=1382612118&type=default&q={searchTerms}
SearchScopes: HKLM-x32 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://search.dosearches.com/web/?utm_source=b&utm_medium=smt&utm_campaign=eXQ&utm_content=ds&from=smt&uid=WDCXWD20EARS-00J2GB0_WD-WCAYY026089560895&ts=1382612118&type=default&q={searchTerms}
SearchScopes: HKLM-x32 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://search.dosearches.com/web/?utm_source=b&utm_medium=smt&utm_campaign=eXQ&utm_content=ds&from=smt&uid=WDCXWD20EARS-00J2GB0_WD-WCAYY026089560895&ts=1382612118&type=default&q={searchTerms}
BHO-x32: Brak nazwy -> {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} ->  Brak pliku
BHO-x32: Java Plug-In 2 SSV Helper -> {DBC80044-A445-435b-BC74-9C25C1C588A9} -> C:\Program Files (x86)\Java\jre6\bin\jp2ssv.dll Brak pliku
Toolbar: HKU\S-1-5-21-1784219324-1765303706-3422534945-1000 -> Brak nazwy - {47833539-D0C5-4125-9FA8-0819E2EAAC93} -  Brak pliku
StartMenuInternet: IEXPLORE.EXE - C:\Program Files (x86)\Internet Explorer\iexplore.exe hxxp://www.dosearches.com/?utm_source=b&utm_medium=smt&utm_campaign=eXQ&utm_content=sc&from=smt&uid=WDCXWD20EARS-00J2GB0_WD-WCAYY026089560895&ts=1382612118
StartMenuInternet: FIREFOX.EXE - C:\Program Files (x86)\Mozilla Firefox\firefox.exe hxxp://www.dosearches.com/?utm_source=b&utm_medium=smt&utm_campaign=eXQ&utm_content=sc&from=smt&uid=WDCXWD20EARS-00J2GB0_WD-WCAYY026089560895&ts=1382612118
S3 hwdatacard; system32\DRIVERS\ewusbmdm.sys [X]
C:\Users\Użytkownik\cygwin1.dll
C:\Users\Użytkownik\pdfcrack.exe
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Teleport Pro\Help.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Teleport Pro\Projects Folder.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Teleport Pro\Read Me.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Teleport Pro\Scheduler.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Teleport Pro\Uninstall.lnk
C:\Users\Użytkownik\Desktop\solvent (Adatto-mariusz) — skrót.lnk
C:\Users\Użytkownik\Desktop\projekty (Grafik2) — skrót.lnk
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix (NAPRAW).
Powstanie plik fixlog.txt.
Daj ten log.

 

jessi

[shadowcome]

zrobiłem, załączam log

Fixlog.txt

[jessica]

Powinno już być OK, więc chyba możemy kończyć:

W USBFix kliknij na przycisk UNINSTALL.

Otwórz Notatnik i wklej w nim:

 

DeleteQuarantine:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST. Uruchom FRST i kliknij w Fix (NAPRAW).
przez SHIFT+DEL usuń pozostały folder C:\FRST

 

Zainstaluj nowszą wersję Javy, wg https://www.fixitpc.pl/topic/5-dezynfekcja-kroki-finalizuj%C4%85ce-temat/?do=findComment&comment=43590

 

Jeśli natomiast dalej jest problem "skrótowy", to napisz.

 

jessi