Nowy wirus ze Skype'a

[bochen9]

Witam.
Zwracam się z prośbą o pomoc w rozwiązaniu problemu z popularnym ostatnio wirusem ze Skype'a.
Próbowałem metod z filmików na youtube, ale okazały się nieskuteczne.
Cały czas wyskakują różne błędy aplikacji, przy robieniu czegokolwiek, zamykaniu programów itp.

Załączam logi:
OTL: Dostępne tylko dla zarejestrowanych użytkowników
Extras: Dostępne tylko dla zarejestrowanych użytkowników

Logi robione w trybie awaryjnym, bo w normalnym pojawiał się błąd na początku skanowania.

Z góry dziękuję za zainteresowanie tematem.

[kominekl]

"Akamai" = Akamai NetSession Interface Service
"IncrediMail_MediaBar_2 Toolbar" = IncrediMail MediaBar 2 Toolbar
"DealPly" = DealPly
"Shop for HP Supplies" = Shop for HP Supplies
"{980A182F-E0A2-4A40-94C1-AE0C1235902E}" = Pando Media Booster
"{B4092C6D-E886-4CB2-BA68-FE5A88D31DE6}_is1" = Spybot - Search & Destroy

Odinstaluj to oprogramowanie.

Logi.

Uruchom OTL -> w oknie Własne opcje skanowania/skrypt wklej:

:OTL

DRV - File not found [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\EagleNT.sys -- (EagleNT)
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Page_URL = pl.v9.com/ins/ins_1329424384_283202
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = Dostępne tylko dla zarejestrowanych użytkowników
IE - HKLM\..\SearchScopes,DefaultScope = {EEE6C360-6118-11DC-9C72-001320C79847}
IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}&src={referrer:source?}
IE - HKLM\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD22}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}
IE - HKLM\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}
IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = <local>
IE - HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = <local>
IE - HKU\S-1-5-21-484763869-57989841-725345543-1003\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Page_URL = pl.v9.com/ins/ins_1329424384_283202
IE - HKU\S-1-5-21-484763869-57989841-725345543-1003\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = Dostępne tylko dla zarejestrowanych użytkowników
IE - HKU\S-1-5-21-484763869-57989841-725345543-1003\..\URLSearchHook: {d40b90b4-d3b1-4d6b-a5d7-dc041c1b76c0} - C:\Program Files\IncrediMail_MediaBar_2\prxtbInc2.dll (Conduit Ltd.)
IE - HKU\S-1-5-21-484763869-57989841-725345543-1003\..\SearchScopes,DefaultScope = {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}
IE - HKU\S-1-5-21-484763869-57989841-725345543-1003\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}&src=IE-SearchBox&FORM=IE8SRC
IE - HKU\S-1-5-21-484763869-57989841-725345543-1003\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}&affID=113480&tt=090812_bab_3212_8&babsrc=SP_ss&mntrId=f4db8a0700000000000050e5493ca656
IE - HKU\S-1-5-21-484763869-57989841-725345543-1003\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD22}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}
IE - HKU\S-1-5-21-484763869-57989841-725345543-1003\..\SearchScopes\{CFF4DB9B-135F-47c0-9269-B4C6572FD61A}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}&loc=search_box&u=92823231090827520
IE - HKU\S-1-5-21-484763869-57989841-725345543-1003\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = Dostępne tylko dla zarejestrowanych użytkowników{searchTerms}
IE - HKU\S-1-5-21-484763869-57989841-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = 127.0.0.1:9421;<local>
FF - prefs.js..browser.search.defaultenginename: "Search the web (Babylon)"
FF - prefs.js..browser.search.order.1: "Search the web (Babylon)"
FF - prefs.js..browser.startup.homepage: "http://search.babylon.com/?affID=113480&tt=090812_bab_3212_8&babsrc=HP_ss&mntrId=f4db8a0700000000000050e5493ca656"
FF - prefs.js..extensions.enabledAddons: ffxtlbr@babylon.com:1.5.0
FF - prefs.js..extensions.enabledAddons: battlefieldheroespatcher@ea.com:5.0.145.0
FF - prefs.js..keyword.URL: "http://search.babylon.com/?babsrc=SP_ss&mntrId=f4db8a0700000000000050e5493ca656&tlver=1.6.4.6&instlRef=sst&babTrack&q="
FF - prefs.js..sweetim.toolbar.previous.browser.search.defaultenginename: "Search the web (Babylon)"
FF - prefs.js..sweetim.toolbar.previous.browser.search.selectedEngine: "Search the web (Babylon)"
FF - prefs.js..browser.startup.homepage: "pl.v9.com/ins/ins_1329424384_283202"
FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=3: C:\Program Files\Google\Update\1.3.21.123\npGoogleUpdate3.dll (Google Inc.)
FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=9: C:\Program Files\Google\Update\1.3.21.123\npGoogleUpdate3.dll (Google Inc.)
[2012-10-06 10:23:03 | 000,000,000 | ---D | M] (IncrediMail MediaBar 2 Community Toolbar) -- C:\Documents and Settings\Patryk\Dane aplikacji\Mozilla\Firefox\Profiles\vkx0jx9y.default\extensions\{d40b90b4-d3b1-4d6b-a5d7-dc041c1b76c0}
[2012-01-28 21:42:39 | 000,000,000 | ---D | M] (DealPly) -- C:\Documents and Settings\Patryk\Dane aplikacji\Mozilla\Firefox\Profiles\vkx0jx9y.default\extensions\{EB9394A3-4AD6-4918-9537-31A1FD8E8EDF}
[2012-10-07 10:49:22 | 000,000,000 | ---D | M] (Battlefield Heroes Updater) -- C:\Documents and Settings\Patryk\Dane aplikacji\Mozilla\Firefox\Profiles\vkx0jx9y.default\extensions\battlefieldheroespatcher@ea.com
[2012-01-11 15:23:45 | 000,000,000 | ---D | M] (Babylon) -- C:\Documents and Settings\Patryk\Dane aplikacji\Mozilla\Firefox\Profiles\vkx0jx9y.default\extensions\ffxtlbr@babylon.com
[2011-10-28 13:25:26 | 000,002,207 | ---- | M] () -- C:\Documents and Settings\Patryk\Dane aplikacji\Mozilla\Firefox\Profiles\vkx0jx9y.default\searchplugins\MyStart Search.xml
[2011-11-23 17:58:12 | 000,002,515 | ---- | M] () -- C:\Documents and Settings\Patryk\Dane aplikacji\Mozilla\Firefox\Profiles\vkx0jx9y.default\searchplugins\Search_Results.xml
[2012-07-12 19:54:22 | 000,003,949 | ---- | M] () -- C:\Documents and Settings\Patryk\Dane aplikacji\Mozilla\Firefox\Profiles\vkx0jx9y.default\searchplugins\sweetim.xml
[2012-01-26 17:38:59 | 000,000,000 | ---D | M] (Skype Click to Call) -- C:\Program Files\Mozilla Firefox\extensions\{82AF8DCA-6DE9-405D-BD5E-43525BDAD38A}
[2012-08-09 18:17:28 | 000,002,360 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\babylon.xml
[2011-11-23 17:58:12 | 000,002,515 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\Search_Results.xml
[2012-02-16 22:33:04 | 000,002,415 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\v9.xml
CHR - Extension: DealPly = C:\Documents and Settings\Patryk\Ustawienia lokalne\Dane aplikacji\Google\Chrome\User Data\Default\Extensions\gaiilaahiahdejapggenmdmafpmbipje\3.0.7.2_0\
CHR - Extension: Skype Click to Call = C:\Documents and Settings\Patryk\Ustawienia lokalne\Dane aplikacji\Google\Chrome\User Data\Default\Extensions\lifbcibllhkdhoafpjfnlhfpfgnpldfl\5.6.0.8442_0\
O3 - HKLM\..\Toolbar: (no name) - 10 - No CLSID value found.
O4 - HKLM..\Run: [Alcmtr] ALCMTR.EXE File not found
O4 - HKLM..\Run: [AlcWzrd] ALCWZRD.EXE File not found
O4 - HKLM..\Run: [Mwiccyehtmzdynam.exe] C:\Documents and Settings\Patryk\Dane aplikacji\Mwiccyehtmzdynam.exe ()
O4 - HKLM..\Run: [RTHDCPL] RTHDCPL.EXE File not found
O4 - HKU\S-1-5-21-484763869-57989841-725345543-1003..\Run: [Mwiccyehtmzdynam.exe] C:\Documents and Settings\Patryk\Dane aplikacji\Mwiccyehtmzdynam.exe ()
O16 - DPF: {0D6709DD-4ED8-40CA-B459-2757AEEF7BEE} Dostępne tylko dla zarejestrowanych użytkowników (Dldrv2 Control)

:Files
C:\Program Files\Google\Update
C:\Documents and Settings\Patryk\Ustawienia lokalne\Dane aplikacji\setup.exe
C:\Documents and Settings\Patryk\Pulpit\q2czd54l.exe
C:\WINDOWS\tasks\*.*
C:\Documents and Settings\All Users\Dane aplikacji\boost_interprocess
C:\Documents and Settings\All Users\Dane aplikacji\IM
C:\Documents and Settings\All Users\Dane aplikacji\IncrediMail

:Reg
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]

:Commands
[emptyflash]
[clearallrestorepoints]
[emptytemp]

Klikasz Wykonaj skrypt. Dajesz log z usuwania. Następnie podaj log z ADWCleaner (z opcji Delete) -> Dostępne tylko dla zarejestrowanych użytkowników + log z TDSSKiller -> http://www.hotfix.pl/instrukcja-obslugi ... r-a341.htm + nowe logi z OTL + log z Autoruns -> http://www.hotfix.pl/optymalizacja-auto ... s-a128.htm.

[bochen9]

Usuwanie: Dostępne tylko dla zarejestrowanych użytkowników
ADWCleaner: Dostępne tylko dla zarejestrowanych użytkowników
TDSSKiller: Dostępne tylko dla zarejestrowanych użytkowników
Nowy OTL: Dostępne tylko dla zarejestrowanych użytkowników
Nowy Extras: Dostępne tylko dla zarejestrowanych użytkowników
AutoRuns: Dostępne tylko dla zarejestrowanych użytkowników

Usuwanie OTL wykonałem w trybie awaryjnym, bo w normalnym po kliknięciu "wykonaj skrypt" program się zamykał.
Błędy aplikacji już się nie pojawiają.

[kominekl]

Autoruns.

W Autoruns odznacz, a następnie usuń (co się będzie dało):

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Adobe ARM
DivXUpdate
HP Software Update
SoundMan
StartCCC
SunJavaUpdateSched
ZyngaGamesAgent

C:\Documents and Settings\All Users\Menu Start\Programy\Autostart

Wszystko.

HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components

Wszystko.

HKCU\Software\Microsoft\Windows\CurrentVersion\Run

Akamai NetSession Interface
MSMSGS
Skype

HKCU\SOFTWARE\Microsoft\Internet Explorer\Desktop\Components

Wszystko.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad

Wszystko.

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects

Wszystko.

HKLM\Software\Microsoft\Internet Explorer\Extensions

Wszystko.

HKLM\System\CurrentControlSet\Services

AppleChargerSrv
gupdate
gupdatem
IDriverT
JavaQuickStarterService
MDM
ose
PnkBstrA
SCBackService
WCUService_STC_FF Splashtop

HKLM\System\CurrentControlSet\Services

Changer
i2omgmt
lbrtfdc
PCIDump
PDCOMP
PDFRAME
PDRELI
PDRFRAME
WDICA

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify

Wszystko.

HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors

Wszystko.

ADWCleaner.

Uninstall.

Logi.

Uruchom OTL -> w oknie Własne opcje skanowania/skrypt wklej:

:OTL

IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Search_URL = Dostępne tylko dla zarejestrowanych użytkowników
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Secondary_Page_URL = [binary data]
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Search Page = Dostępne tylko dla zarejestrowanych użytkowników
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Security Risk Page = about:SecurityRisk
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,CustomizeSearch = Dostępne tylko dla zarejestrowanych użytkowników{SUB_RFC1766}/srchasst/srchcust.htm
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = Dostępne tylko dla zarejestrowanych użytkowników{SUB_RFC1766}/srchasst/srchasst.htm
IE - HKU\S-1-5-21-484763869-57989841-725345543-1003\SOFTWARE\Microsoft\Internet Explorer\Main,Search Page = Dostępne tylko dla zarejestrowanych użytkowników
IE - HKU\S-1-5-21-484763869-57989841-725345543-1003\..\URLSearchHook: {CFBFAE00-17A6-11D0-99CB-00C04FD64497} - C:\WINDOWS\system32\ieframe.dll (Microsoft Corporation)
FF - HKLM\Software\MozillaPlugins\@pandonetworks.com/PandoWebPlugin: C:\Program Files\Pando Networks\Media Booster\npPandoWebPlugin.dll File not found
[2011-09-08 22:21:15 | 000,000,000 | ---D | M] (Default) -- C:\Program Files\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}
[2012-01-28 21:39:43 | 000,000,000 | ---D | M] (DivX Plus Web Player HTML5 &lt;video&gt;) -- C:\PROGRAM FILES\DIVX\DIVX PLUS WEB PLAYER\FIREFOX\DIVXHTML5
[2011-09-01 20:17:07 | 000,000,000 | ---D | M] (Microsoft .NET Framework Assistant) -- C:\WINDOWS\MICROSOFT.NET\FRAMEWORK\V3.5\WINDOWS PRESENTATION FOUNDATION\DOTNETASSISTANTEXTENSION
O4 - HKLM..\Run: [ZyngaGamesAgent] "C:\Program Files\Splashtop\Splashtop Connect\ZyngaGamesAgent.exe" File not found
O4 - HKU\S-1-5-21-484763869-57989841-725345543-1003..\Run: [Akamai NetSession Interface] "C:\Documents and Settings\Patryk\Ustawienia lokalne\Dane aplikacji\Akamai\netsession_win.exe" File not found

:Files
C:\Documents and Settings\Patryk\Pulpit\tdsskiller
C:\WINDOWS\tasks\*.*
C:\Documents and Settings\All Users\Dane aplikacji\AVAST Software

:Commands
[emptyflash]
[clearallrestorepoints]
[emptytemp]

Klikasz Wykonaj skrypt. Dajesz log z usuwania. Następnie podajesz nowe logi z OTL.

[bochen9]

Usuwanie: Dostępne tylko dla zarejestrowanych użytkowników
OTL: Dostępne tylko dla zarejestrowanych użytkowników
Extras: Dostępne tylko dla zarejestrowanych użytkowników

[kominekl]

Logi.

Uruchom OTL -> w oknie Własne opcje skanowania/skrypt wklej:

:OTL

O2 - BHO: (no name) - AutorunsDisabled - No CLSID value found.
O20 - Winlogon\Notify\AutorunsDisabled: DllName - (Reg Error: Value error.) - Reg Error: Value error. File not found
O24 - Desktop Components:AutorunsDisabled () -

:Files
C:\WINDOWS\tasks\*.*

:Reg
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"SoundMan"=-
"DivXUpdate"=-

:Commands
[emptyflash]
[clearallrestorepoints]
[emptytemp]

Klikasz Wykonaj skrypt. Dajesz log z usuwania. Następnie w OTL -> Sprzątanie.

"{26A24AE4-039D-4CA4-87B4-2F83216027FF}" = Java(TM) 6 Update 29
"{26A24AE4-039D-4CA4-87B4-2F83217004FF}" = Java(TM) 7 Update 4

Odinstaluj i zainstaluj najnowszą wersję -> Dostępne tylko dla zarejestrowanych użytkowników.

"{AA59DDE4-B672-4621-A016-4C248204957A}" = Skype™ 5.5

Odinstaluj i zainstaluj najnowszą wersję -> Dostępne tylko dla zarejestrowanych użytkowników.

"Mozilla Firefox 6.0.2 (x86 pl)" = Mozilla Firefox 6.0.2 (x86 pl)

Odinstaluj i zainstaluj najnowszą wersję -> Dostępne tylko dla zarejestrowanych użytkowników.

Kroki Finalizujące.

Przeczyść dysk i rejestr CCleaner`em -> Dostępne tylko dla zarejestrowanych użytkowników.
Wykonaj pełne skanowanie Malwarebytes`em Anti-Malware (nie gódź się na wersję testową) -> Dostępne tylko dla zarejestrowanych użytkowników, jeśli coś znajdzie usuń i daj raport.

[bochen9]

Problem dotyczył komputera znajomego. Teraz nie mam możliwości wykonać poleceń, ale zrobię to w przyszłym tygodniu. Najważniejsze, że problemy ustąpiły.
Bardzo Ci dziękuję za profesjonalną pomoc!

[kominekl]

Problem dotyczył komputera znajomego. Teraz nie mam możliwości wykonać poleceń, ale zrobię to w przyszłym tygodniu. Najważniejsze, że problemy ustąpiły.
Bardzo Ci dziękuję za profesjonalną pomoc!

OK. Niema sprawy . Kroki wykonaj jak najszybciej, gdyż to ważne.