Wirus facebook 'hi'

[Kall24]

Moją koleżankę zaatakował znany już wirus z facebooka 'hi'.
Tutaj wklejam logi:
Dostępne tylko dla zarejestrowanych użytkowników
Dostępne tylko dla zarejestrowanych użytkowników
Liczę na pomoc w rozwiązaniu tego przypadku. Pozdrawiam!

[djkamil09061991]

Wstaw logi na:
Dostępne tylko dla zarejestrowanych użytkowników

[Kall24]

OTL:
Dostępne tylko dla zarejestrowanych użytkowników
Extras:
Dostępne tylko dla zarejestrowanych użytkowników
Co jest złego w logach z wkejto?;p

[djkamil09061991]

Z poziomu Dodaj/usuń programy odinstaluj śmieci: Ask Toolbar,BabylonToolbar,Softonic-Eng7 Toolbar następnie
W białe dolne okno Własne opcje skanowania/skrypt w OTL wklej:

:OTL
MOD - [2011-08-19 13:38:23 | 000,382,464 | ---- | M] () -- C:\WINDOWS\update.7.1\svchostdriver.exe
MOD - [2011-08-19 11:52:23 | 000,632,832 | ---- | M] () -- C:\WINDOWS\update.2\svchost.exe
MOD - [2011-08-19 11:41:39 | 000,232,960 | ---- | M] () -- C:\WINDOWS\l1rezerv.exe
MOD - [2011-08-19 11:39:51 | 000,348,672 | ---- | M] () -- C:\WINDOWS\update.5.0\svchost.exe
MOD - [2011-08-19 11:31:54 | 000,258,048 | ---- | M] () -- C:\WINDOWS\sysdriver32.exe
MOD - [2011-08-19 11:17:30 | 001,215,488 | -H-- | M] () -- C:\WINDOWS\update.tray-7-0\svchost.exe
MOD - [2011-08-19 11:17:30 | 001,215,488 | -H-- | M] () -- C:\WINDOWS\update.1\svchost.exe
SRV - [2011-08-19 13:38:23 | 000,382,464 | ---- | M] () [Auto | Running] -- C:\WINDOWS\update.7.1\svchostdriver.exe -- (ddservice)
SRV - [2011-08-19 11:52:23 | 000,632,832 | ---- | M] () [Auto | Running] -- C:\WINDOWS\update.2\svchost.exe -- (srviecheck)
SRV - [2011-08-19 11:39:51 | 000,348,672 | ---- | M] () [Auto | Running] -- C:\WINDOWS\update.5.0\svchost.exe -- (srvbtcclient)
SRV - [2011-08-19 11:31:54 | 000,258,048 | ---- | M] () [Auto | Stopped] -- C:\WINDOWS\sysdriver32.exe -- (srvsysdriver32)
SRV - [2011-08-19 11:17:30 | 001,215,488 | -H-- | M] () [Auto | Running] -- C:\WINDOWS\update.1\svchost.exe -- (wxpdrivers)
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = Dostępne tylko dla zarejestrowanych użytkowników
IE - HKCU\..\URLSearchHook: {00000000-6E41-4FD3-8538-502F5495E5FC} - C:\Program Files\Ask.com\GenericAskToolbar.dll (Ask)
O2 - BHO: (Babylon toolbar helper) - {2EECD738-5844-4a99-B4B6-146BF802613B} - C:\Program Files\BabylonToolbar\BabylonToolbar\1.4.31.2\bh\BabylonToolbar.dll (Babylon BHO)
O2 - BHO: (Softonic-Eng7 Toolbar) - {414b6d9d-4a95-4e8d-b5b1-149dd2d93bb3} - C:\Program Files\Softonic-Eng7\tbSof1.dll (Conduit Ltd.)
O2 - BHO: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll (Ask)
O3 - HKLM\..\Toolbar: (Softonic-Eng7 Toolbar) - {414b6d9d-4a95-4e8d-b5b1-149dd2d93bb3} - C:\Program Files\Softonic-Eng7\tbSof1.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (Babylon Toolbar) - {98889811-442D-49dd-99D7-DC866BE87DBC} - C:\Program Files\BabylonToolbar\BabylonToolbar\1.4.31.2\BabylonToolbarTlbr.dll (Babylon Ltd.)
O3 - HKLM\..\Toolbar: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll (Ask)
O3 - HKCU\..\Toolbar\WebBrowser: (Softonic-Eng7 Toolbar) - {414B6D9D-4A95-4E8D-B5B1-149DD2D93BB3} - C:\Program Files\Softonic-Eng7\tbSof1.dll (Conduit Ltd.)
O3 - HKCU\..\Toolbar\WebBrowser: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll (Ask)
O4 - HKLM..\Run: [] File not found
O4 - HKLM..\Run: [20143869-loader2.exe] C:\WINDOWS\TEMP\20143869-loader2.exe ()
O4 - HKLM..\Run: [4552915.exe] C:\WINDOWS\TEMP\4552915.exe ()
O4 - HKLM..\Run: [592194.exe] C:\Documents and Settings\Prezes\Ustawienia lokalne\Temp\592194.exe ()
O4 - HKLM..\Run: [7010964.exe] C:\Documents and Settings\Prezes\Ustawienia lokalne\Temp\7010964.exe ()
O4 - HKLM..\Run: [7515957.exe] C:\Documents and Settings\Prezes\Ustawienia lokalne\Temp\7515957.exe ()
O4 - HKLM..\Run: [ApnUpdater] C:\Program Files\Ask.com\Updater\Updater.exe (Ask)
O4 - HKLM..\Run: [avast] File not found
O4 - HKLM..\Run: [Cmaudio] File not found
O4 - HKLM..\Run: [l1rezerv.exe] C:\WINDOWS\l1rezerv.exe ()
O4 - HKLM..\Run: [sysdriver32.exe] C:\WINDOWS\sysdriver32.exe ()
O4 - HKLM..\Run: [sysdriver32_.exe] C:\WINDOWS\sysdriver32_.exe ()
O4 - HKLM..\Run: [tray_ico] File not found
O4 - HKLM..\Run: [tray_ico0] C:\WINDOWS\update.tray-7-0\svchost.exe ()
O4 - HKLM..\Run: [tray_ico1] File not found
O4 - HKLM..\Run: [tray_ico2] File not found
O4 - HKLM..\Run: [tray_ico3] File not found
O4 - HKLM..\Run: [tray_ico4] File not found
O4 - HKLM..\Run: [wxpdrv] C:\WINDOWS\services32.exe ()
O4 - HKCU..\Run: [BitComet] File not found
O31 - SafeBoot: AlternateShell - services32.exe
[2011-08-19 13:38:25 | 000,000,000 | -H-D | C] -- C:\WINDOWS\update.7.1
[2011-08-19 11:43:21 | 000,000,000 | ---D | C] -- C:\WINDOWS\ufa
[2011-08-19 11:43:21 | 000,000,000 | ---D | C] -- C:\WINDOWS\rpcminer
[2011-08-19 11:43:21 | 000,000,000 | ---D | C] -- C:\WINDOWS\phoenix
[2011-08-19 11:39:52 | 000,000,000 | -H-D | C] -- C:\WINDOWS\update.5.0
[2011-08-19 11:39:33 | 000,000,000 | -H-D | C] -- C:\WINDOWS\update.2
[2011-08-19 11:31:10 | 000,000,000 | ---D | C] -- C:\WINDOWS\av_ico
[2011-08-19 11:29:23 | 000,000,000 | -H-D | C] -- C:\WINDOWS\update.1
[2011-08-19 11:29:13 | 000,000,000 | -H-D | C] -- C:\WINDOWS\update.tray-7-0-lnk
[2011-08-19 11:29:13 | 000,000,000 | -H-D | C] -- C:\WINDOWS\update.tray-7-0
[2011-08-19 13:38:24 | 000,000,177 | ---- | M] () -- C:\WINDOWS\info1
[2011-08-19 11:53:05 | 000,000,734 | ---- | M] () -- C:\WINDOWS\System32\drivers\etc\hîsts
[2011-08-19 11:43:20 | 005,589,370 | ---- | M] () -- C:\WINDOWS\phoenix.rar
[2011-08-19 11:43:20 | 000,246,272 | ---- | M] () -- C:\WINDOWS\unrar.exe
[2011-08-19 11:43:20 | 000,182,617 | ---- | M] () -- C:\WINDOWS\ufa.rar
[2011-08-19 11:43:18 | 001,075,284 | ---- | M] () -- C:\WINDOWS\rpcminer.rar
[2011-08-19 11:41:39 | 000,232,960 | ---- | M] () -- C:\WINDOWS\l1rezerv.exe
[2011-08-19 11:41:36 | 000,904,792 | ---- | M] () -- C:\WINDOWS\geoiplist.rar
[2011-08-19 11:31:54 | 000,258,048 | ---- | M] () -- C:\WINDOWS\sysdriver32_.exe
[2011-08-19 11:31:54 | 000,258,048 | ---- | M] () -- C:\WINDOWS\sysdriver32.exe
[2011-08-19 11:17:30 | 001,215,488 | ---- | M] () -- C:\WINDOWS\services32.exe

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\Documents and Settings\Prezes\Moje dokumenty\Pobieranie\Flash-Player.exe"=-
"C:\WINDOWS\update.1\svchost.exe"=-
"C:\WINDOWS\update.tray-7-0\svchost.exe"=-
"C:\WINDOWS\update.2\svchost.exe"=-

:Commands
[emptytemp]
[resethosts]

Uruchom to poprzez Wykonaj skrypt i zatwierdź restart.
Po restarcie wykonaj nowy zestaw logów OTL oraz pokaż raport z usuwania OTL powstały po wykonaniu powyższego skryptu.

[Kall24]

Przy próbie usunięcia AskToolbar wyskakuje krytyczny błąd uniemożliwiający jego deinstalacje. Jest na to jakaś rada?

[djkamil09061991]

Dobra omiń AskToolbar i wykonuj dalsze instrukcje.

[Kall24]

Raport:
Dostępne tylko dla zarejestrowanych użytkowników
OTL:
Dostępne tylko dla zarejestrowanych użytkowników

[djkamil09061991]

Do usunięcia resztki, wklej w OTL i naciśnij wykonaj skrypt:

:OTL
O2 - BHO: (avast! WebRep) - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - File not found
O3 - HKLM\..\Toolbar: (avast! WebRep) - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - File not found
O4 - HKLM..\Run: [1200568.exe] File not found
O4 - HKLM..\Run: [3044025.exe] File not found
[2011-08-19 11:41:38 | 000,000,000 | ---D | C] -- C:\Documents and Settings\Prezes\Dane aplikacji\WinRAR
[2011-08-19 11:41:28 | 000,000,000 | ---D | C] -- C:\Documents and Settings\LocalService\Dane aplikacji\WinRAR
[2011-08-19 19:01:00 | 000,000,236 | ---- | M] () -- C:\WINDOWS\tasks\Scheduled Update for Ask Toolbar.job
[2011-08-19 17:52:05 | 000,000,000 | ---- | M] () -- C:\WINDOWS\loader2.exe_ok
[2011-08-19 17:51:48 | 000,000,000 | ---- | C] () -- C:\WINDOWS\loader2.exe_ok
[2011-08-19 11:41:28 | 004,636,907 | ---- | C] () -- C:\WINDOWS\geoiplist

:Commands
[emptytemp]

Uruchom to poprzez Wykonaj skrypt i zatwierdź restart.
Po restarcie wykonaj nowy zestaw logów OTL oraz pokaż raport z usuwania OTL powstały po wykonaniu powyższego skryptu.

[Kall24]

Raport:
Dostępne tylko dla zarejestrowanych użytkowników
OTL:
Dostępne tylko dla zarejestrowanych użytkowników

[djkamil09061991]

Jak dla mnie wydaje się być czysto. Naciśnij w OTL sprzątanie to go usunie.

[Kall24]

W imieniu koleżanki dziękuję za owocną pomoc ;]