Problem z heur.w32

[piogeb]

Otóż jak w temacie mam problem z tym wirusem! Mój ArcaWir wykrywa go w ESLWIRE. Czytałem na Forach że czasami heur.W32 wyszukuje jako wirus a wcale nim nie jest, nie wiem czy w tym wypadku też tak jest prosze o pomoc!

[Mikou@j]

wszystko-o-logach-aktualizacja-30-01-2012-vt117887.html
przeczytaj i wklej logi w załącznikach

[piogeb]

a co są te piki sptd... i czy usunięcie ich nie spowoduje żadnych utrat w systemie. po wyszukaniu tych plików znalazło 1!

[Mikou@j]

Przecież wszystko tam jest napisane. Jest to sterownik od emulatora napędów, który należy usunąć.

[piogeb]

o to logi z Gmera

[wojtas]

a gdzie logi z OTL ?

[piogeb]

o sorka zapomniałem;) już wkejam

Dodano Dzisiaj, 15:47:


Dodano Dzisiaj, 15:48:
Sorka że jako 2 pliki ale w 1 się nie zmieściło a wkelj.... mi nie działa!

[wojtas]

odinstaluj Babylon toolbar on IE, Free_Lunch_Design Toolbar, IncrediMail MediaBar 2 Toolbar, Softonic-Polska Toolbar,StartNow Toolbar, Przyspiesz Komputer, XfireXO Toolbar, Conduit Engine


ten plik/i :

C:\WINDOWS\system32\drivers\ESLWireACD.sys

przeskanuj tu
http://virusscan.jotti.org/
i tu :
http://www.virustotal.com/

i daj raporty ze skanu w następnym poście


Uruchom OTL i w sekcji własne opcje skanowania / skrypt wklej:

:OTL
FF - prefs.js..browser.search.defaultengine: "Web Search"
FF - prefs.js..browser.search.defaultenginename: "Search the web (Babylon)"
FF - prefs.js..browser.search.defaultthis.engineName: "BrotherSoft Extreme Customized Web Search"
FF - prefs.js..browser.search.defaulturl: "http://search.conduit.com/ResultsExt.aspx?ctid=CT2776682&SearchSource=3&q={searchTerms}"
FF - prefs.js..browser.search.order.1: "Search the web (Babylon)"
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://startsear.ch/?aff=1&cf=e20027e4-2f3b-11e1-9bc0-00ff01000001
FF - prefs.js..browser.startup.homepage: "http://klit.startnow.com/?src=startpage&provider=&provider_name=yahoo&provider_code=&partner_id=693&product_id=741&affiliate_id=&channel=&toolbar_id=200&toolbar_version=2.4.0&install_country=PL&install_date=20120208&user_guid=6A48BACBDBC84BAC978F1D48EA862AAB&machine_id=d09e3ae5808e3257c4cc4fdf058bbd98&browser=FF&os=win&os_version=5.1-x86-SP3"
FF - prefs.js..keyword.URL: "http://klit.startnow.com/s/?src=addrbar&provider=&provider_name=yahoo&provider_code=&partner_id=693&product_id=741&affiliate_id=&channel=&toolbar_id=200&toolbar_version=2.4.0&install_country=PL&install_date=20120208&user_guid=6A48BACBDBC84BAC978F1D48EA862AAB&machine_id=d09e3ae5808e3257c4cc4fdf058bbd98&browser=FF&os=win&os_version=5.1-x86-SP3&q="
IE - HKU\S-1-5-21-1844237615-113007714-1417001333-1003\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://klit.startnow.com/?src=startpage&provider=&provider_name=yahoo&provider_code=&partner_id=693&product_id=741&affiliate_id=&channel=&toolbar_id=200&toolbar_version=2.4.0&install_country=PL&install_date=20120208&user_guid=6A48BACBDBC84BAC978F1D48EA862AAB&machine_id=d09e3ae5808e3257c4cc4fdf058bbd98&browser=IE&os=win&os_version=5.1-x86-SP3
[2011-12-22 17:35:51 | 000,000,000 | ---D | M] (BrotherSoft Extreme Community Toolbar) -- C:\Documents and Settings\QWERTY\Dane aplikacji\Mozilla\Firefox\Profiles\nw3nkhzj.default\extensions\{51a86bb3-6602-4c85-92a5-130ee4864f13}
[2012-02-08 21:37:49 | 000,000,000 | ---D | M] (StartNow Toolbar) -- C:\Documents and Settings\QWERTY\Dane aplikacji\Mozilla\Firefox\Profiles\nw3nkhzj.default\extensions\{5911488E-9D1E-40ec-8CBB-06B231CC153F}
[2011-10-24 18:57:42 | 000,000,000 | ---D | M] (IncrediMail MediaBar 2 Toolbar) -- C:\Documents and Settings\QWERTY\Dane aplikacji\Mozilla\Firefox\Profiles\nw3nkhzj.default\extensions\{d40b90b4-d3b1-4d6b-a5d7-dc041c1b76c0}
[2011-08-05 14:46:20 | 000,000,000 | ---D | M] (Babylon) -- C:\Documents and Settings\QWERTY\Dane aplikacji\Mozilla\Firefox\Profiles\nw3nkhzj.default\extensions\ffxtlbr@babylon.com
[2011-12-21 16:36:52 | 000,000,941 | ---- | M] () -- C:\Documents and Settings\QWERTY\Dane aplikacji\Mozilla\Firefox\Profiles\nw3nkhzj.default\searchplugins\conduit.xml
[2011-10-24 18:55:06 | 000,002,207 | ---- | M] () -- C:\Documents and Settings\QWERTY\Dane aplikacji\Mozilla\Firefox\Profiles\nw3nkhzj.default\searchplugins\MyStart Search.xml
[2011-12-25 23:10:10 | 000,000,792 | ---- | M] () -- C:\Documents and Settings\QWERTY\Dane aplikacji\Mozilla\Firefox\Profiles\nw3nkhzj.default\searchplugins\startsear.xml
[2012-02-08 21:37:48 | 000,001,390 | ---- | M] () -- C:\Documents and Settings\QWERTY\Dane aplikacji\Mozilla\Firefox\Profiles\nw3nkhzj.default\searchplugins\yahoo-zugo.xml
[2011-08-05 14:46:59 | 000,000,000 | ---D | M] (Babylon OCR) -- C:\Program Files\Mozilla Firefox\extensions\ocr@babylon.com
[2012-02-08 21:09:37 | 000,002,310 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\babylon.xml
O4 - HKU\S-1-5-21-1844237615-113007714-1417001333-1003..\Run: [EA Core] "C:\Program Files\Electronic Arts\EADM\Core.exe" -silent File not found
O4 - HKU\S-1-5-21-1844237615-113007714-1417001333-1003..\Run: [ESL Wire] "C:\Program Files\EslWire\wire.exe" --tray File not found
O4 - HKU\S-1-5-21-1844237615-113007714-1417001333-1003..\Run: [fsm] File not found
O4 - HKU\.DEFAULT..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 File not found
O4 - HKU\S-1-5-18..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 File not found
O4 - HKU\S-1-5-19..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 File not found
O4 - HKU\S-1-5-20..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 File not found
O4 - HKU\S-1-5-21-1844237615-113007714-1417001333-1005..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 File not found
O4 - HKLM..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k File not found
O8 - Extra context menu item: &Download All using 4shared Desktop - C:\Program Files\4shared Desktop\down_all.htm File not found
O33 - MountPoints2\{c61be316-fa07-11de-b827-00134648d5b2}\Shell\AutoRun\command - "" = DRIVE\file.exe
O33 - MountPoints2\{c61be316-fa07-11de-b827-00134648d5b2}\Shell\open\command - "" = DRIVE\file.exe
[2010-03-13 11:31:31 | 000,002,596 | ---- | C] () -- C:\Documents and Settings\LocalService\Ustawienia lokalne\Dane aplikacji\Config.nt.bak
[2010-03-13 11:31:31 | 000,001,734 | ---- | C] () -- C:\Documents and Settings\LocalService\Ustawienia lokalne\Dane aplikacji\Autoexec.nt.bak
[2010-03-13 11:31:31 | 000,000,742 | ---- | C] () -- C:\Documents and Settings\LocalService\Ustawienia lokalne\Dane aplikacji\hosts.bak
@Alternate Data Stream - 137 bytes -> C:\Documents and Settings\All Users\Dane aplikacji\TEMP:1CE11B51
@Alternate Data Stream - 119 bytes -> C:\Documents and Settings\All Users\Dane aplikacji\TEMP:2FC64B8C

:Files
C:\WINDOWS\tasks\*.job

:Commands
[emptytemp]
[emptyflash]

Kliknij wykonaj skrypt. I potwierdź reset komputera .

Następnie uruchamiasz OTL z opcją skanuj. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia (zawartość notatnika, która otworzy się po restarcie).


Użyj >Ad-Remover i kliknij w nim Clean (uruchom z prawokliku "jako Administrator)
Pokaż raport z niego

[piogeb]

...

[wojtas]

a gdzie skan pliku?

Użyj >Ad-Remover i kliknij w nim Clean (uruchom z prawokliku "jako Administrator)
Pokaż raport z niego

daj na koniec nowego loga z OTL

[piogeb]

[wojtas]

a gdzie skan pliku?

Użyj >Ad-Remover i kliknij w nim Clean (uruchom z prawokliku "jako Administrator)
Pokaż raport z niego

[piogeb]

..

[wojtas]

a skan pliku zrobiony ? bo w logach nic nie widać , konkretnego. a ten alarm może być fałszywy.