Samoistne tworzenie się skrótów na pendrive

[Mikou@j]

Witam,
Mam podobny problem co koleżanka. Na pendrive pojawił się skrót do niego samego. Po kliknięciu dostępna była zawartość, jednak z dodatkowym "kawałkiem ścieżki". Postanowiłem sformatować pamięć, jednak po formacie zostaje zawsze 95 MB zajętego miejsca, a problem wraca po ponownym podłączeniu do komputera(sprawdzałem na kilku).

Dodatkowo polecany program USBFix działa u mnie niepoprawnie. Zawiesza się w połowie pracy, wyskakuje pytanie Windowsa: Zamykać, czy szukać rozwiązania online i zamykać? Przy drugim uruchomieniu dochodzi do 95% po czym wiesza się i wyrzuca komunikat: "Program Go.exe przestał działać"

Podobnie jak założycielka wątku, jestem nowicjuszem w kwestii złośliwych programów... Prosiłbym o pomoc w tej sprawie.

[ordynat]

To chyba jakaś nowa wersja infekcji skrótowej. Nie znam jej jeszcze.
USBFix użyj przy wyłączonym Antywirusie, bo to on przeszkadza.
Poza tym - daj logi z OTL, bo może masz tę infekcję na dysku twardym.
.

[Dutch]

Wklejam logi z USBFix i OTL. Przy czym wczoraj późnym wieczorem wykonałem za namową znajomego "Low Level format" pędraka. Dziś już problem skrótów się nie pojawił. Nie wiem czy jest to kwestia 7 wczorajszych, niedokończonych prób z USBFix, czy właśnie formatowania.
Dziś też znalazłem logi z tamtych prób. Wydaje mi się, przeglądając te zapisy, że podczas drugiej, program coś usuwał, więc podrzucam też jej wynik.
http://www.wklejto.pl/157292 - USBFix
http://www.wklejto.pl/157293 - OTL
http://www.wklejto.pl/157295 - USBFix (wczorajszy)

[ordynat]

Na dysku twardym jest infekcja.

Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:OTL
F3:64bit: - HKU\S-1-5-21-2144001319-3352431538-1676631979-1001 WinNT: Load - (c:\users\michal\dxajlqutz.exe) - c:\Users\Michal\dxajlqutz.exe (A_s)
F3 - HKU\S-1-5-21-2144001319-3352431538-1676631979-1001 WinNT: Load - (c:\users\michal\dxajlqutz.exe) - c:\Users\Michal\dxajlqutz.exe (A_s)
O4 - HKU\S-1-5-21-2144001319-3352431538-1676631979-1001..\Run: [ALLUpdate] "C:\Program Files (x86)\ALLPlayer\ALLUpdate.exe" "sleep" File not found
O4 - HKU\S-1-5-21-2144001319-3352431538-1676631979-1001..\Run: [KiesAirMessage] C:\Program Files (x86)\Samsung\Kies\KiesAirMessage.exe -startup File not found
O4 - HKLM..\Run: [] File not found
O3 - HKU\S-1-5-21-2144001319-3352431538-1676631979-1001\..\Toolbar\WebBrowser: (uTorrentControl2 Toolbar) - {687578B9-7132-4A7A-80E4-30EE31099E03} - C:\Program Files (x86)\uTorrentControl2\prxtbuTor.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (uTorrentControl2 Toolbar) - {687578b9-7132-4a7a-80e4-30ee31099e03} - C:\Program Files (x86)\uTorrentControl2\prxtbuTor.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O3:64bit: - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O2 - BHO: (uTorrentControl2 Toolbar) - {687578b9-7132-4a7a-80e4-30ee31099e03} - C:\Program Files (x86)\uTorrentControl2\prxtbuTor.dll (Conduit Ltd.)
[2012-04-25 23:06:40 | 000,000,000 | ---D | M] (uTorrentControl2 Community Toolbar) -- C:\Users\Michal\AppData\Roaming\Mozilla\Firefox\extensions\{687578b9-7132-4a7a-80e4-30ee31099e03}
IE - HKLM\..\URLSearchHook: {687578b9-7132-4a7a-80e4-30ee31099e03} - C:\Program Files (x86)\uTorrentControl2\prxtbuTor.dll (Conduit Ltd.)
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Secondary Start Pages = Reg Error: Value error.

:Files
C:\Users\Michal\dxajlqutz.exe

:Reg
[HKEY_USERS\S-1-5-21-2144001319-3352431538-1676631979-1001\Software\Microsoft\Internet Explorer\Main]
"Start Page"="http://www.google.com/"
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
"Start Page"="http://www.google.com/"

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.

Masz Adw-Cleaner, więc go użyj z opcji Usuń
Daj z tego raport.

Zrób nowy log z OTL.
.

[Dutch]

Zrobione po kolei:
http://www.wklejto.pl/157306
http://www.wklejto.pl/157307
http://www.wklejto.pl/157308

[ordynat]

Pomimo usunięcia - infekcja jest nadal.

1) Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:OTL
[2010-11-21 05:24:28 | 000,051,712 | -HS- | C] (A_s) -- C:\Users\Michal\dxajlqutz.exe
O4 - HKU\S-1-5-21-2144001319-3352431538-1676631979-1000..\Run: [Power2GoExpress] NA File not found
F3:64bit: - HKU\S-1-5-21-2144001319-3352431538-1676631979-1001 WinNT: Load - (c:\users\michal\dxajlqutz.exe) - c:\Users\Michal\dxajlqutz.exe (A_s)
F3 - HKU\S-1-5-21-2144001319-3352431538-1676631979-1001 WinNT: Load - (c:\users\michal\dxajlqutz.exe) - c:\Users\Michal\dxajlqutz.exe (A_s)

:Files
C:\Users\Michal\AppData\Local\Temp\1347297834.exe

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.

2) Do >SystemLook-64 wklej:

:filefind
dxajlqutz.exe
dxajlqutz.*

:regfind
dxajlqutz.exe
dxajlqutz.*

Naciśnij Look i pokaż raport.
.

[Dutch]

http://www.wklejto.pl/157312
http://www.wklejto.pl/157313

[ordynat]

Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:Files
C:\Users\Michal\dxajlqutz.exe

:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
"Load"=-
[HKEY_USERS\S-1-5-21-2144001319-3352431538-1676631979-1001\Software\Microsoft\Windows NT\CurrentVersion\Windows]
"Load"=-

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.

W OTL kliknij na przycisk Sprzątanie - to go usunie razem z jego Kwarantanną.

Zrób log z SystemLook, na takim samym ustawieniu, jak poprzednio.
.

[Dutch]

http://www.wklejto.pl/157336
http://www.wklejto.pl/157338
A jak ma się sprawa z kwarantanną USBFix? W plikach programu jest folder z kilkoma plikami, które wcześniej bruździły na pendrive. Usunąć w ręcznie?

[ordynat]

Infekcja natychmiast się odradza po usunięciu - nie wiem, dlaczego.
Kwarantanna USBFix'a nie ma znaczenia, bo wcale nie usuwał tej infekcji.
Czy komputer przypadkiem nie jest połączony z innym komputerem w sieci domowej?



Użyj > MBAM http://www.programosy.pl/program,malwarebytes-anti-malware.html
Na końcu kliknij na Usuń zaznaczone.
Podaj z tego raport.

.

[Dutch]

Komputer jest w sieci domowej i "widzi się" z laptopami współlokatorów. Nigdy jednak nie nawiązywaliśmy łączności, czy jak to nazwać.
Log z MBAM: http://www.wklejto.pl/157345

[ordynat]

Zrób log z SystemLook, na takim samym ustawieniu, jak poprzednio.
Zobaczymy, czy po usunięciu przez MBAM infekcja też się odrodziła, czy nie.
.

[Dutch]

http://www.wklejto.pl/157350

[ordynat]

Do Notatnika wklej:

Kod: Zaznacz wszystko

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
"Load"=-

[HKEY_USERS\S-1-5-21-2144001319-3352431538-1676631979-1001\Software\Microsoft\Windows NT\CurrentVersion\Windows]
"Load"=-



Z Menu Notatnika >> Plik >> Zapisz jako >> Ustaw rozszerzenie na Wszystkie pliki >> Zapisz jako> FIX.REG >>
plik uruchom (dwuklik i OK).

Miejmy nadzieję, że infekcja tym razem już się nie odrodzi.
.

Autor postu otrzymał pochwałę

[Dutch]

Zrobione.
Znaczy, infekcja pokonana? Można już się cieszyć sprawnym sprzętem?