Win32:patched-hn problem

[Przemek1912]

Witam, mam problem z wirusem win32:patched-hn. Bardzo proszę o pomoc. To mój pierwszy post więc proszę o wyrozumiałość. Nie wiem czy to jest związane z wirusem ale nie mogę włączyć opcji Pokaż Pliki ukryte i foldery oraz dgy wchodzę powiedzmy na dysk D, to jego zawartość pokazuje się w nowym oknie, chociaż ta opcja jest wyłączona. Dziękuję za pomoc.

Log
http://www.wklej.org/id/241467/

[NieWiem]

Bo podpiąłeś jakiegoś zarażonego pendriva albo kartę pamięci.

• Uruchom ponownie program OTL
• W okienku na dole Custom Scans / Fixes wklej to, co poniżej w ramce:
  

  :OTL
  PRC - [2008-04-14 18:21:16 | 01,035,264 | ---- | M] (Microsoft Corporation) -- C:\WINDOWS\explorer.exe
  O4 - HKCU..\Run: [cdoosoft] C:\Documents and Settings\Jurecki\Ustawienia lokalne\Temp\herss.exe ()
  O32 - AutoRun File - [2009-12-20 14:10:16 | 00,000,051 | RHS- | M] () - C:\autorun.inf -- [ NTFS ]
  O32 - AutoRun File - [2009-12-20 14:10:16 | 00,000,051 | RHS- | M] () - D:\autorun.inf -- [ NTFS ]
  O32 - AutoRun File - [2009-12-20 14:10:16 | 00,000,051 | RHS- | M] () - E:\autorun.inf -- [ NTFS ]
  O32 - AutoRun File - [2009-12-20 14:10:16 | 00,000,051 | RHS- | M] () - F:\autorun.inf -- [ NTFS ]
  :Files
  C:\nx.exe
  :Reg
  [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
  "SuperHidden"=dword:00000001
  [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
  "Hidden"=dword:00000001
  [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
  "ShowSuperHidden"=dword:00000001
  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
  "CheckedValue"=dword:00000001
  [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
  @=""
  :Commands
  [purity]
  [emptytemp]
  [clearrestorepoints]
  [start explorer]
  [reboot]

• Upewnij się, że wszystkie inne okna, programy, komunikatory są wyłączone.
• Kliknij przycisk Run Fix i poczekaj cierpliwie. To może chwilę potrwać!
• Na prośbę komputera o restart zgódź się.
• Po restarcie program automatycznie wyświetli raport z czyszczenia, który należy zapisać i wkleić w poście w tagach [code], lub na stronie http://www.wklej.org

Potem wykonaj nowego loga z OTL, ale do okienka wklej to, co w ramce, zaznacz LOP, Purity, Scan All Users i dopiero wtedy kliknij Run Scan

C:\*
D:\*
E:\*
F:\*
G:\*
H:\*
%SYSTEMDRIVE%\*.
/md5start
netlogon.dll
ntelogon.dll
eventlog.dll
logevent.dll
atapi.sys
explorer.exe
/md5stop
CREATERESTOREPOINT

[Przemek1912]

Niestety wystąpił jakiś problem bo program OTL zawiesił się gdy wkleiłem to z ramki i włączyłem Fixes.
Zrobiłem skana avastem i pozostałe partycje dysku są też zarażone kilkunastoma wirusami. Nie mam pojęcia co dalej. Reinstal systemu z formatowaniem wszystkich partycji pomoże?

[wojtas]

miales wlaczyc run scan sprobuj jeszcze raz

[Przemek1912]

Ale jestem ynteligentny
Teraz zadziałało Dzienks
Wklejam loga:
http://www.wklej.org/id/242020/

Dodano Dzisiaj, 23:14:
Avast dalej wykrywa tego wirusa Chyba coś źle robie, bo innym to pomagało...

[NieWiem]

Ale po co format? Nic nie wskazuje, żeby była to infekcja, przy której trzeba od razu trzaskać format

Spróbujmy ponownie. Musisz uruchomić program dwa razy i pokazać nam dwa raporty.

1. Uruchamiasz OTL i wklejasz do niego zawartość pierwszej ramki z posta wyżej. Wtedy wciskasz czerwony przycisk Run Fix. Komputer poprosi o restart, potwierdzisz, uruchomi się ponownie i sam wytworzy loga, którego pokażesz.

2. Znowu uruchomisz OTL i wkleisz zawartość drugiej ramki z posta wyżej. Wtedy wciśniesz przycisk niebieski - Run Scan. To też wytworzy raport, który nam zaprezentujesz.

[Przemek1912]

Teraz mi się udało zrobić to z pierwszej ramki. Wklejam loga.
http://www.wklej.org/id/242975/

Ale gdy wklejam to z drugiej ramki, naciskam Run Scan, to zaczyna się proces ale po pewnej chwili pojawia się pod oknem komunikat:
Scanning Session Manager AppCertDlls key... i program OTL się zawiesza. Czekałem pół godziny i nic.

[wojtas]

daj nowy log z OTL z tymi opcjami :

C:\*
D:\*
E:\*
F:\*
G:\*
H:\*

a jak nie to normalnego loga

[NieWiem]

To daj nowego loga z OTL, ale w rubrykach "Files created within" oraz "Files modified within" zaznacz, żeby pokazywało 90 dni ( 3 months)

[Przemek1912]

Teraz się udało
Wklejam loga
http://www.wklej.org/id/243031/

Chyba już wszystko w porządku

[wojtas]

Uruchom OTL i w oknie Custom Scans/Fixes wklej :

:OTL
PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation)

:Files
D:\k0maw.exe
D:\nx.exe
D:\t8g.exe
D:\yu3.exe
E:\0qw6vege.exe
E:\1a1dndah.exe
E:\2id9.exe
E:\3n8awsyg.exe
E:\6ruaqx.exe
E:\9b9w3.exe
E:\9g86.exe
E:\a2g21.exe
E:\b00ijwpu.exe
E:\cs6phv6d.exe
E:\curqp.exe
E:\eexyv.exe
E:\g12g.exe
E:\gcq6.exe
E:\hjvjte.exe
E:\i9bwjpqc.exe
E:\k0maw.exe
E:\k8jc.exe
E:\l61yyp.exe
E:\lphfa.exe
E:\mbdm.exe
E:\mbvd.exe
E:\mwfubaob.exe
E:\ngp8l.exe
E:\nqdymj.exe
E:\nx.exe
E:\ohd.exe
E:\opdux.exe
E:\pbudsara.exe
E:\q3kku.exe
E:\q93fi6kf.exe
E:\srgo.exe
E:\t8g.exe
E:\uqgvf.exe
E:\v1cbvsmq.exe
E:\vk0w.exe
E:\wfx062.exe
E:\wu1n.exe
E:\xmor.exe
E:\yu3.exe
F:\0qw6vege.exe
F:\1a1dndah.exe
F:\2id9.exe
F:\3n8awsyg.exe
F:\6ruaqx.exe
F:\9b9w3.exe
F:\9g86.exe
F:\a2g21.exe
F:\b00ijwpu.exe
F:\cs6phv6d.exe
F:\curqp.exe
F:\eexyv.exe
F:\g12g.exe
F:\gcq6.exe
F:\hjvjte.exe
F:\i9bwjpqc.exe
F:\k0maw.exe
F:\k8jc.exe
F:\l61yyp.exe
F:\lphfa.exe
F:\mbdm.exe
F:\mbvd.exe
F:\mwfubaob.exe
F:\ngp8l.exe
F:\nqdymj.exe
F:\nx.exe
F:\ohd.exe
F:\opdux.exe
F:\pbudsara.exe
F:\q3kku.exe
F:\q93fi6kf.exe
F:\srgo.exe
F:\t8g.exe
F:\uqgvf.exe
F:\v1cbvsmq.exe
F:\vk0w.exe
F:\wfx062.exe
F:\wu1n.exe
F:\xmor.exe
F:\yu3.exe

:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"SuperHidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"Hidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"ShowSuperHidden"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
@=""

:Commands
[emptytemp]

Kliknij w Run Fix. I potwierdz reset kompa .

Następnie uruchamiasz OTL z opcją Run Scan. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia kompa

[Przemek1912]

Witam.
Raport z czyszczenia kompa:
http://www.wklej.org/id/243314/

Nowy log:
http://www.wklej.org/id/243318/

[NieWiem]

Wychodzi, że się udało

Ręcznie skasuj folder C:\_OTL

• Pobierz program Malwarebytes' Anti-Malware i zainstaluj.
• Wersja freeware nie ma opcji automatycznych aktualizacji, dlatego pod koniec instalacji upewnij się, że zaznaczone są opcje:
  • Update Malwarebytes' Anti-Malware
  • Launch Malwarebytes' Anti-Malware
• Wciśnij Finish.
• Przeprowadź pełne skanowanie komputera.
• Raport z tego skanowania proszę wkleić na forum w tagach [code], lub na stronie http://www.wklej.org a w odpowiedzi podać tylko linka do tej strony.

[Przemek1912]

http://www.wklej.org/id/243555/

[wojtas]

skasuj te pliki co wskazał skaner i będzie ok

[Przemek1912]

Skasowałem je zaraz jak skończył skanować
Dzięki wielkie za pomoc

[NieWiem]

I do pozamiatania:

• Pobierz program OTC
• Kliknij dwukrotnie na ikonę, aby uruchomić program (użytkownicy systemów Vista oraz Se7en => prawoklik oraz wybrać opcję Uruchom jako Administrator).
• Wciśnij przycisk Clean Up!
• Na pytanie "Begin cleanup Process?" wciśnij Yes.
• Jeśli padnie prośba o restart - zgódź się.

• Pobierz program TFC
• Zamknij wszystkie otwarte programy - inaczej TFC zrobi to za Ciebie
• Kliknij dwukrotnie na ikonę, aby uruchomić program (użytkownicy systemów Vista oraz Se7en => prawoklik oraz wybrać opcję Uruchom jako Administrator).
• Kliknij przycisk Start
• Czyszczenie lokalizacji tymczasowych może chwilę potrwać (ale znowu bez przesady), uzbrój się w cierpliwość.
• Jeśli padnie prośba o restart - zgódź się.