Wirus - podszywka pod policję

[Cyklop]

Mój Klient wpadł do mnie z lapkiem i informacją, że Policja go zaatakowała. System sie uruchamia, ale przy wejściu do netu pojawia sie jakieś okno z policantem.

WIN7 32Bit

Logi w załącznikach. Proszę o pomoc

[ordynat]

Jakaś niepełna ta infekcja; usuwamy tylko to, co widzę w logu.
1) Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:OTL
O4 - HKCU..\Run: [] File not found"

:Files
C:\Users\marek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runctf.lnk
C:\ProgramData\netdislw.pad
C:\Windows\System32\ca7c6755.exe

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.

2) Użyj >Adw-cleaner. Kliknij w nim Delete
Pokaż raport z niego C:\AdwCleaner[S1].txt

3) Zrób nowy log z OTL.
.

[Cyklop]

Po zapuszczeniu skryptu w OTL pojawia sie problem z jakąs dll'ką:


Ponizej raporty.

[ordynat]

Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:OTL
O4 - HKLM..\Run: [ROC_roc_ssl_v12] "C:\Program Files\AVG Secure Search\ROC_roc_ssl_v12.exe" / /PROMPT /CMPID=roc_ssl_v12 File not found
O4 - HKLM..\Run: [TaskTray] File not found
O4 - HKLM..\Run: [vProt] "C:\Program Files\AVG Secure Search\vprot.exe" File not found
[2012-01-15 12:50:53 | 000,000,000 | ---D | M] (@@toolbarname@@) -- C:\Users\marek\AppData\Roaming\mozilla\Firefox\Profiles\c9paicsf.default\extensions\toolbar@ask.com
IE - HKCU\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = http://startsear.ch/?aff=1&src=sp&cf=2fdb5d37-1220-11e1-b152-0013ce5885fa&q={searchTerms}
IE - HKCU\..\SearchScopes\{E46DB8AA-60DC-4ED0-AF76-4ABFCECE9BDD}: "URL" = http://websearch.ask.com/redirect?client=ie&tb=SPC2&o=15000&src=crm&q={searchTerms}&locale=en_US&apn_ptnrs=PV&apn_dtid=YYYYYYYYPL&apn_uid=F8535400-B6F3-4CAE-A431-23D5BACB249E&apn_sauid=34C7D373-2D17-4B1E-B20F-099979325171
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\ewusbmdm.sys -- (hwdatacard)
DRV - [2012-11-09 18:48:40 | 000,026,984 | ---- | M] (AVG Technologies) [Kernel | System | Running] -- C:\Windows\System32\drivers\avgtpx86.sys -- (avgtp)
SRV - [2012-11-09 18:48:40 | 000,711,112 | ---- | M] () [Auto | Running] -- C:\Program Files\Common Files\AVG Secure Search\vToolbarUpdater\13.2.0\ToolbarUpdater.exe -- (vToolbarUpdater13.2.0)

:Files
C:\Users\marek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runctf.lnk

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania Skryptem.

[Cyklop]

Nowe logi

[ordynat]

Wg mnie - jest OK.

W Adw-Cleaner kliknij na przycisk Uninstall
W OTL kliknij na przycisk Sprzątanie - to go usunie razem z jego Kwarantanną.
.

Autor postu otrzymał pochwałę

[Cyklop]

Jeżeli nie odezwę się to znaczy, że Klient już się uspokoił i wszystko gra.

Bardzo dziękuje za pomoc