Wirus zapisujący skróty na pendrivie

[aventia]

Żadna tu chyba nowość, ale dla mnie wielki problem, z którym nie umiem sobie poradzić. Korzystam z dwóch pendrive'ów, Kingston i jakiś no name, które działały w porządku, do czasu, aż zamiast plików zaczęły mi się tworzyć na nich skróty. Do niektórych danych byłam w stanie dotrzeć, do innych nie. Ponieważ to problem dwóch pendrive'ów, obstawiam, że również coś kryje się na dysku.

Bardzo chciałabym się go pozbyć, nie tracąc danych z pendrive'a.

Moje żałosne próby ratowania sytuacji:
- skanowanie AVG - nic nie znalazło;
- formatowanie obu dysków;
- "przeskanuj urządzenie" przy wpinaniu do slota.

Bardzo proszę o pomoc, tylko tak "krowie na rowie"

W załącznikach logi - z dysku (nie z pendrive'a, bo nie wiem jak to zrobić).

[ordynat]

1) Użyj Adw-Cleaner http://www.programosy.pl/program,adwcleaner.html
najpierw kliknij na SZUKAJ, a dopiero po zakończeniu skanowania, gdy uaktywni się przycisk USUŃ, to kliknij na niego.
Daj z tego raport.

2) Użyj >USBFix
Kliknij w nim na: DELETION.
Daj raport z tego usuwania.

3) Zrób nowy log z OTL.

[aventia]

Zrobione wg kolejności podanej przez Ciebie.

[ordynat]

Tym razem USBFix się nie popisał: nie usunął skrótów.

Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:OTL
O4:64bit: - HKLM..\Run: [99] wscript.exe //B "C:\Users\Aventia\AppData\Roaming\99.vbs" File not found
O4 - HKU\S-1-5-21-3210331098-4261531666-2262269173-1000..\Run: [] File not found
O4 - HKLM..\RunOnce: [] File not found
O4 - Startup: C:\Users\Aventia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Real Desktop.lnk = File not found
O20 - AppInit_DLLs: (c:\progra~3\bitguard\271769~1.27\{c16c1~1\bitguard.dll) - File not found

:Files
C:\Users\Aventia\AppData\Local\Google\Chrome\User Data\Default\Extensions\afeodekfkejjgjigfnhhifffljmhnpfn
F:\*.lnk
attrib /d /s -s -h F:\* /C
F:\FOUND.000

:Reg
[HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"=-
[HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"=-
[HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"=-
[HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"=-
[HKEY_USERS\S-1-5-21-3210331098-4261531666-2262269173-1000\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[HKEY_LOCAL_MACHINE\SOFTWARE\JavaSoft]
"SPONSORS"="DISABLE"
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\JavaSoft]
"SPONSORS"="DISABLE"

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.

Zrób log z USBFix z opcji LISTING.

Zainstaluj nowszą, bezpieczniejszą wersję Javy:
>http://www.oracle.com/technetwork/java/javase/downloads/jre7-downloads-1880261.html (wybierz: Windows x86 Offline lub Online)
Być może trzeba też zainstalować nowszą wersję Javy 64 bit >http://java.com/pl/download/faq/java_win64bit.xml
.

[aventia]

Nie mam pojęcia, skąd wiesz, co trzeba zrobić, ale posłusznie robię.

[ordynat]

Zarówno Skrypt, jak i log były wykonywane bez podpiętego pena - powtórz to z podpiętym penem.

[aventia]

Faktycznie, do OTL nie podpięłam, sorry.
Przy próbie zrobienia skryptu w OTL przy podłączonym pendrivie pojawił się:

1. http://imageshack.us/photo/my-images/513/4b8t.jpg/
2. komunikat attrib.exe - corrupt file (szybko znika)

[ordynat]

Na penie nie ma już skrótów, więc jest OK.

Możemy kończyć:
W USBFix kliknij na przycisk UNINSTALL.
W Adw-Cleaner kliknij na przycisk Odinstaluj (UNINSTALL)
W OTL kliknij na przycisk Sprzątanie - to go usunie razem z jego Kwarantanną.

Autor postu otrzymał pochwałę

[aventia]

Dziękuję Ci bardzo!!
Jeżeli przypadkiem jesteś z Krakowa, mogę odwdzięczyć się nie wirtualnym piwem.

Mam jeszcze jedno pytanie/prośbę - jeśli to możliwe. Jeśli nie, trudno.
Stan pendrive'a w tym momencie wygląda tak:
http://imageshack.us/photo/my-images/849/xnbo.jpg/

Większość folderów odzyskane, niestety nie wszystkie. Tak naprawdę chodzi mi o folder "do wywołania". A konkretnie o dwa zdjęcia, których nie mam kopii, są tylko tam. Czy da się to jakoś odzyskać?
(jeśli nie, albo nie chce Ci się bawić, to przeżyję, ale... moja wdzięczność byłaby niewysłowiona).

[ordynat]

[04/12/2013 - 10:17:34 | N | 16 Ko] - F:\do wywolania

Nie wiem, co oznaczają te dwoe literki, ale przy innych obiektach też są te literki, i nie masz problemu z ich otwarciem, więc przy tym obiekcie też to nie powinno niczego złego oznaczać.
A żadnych innych atrybutów ten obiekt nie ma.
Nic tu nie wymyślę, niestety.

Autor postu otrzymał pochwałę

[aventia]

Ok, to nie jest aż tak istotne. Dzięki mega za wszystko