Jeszcze raz nvsvc32.exe

**Posty:** 3 · przez **youngmaza** 22 Lut 2011, 12:54

Proszę o pomoc w sprawie wirusa nvsvc32.exe ściągniętego przez głupotę z facebooka. Wirus był kasowany przez program avast, ale wciąż ukrywa się i działa, co objawia się poprzez zmianę kolorów Windowsa na czarno-biały i spowolnienie komputera.

gmer: http://wklej.org/id/480344/
otl: http://wklej.org/id/480347/
extras sprzed dwóch dni, bo nowy nie ładuje się: http://wklej.org/id/480348/

Jeszcze raz proszę o pomoc i z góry bardzo dziękuję

**Posty:** 18165 · przez **wojtas** 22 Lut 2011, 18:43

Uruchom OTL i w sekcji własne opcje skanowania / skrypt wklej:

:OTL
IE - HKLM\..\URLSearchHook: {c86eb8a9-ccc2-4b6c-b75d-73576ed591bf} - C:\Program Files\Softonic-Polska\tbSoft.dll (Conduit Ltd.)
IE - HKU\S-1-5-21-1440447822-2791695339-1075350068-1000\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://search.conduit.com?SearchSource=10&ctid=CT2530240
IE - HKU\S-1-5-21-1440447822-2791695339-1075350068-1000\..\URLSearchHook: {c86eb8a9-ccc2-4b6c-b75d-73576ed591bf} - C:\Program Files\Softonic-Polska\tbSoft.dll (Conduit Ltd.)
FF - prefs.js..extensions.enabledItems: engine@conduit.com:3.2.5.2
O2 - BHO: (Conduit Engine) - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files\ConduitEngine\ConduitEngine.dll (Conduit Ltd.)
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - No CLSID value found.
O2 - BHO: (Softonic-Polska Toolbar) - {c86eb8a9-ccc2-4b6c-b75d-73576ed591bf} - C:\Program Files\Softonic-Polska\tbSoft.dll (Conduit Ltd.)
O2 - BHO: (IEPluginBHO Class) - {F5CC7F02-6F4E-4462-B5B1-394A57FD3E0D} - File not found
O3 - HKLM\..\Toolbar: (Conduit Engine) - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files\ConduitEngine\ConduitEngine.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (Easy-WebPrint) - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll ()
O3 - HKLM\..\Toolbar: (Softonic-Polska Toolbar) - {c86eb8a9-ccc2-4b6c-b75d-73576ed591bf} - C:\Program Files\Softonic-Polska\tbSoft.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (no name) - {CCC7A320-B3CA-4199-B1A6-9F516DD69829} - No CLSID value found.- {2318C2B1-4965-11D4-9B18-009027A5CD4F} - C:\Program Files\Google\Google Toolbar\GoogleToolbar_32.dll (Google Inc.)
O3 - HKU\S-1-5-21-1440447822-2791695339-1075350068-1000\..\Toolbar\WebBrowser: (Conduit Engine) - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files\ConduitEngine\ConduitEngine.dll (Conduit Ltd.)
O3 - HKU\S-1-5-21-1440447822-2791695339-1075350068-1000\..\Toolbar\WebBrowser: (Softonic-Polska Toolbar) - {C86EB8A9-CCC2-4B6C-B75D-73576ED591BF} - C:\Program Files\Softonic-Polska\tbSoft.dll (Conduit Ltd.)
O4 - HKU\S-1-5-21-1440447822-2791695339-1075350068-1000..\Run: [EA Core] File not found
O33 - MountPoints2\{508289c4-880a-11de-b6a3-9b2feb0604d7}\Shell - "" = AutoRun
O33 - MountPoints2\{508289c4-880a-11de-b6a3-9b2feb0604d7}\Shell\AutoRun\command - "" = J:\SETUP.EXE
O33 - MountPoints2\{55814028-6a69-11df-b06e-b7dae82c7b84}\Shell - "" = AutoRun
O33 - MountPoints2\{55814028-6a69-11df-b06e-b7dae82c7b84}\Shell\AutoRun\command - "" = M:\NokiaPCIA_Autorun.exe
O33 - MountPoints2\{5581402b-6a69-11df-b06e-b7dae82c7b84}\Shell\AutoRun\command - "" = M:\Launcher.exe
O33 - MountPoints2\{5a683e68-d1ec-11df-ae29-91e445e625b5}\Shell\AutoRun\command - "" = OLJA\\\\karlewsa.exe
O33 - MountPoints2\{5a683e68-d1ec-11df-ae29-91e445e625b5}\Shell\explore\command - "" = OLJA\\\\\karlewsa.exe
O33 - MountPoints2\{5a683e68-d1ec-11df-ae29-91e445e625b5}\Shell\open\command - "" = OLJA\\\\\karlewsa.exe
O33 - MountPoints2\{d5579a5d-eb86-11dd-930b-806e6f6e6963}\Shell - "" = AutoRun
O33 - MountPoints2\{d5579a5d-eb86-11dd-930b-806e6f6e6963}\Shell\AutoRun\command - "" = E:\pcformat.exe
O33 - MountPoints2\{ecbeaaac-6e4c-11df-950d-82de09aded1a}\Shell\AutoRun\command - "" = M:\ABACUS.EXE
O33 - MountPoints2\{fb9a6a23-bcf8-11df-b156-a88b368ecc35}\Shell\AutoRun\command - "" = M:\RPSP_Install_Wrapper.exe
O33 - MountPoints2\{fb9a6a23-bcf8-11df-b156-a88b368ecc35}\Shell\Setup RealPlayer\command - "" = M:\RPSP_Install_Wrapper.exe
O33 - MountPoints2\{fb9a6a26-bcf8-11df-b156-a88b368ecc35}\Shell - "" = AutoRun
O33 - MountPoints2\{fb9a6a26-bcf8-11df-b156-a88b368ecc35}\Shell\AutoRun\command - "" = N:\Startme.exe

:Files
C:\Program Files\ConduitEngine
C:\Users\Maciek\AppData\Local\Temp*.html
C:\Users\Maciek\AppData\Roaming\mozilla\Firefox\Profiles\gqsn3fch.default\extensions\{c86eb8a9-ccc2-4b6c-b75d-73576ed591bf}
C:\Users\Maciek\AppData\Roaming\mozilla\Firefox\Profiles\gqsn3fch.default\extensions\engine@conduit.com

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

:Commands
[emptytemp]
[emptyflash]

Kliknij wykonaj skrypt. I potwierdź reset komputera .
* zrób pełny skan Malwarebytes Anti-Malware (zaktualizuj, usuń co znajdzie ) i daj raport w poście

Następnie uruchamiasz OTL z opcją skanuj. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia (zawartość notatnika, która otworzy się po restarcie).

**Posty:** 3 · przez **youngmaza** 22 Lut 2011, 21:53

Dzięki za szybką odpowiedź. Wysyłam to o co prosiłeś:

raport z czyszczenia: http://wklej.org/id/480714/
raport skanowania: http://wklej.org/id/480717/
log otl: http://wklej.org/id/480719/

**Posty:** 18165 · przez **wojtas** 23 Lut 2011, 20:44

*Uruchom OTL z opcji sprzątanie.
* wykonaj optymalizację Windowsa ( instrukcja dla Windowsa XP, lecz w innych systemach jest podobnie )
* zrób pełny skan Malwarebytes Anti-Malware (zaktualizuj, usuń co znajdzie )
* Skasuj stan przywracania systemu

Zaktualizuj zabezpieczenia:
>>> Adobe Reader (bez Free McAfee® Security Scan Plus)
>>> Java™ 6 Update 24

i to na tyle

Autor postu otrzymał pochwałę

**Posty:** 3 · przez **youngmaza** 24 Lut 2011, 11:04

Zrobiłem wszystko o czym pisałeś i działa świetnie! Wielkie dzięki za pomoc