Zavirování PC po kliknutí na určitý link

[Paulie]

Dobrý den,
můj šikovný kamarád mi totálně zaviroval PC za 10 minut, co u něj seděl, aby si závislák stáhl Lineage 2..
XY let jsem bez formátu disku a nerad bych to měnil, níže zkopíruji LOG z HijakThis a dám link na odkaz(neklikat!)
Budu velmi rád, když se najde někdo, kdo mě zbaví problému.

LOG:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:18:26, on 22.6.2011
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\TUProgSt.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\jodrive32.exe
C:\WINDOWS\System32\alg.exe
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\aadrive32.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\ESET\nod32kui.exe
C:\Program Files\QIP\qip.exe
C:\Program Files\Mozilla Firefox 3 Beta 4\firefox.exe
C:\Program Files\Mozilla Firefox 3 Beta 4\plugin-container.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\System32\wbem\wmiprvse.exe

O4 - HKLM\..\Run: [Microsoft Config Setup] C:\WINDOWS\jodrive32.exe
O4 - HKLM\..\Run: [Microsoft Driver Setup] C:\WINDOWS\aadrive32.exe
O4 - HKCU\..\Run: [12CFG214-K641-12SF-N85P] C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe
O4 - HKCU\..\Run: [NOD32 Control Center GUI] C:\Program Files\ESET\nod32kui.exe
O4 - HKLM\..\Policies\Explorer\Run: [Microsoft Config Setup] C:\WINDOWS\jodrive32.exe
O4 - HKLM\..\Policies\Explorer\Run: [Microsoft Driver Setup] C:\WINDOWS\aadrive32.exe
O23 - Service: TP-LINK Configuration Service (ACS) - Unknown owner - C:\WINDOWS\system32\acs.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Služba Google Update (gupdate) (gupdate) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Služba Google Update (gupdatem) (gupdatem) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe
O23 - Service: nProtect GameGuard Service (npggsvc) - Unknown owner - C:\WINDOWS\system32\GameMon.des.exe (file missing)
O23 - Service: TuneUp Drive Defrag Service (TuneUp.Defrag) - TuneUp Software - C:\WINDOWS\System32\TuneUpDefragService.exe
O23 - Service: TuneUp Program Statistics Service (TuneUp.ProgramStatisticsSvc) - TuneUp Software - C:\WINDOWS\System32\TUProgSt.exe

--
End of file - 2938 bytes

Link - hxxp://thepiratebay.org/torrent/3905674/Lineage_II_Interlude_Client_-_L2_Interlude_Live_Client.zip___War
Sice kamarád oponuje, ale myslím si, že dále v linku klikl na Free Download a dal povolit, takže to není vyloučeno.

LOG z ComboFix - http://files.ssdd.cz/22.6.2011-ComboFix.txt
LOG z NOD32 - http://files.ssdd.cz/NOD32-LOG.txt

Předem děkuji za pomoc a přeji pěkný zbytek dne.

[Rudy]

Zdravím! Poprosím o log z ComboFix.

Stahnete a ulozte nejlepe na plochu ComboFix: http://download.bleepingcomputer.com/sUBs/ComboFix.exe

pote spustte aplikaci pod uctem s administratorskym opravnenim

hned po startu se zobrazi obrazovka s licencnimi podminkami, pokracujte kliknutim na tlacitko Ano.

v klidu si postavte na kafe (cela akce trva cca. 5-10 minut, nekdy i dele - dle toho, o jak rychly stroj se

jedna a kolika soubory se skener bude muset prodirat), behem skenu se nepokousejte spoustet zadne jine

aplikace ani nic jineho

behem skenovani nepropadejte panice, vas stroj muze byt restartovan (predevsim pri prvni aplikaci skeneru)

upozorneni: pokud pouzivate antispyware s rezidentnim stitem, prepnete jeho rezidentni stit do Install Mode,

pripadne jej po dobu skenu uplne deaktivujte, protoze dochazi pri skenu a vymazu pripadneho malware k

nezadoucim kolizim s rezidentem antispyware

[Paulie]

UP

LOG z ComboFix - http://files.ssdd.cz/22.6.2011-ComboFix.txt
LOG z NOD32 - http://files.ssdd.cz/NOD32-LOG.txt

Předem děkuji za pomoc a přeji pěkný zbytek dne.

[Rudy]

Je toho tram dost, navíc jste použil nějakou starší verzi CF, která je již po expiraci. Stáhněte nový CF a zkuste to znova. Tímhle by nešlo nic smazat.

[Paulie]

Už jsem použil poslední verzi, LOG jsem uploadoval zde : http://files.ssdd.cz/23.6.2011-ComboFix.txt

[Rudy]

Ano, tato verze je v pořádku a dost toho smazala. ještě dočistíme. Přesuňte ComboFix na plochu. Otevřte poznámkový blok a zkopírujte do něj:

Collect::
C:\syc32.exe

Driver::
ufnzgsei

Uložte na plochu jako CFScript.txt. pak jej myší přetáhněte nad ikonu ComboFix a pusťte. CF se spustí a vykoná příkazy ze skriptu.

[Paulie]

Udělal jsem vše dle návodu, LOG zde : http://files.ssdd.cz/23.6.2011-ComboFix_2.txt

Doufám, že už bude můj počítač znovu čistý jako okvětí bílé lilie..

Mockrát děkuji za zájem a pomoc a přeji pěkný zbytek dne.

[Rudy]

Bohužel, budete muset spustit CF znovu tímto skriptem:

Driver::
Cfbw58

Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Zyeoen"=-

Něco se obnovilo.

[Paulie]

Done - LOG : http://files.ssdd.cz/23.6.2011-ComboFix_3.txt

[Paulie]

UP

[Rudy]

Smazáno. Ještě malý dotaz. Máte v PC nainstalováno něco od HewlettPackard? Např. tiskárnu?

[Paulie]

Nemám už dlouho připojenou tiskárnu, ale ano, mám HP, takže je možné, že něco od HP tam ještě bude.
Sice se snažím mít přiměřený pořádek v PC, ale jsem průměrný uživatel a je už to hodně roků co běžím na této instalaci Windows.

A mockrát děkuji.

[Rudy]

OK a nemáte zač!

[Paulie]

Problém bohužel nebyl odstraněn
Tady je dnešní LOG z ComboFixu - http://files.ssdd.cz/ComboFixLog27.6.2011.txt

[Rudy]

Spusťte CF tímto skriptem:

Collect::
C:\nds32.exe
c:\windows\jodrive32.exe

Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Zyeoen"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Microsoft Config Setup"=-
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"4379:TCP"=-