Kontrola logu - Virus v NB - via skype / FB

[butrus]

Zdravím, nejsem příliš zkušenej - můžete mi poradit co dál se zavirovaným NB a USB flashkou ? je toho více:

A)
NB byl zavirovanej po rozkliknutí odkazu z chatu na skypu - po zpětném ověřování se potvrdilo, že uživatel skypu - přítel z mého adresáře mi nic neposílal a sám dostal vir od svých kontaktů z Facebooku, teda vše asi nejspíš proběhlo prostřednictvím nějakého malbota...? Skype jen napsal, že soubor v odkliknutém linku nejde otevřít a ohlásil to jako error... onedlouho již Microsoft Security Essentials ohlásil podezřelé soubory (Trojan, Worm). Nechal jsem je odstranit a pro jistotu udělal později i kompletní (úplný) scan v nouzovém režimu ještě přes aplikace, které mi poradil kamarát - dolu přikládám kopie logů z Malwarebytes a Combofix.

B)
Ve chvíli kdy se vir dostal do NB, měl jsem k němu připojenou USB Flashku, soubory na ní virus smazal/přepsal - zůstali jen prázdný "zástupci" - což jsem zjistil později, když jsem se pokoušel soubory obnovit pomocí Smart Flash Recovery - ve výsledku většinu souborů (Excel) nešlo obnovit, těch pár co obnovilo zase nešlo otevřít, kvůli přepsané příponě. Nechal jsem pak flashku zformátovat - je šance takhle virem napadené soubory ze zformátované flashky ješte obnovit ? Na scan flashky jsem použil USBfix, ale ještě před odstranením viru z NB, výsledku scanu jsem nerozuměl a nevím co s tím dále...

C)
Ve stejnou dobu bylo ješte k PC přes USB rozhraní připojeno:
- Tiskárna
- bezdrátová myš (připojeno non-stop)
- USB TV Tuner

Mohl jse vir zavrtat do všech těchto zařízení, tudíž je schopen se kdykoliv po opětovném připojení znovu dostat do NB? resp. jak se dají diagnostikovat ?

D) Po scanování napadené flashky (a zřejmě ještě v nevyčištěném NB) jsem použil USBfix "preventivně" i pro scan dalších dvou externích paměťových disků (bylo pravděpodobné, že ve chvíli infekce mohl být některej z nich taky připojenej k NB, a nikdo z rodiny si nevěděl vzpomenout) - výsledku jsem nerozuměl a nevím jestli nejsou taky napadené - jak postupovat pro diagnostiku ???

Děkuji předem za pomoc,



MALVAREBYTES LOG:

Malwarebytes Anti-Malware (Zkušební verze Malwarebytes Anti-Malware.) 1.70.0.1100
http://www.malwarebytes.org

Verze: v2013.01.29.06

Windows 7 Service Pack 1 x86 NTFS (Nouzový režim)
Internet Explorer 9.0.8112.16421
PTS :: PTS-PC [administrátor]

Ochrana: Zakázána

30.1.2013 15:13:57
MBAM-log-2013-01-30 (16-44-05).txt

Typ: Kompletní kontrola (C:\|D:\|)
Nastavení kontroly povoleno: Paměť | Po spuštění | Registr | Systémové soubory | Heuristická analýza Extra | Heuristická analýza Shuriken | PUP | PUM
Nastavení kontroly zakázáno: P2P
Kontrolované objekty: 328741
Uplynulý čas: 46 minut, 38 sekund

Nalezené procesy v paměti: 0
(Žádné škodlivé položky nebyly zjištěny)

Nalezené moduly v paměti: 0
(Žádné škodlivé položky nebyly zjištěny)

Nalezené klíče v registru: 0
(Žádné škodlivé položky nebyly zjištěny)

Nalezené hodnoty v registru: 0
(Žádné škodlivé položky nebyly zjištěny)

Nalezené datové položky v registru: 0
(Žádné škodlivé položky nebyly zjištěny)

Nalezené složky: 0
(Žádné škodlivé položky nebyly zjištěny)

Nalezené soubory: 4
D:\Box\CorelDRAWGraphicsSuiteX5Installer_CZ\core_corel\CORE10k.EXE (Dont.Steal.Our.Software) -> Nebyla provedena žádná instrukce.
D:\Box\EzGenerator.v3.0.0.36.Incl.Keygen-HAZE\Keygen.exe (Malware.Packer.Gen) -> Nebyla provedena žádná instrukce.
D:\Box\SiSoftware.Sandra.Professional.Business.2009.5.15.96\Keygen CORE\CORE10k.EXE (Dont.Steal.Our.Software) -> Nebyla provedena žádná instrukce.
D:\Box\WinRAR\WinRAR 4.1.65.exe (Spyware.Agent) -> Nebyla provedena žádná instrukce.

(konec)


COMBOFIX LOG:

ComboFix 12-07-25.04 - PTS 30.01.2013 17:08:49.1.2 - x86
Microsoft Windows 7 Ultimate 6.1.7601.1.1250.420.1029.18.2047.1336 [GMT 1:00]
Spuštěný z: c:\users\PTS\Desktop\ComboFix.exe
AV: Microsoft Security Essentials *Disabled/Updated* {B140BF4E-23BB-4198-90AB-A51A4C60A69C}
SP: Microsoft Security Essentials *Disabled/Updated* {0A215EAA-0581-4E16-AA1B-9E6837E7EC21}
SP: Windows Defender *Disabled/Outdated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
* Vytvořen nový Bod Obnovení
.
.
((((((((((((((((((((((((((((((((((((((( Ostatní výmazy )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\programdata\Microsoft\Windows\Start Menu\Programs\Smart Flash Recovery
c:\programdata\Microsoft\Windows\Start Menu\Programs\Smart Flash Recovery\Help.lnk
c:\programdata\Microsoft\Windows\Start Menu\Programs\Smart Flash Recovery\Check other products\Magic Speed.lnk
c:\programdata\Microsoft\Windows\Start Menu\Programs\Smart Flash Recovery\Check other products\Reach-a-Mail.lnk
c:\programdata\Microsoft\Windows\Start Menu\Programs\Smart Flash Recovery\Check other products\Smart PC.lnk
c:\programdata\Microsoft\Windows\Start Menu\Programs\Smart Flash Recovery\Smart Flash Recovery on the Web.lnk
c:\programdata\Microsoft\Windows\Start Menu\Programs\Smart Flash Recovery\Smart Flash Recovery.lnk
c:\programdata\Microsoft\Windows\Start Menu\Programs\Smart Flash Recovery\Uninstall Smart Flash Recovery.lnk
c:\users\PTS\46357865364647353
D:\install.exe
.
.
((((((((((((((((((((((((( Soubory vytvořené od 2012-12-28 do 2013-01-30 )))))))))))))))))))))))))))))))
.
.
2013-01-30 16:36 . 2013-01-30 16:37 -------- d-----w- c:\users\PTS\AppData\Local\temp
2013-01-30 16:36 . 2013-01-30 16:36 -------- d-----w- c:\users\Default\AppData\Local\temp
2013-01-30 13:11 . 2013-01-08 04:57 6991832 ----a-w- c:\programdata\Microsoft\Microsoft Antimalware\Definition Updates\{242DB989-0393-4583-A54E-8651B6C88256}\mpengine.dll
2013-01-29 19:45 . 2013-01-29 19:45 -------- d-----w- c:\users\PTS\AppData\Roaming\PandoraRecovery
2013-01-29 19:45 . 2013-01-29 19:45 -------- d-----w- c:\program files\AskBarDis
2013-01-29 19:45 . 2013-01-29 19:45 -------- d-----w- c:\program files\Pandora Recovery
2013-01-29 19:09 . 2013-01-29 19:09 -------- d-----w- c:\program files\Smart PC Solutions
2013-01-29 19:04 . 2013-01-29 20:40 -------- d-----w- c:\program files\Recuva
2013-01-29 16:23 . 2013-01-29 16:23 -------- d-----w- c:\users\PTS\AppData\Roaming\Malwarebytes
2013-01-29 16:23 . 2013-01-29 16:23 -------- d-----w- c:\programdata\Malwarebytes
2013-01-29 16:23 . 2013-01-29 16:23 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware
2013-01-29 16:23 . 2012-12-14 15:49 21104 ----a-w- c:\windows\system32\drivers\mbam.sys
2013-01-29 16:21 . 2013-01-29 16:21 -------- d-----w- c:\users\PTS\AppData\Local\Programs
2013-01-29 16:10 . 2013-01-29 18:09 -------- d-----w- C:\UsbFix
2013-01-28 21:23 . 2013-01-08 04:57 6991832 ----a-w- c:\programdata\Microsoft\Microsoft Antimalware\Definition Updates\Backup\mpengine.dll
2013-01-26 23:03 . 2013-01-26 23:03 -------- d-----w- c:\program files\Common Files\Java
2013-01-26 23:01 . 2013-01-26 23:01 -------- d-----w- c:\program files\Java
2013-01-25 13:16 . 2013-01-25 13:16 -------- d-----w- c:\program files\Common Files\Skype
2013-01-09 22:22 . 2012-11-22 04:45 626688 ----a-w- c:\windows\system32\usp10.dll
2013-01-09 22:20 . 2012-12-07 10:46 45568 ----a-w- c:\windows\system32\oflc-nz.rs
.
.
.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2012-12-16 14:13 . 2012-12-21 23:16 295424 ----a-w- c:\windows\system32\atmfd.dll
2012-12-16 14:13 . 2012-12-21 23:16 34304 ----a-w- c:\windows\system32\atmlib.dll
2012-11-28 18:50 . 2012-11-28 18:50 740840 ------w- c:\programdata\Microsoft\Microsoft Antimalware\Definition Updates\{B2A101D3-5AAF-465B-80E2-AFCEC7012744}\gapaengine.dll
2012-11-14 02:09 . 2012-12-13 00:54 1800704 ----a-w- c:\windows\system32\jscript9.dll
2012-11-14 01:58 . 2012-12-13 00:54 1427968 ----a-w- c:\windows\system32\inetcpl.cpl
2012-11-14 01:57 . 2012-12-13 00:54 1129472 ----a-w- c:\windows\system32\wininet.dll
2012-11-14 01:49 . 2012-12-13 00:54 142848 ----a-w- c:\windows\system32\ieUnatt.exe
2012-11-14 01:48 . 2012-12-13 00:54 420864 ----a-w- c:\windows\system32\vbscript.dll
2012-11-14 01:44 . 2012-12-13 00:54 2382848 ----a-w- c:\windows\system32\mshtml.tlb
2012-11-09 04:42 . 2012-12-12 14:14 2048 ----a-w- c:\windows\system32\tzres.dll
2012-11-02 05:11 . 2012-12-12 14:14 376832 ----a-w- c:\windows\system32\dpnet.dll
.
.
(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4
.
[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{201f27d4-3704-41d6-89c1-aa35e39143ed}]
2008-10-15 11:59 333192 ----a-w- c:\program files\AskBarDis\bar\bin\askBar.dll
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{3041d03e-fd4b-44e0-b742-2d9b88305f98}"= "c:\program files\AskBarDis\bar\bin\askBar.dll" [2008-10-15 333192]
.
[HKEY_CLASSES_ROOT\clsid\{3041d03e-fd4b-44e0-b742-2d9b88305f98}]
[HKEY_CLASSES_ROOT\TypeLib\{4b1c1e16-6b34-430e-b074-5928eca4c150}]
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2010-11-20 1174016]
"TiVme Agent"="c:\program files\GIGABYTE\vivoTV\ScheduleAgent.exe" [2010-09-22 124928]
"ADFE2DF3ABBC60507A7017C680CCC47D728A348F._service_run"="c:\users\PTS\AppData\Local\Google\Chrome\Application\chrome.exe" [2013-01-18 1248208]
"Spotify Web Helper"="c:\users\PTS\AppData\Roaming\Spotify\Data\SpotifyWebHelper.exe" [2012-12-02 1199576]
"Skype"="c:\program files\Skype\Phone\Skype.exe" [2013-01-08 18705664]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2011-03-13 815104]
"USBTurboSpeed"="c:\program files\USBTurboSpeed\USBTurboSpeed.exe" [2008-09-16 217088]
"EEventManager"="c:\progra~1\EPSONS~1\EVENTM~1\EEventManager.exe" [2008-05-07 591696]
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2012-12-03 946352]
"Family Tree Builder Update"="c:\program files\MyHeritage\Bin\FTBCheckUpdates.exe" [2011-12-21 229376]
"GrooveMonitor"="c:\program files\Microsoft Office\Office12\GrooveMonitor.exe" [2009-02-26 30040]
"MSC"="c:\program files\Microsoft Security Client\msseces.exe" [2012-09-12 947176]
.
c:\users\PTS\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
CCC.lnk - c:\program files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe [2006-9-29 49152]
Výřezy obrazovky a spuštění aplikace OneNote 2007.lnk - c:\program files\Microsoft Office\Office12\ONENOTEM.EXE [2009-2-26 97680]
.
c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
Remote Control.lnk - c:\program files\GIGABYTE\U7300 Utilities\CONRCtl.exe [2011-8-21 94208]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 0 (0x0)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableLUA"= 0 (0x0)
"EnableUIADesktopToggle"= 0 (0x0)
"PromptOnSecureDesktop"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MsMpSvc]
@="Service"
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
2012-12-18 14:28 38112 ----a-w- c:\program files\Adobe\Reader 10.0\Reader\reader_sl.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AdobeAAMUpdater-1.0]
2010-03-06 02:44 500208 ------w- c:\program files\Common Files\Adobe\OOBE\PDApp\UWA\updaterstartuputility.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AdobeCS5ServiceManager]
2010-02-22 03:57 406992 ----a-w- c:\program files\Common Files\Adobe\CS5ServiceManager\CS5ServiceManager.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ICQ]
2011-03-01 13:28 119608 ----a-w- c:\program files\ICQ7.4\ICQ.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SwitchBoard]
2010-02-19 12:37 517096 ----a-w- c:\program files\Common Files\Adobe\SwitchBoard\SwitchBoard.exe
.
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"Google Update"="c:\users\PTS\AppData\Local\Google\Update\GoogleUpdate.exe" /c
"<NO NAME>"=
"StartCCC"=c:\program files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"SMSERIAL"=c:\program files\Motorola\SMSERIAL\sm56hlpr.exe
"GrooveMonitor"="c:\program files\Microsoft Office\Office12\GrooveMonitor.exe"
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 10.0\Reader\Reader_sl.exe"
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
.
R2 MBAMService;MBAMService;c:\program files\Malwarebytes' Anti-Malware\mbamservice.exe [x]
R2 Skype C2C Service;Skype C2C Service;c:\programdata\Skype\Toolbars\Skype C2C Service\c2c_service.exe [x]
R2 SkypeUpdate;Skype Updater;c:\program files\Skype\Updater\Updater.exe [x]
R3 NisDrv;Microsoft Network Inspection System;c:\windows\system32\DRIVERS\NisDrvWFP.sys [x]
R3 NisSrv;Kontrola sítě Microsoft;c:\program files\Microsoft Security Client\NisSrv.exe [x]
R3 RdpVideoMiniport;Remote Desktop Video Miniport Driver;c:\windows\system32\drivers\rdpvideominiport.sys [x]
R3 RTL2832UBDA;REALTEK 2832U BDA Driver;c:\windows\system32\drivers\RTL2832UBDA.sys [x]
R3 RTL2832UUSB;REALTEK 2832U USB Driver;c:\windows\system32\Drivers\RTL2832UUSB.sys [x]
R3 SwitchBoard;SwitchBoard;c:\program files\Common Files\Adobe\SwitchBoard\SwitchBoard.exe [x]
R3 SynMini;USB2.0 1.3M Web Cam;c:\windows\system32\Drivers\SynMini.sys [x]
R3 SynScan;USB2.0 1.3M Web Cam Still Image;c:\windows\system32\Drivers\SynScan.sys [x]
R3 Synth3dVsc;Synth3dVsc;c:\windows\system32\drivers\synth3dvsc.sys [x]
R3 TsUsbFlt;TsUsbFlt;c:\windows\system32\drivers\tsusbflt.sys [x]
R3 tsusbhub;tsusbhub;c:\windows\system32\drivers\tsusbhub.sys [x]
R3 USBTurboSpeed;USBTurboSpeed;c:\windows\system32\drivers\USBTurboSpeed.sys [x]
R3 VGPU;VGPU;c:\windows\system32\drivers\rdvgkmd.sys [x]
R3 WatAdminSvc;Služba Technologie aktivace Windows;c:\windows\system32\Wat\WatAdminSvc.exe [x]
S1 dtsoftbus01;DAEMON Tools Virtual Bus Driver;c:\windows\system32\DRIVERS\dtsoftbus01.sys [x]
S2 AdobeARMservice;Adobe Acrobat Update Service;c:\program files\Common Files\Adobe\ARM\1.0\armsvc.exe [x]
S2 ICQ Service;ICQ Service;c:\program files\ICQ6Toolbar\ICQ Service.exe [x]
S2 NAUpdate;Nero Update;c:\program files\Nero\Update\NASvc.exe [x]
S2 StkSSrv;Syntek AVStream USB2.0 WebCam Service;c:\windows\System32\StkCSrv.exe [x]
S3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [x]
S3 netw5v32;Intel(R) Wireless WiFi Link 5000 Series – ovladač adaptéru pro 32bitový systém Windows Vista;c:\windows\system32\DRIVERS\netw5v32.sys [x]
S3 RTL8167;Realtek 8167 NT Driver;c:\windows\system32\DRIVERS\Rt86win7.sys [x]
S3 StkCMini;Syntek AVStream USB2.0 1.3M WebCam;c:\windows\system32\Drivers\StkCMini.sys [x]
.
.
Obsah adresáře 'Naplánované úlohy'
.
2013-01-29 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-3080560150-2302662959-3205990332-1000Core.job
- c:\users\PTS\AppData\Local\Google\Update\GoogleUpdate.exe [2011-03-13 17:19]
.
2013-01-30 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-3080560150-2302662959-3205990332-1000UA.job
- c:\users\PTS\AppData\Local\Google\Update\GoogleUpdate.exe [2011-03-13 17:19]
.
.
------- Doplňkový sken -------
.
uStart Page = hxxp://search.myheritage.com
uDefault_Search_URL = hxxp://www.google.com/ie
mStart Page = hxxp://search.myheritage.com
uSearchAssistant = hxxp://www.google.com/ie
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
IE: Download Video on This Page - c:\program files\Tomato\YouTube Video Downloader\MDIEEx.dll/211
IE: Download Video This Links To - c:\program files\Tomato\YouTube Video Downloader\MDIEEx.dll/212
IE: E&xport to Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
IE: E&xportovat do aplikace Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
IE: Free YouTube Download - c:\users\PTS\AppData\Roaming\DVDVideoSoftIEHelpers\freeyoutubedownload.htm
IE: Free YouTube to MP3 Converter - c:\users\PTS\AppData\Roaming\DVDVideoSoftIEHelpers\freeyoutubetomp3converter.htm
IE: {{11F19C45-9675-488A-A8E0-8E8234DC245D} - res://c:\program files\Tomato\YouTube Video Downloader\MDIEEx.dll/211
IE: {{73C6DCFB-B606-47F3-BDFA-9A4FBF931E37} - c:\program files\ICQ7.4\ICQ.exe
TCP: DhcpNameServer = 192.168.0.1
.
- - - - NEPLATNÉ POLOŽKY ODSTRANĚNÉ Z REGISTRU - - - -
.
HKCU-Run-AdobeBridge - (no file)
HKLM_ActiveSetup-ccc-core-static - msiexec
.
.
.
--------------------- ZAMKNUTÉ KLÍČE V REGISTRU ---------------------
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
"MSCurrentCountry"=dword:000000b5
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
Celkový čas: 2013-01-30 17:40:36
ComboFix-quarantined-files.txt 2013-01-30 16:40
.
Před spuštěním: Volných bajtů: 30 927 314 944
Po spuštění: Volných bajtů: 31 076 425 728
.
- - End Of File - - CAD5316F79A55F204862E501891B6288

[Rudy]

Také zdravím!
Proč spouštíte ComboFix, utilitu určenou pouze odborníkům? Chcete si zbořit systém? Základním skenem je RSIT a až podle něj se rádce rozhoduje, jakou utilitu použít.

1. Smažte vše, co nalezl MBAM.

2. Ještě dočistíme. Otevřte poznámkový blok a zkopírujte do něj:

KillAll::

Folder::
c:\program files\AskBarDis

File::
c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-3080560150-2302662959-3205990332-1000Core.job
c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-3080560150-2302662959-3205990332-1000UA.job

Registry::
[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{201f27d4-3704-41d6-89c1-aa35e39143ed}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{3041d03e-fd4b-44e0-b742-2d9b88305f98}"=-
[-HKEY_CLASSES_ROOT\clsid\{3041d03e-fd4b-44e0-b742-2d9b88305f98}]

Driver::
Skype C2C Service

RegLock::
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\PCW\Security]

Reboot::

Uložte na plochu jako CFScript.txt. Pak jej myší přetáhněte nad ikonu ComboFix a pusťte. CF se spustí a vykoná příkazy ze skriptu.

[butrus]

ComboFix jsem použil na doporučení kamaráta, kterému důvěřuji a byl jsem upozorněn na jeho sílu a aspekty, chytal jsem se každé "slamky"... (a nebylo moc času se důkladněji zorientovat)

K bodu 1.: breberky nalezené MBAM jsem vymazal již dříve - okamžitě po scanu - rovněž jsem vymazal vlastní instalační soubory programů uložené v NB, které se ve výpisu-logu MBAM objevili...


Tady je nový log po čištění:

ComboFix 13-01-31.03 - PTS 31.01.2013 19:17:10.2.2 - x86
Microsoft Windows 7 Ultimate 6.1.7601.1.1250.420.1029.18.2047.1237 [GMT 1:00]
Spuštěný z: c:\users\PTS\Desktop\ComboFix.exe
Použité ovládací přepínače :: c:\users\PTS\Desktop\CFScript.txt
AV: Microsoft Security Essentials *Disabled/Updated* {B140BF4E-23BB-4198-90AB-A51A4C60A69C}
SP: Microsoft Security Essentials *Disabled/Updated* {0A215EAA-0581-4E16-AA1B-9E6837E7EC21}
SP: Windows Defender *Disabled/Outdated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
FILE ::
"c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-3080560150-2302662959-3205990332-1000Core.job"
"c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-3080560150-2302662959-3205990332-1000UA.job"
.
.
((((((((((((((((((((((((((((((((((((((( Ostatní výmazy )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\program files\AskBarDis
c:\program files\AskBarDis\bar\bin\askBar.dll
c:\program files\AskBarDis\bar\bin\askPopStp.dll
c:\program files\AskBarDis\bar\bin\psvince.dll
c:\program files\AskBarDis\bar\Settings\config.dat
c:\program files\AskBarDis\bar\Settings\config.dat.bak
c:\program files\AskBarDis\unins000.dat
c:\program files\AskBarDis\unins000.exe
.
.
((((((((((((((((((((((((((((((((((((((( Ovladače/Služby )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
-------\Service_Skype C2C Service
.
.
((((((((((((((((((((((((( Soubory vytvořené od 2012-12-28 do 2013-01-31 )))))))))))))))))))))))))))))))
.
.
2013-01-31 18:27 . 2013-01-31 18:29 -------- d-----w- c:\users\PTS\AppData\Local\temp
2013-01-31 18:27 . 2013-01-31 18:27 -------- d-----w- c:\users\Default\AppData\Local\temp
2013-01-31 18:10 . 2013-01-31 18:10 29904 ----a-w- c:\programdata\Microsoft\Microsoft Antimalware\Definition Updates\{A4AF422C-F61C-421E-B096-BEE6F99740EB}\MpKslb4f70ea4.sys
2013-01-31 15:58 . 2013-01-08 04:57 6991832 ----a-w- c:\programdata\Microsoft\Microsoft Antimalware\Definition Updates\{A4AF422C-F61C-421E-B096-BEE6F99740EB}\mpengine.dll
2013-01-30 13:11 . 2013-01-08 04:57 6991832 ----a-w- c:\programdata\Microsoft\Microsoft Antimalware\Definition Updates\Backup\mpengine.dll
2013-01-29 19:45 . 2013-01-29 19:45 -------- d-----w- c:\users\PTS\AppData\Roaming\PandoraRecovery
2013-01-29 19:45 . 2013-01-29 19:45 -------- d-----w- c:\program files\Pandora Recovery
2013-01-29 19:09 . 2013-01-29 19:09 -------- d-----w- c:\program files\Smart PC Solutions
2013-01-29 19:04 . 2013-01-29 20:40 -------- d-----w- c:\program files\Recuva
2013-01-29 16:23 . 2013-01-29 16:23 -------- d-----w- c:\users\PTS\AppData\Roaming\Malwarebytes
2013-01-29 16:23 . 2013-01-29 16:23 -------- d-----w- c:\programdata\Malwarebytes
2013-01-29 16:23 . 2013-01-29 16:23 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware
2013-01-29 16:23 . 2012-12-14 15:49 21104 ----a-w- c:\windows\system32\drivers\mbam.sys
2013-01-29 16:21 . 2013-01-29 16:21 -------- d-----w- c:\users\PTS\AppData\Local\Programs
2013-01-29 16:10 . 2013-01-29 18:09 -------- d-----w- C:\UsbFix
2013-01-26 23:03 . 2013-01-26 23:03 -------- d-----w- c:\program files\Common Files\Java
2013-01-26 23:01 . 2013-01-26 23:01 -------- d-----w- c:\program files\Java
2013-01-25 13:16 . 2013-01-25 13:16 -------- d-----w- c:\program files\Common Files\Skype
2013-01-09 22:22 . 2012-11-22 04:45 626688 ----a-w- c:\windows\system32\usp10.dll
2013-01-09 22:20 . 2012-12-07 10:46 45568 ----a-w- c:\windows\system32\oflc-nz.rs
.
.
.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2013-01-30 10:53 . 2011-03-13 14:25 232336 ------w- c:\windows\system32\MpSigStub.exe
2012-12-16 14:13 . 2012-12-21 23:16 295424 ----a-w- c:\windows\system32\atmfd.dll
2012-12-16 14:13 . 2012-12-21 23:16 34304 ----a-w- c:\windows\system32\atmlib.dll
2012-11-28 18:50 . 2012-11-28 18:50 740840 ------w- c:\programdata\Microsoft\Microsoft Antimalware\Definition Updates\{B2A101D3-5AAF-465B-80E2-AFCEC7012744}\gapaengine.dll
2012-11-14 02:09 . 2012-12-13 00:54 1800704 ----a-w- c:\windows\system32\jscript9.dll
2012-11-14 01:58 . 2012-12-13 00:54 1427968 ----a-w- c:\windows\system32\inetcpl.cpl
2012-11-14 01:57 . 2012-12-13 00:54 1129472 ----a-w- c:\windows\system32\wininet.dll
2012-11-14 01:49 . 2012-12-13 00:54 142848 ----a-w- c:\windows\system32\ieUnatt.exe
2012-11-14 01:48 . 2012-12-13 00:54 420864 ----a-w- c:\windows\system32\vbscript.dll
2012-11-14 01:44 . 2012-12-13 00:54 2382848 ----a-w- c:\windows\system32\mshtml.tlb
2012-11-09 04:42 . 2012-12-12 14:14 2048 ----a-w- c:\windows\system32\tzres.dll
.
.
(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2010-11-20 1174016]
"TiVme Agent"="c:\program files\GIGABYTE\vivoTV\ScheduleAgent.exe" [2010-09-22 124928]
"ADFE2DF3ABBC60507A7017C680CCC47D728A348F._service_run"="c:\users\PTS\AppData\Local\Google\Chrome\Application\chrome.exe" [2013-01-18 1248208]
"Spotify Web Helper"="c:\users\PTS\AppData\Roaming\Spotify\Data\SpotifyWebHelper.exe" [2012-12-02 1199576]
"Skype"="c:\program files\Skype\Phone\Skype.exe" [2013-01-08 18705664]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2011-03-13 815104]
"USBTurboSpeed"="c:\program files\USBTurboSpeed\USBTurboSpeed.exe" [2008-09-16 217088]
"EEventManager"="c:\progra~1\EPSONS~1\EVENTM~1\EEventManager.exe" [2008-05-07 591696]
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2012-12-03 946352]
"Family Tree Builder Update"="c:\program files\MyHeritage\Bin\FTBCheckUpdates.exe" [2011-12-21 229376]
"GrooveMonitor"="c:\program files\Microsoft Office\Office12\GrooveMonitor.exe" [2009-02-26 30040]
"MSC"="c:\program files\Microsoft Security Client\msseces.exe" [2012-09-12 947176]
.
c:\users\PTS\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
CCC.lnk - c:\program files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe [2006-9-29 49152]
Výřezy obrazovky a spuštění aplikace OneNote 2007.lnk - c:\program files\Microsoft Office\Office12\ONENOTEM.EXE [2009-2-26 97680]
.
c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
Remote Control.lnk - c:\program files\GIGABYTE\U7300 Utilities\CONRCtl.exe [2011-8-21 94208]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 0 (0x0)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableLUA"= 0 (0x0)
"EnableUIADesktopToggle"= 0 (0x0)
"PromptOnSecureDesktop"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MsMpSvc]
@="Service"
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
2012-12-18 14:28 38112 ----a-w- c:\program files\Adobe\Reader 10.0\Reader\reader_sl.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AdobeAAMUpdater-1.0]
2010-03-06 02:44 500208 ------w- c:\program files\Common Files\Adobe\OOBE\PDApp\UWA\updaterstartuputility.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AdobeCS5ServiceManager]
2010-02-22 03:57 406992 ----a-w- c:\program files\Common Files\Adobe\CS5ServiceManager\CS5ServiceManager.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ICQ]
2011-03-01 13:28 119608 ----a-w- c:\program files\ICQ7.4\ICQ.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SwitchBoard]
2010-02-19 12:37 517096 ----a-w- c:\program files\Common Files\Adobe\SwitchBoard\SwitchBoard.exe
.
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"Google Update"="c:\users\PTS\AppData\Local\Google\Update\GoogleUpdate.exe" /c
"<NO NAME>"=
"StartCCC"=c:\program files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"SMSERIAL"=c:\program files\Motorola\SMSERIAL\sm56hlpr.exe
"GrooveMonitor"="c:\program files\Microsoft Office\Office12\GrooveMonitor.exe"
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 10.0\Reader\Reader_sl.exe"
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
.
R2 MBAMService;MBAMService;c:\program files\Malwarebytes' Anti-Malware\mbamservice.exe [x]
R2 SkypeUpdate;Skype Updater;c:\program files\Skype\Updater\Updater.exe [x]
R3 NisDrv;Microsoft Network Inspection System;c:\windows\system32\DRIVERS\NisDrvWFP.sys [x]
R3 NisSrv;Kontrola sítě Microsoft;c:\program files\Microsoft Security Client\NisSrv.exe [x]
R3 RdpVideoMiniport;Remote Desktop Video Miniport Driver;c:\windows\system32\drivers\rdpvideominiport.sys [x]
R3 RTL2832UBDA;REALTEK 2832U BDA Driver;c:\windows\system32\drivers\RTL2832UBDA.sys [x]
R3 RTL2832UUSB;REALTEK 2832U USB Driver;c:\windows\system32\Drivers\RTL2832UUSB.sys [x]
R3 SwitchBoard;SwitchBoard;c:\program files\Common Files\Adobe\SwitchBoard\SwitchBoard.exe [x]
R3 SynMini;USB2.0 1.3M Web Cam;c:\windows\system32\Drivers\SynMini.sys [x]
R3 SynScan;USB2.0 1.3M Web Cam Still Image;c:\windows\system32\Drivers\SynScan.sys [x]
R3 Synth3dVsc;Synth3dVsc;c:\windows\system32\drivers\synth3dvsc.sys [x]
R3 TsUsbFlt;TsUsbFlt;c:\windows\system32\drivers\tsusbflt.sys [x]
R3 tsusbhub;tsusbhub;c:\windows\system32\drivers\tsusbhub.sys [x]
R3 USBTurboSpeed;USBTurboSpeed;c:\windows\system32\drivers\USBTurboSpeed.sys [x]
R3 VGPU;VGPU;c:\windows\system32\drivers\rdvgkmd.sys [x]
R3 WatAdminSvc;Služba Technologie aktivace Windows;c:\windows\system32\Wat\WatAdminSvc.exe [x]
S1 dtsoftbus01;DAEMON Tools Virtual Bus Driver;c:\windows\system32\DRIVERS\dtsoftbus01.sys [x]
S1 MpKslb4f70ea4;MpKslb4f70ea4;c:\programdata\Microsoft\Microsoft Antimalware\Definition Updates\{A4AF422C-F61C-421E-B096-BEE6F99740EB}\MpKslb4f70ea4.sys [x]
S2 ICQ Service;ICQ Service;c:\program files\ICQ6Toolbar\ICQ Service.exe [x]
S2 NAUpdate;Nero Update;c:\program files\Nero\Update\NASvc.exe [x]
S2 StkSSrv;Syntek AVStream USB2.0 WebCam Service;c:\windows\System32\StkCSrv.exe [x]
S3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [x]
S3 netw5v32;Intel(R) Wireless WiFi Link 5000 Series – ovladač adaptéru pro 32bitový systém Windows Vista;c:\windows\system32\DRIVERS\netw5v32.sys [x]
S3 RTL8167;Realtek 8167 NT Driver;c:\windows\system32\DRIVERS\Rt86win7.sys [x]
S3 StkCMini;Syntek AVStream USB2.0 1.3M WebCam;c:\windows\system32\Drivers\StkCMini.sys [x]
.
.
Obsah adresáře 'Naplánované úlohy'
.
2013-01-31 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-3080560150-2302662959-3205990332-1000Core.job
- c:\users\PTS\AppData\Local\Google\Update\GoogleUpdate.exe [2011-03-13 17:19]
.
2013-01-31 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-3080560150-2302662959-3205990332-1000UA.job
- c:\users\PTS\AppData\Local\Google\Update\GoogleUpdate.exe [2011-03-13 17:19]
.
.
------- Doplňkový sken -------
.
uStart Page = hxxp://search.myheritage.com
uDefault_Search_URL = hxxp://www.google.com/ie
mStart Page = hxxp://search.myheritage.com
uSearchAssistant = hxxp://www.google.com/ie
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
IE: Download Video on This Page - c:\program files\Tomato\YouTube Video Downloader\MDIEEx.dll/211
IE: Download Video This Links To - c:\program files\Tomato\YouTube Video Downloader\MDIEEx.dll/212
IE: E&xport to Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
IE: E&xportovat do aplikace Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
IE: Free YouTube Download - c:\users\PTS\AppData\Roaming\DVDVideoSoftIEHelpers\freeyoutubedownload.htm
IE: Free YouTube to MP3 Converter - c:\users\PTS\AppData\Roaming\DVDVideoSoftIEHelpers\freeyoutubetomp3converter.htm
IE: {{11F19C45-9675-488A-A8E0-8E8234DC245D} - res://c:\program files\Tomato\YouTube Video Downloader\MDIEEx.dll/211
IE: {{73C6DCFB-B606-47F3-BDFA-9A4FBF931E37} - c:\program files\ICQ7.4\ICQ.exe
TCP: DhcpNameServer = 192.168.0.1
.
- - - - NEPLATNÉ POLOŽKY ODSTRANĚNÉ Z REGISTRU - - - -
.
BHO-{201f27d4-3704-41d6-89c1-aa35e39143ed} - c:\program files\AskBarDis\bar\bin\askBar.dll
AddRemove-Ask Toolbar_is1 - c:\program files\AskBarDis\unins000.exe
.
.
.
------------------------ Jiné spuštené procesy ------------------------
.
c:\program files\Microsoft Security Client\MsMpEng.exe
c:\windows\system32\Ati2evxx.exe
c:\windows\system32\Ati2evxx.exe
c:\program files\ATK Hotkey\ASLDRSrv.exe
c:\windows\system32\taskhost.exe
c:\program files\Common Files\EPSON\eEBAPI\eEBSVC.exe
c:\program files\ATK Hotkey\Hcontrol.exe
c:\program files\Common Files\Adobe\ARM\1.0\armsvc.exe
c:\programdata\EPSON\EPW!3 SSRP\E_S40ST7.EXE
c:\programdata\EPSON\EPW!3 SSRP\E_S40RP7.EXE
c:\windows\system32\conhost.exe
c:\program files\Malwarebytes' Anti-Malware\mbamscheduler.exe
c:\program files\Common Files\Protexis\License Service\PsiService_2.exe
c:\program files\Epson Software\Event Manager\EEventManager.exe
c:\program files\Windows Media Player\wmpnetwk.exe
c:\windows\system32\sppsvc.exe
.
**************************************************************************
.
Celkový čas: 2013-01-31 19:37:03 - počítač byl restartován
ComboFix-quarantined-files.txt 2013-01-31 18:37
ComboFix2.txt 2013-01-30 16:40
.
Před spuštěním: Volných bajtů: 30 637 981 696
Po spuštění: Volných bajtů: 30 191 087 616
.
- - End Of File - - A7D9C356A84BD9C9F1F6B7630DA5FF40

[butrus]

Tak to je fakt ne moc milá informace... (vir sality)

Tady hrála roli moje tvrdohlavost a obecní neinformovanost - vím, že v době stažení byl Combofix na ofi webu http://www.bleepingcomputer.com/download/combofix/ pro stažení dočasně nedostupnej, ale nebylo tam žádné info o jeho aktuálním zavirování ani jiné upozornění - proto jsem hledal jinde a stáhnul jej ze stahuj.cz...

Co doporučujete ??? Opětovný antivir scan? Postačí na začátek Microsoft Security essentials anebo raději Malwarebytes ? Jiné ?
Děkuji

[butrus]

Díky za podrobné info - jak jsem již psal, co se týče použití CF konal jsem ve stresu, což mě sice neomlouvá, ale snad vysvětluje důvod... kamarát, který mi rovněž viry.cz doporučil pro podporu a někdy v minulosti ji tady taky dostal, zmínil CF jako poslední možnost - pak jsem již konal na vlastní pěst a uznávám, že zbrkle...

Skusím teda nejdřív opět antivir scan MS Essentials, výsledek napíšu

Ad bod 2. / Nevím co je NSIS...

2. Autor zabudoval kontrolu integrity souboru, nejrychlejsi bude kdyz z BC stahnes novou verzi a spustis ji, pokud vyhodi NSIS hlasku o Instaler integrity check....mas sality v OS, pokud ne byl jsi dite stesteny

Raději se ptám - Před stáhnutím nové verze CF z BC, je tu starou nutné odinstalovat ??? Asi je to lepší, ne?

ani ja nemam v infu zminku o Sality neb se jeste nestalo

- nestalo se co? že by někdo tady již informoval o napadení virem sality ???

[butrus]

Tos me vcera teda trochu zbytecne vylekal... to je taky soucast leceni ?

MS bezel do noci cca 3,5h a nenasel nic, krome tohodle:
HackTool:Win32/KeyGen - coz ale byla soucast instalacniho softu ke c...k-nutemu AdobePhotoshopu, ulozenemu v mych souborech... to by nemel byt problem, ne?
Presto jsem to nechal odstranit a rovnez vymazal i vsechny podobne instalacky z NB at je klid.

Jsem v terenu, a pres mobil se pise blbe - kdyz budu u NB mam teda nechat jeste znovu udelat dalsi scan pres tu starou verzi CF? Hm, nezobrazuje se ani mezi Program files, kdybych ho chtel jednoduse odinstalovat - pak asi jenom pres Total Commander?

Zatim jsem nezachytil zadnou reakci na vyse vlozenej log CF vygenerovanem po opravnem scriptu od rudyho...

Co teda dale ?

[butrus]

Ta puvodni verze CF stazena v dobe bezpecnost.rizika se vzdy po spusteni nejdriv automaticky aktualizuje, tudiz by logicky mela byt po te aktualizaci identicka s posledni verzi dostupnou na ofi webu, ne?

Za chvili vlozim log z puvodni verze, kt. Jsem spustil...

[butrus]

Tady je CF log (z nově stažené verze):

NB zatím běží, CF žádnou hlášku během scanu nedal, vše proběhlo standardně...

ComboFix 13-02-01.04 - PTS 01.02.2013 14:00:59.4.2 - x86
Microsoft Windows 7 Ultimate 6.1.7601.1.1250.420.1029.18.2047.1213 [GMT 1:00]
Spuštěný z: c:\users\PTS\Desktop\ComboFix.exe
AV: Microsoft Security Essentials *Disabled/Updated* {B140BF4E-23BB-4198-90AB-A51A4C60A69C}
SP: Microsoft Security Essentials *Disabled/Updated* {0A215EAA-0581-4E16-AA1B-9E6837E7EC21}
SP: Windows Defender *Disabled/Outdated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
.
((((((((((((((((((((((((( Soubory vytvořené od 2013-01-01 do 2013-02-01 )))))))))))))))))))))))))))))))
.
.
2013-02-01 13:08 . 2013-02-01 13:08 -------- d-----w- c:\users\Default\AppData\Local\temp
2013-02-01 12:33 . 2013-01-08 04:57 6991832 ----a-w- c:\programdata\Microsoft\Microsoft Antimalware\Definition Updates\{EBFD7525-6E41-4195-B848-026CF2E39E05}\mpengine.dll
2013-02-01 12:32 . 2012-08-24 17:05 136560 ----a-w- c:\windows\system32\drivers\ksecpkg.sys
2013-02-01 12:32 . 2012-08-24 17:02 369856 ----a-w- c:\windows\system32\drivers\cng.sys
2013-02-01 12:32 . 2012-08-24 16:57 247808 ----a-w- c:\windows\system32\schannel.dll
2013-02-01 12:32 . 2012-08-24 16:56 1039360 ----a-w- c:\windows\system32\lsasrv.dll
2013-02-01 12:32 . 2012-05-04 09:59 514560 ----a-w- c:\windows\system32\qdvd.dll
2013-02-01 11:58 . 2013-01-08 04:57 6991832 ----a-w- c:\programdata\Microsoft\Microsoft Antimalware\Definition Updates\Backup\mpengine.dll
2013-01-31 18:27 . 2013-02-01 13:08 -------- d-----w- c:\users\PTS\AppData\Local\temp
2013-01-29 19:45 . 2013-01-29 19:45 -------- d-----w- c:\users\PTS\AppData\Roaming\PandoraRecovery
2013-01-29 19:45 . 2013-01-29 19:45 -------- d-----w- c:\program files\Pandora Recovery
2013-01-29 19:09 . 2013-01-29 19:09 -------- d-----w- c:\program files\Smart PC Solutions
2013-01-29 19:04 . 2013-01-29 20:40 -------- d-----w- c:\program files\Recuva
2013-01-29 16:23 . 2013-01-29 16:23 -------- d-----w- c:\users\PTS\AppData\Roaming\Malwarebytes
2013-01-29 16:23 . 2013-01-29 16:23 -------- d-----w- c:\programdata\Malwarebytes
2013-01-29 16:23 . 2013-01-29 16:23 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware
2013-01-29 16:23 . 2012-12-14 15:49 21104 ----a-w- c:\windows\system32\drivers\mbam.sys
2013-01-29 16:21 . 2013-01-29 16:21 -------- d-----w- c:\users\PTS\AppData\Local\Programs
2013-01-29 16:10 . 2013-01-29 18:09 -------- d-----w- C:\UsbFix
2013-01-26 23:03 . 2013-01-26 23:03 -------- d-----w- c:\program files\Common Files\Java
2013-01-26 23:01 . 2013-01-26 23:01 -------- d-----w- c:\program files\Java
2013-01-25 13:16 . 2013-01-25 13:16 -------- d-----w- c:\program files\Common Files\Skype
2013-01-09 22:22 . 2012-11-22 04:45 626688 ----a-w- c:\windows\system32\usp10.dll
2013-01-09 22:20 . 2012-12-07 10:46 45568 ----a-w- c:\windows\system32\oflc-nz.rs
.
.
.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2013-01-30 10:53 . 2011-03-13 14:25 232336 ------w- c:\windows\system32\MpSigStub.exe
2012-12-16 14:13 . 2012-12-21 23:16 295424 ----a-w- c:\windows\system32\atmfd.dll
2012-12-16 14:13 . 2012-12-21 23:16 34304 ----a-w- c:\windows\system32\atmlib.dll
2012-11-28 18:50 . 2012-11-28 18:50 740840 ------w- c:\programdata\Microsoft\Microsoft Antimalware\Definition Updates\{B2A101D3-5AAF-465B-80E2-AFCEC7012744}\gapaengine.dll
2012-11-14 02:09 . 2012-12-13 00:54 1800704 ----a-w- c:\windows\system32\jscript9.dll
2012-11-14 01:58 . 2012-12-13 00:54 1427968 ----a-w- c:\windows\system32\inetcpl.cpl
2012-11-14 01:57 . 2012-12-13 00:54 1129472 ----a-w- c:\windows\system32\wininet.dll
2012-11-14 01:49 . 2012-12-13 00:54 142848 ----a-w- c:\windows\system32\ieUnatt.exe
2012-11-14 01:48 . 2012-12-13 00:54 420864 ----a-w- c:\windows\system32\vbscript.dll
2012-11-14 01:44 . 2012-12-13 00:54 2382848 ----a-w- c:\windows\system32\mshtml.tlb
2012-11-09 04:42 . 2012-12-12 14:14 2048 ----a-w- c:\windows\system32\tzres.dll
.
.
(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2010-11-20 1174016]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2011-03-13 815104]
"MSC"="c:\program files\Microsoft Security Client\msseces.exe" [2012-09-12 947176]
.
c:\users\PTS\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
CCC.lnk - c:\program files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe [2006-9-29 49152]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 0 (0x0)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableLUA"= 0 (0x0)
"EnableUIADesktopToggle"= 0 (0x0)
"PromptOnSecureDesktop"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MsMpSvc]
@="Service"
.
[HKLM\~\startupfolder\C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^Remote Control.lnk]
backup=c:\windows\pss\Remote Control.lnk.CommonStartup
backupExtension=.CommonStartup
.
[HKLM\~\startupfolder\C:^Users^PTS^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^Výřezy obrazovky a spuštění aplikace OneNote 2007.lnk]
backup=c:\windows\pss\Výřezy obrazovky a spuštění aplikace OneNote 2007.lnk.Startup
backupExtension=.Startup
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ADFE2DF3ABBC60507A7017C680CCC47D728A348F._service_run]
2013-01-26 02:35 1248208 ----a-w- c:\users\PTS\AppData\Local\Google\Chrome\Application\chrome.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe ARM]
2012-12-03 07:35 946352 ----a-w- c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
2012-12-18 14:28 38112 ----a-w- c:\program files\Adobe\Reader 10.0\Reader\reader_sl.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AdobeAAMUpdater-1.0]
2010-03-06 02:44 500208 ------w- c:\program files\Common Files\Adobe\OOBE\PDApp\UWA\updaterstartuputility.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AdobeCS5ServiceManager]
2010-02-22 03:57 406992 ----a-w- c:\program files\Common Files\Adobe\CS5ServiceManager\CS5ServiceManager.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\EEventManager]
2008-05-07 14:28 591696 ------w- c:\progra~1\EPSONS~1\EVENTM~1\EEventManager.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Family Tree Builder Update]
2011-12-21 15:26 229376 ----a-w- c:\program files\MyHeritage\Bin\FTBCheckUpdates.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\GrooveMonitor]
2009-02-26 16:36 30040 ----a-w- c:\program files\Microsoft Office\Office12\GrooveMonitor.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ICQ]
2011-03-01 13:28 119608 ----a-w- c:\program files\ICQ7.4\ICQ.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Skype]
2013-01-08 11:59 18705664 ----a-r- c:\program files\Skype\Phone\Skype.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Spotify Web Helper]
2012-12-02 19:17 1199576 ----a-w- c:\users\PTS\AppData\Roaming\Spotify\Data\SpotifyWebHelper.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SwitchBoard]
2010-02-19 12:37 517096 ----a-w- c:\program files\Common Files\Adobe\SwitchBoard\SwitchBoard.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\TiVme Agent]
2010-09-22 12:08 124928 ----a-w- c:\program files\GIGABYTE\vivoTV\ScheduleAgent.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\USBTurboSpeed]
2008-09-16 08:10 217088 ----a-w- c:\program files\USBTurboSpeed\USBTurboSpeed.exe
.
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"Google Update"="c:\users\PTS\AppData\Local\Google\Update\GoogleUpdate.exe" /c
"<NO NAME>"=
"StartCCC"=c:\program files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"SMSERIAL"=c:\program files\Motorola\SMSERIAL\sm56hlpr.exe
"GrooveMonitor"="c:\program files\Microsoft Office\Office12\GrooveMonitor.exe"
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 10.0\Reader\Reader_sl.exe"
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
.
R2 MBAMService;MBAMService;c:\program files\Malwarebytes' Anti-Malware\mbamservice.exe [x]
R2 SkypeUpdate;Skype Updater;c:\program files\Skype\Updater\Updater.exe [x]
R3 NisDrv;Microsoft Network Inspection System;c:\windows\system32\DRIVERS\NisDrvWFP.sys [x]
R3 NisSrv;Kontrola sítě Microsoft;c:\program files\Microsoft Security Client\NisSrv.exe [x]
R3 RdpVideoMiniport;Remote Desktop Video Miniport Driver;c:\windows\system32\drivers\rdpvideominiport.sys [x]
R3 RTL2832UBDA;REALTEK 2832U BDA Driver;c:\windows\system32\drivers\RTL2832UBDA.sys [x]
R3 RTL2832UUSB;REALTEK 2832U USB Driver;c:\windows\system32\Drivers\RTL2832UUSB.sys [x]
R3 SwitchBoard;SwitchBoard;c:\program files\Common Files\Adobe\SwitchBoard\SwitchBoard.exe [x]
R3 SynMini;USB2.0 1.3M Web Cam;c:\windows\system32\Drivers\SynMini.sys [x]
R3 SynScan;USB2.0 1.3M Web Cam Still Image;c:\windows\system32\Drivers\SynScan.sys [x]
R3 Synth3dVsc;Synth3dVsc;c:\windows\system32\drivers\synth3dvsc.sys [x]
R3 TsUsbFlt;TsUsbFlt;c:\windows\system32\drivers\tsusbflt.sys [x]
R3 tsusbhub;tsusbhub;c:\windows\system32\drivers\tsusbhub.sys [x]
R3 USBTurboSpeed;USBTurboSpeed;c:\windows\system32\drivers\USBTurboSpeed.sys [x]
R3 VGPU;VGPU;c:\windows\system32\drivers\rdvgkmd.sys [x]
R3 WatAdminSvc;Služba Technologie aktivace Windows;c:\windows\system32\Wat\WatAdminSvc.exe [x]
S1 dtsoftbus01;DAEMON Tools Virtual Bus Driver;c:\windows\system32\DRIVERS\dtsoftbus01.sys [x]
S2 ICQ Service;ICQ Service;c:\program files\ICQ6Toolbar\ICQ Service.exe [x]
S2 NAUpdate;Nero Update;c:\program files\Nero\Update\NASvc.exe [x]
S2 StkSSrv;Syntek AVStream USB2.0 WebCam Service;c:\windows\System32\StkCSrv.exe [x]
S3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [x]
S3 netw5v32;Intel(R) Wireless WiFi Link 5000 Series – ovladač adaptéru pro 32bitový systém Windows Vista;c:\windows\system32\DRIVERS\netw5v32.sys [x]
S3 RTL8167;Realtek 8167 NT Driver;c:\windows\system32\DRIVERS\Rt86win7.sys [x]
S3 StkCMini;Syntek AVStream USB2.0 1.3M WebCam;c:\windows\system32\Drivers\StkCMini.sys [x]
.
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
GPSvcGroup REG_MULTI_SZ GPSvc
.
Obsah adresáře 'Naplánované úlohy'
.
2013-01-31 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-3080560150-2302662959-3205990332-1000Core.job
- c:\users\PTS\AppData\Local\Google\Update\GoogleUpdate.exe [2011-03-13 17:19]
.
2013-02-01 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-3080560150-2302662959-3205990332-1000UA.job
- c:\users\PTS\AppData\Local\Google\Update\GoogleUpdate.exe [2011-03-13 17:19]
.
.
------- Doplňkový sken -------
.
uStart Page = hxxp://search.myheritage.com
uDefault_Search_URL = hxxp://www.google.com/ie
mStart Page = hxxp://search.myheritage.com
uSearchAssistant = hxxp://www.google.com/ie
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
IE: Download Video on This Page - c:\program files\Tomato\YouTube Video Downloader\MDIEEx.dll/211
IE: Download Video This Links To - c:\program files\Tomato\YouTube Video Downloader\MDIEEx.dll/212
IE: E&xport to Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
IE: E&xportovat do aplikace Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
IE: Free YouTube Download - c:\users\PTS\AppData\Roaming\DVDVideoSoftIEHelpers\freeyoutubedownload.htm
IE: Free YouTube to MP3 Converter - c:\users\PTS\AppData\Roaming\DVDVideoSoftIEHelpers\freeyoutubetomp3converter.htm
IE: {{11F19C45-9675-488A-A8E0-8E8234DC245D} - res://c:\program files\Tomato\YouTube Video Downloader\MDIEEx.dll/211
IE: {{73C6DCFB-B606-47F3-BDFA-9A4FBF931E37} - c:\program files\ICQ7.4\ICQ.exe
TCP: DhcpNameServer = 192.168.21.254 8.8.8.8
.
.
Celkový čas: 2013-02-01 14:11:12
ComboFix-quarantined-files.txt 2013-02-01 13:11
ComboFix2.txt 2013-02-01 11:55
ComboFix3.txt 2013-01-31 18:37
ComboFix4.txt 2013-01-30 16:40
.
Před spuštěním: Volných bajtů: 30 797 389 824
Po spuštění: Volných bajtů: 30 604 763 136
.
- - End Of File - - F510B72708D6DBEA4F926FA56A35F6D7

[butrus]

- CF odinstalován

- takže rozumím že z posledního logu vše vypadá být OK...

- nějaké doporučení k dalším třem bodům z prvního vlákna tohoto příspěvku: ???

B)
Ve chvíli kdy se vir dostal do NB, měl jsem k němu připojenou USB Flashku, soubory na ní virus smazal/přepsal - zůstali jen prázdný "zástupci" - což jsem zjistil později, když jsem se pokoušel soubory obnovit pomocí Smart Flash Recovery - ve výsledku většinu souborů (Excel) nešlo obnovit, těch pár co obnovilo zase nešlo otevřít, kvůli přepsané příponě. Nechal jsem pak flashku zformátovat - je šance takhle virem napadené soubory ze zformátované flashky ješte obnovit ? Na scan flashky jsem použil USBfix, ale ještě před odstranením viru z NB, výsledku scanu jsem nerozuměl a nevím co s tím dále...

C)
Ve stejnou dobu bylo ješte k PC přes USB rozhraní připojeno:
- Tiskárna
- bezdrátová myš (připojeno non-stop)
- USB TV Tuner

Mohl jse vir zavrtat do všech těchto zařízení, tudíž je schopen se kdykoliv po opětovném připojení znovu dostat do NB? resp. jak se dají diagnostikovat ?

D) Po scanování napadené flashky (a zřejmě ještě v nevyčištěném NB) jsem použil USBfix "preventivně" i pro scan dalších dvou externích paměťových disků (bylo pravděpodobné, že ve chvíli infekce mohl být některej z nich taky připojenej k NB, a nikdo z rodiny si nevěděl vzpomenout) - výsledku jsem nerozuměl a nevím jestli nejsou taky napadené - jak postupovat pro diagnostiku ???

Děkuji

[butrus]

ad bod B) Takže pokusy s obnovou takhle "zavařené" flashky jsou zbytečné ??? Pokud úplně ne, čím začít?

ad C) Budu dělat později, zařízení nemám u sebe...

ad D) Oba paměťové disky jsem nechal scanovat USBfixem, v režimu "Deletion" dle návodu z linku viewtopic.php?f=24&t=102308 (Až pak jsem si všiml v Tvé poznámce, že použít research...)

Návod pro uživatele
vyosek píše:
Zapojte do PC všechny USB klíče (flashky, ext. disky apod.)
Stáhněte a uložte na plochu UsbFix (odkazy vyse)
Ukončete činnost antivirů ať nezasahují do činnosti USBFixu
Kklikněte na Deletion
USBFix občas jakoby na krátkou dobu má tendenci zamrzat, neukončujte jej a nechte jej pracovat
Po dokončení sem vložte log, pokud na Vás nevyskočí, najdete jej na systémovém disku pod názvem UsbFix.txt

Zde přikladám log USBfixu:

############################## | UsbFix V 7.096 | [Deletion]

User: PTS (Administrator) # PTS-PC
Updated 15/08/2012 by El Desaparecido
Started at 16:53:33 | 01/02/2013

Website: http://eldesaparecido.com
Forum: http://forum.eldesaparecido.com
Suspicious file ? : http://eldesaparecido.com/upload.php
Contact: contact@eldesaparecido.com

PC: ASUSTeK Computer Inc. (F3JR ) (X86-based PC) # Notebook
CPU: Intel(R) Core(TM) Duo CPU T2450 @ 2.00GHz (1995)
RAM -> [Total : 2047 | Free : 918]
BIOS: Default System BIOS
BOOT: Normal boot

OS: Microsoft Windows 7 Ultimate (6.1.7601 32-Bit) # Service Pack 1
WB: Windows Internet Explorer 9.0.8112.16421

SC: Security Center Service [Enabled]
WU: Windows Update Service [Enabled]
AV: Microsoft Security Essentials [(!) Disabled | Updated]
FW: Windows FireWall Service [Enabled]

C:\ (%systemdrive%) -> Fixed drive # 78 Gb (32 Mb free - 40%) [] # NTFS
D:\ -> Fixed drive # 71 Gb (64 Mb free - 91%) [] # NTFS
E:\ -> CD-ROM
F:\ -> Fixed drive # 466 Gb (36 Mb free - 8%) [VERBATIM] # FAT32
G:\ -> CD-ROM
H:\ -> Fixed drive # 466 Gb (335 Mb free - 72%) [My Passport] # NTFS

################## | Active Processes |

C:\Windows\system32\csrss.exe (384)
C:\Windows\system32\wininit.exe (436)
C:\Windows\system32\csrss.exe (448)
C:\Windows\system32\winlogon.exe (480)
C:\Windows\system32\services.exe (536)
C:\Windows\system32\lsass.exe (552)
C:\Windows\system32\lsm.exe (560)
C:\Windows\system32\svchost.exe (656)
C:\Windows\system32\svchost.exe (732)
C:\Program Files\Microsoft Security Client\MsMpEng.exe (800)
C:\Windows\system32\Ati2evxx.exe (904)
C:\Windows\System32\svchost.exe (944)
C:\Windows\System32\svchost.exe (980)
C:\Windows\system32\svchost.exe (1024)
C:\Windows\system32\svchost.exe (1124)
C:\Windows\system32\svchost.exe (1176)
C:\Windows\system32\Ati2evxx.exe (1268)
C:\Windows\system32\svchost.exe (1320)
C:\Program Files\ATK Hotkey\ASLDRSrv.exe (1512)
C:\Windows\System32\spoolsv.exe (1696)
C:\Windows\system32\Dwm.exe (1776)
C:\Windows\Explorer.EXE (1800)
C:\Windows\system32\taskhost.exe (1860)
C:\Windows\system32\svchost.exe (2008)
C:\Program Files\Common Files\EPSON\eEBAPI\eEBSVC.exe (380)
C:\Program Files\ATK Hotkey\Hcontrol.exe (1604)
C:\Program Files\Common Files\Adobe\ARM\1.0\armsvc.exe (1584)
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe (1444)
C:\Program Files\ICQ6Toolbar\ICQ Service.exe (1496)
C:\Program Files\Malwarebytes' Anti-Malware\mbamscheduler.exe (2052)
C:\Program Files\ATK Hotkey\ATKOSD.exe (2068)
c:\Program Files\Common Files\Protexis\License Service\PsiService_2.exe (2136)
C:\Windows\system32\svchost.exe (2212)
C:\Windows\System32\StkCSrv.exe (2240)
C:\Windows\system32\svchost.exe (2264)
C:\Program Files\Windows Sidebar\sidebar.exe (2764)
C:\Windows\system32\svchost.exe (3024)
C:\Windows\system32\svchost.exe (3076)
C:\Windows\system32\SearchIndexer.exe (3136)
C:\Windows\system32\svchost.exe (3432)
C:\Program Files\Nero\Update\NASvc.exe (2916)
C:\Program Files\Windows Media Player\wmpnetwk.exe (2912)
C:\Program Files\Microsoft Security Client\msseces.exe (3204)
C:\Users\PTS\AppData\Local\Google\Chrome\Application\chrome.exe (1900)
C:\Users\PTS\AppData\Local\Google\Chrome\Application\chrome.exe (2304)
C:\Users\PTS\AppData\Local\Google\Chrome\Application\chrome.exe (2308)
C:\Users\PTS\AppData\Local\Google\Chrome\Application\chrome.exe (2196)
C:\Users\PTS\AppData\Local\Google\Chrome\Application\chrome.exe (2820)
C:\Users\PTS\AppData\Local\Google\Chrome\Application\chrome.exe (1728)
C:\Users\PTS\AppData\Local\Google\Chrome\Application\chrome.exe (492)
C:\Users\PTS\AppData\Local\Google\Chrome\Application\chrome.exe (3772)
C:\Windows\system32\wbem\wmiprvse.exe (3920)
C:\UsbFix\Go.exe (3860)
C:\Windows\system32\wbem\wmiprvse.exe (2096)

################## | Stopped processes |

Stopped! C:\Program Files\Microsoft Security Client\MsMpEng.exe (800)
Stopped! C:\Windows\system32\Ati2evxx.exe (904)
Stopped! C:\Windows\system32\Ati2evxx.exe (1268)
Stopped! C:\Program Files\ATK Hotkey\ASLDRSrv.exe (1512)
Stopped! C:\Windows\System32\spoolsv.exe (1696)
Stopped! C:\Windows\Explorer.EXE (1800)
Stopped! C:\Windows\system32\taskhost.exe (1860)
Stopped! C:\Program Files\Common Files\EPSON\eEBAPI\eEBSVC.exe (380)
Stopped! C:\Program Files\ATK Hotkey\Hcontrol.exe (1604)
Stopped! C:\Program Files\Common Files\Adobe\ARM\1.0\armsvc.exe (1584)
Stopped! C:\Program Files\Synaptics\SynTP\SynTPEnh.exe (1444)
Stopped! C:\Program Files\ICQ6Toolbar\ICQ Service.exe (1496)
Stopped! C:\Program Files\Malwarebytes' Anti-Malware\mbamscheduler.exe (2052)
Stopped! C:\Program Files\ATK Hotkey\ATKOSD.exe (2068)
Stopped! c:\Program Files\Common Files\Protexis\License Service\PsiService_2.exe (2136)
Stopped! C:\Windows\System32\StkCSrv.exe (2240)
Stopped! C:\Program Files\Windows Sidebar\sidebar.exe (2764)
Stopped! C:\Windows\system32\SearchIndexer.exe (3136)
Stopped! C:\Program Files\Nero\Update\NASvc.exe (2916)
Stopped! C:\Program Files\Windows Media Player\wmpnetwk.exe (2912)
Stopped! C:\Program Files\Microsoft Security Client\msseces.exe (3204)
Stopped! C:\Users\PTS\AppData\Local\Google\Chrome\Application\chrome.exe (1900)
Stopped! C:\Users\PTS\AppData\Local\Google\Chrome\Application\chrome.exe (2304)
Stopped! C:\Users\PTS\AppData\Local\Google\Chrome\Application\chrome.exe (2308)
Stopped! C:\Users\PTS\AppData\Local\Google\Chrome\Application\chrome.exe (2196)
Stopped! C:\Users\PTS\AppData\Local\Google\Chrome\Application\chrome.exe (492)

################## | Files # Infected Folders |

Deleted ! C:\$RECYCLE.BIN\S-1-5-21-3080560150-2302662959-3205990332-1000
Deleted ! D:\$RECYCLE.BIN\S-1-5-21-2183608105-214374907-40163231-1000
Deleted ! D:\$RECYCLE.BIN\S-1-5-21-2402356197-2237120143-1265393081-1000
Deleted ! D:\$RECYCLE.BIN\S-1-5-21-3080560150-2302662959-3205990332-1000
Deleted ! H:\$RECYCLE.BIN\S-1-5-20
Deleted ! H:\$RECYCLE.BIN\S-1-5-21-3080560150-2302662959-3205990332-1000
Deleted ! H:\$RECYCLE.BIN\S-1-5-21-733705028-738253545-1185636372-1000

(!) Temporary files deleted.

################## | Registry |

Deleted ! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegistryTools
Deleted ! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives
Deleted ! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives

################## | Mountpoints2 |


################## | Listing |

[01/02/2013 - 16:55:38 | SHD ] C:\$RECYCLE.BIN
[03/05/2007 - 15:47:04 | D ] C:\6241_Vista_APO
[28/02/2010 - 20:47:33 | D ] C:\ATI
[10/06/2009 - 22:42:20 | N | 24] C:\autoexec.bat
[13/03/2011 - 21:03:41 | D ] C:\Boot
[20/11/2010 - 13:40:07 | RASH | 383786] C:\bootmgr
[13/03/2011 - 14:36:00 | N | 8192] C:\BOOTSECT.BAK
[01/02/2013 - 14:11:13 | N | 12874] C:\ComboFix.txt
[25/01/2013 - 14:16:35 | D ] C:\Config.Msi
[10/06/2009 - 22:42:20 | N | 10] C:\config.sys
[14/07/2009 - 05:53:55 | SHD ] C:\Documents and Settings
[24/11/2010 - 17:20:35 | D ] C:\extensions
[11/09/2007 - 14:36:32 | N | 524288] C:\F3JR.BIN
[01/02/2013 - 14:14:25 | ASH | 1610039296] C:\hiberfil.sys
[27/02/2010 - 16:20:46 | RD ] C:\MSOCache
[13/03/2011 - 20:12:47 | | 291557] C:\OHSZY
[01/02/2013 - 14:14:29 | ASH | 2146721792] C:\pagefile.sys
[14/07/2009 - 03:37:05 | D ] C:\PerfLogs
[12/03/2010 - 20:20:22 | D ] C:\PFiles
[31/01/2013 - 19:25:55 | D ] C:\Program Files
[29/01/2013 - 20:12:37 | D ] C:\ProgramData
[13/03/2011 - 14:51:26 | D ] C:\Recovery
[01/02/2013 - 14:34:59 | SHD ] C:\System Volume Information
[15/03/2011 - 20:24:22 | D ] C:\totalcmd
[01/02/2013 - 16:55:39 | D ] C:\UsbFix
[29/01/2013 - 18:58:00 | N | 4609] C:\UsbFix-Poznámkový blok.txt
[01/02/2013 - 16:53:41 | A | 7797] C:\UsbFix.txt
[13/03/2011 - 14:51:41 | D ] C:\Users
[13/03/2011 - 20:12:47 | | 20] C:\win7.ld
[01/02/2013 - 14:35:08 | D ] C:\Windows
[01/02/2013 - 16:55:39 | D ] D:\$RECYCLE.BIN
[01/02/2013 - 02:07:03 | D ] D:\Box
[07/11/2007 - 07:00:40 | N | 17734] D:\eula.1028.txt
[07/11/2007 - 07:00:40 | N | 17734] D:\eula.1031.txt
[07/11/2007 - 07:00:40 | N | 10134] D:\eula.1033.txt
[07/11/2007 - 07:00:40 | N | 17734] D:\eula.1036.txt
[07/11/2007 - 07:00:40 | N | 17734] D:\eula.1040.txt
[07/11/2007 - 07:00:40 | N | 118] D:\eula.1041.txt
[07/11/2007 - 07:00:40 | N | 17734] D:\eula.1042.txt
[07/11/2007 - 07:00:40 | N | 17734] D:\eula.2052.txt
[07/11/2007 - 07:00:40 | N | 17734] D:\eula.3082.txt
[07/11/2007 - 07:00:40 | N | 1110] D:\globdata.ini
[07/11/2007 - 07:00:40 | N | 843] D:\install.ini
[07/11/2007 - 07:03:18 | N | 76304] D:\install.res.1028.dll
[07/11/2007 - 07:03:18 | N | 96272] D:\install.res.1031.dll
[07/11/2007 - 07:03:18 | N | 91152] D:\install.res.1033.dll
[07/11/2007 - 07:03:18 | N | 97296] D:\install.res.1036.dll
[07/11/2007 - 07:03:18 | N | 95248] D:\install.res.1040.dll
[07/11/2007 - 07:03:18 | N | 81424] D:\install.res.1041.dll
[07/11/2007 - 07:03:18 | N | 79888] D:\install.res.1042.dll
[07/11/2007 - 07:03:18 | N | 75792] D:\install.res.2052.dll
[07/11/2007 - 07:03:18 | N | 96272] D:\install.res.3082.dll
[11/05/2011 - 20:54:01 | D ] D:\Monika
[06/11/2011 - 11:15:08 | D ] D:\PFiles
[27/09/2012 - 22:32:24 | D ] D:\Pictures
[14/03/2011 - 15:20:29 | D ] D:\Program Files
[20/03/2011 - 08:28:41 | D ] D:\Rasťo
[27/01/2010 - 09:20:02 | SHD ] D:\System Volume Information
[07/11/2007 - 07:00:40 | N | 5686] D:\vcredist.bmp
[07/11/2007 - 07:09:22 | N | 1442522] D:\VC_RED.cab
[07/11/2007 - 07:12:28 | N | 232960] D:\VC_RED.MSI
[21/04/2009 - 14:26:18 | D ] F:\Nero BackItUp 4
[21/04/2009 - 14:26:50 | D ] F:\USBTurboSpeed
[21/04/2009 - 14:26:52 | D ] F:\VerbatimSync
[23/02/2010 - 15:46:40 | D ] F:\FILMY - MOVIES
[23/02/2010 - 15:57:02 | D ] F:\Box
[23/02/2010 - 21:35:54 | SHD ] F:\$RECYCLE.BIN
[23/02/2010 - 22:21:16 | D ] F:\Rasto
[11/03/2010 - 21:05:48 | D ] F:\PFiles
[12/07/2010 - 23:03:22 | SHD ] F:\System Volume Information
[11/05/2011 - 21:54:02 | D ] F:\Monika
[01/02/2013 - 16:55:38 | SHD ] H:\$RECYCLE.BIN
[04/01/2012 - 16:06:23 | D ] H:\Dokumenty
[14/11/2012 - 22:07:19 | D ] H:\Music
[26/03/2012 - 12:23:27 | D ] H:\Pictures
[04/02/2012 - 15:04:25 | D ] H:\Software
[03/01/2012 - 21:46:20 | D ] H:\Sygic GPS - HTC - Maps
[27/07/2011 - 06:15:29 | SHD ] H:\System Volume Information

################## | Vaccin |

C:\Autorun.inf -> Vaccine created by UsbFix (El Desaparecido)
D:\Autorun.inf -> Vaccine created by UsbFix (El Desaparecido)
F:\Autorun.inf -> Vaccine created by UsbFix (El Desaparecido)
H:\Autorun.inf -> Vaccine created by UsbFix (El Desaparecido)

################## | Upload |

Please send the file: C:\UsbFix_Upload_Me_PTS-PC.zip
http://eldesaparecido.com/upload.php
Thank you for your contribution.

################## | E.O.F |

[butrus]

Diky!
Ke vsemu mi jeste prave odesel napajeci zdroj k NB, tak vse delam pres malej Netbook...

Dolu je vypis ze scanu USB fixem po testovani tiskarny a USB TV Tuneru.
Zformatovanou flashku jeste radeji zkontroluji USBfixem taky, pridam log a pak bych teda skusil Data Recovery Wizard...


############################## | UsbFix V 7.096 | [Research]

User: asus eee (Administrator) # ASUSEEE-PC
Updated 15/08/2012 by El Desaparecido
Started at 21:19:16 | 01/02/2013

Website: http://eldesaparecido.com
Forum: http://forum.eldesaparecido.com
Suspicious file ? : http://eldesaparecido.com/upload.php
Contact: contact@eldesaparecido.com

PC: ASUSTeK Computer INC. (1201NL) (X86-based PC) # Notebook
CPU: Intel(R) Atom(TM) CPU N270 @ 1.60GHz (1600)
RAM -> [Total : 3327 | Free : 2045]
BIOS: BIOS Date: 08/27/10 11:07:49 Ver: 08.00.15
BOOT: Normal boot

OS: Microsoft Windows 7 Ultimate (6.1.7601 32-Bit) # Service Pack 1
WB: Windows Internet Explorer 9.0.8112.16421

SC: Security Center Service [Enabled]
WU: Windows Update Service [Enabled]
AV: Microsoft Security Essentials [(!) Disabled | Updated]
FW: Windows FireWall Service [Enabled]

C:\ (%systemdrive%) -> Fixed drive # 466 Gb (400 Mb free - 86%) [] # NTFS
D:\ -> CD-ROM

################## | Active Processes |

C:\Windows\system32\csrss.exe (392)
C:\Windows\system32\wininit.exe (452)
C:\Windows\system32\csrss.exe (460)
C:\Windows\system32\services.exe (512)
C:\Windows\system32\lsass.exe (520)
C:\Windows\system32\lsm.exe (528)
C:\Windows\system32\winlogon.exe (636)
C:\Windows\system32\svchost.exe (668)
C:\Windows\system32\nvvsvc.exe (732)
C:\Windows\system32\svchost.exe (772)
c:\Program Files\Microsoft Security Client\MsMpEng.exe (836)
C:\Windows\System32\svchost.exe (912)
C:\Windows\System32\svchost.exe (948)
C:\Windows\system32\svchost.exe (980)
C:\Windows\system32\svchost.exe (1164)
C:\Windows\system32\nvvsvc.exe (1264)
C:\Windows\system32\svchost.exe (1384)
C:\Windows\System32\spoolsv.exe (1564)
C:\Windows\system32\taskhost.exe (1612)
C:\Windows\system32\svchost.exe (1652)
C:\Windows\system32\Dwm.exe (1660)
C:\Windows\Explorer.EXE (1692)
C:\Program Files\Realtek\Audio\HDA\RtHDVCpl.exe (1928)
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe (1944)
C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe (1968)
C:\Program Files\Synaptics\SynTP\SynTPHelper.exe (2008)
C:\Program Files\Microsoft Security Client\msseces.exe (2036)
C:\Program Files\Windows Sidebar\sidebar.exe (308)
C:\Program Files\GIGABYTE\vivoTV\ScheduleAgent.exe (412)
C:\Program Files\GIGABYTE\U7300 Utilities\CONRCtl.exe (1296)
C:\Program Files\Common Files\EPSON\eEBAPI\eEBSVC.exe (1548)
C:\Program Files\Common Files\Adobe\ARM\1.0\armsvc.exe (788)
C:\Windows\System32\AsusService.exe (1072)
C:\Program Files\Silvercrest NM1005 driver\KMWDSrv.exe (2076)
C:\Program Files\Malwarebytes' Anti-Malware\mbamscheduler.exe (2160)
C:\Program Files\Malwarebytes' Anti-Malware\mbamservice.exe (2276)
C:\ProgramData\Skype\Toolbars\Skype C2C Service\c2c_service.exe (2332)
C:\Windows\system32\svchost.exe (2428)
C:\Program Files\Malwarebytes' Anti-Malware\mbamgui.exe (2436)
C:\Windows\system32\SearchIndexer.exe (2968)
C:\Windows\system32\svchost.exe (3004)
C:\Windows\System32\svchost.exe (1276)
C:\Program Files\Windows Media Player\wmpnetwk.exe (3736)
C:\Users\asus eee\AppData\Local\Google\Chrome\Application\chrome.exe (2760)
C:\Users\asus eee\AppData\Local\Google\Chrome\Application\chrome.exe (5832)
C:\Users\asus eee\AppData\Local\Google\Chrome\Application\chrome.exe (3512)
C:\Users\asus eee\AppData\Local\Google\Chrome\Application\chrome.exe (4220)
C:\Users\asus eee\AppData\Local\Google\Chrome\Application\chrome.exe (1700)
C:\Users\asus eee\AppData\Local\Google\Chrome\Application\chrome.exe (5496)
C:\Users\asus eee\AppData\Local\Google\Chrome\Application\chrome.exe (2944)
C:\Users\asus eee\AppData\Local\Google\Chrome\Application\chrome.exe (2408)
C:\Windows\system32\svchost.exe (5980)
C:\UsbFix\Go.exe (2536)
C:\Windows\system32\wbem\wmiprvse.exe (1324)
\\?\C:\Windows\system32\wbem\WMIADAP.EXE (4304)
C:\Windows\system32\wbem\wmiprvse.exe (6084)
C:\Windows\system32\spool\DRIVERS\W32X86\3\E_FATIENE.EXE (2844)
C:\ProgramData\EPSON\EPW!3 SSRP\E_S40RP7.EXE (4636)
C:\ProgramData\EPSON\EPW!3 SSRP\E_S40ST7.EXE (5644)
C:\Windows\System32\WUDFHost.exe (3932)

################## | Files # Infected Folders |


################## | Registry |


################## | Mountpoints2 |

HKCU\.\.\.\.\Explorer\MountPoints2\{c74d1d9c-4c85-11e0-946a-bcaec5527368}
Shell\AutoRun\Command = E:\LaunchU3.exe -a



################## | Vaccin |

(!) This computer is not vaccinated!

################## | E.O.F |

[butrus]

Tady je log ze scanu puvodne zavirovane a zformatovane flashky:

Napadlo me ale, ze skouset obnovit zformatovana data z flashky je mozne jedine pres NB, kde byla zformatovana - ten ale budu moct zapnout az rychle nekde koupim napajeci zdroj /coz nebude ihned/, takze s Netbookem si ted uz asi dal nepomuzu... ???

############################## | UsbFix V 7.096 | [Research]

User: asus eee (Administrator) # ASUSEEE-PC
Updated 15/08/2012 by El Desaparecido
Started at 22:03:37 | 01/02/2013

Website: http://eldesaparecido.com
Forum: http://forum.eldesaparecido.com
Suspicious file ? : http://eldesaparecido.com/upload.php
Contact: contact@eldesaparecido.com

PC: ASUSTeK Computer INC. (1201NL) (X86-based PC) # Notebook
CPU: Intel(R) Atom(TM) CPU N270 @ 1.60GHz (1600)
RAM -> [Total : 3327 | Free : 2235]
BIOS: BIOS Date: 08/27/10 11:07:49 Ver: 08.00.15
BOOT: Normal boot

OS: Microsoft Windows 7 Ultimate (6.1.7601 32-Bit) # Service Pack 1
WB: Windows Internet Explorer 9.0.8112.16421

SC: Security Center Service [Enabled]
WU: Windows Update Service [Enabled]
AV: Microsoft Security Essentials [(!) Disabled | Updated]
FW: Windows FireWall Service [Enabled]

C:\ (%systemdrive%) -> Fixed drive # 466 Gb (400 Mb free - 86%) [] # NTFS
D:\ -> CD-ROM
G:\ -> CD-ROM
H:\ -> Removable drive # 7 Gb (7 Mb free - 100%) [] # FAT32

################## | Active Processes |

C:\Windows\system32\csrss.exe (392)
C:\Windows\system32\wininit.exe (452)
C:\Windows\system32\csrss.exe (460)
C:\Windows\system32\services.exe (512)
C:\Windows\system32\lsass.exe (520)
C:\Windows\system32\lsm.exe (528)
C:\Windows\system32\winlogon.exe (636)
C:\Windows\system32\svchost.exe (668)
C:\Windows\system32\nvvsvc.exe (732)
C:\Windows\system32\svchost.exe (772)
c:\Program Files\Microsoft Security Client\MsMpEng.exe (836)
C:\Windows\System32\svchost.exe (912)
C:\Windows\System32\svchost.exe (948)
C:\Windows\system32\svchost.exe (980)
C:\Windows\system32\svchost.exe (1164)
C:\Windows\system32\nvvsvc.exe (1264)
C:\Windows\system32\svchost.exe (1384)
C:\Windows\System32\spoolsv.exe (1564)
C:\Windows\system32\taskhost.exe (1612)
C:\Windows\system32\svchost.exe (1652)
C:\Windows\system32\Dwm.exe (1660)
C:\Windows\Explorer.EXE (1692)
C:\Program Files\Realtek\Audio\HDA\RtHDVCpl.exe (1928)
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe (1944)
C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe (1968)
C:\Program Files\Synaptics\SynTP\SynTPHelper.exe (2008)
C:\Program Files\Microsoft Security Client\msseces.exe (2036)
C:\Program Files\Windows Sidebar\sidebar.exe (308)
C:\Program Files\GIGABYTE\vivoTV\ScheduleAgent.exe (412)
C:\Program Files\GIGABYTE\U7300 Utilities\CONRCtl.exe (1296)
C:\Program Files\Common Files\EPSON\eEBAPI\eEBSVC.exe (1548)
C:\Program Files\Common Files\Adobe\ARM\1.0\armsvc.exe (788)
C:\Windows\System32\AsusService.exe (1072)
C:\Program Files\Silvercrest NM1005 driver\KMWDSrv.exe (2076)
C:\Program Files\Malwarebytes' Anti-Malware\mbamscheduler.exe (2160)
C:\Program Files\Malwarebytes' Anti-Malware\mbamservice.exe (2276)
C:\ProgramData\Skype\Toolbars\Skype C2C Service\c2c_service.exe (2332)
C:\Windows\system32\svchost.exe (2428)
C:\Program Files\Malwarebytes' Anti-Malware\mbamgui.exe (2436)
C:\Windows\system32\SearchIndexer.exe (2968)
C:\Windows\system32\svchost.exe (3004)
C:\Windows\System32\svchost.exe (1276)
C:\Program Files\Windows Media Player\wmpnetwk.exe (3736)
C:\Windows\system32\svchost.exe (5980)
C:\Windows\system32\spool\DRIVERS\W32X86\3\E_FATIENE.EXE (2844)
C:\ProgramData\EPSON\EPW!3 SSRP\E_S40RP7.EXE (4636)
C:\ProgramData\EPSON\EPW!3 SSRP\E_S40ST7.EXE (5644)
C:\Windows\system32\taskhost.exe (5384)
C:\Windows\System32\WUDFHost.exe (4260)
C:\Windows\system32\wbem\wmiprvse.exe (3404)
C:\Windows\system32\sppsvc.exe (4632)
C:\Windows\system32\wbem\wmiprvse.exe (5180)
C:\UsbFix\Go.exe (3872)

################## | Files # Infected Folders |

Found ! G:\autorun.inf

################## | Registry |


################## | Mountpoints2 |

HKCU\.\.\.\.\Explorer\MountPoints2\{c74d1d9c-4c85-11e0-946a-bcaec5527368}
Shell\AutoRun\Command = E:\LaunchU3.exe -a



################## | Vaccin |

(!) This computer is not vaccinated!

################## | E.O.F |


Jak tohle vypadá, pls ???

[butrus]

Ahoj,

Ne všechno umím číst IT očima proto přikládám obsah z poznámkového bloku, který se objevi po rozkliku autorun.inf

Mně to příde Ok, ale nejsem si jistej tím, co úplně neznám... dík

[AutoRun]
open=LaunchU3.exe -a
icon=LaunchU3.exe,0
action=Run U3 Launchpad

[Definitions]
Launchpad=LaunchPad.exe
Vtype=2

[CopyFiles]
FileNumber=1
File1=LaunchPad.zip

[Update]
URL=http://u3.sandisk.com/download/lp_insta ... PelicanBFG


[Comment]
brand=PelicanBFG

[butrus]

Díky

Prosím nezamykejte ještě tento příspěvek, zítra, když budu mít slíbený zdroj k NB bych skusil poslední krok - pokus o obnovu souborů ze zformátované flashky...

[butrus]

Jojo, to mi povídej...

celý uplynulý týden jsem léčil současně Vn2 - viry na druhou - chřipkové u všech členů rodiny a softwarové v NB, do toho odešlo několik součástí jiných domácích spotřebičů, že mi to připadá jako nějaký útok kvantového viru...

Výsledek ? NB konečně vypadá být Ok, ale včera mi z toho už odešel hlas a něco teď pro změnu leze asi na mě...