Problem z BV:AutoRun-S [Wrm]

[szakal_jr]

Witam, mam problem z zawirusowaną karta pamieci, gdy wpinam ją do komputera avast znajduje wirusa/trojana: BV:AutoRun-S [Wrm] (plik H:\AutoRun.inf)

formatowalem karte - bez efektu

Link do loga Hijack: http://www.wklej.eu/index.php?id=ceaf17ecf5
kontrolnie przeskanowalem system spybotem i cclener ale nic to nie pomaga, nie moge sie cholery pozbyc, czy ktos chcialby mi pomoc?

pozdrawiam,
szakal_jr

[mateo8898]

Podaj logi z: OTL i GMER

[szakal_jr]

logi:
OTL.txt: http://www.wklej.eu/index.php?id=6e5280a61b
Extras.txt: http://www.wklej.eu/index.php?id=63556325c4

niestety Gmer zawiesza mi się gdy skonczy prace i nie moge zapisac loga (jak za ktoryms razem sie nie zawiesi to wrzuce), po uruchomieniu systemu wyskakuje mi okienko moich dokumentów to pewnie spowodowane przez tego robaka i ogolne zamulenie kompa..

z gory dzieki z pomoc!

[szakal_jr]

GMER: http://www.wklej.eu/index.php?id=6a65cc559f

pomozecie?

[mateo8898]

Pomożemy

Uruchom OTL w oknie Własne opcje skanowania/skrypt wklej:

:Processes
killallprocesses

:OTL
O4 - HKU\S-1-5-21-1715567821-1383384898-1060284298-1003..\Run: [EXPLORER.EXE] C:\WINDOWS\System32\EXPLORER.EXE ()
O4 - HKU\S-1-5-21-1715567821-1383384898-1060284298-1003..\Run: [wsctf.exe] File not found
O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\WINDOWS\System32\EXPLORER.EXE ()
O20 - HKLM Winlogon: UserInit - (EXPLORER.EXE) - C:\WINDOWS\System32\EXPLORER.EXE ()
O20 - HKU\S-1-5-21-1715567821-1383384898-1060284298-1003 Winlogon: Shell - (Explorer.exe) - C:\WINDOWS\System32\EXPLORER.EXE ()

:Files
C:\Documents and Settings\All Users\Menu Start\Programy\Autostart\Adobe Reader Speed Launch.lnk
C:\WINDOWS\tasks\GoogleUpdateTaskUserS-1-5-21-1715567821-1383384898-1060284298-1003UA.job
C:\WINDOWS\QTFont.qfn
C:\WINDOWS\QTFont.for
C:\WINDOWS\tasks\WGASetup.job
C:\WINDOWS\tasks\GoogleUpdateTaskUserS-1-5-21-1715567821-1383384898-1060284298-1003Core.job

:Reg
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"="explorer.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"SuperHidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"Hidden"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"ShowSuperHidden"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
@=""

:Commands
[emptytemp]
[reboot]

Klikasz Wykonaj skrypt.

Następnie pobierz The Avenger w pole Input script here wklej poniższy tekst:

Kod: Zaznacz wszystko

Files to delete:
C:\WINDOWS\System32\EXPLORER.EXE

klikasz Execute Potwierdzasz i zgadzasz się na restart klikając OK.
Po wykonaniu wklej raport na forum C:\avenger.txt + nowe logi z OTL

Wylecz pamięci przenośne Flash Disinfector lub sformatuj

[szakal_jr]

done!

nowe logi:
extras.txt: http://www.wklej.eu/index.php?id=01ceac3dfc
otl.txt: http://www.wklej.eu/index.php?id=632a270ad5

avenger: http://www.wklej.eu/index.php?id=d4cf76d85a

pamieci przenosne sformatowane i ........ Avast dalej pokazuje mi ze wykrywa tego dziada (na pamięci przenośnej w pliku autorun.inf)

[mateo8898]

Tutaj jest chyba Conficker, więc podłącz pamięci przenośne, a następnie użyj ComboFix i daj log z niego (pamiętaj, żeby podczas pracy ComboFixa pamięci były cały czas podpięte).