Podejrzewany keylogger bądź coś innego

[MartinTcV]

Witam,
Nie wiem jakim cudem się to stało, bo już od około 10 lat używam komputera i nic takiego nie miało miejsca. A mianowicie ktoś włamał się na moje konto Allegro, co zostało już potwierdzone przez Administrację portalu. Wystawiono w moim imieniu telefon na sprzedaż, dowiedziałem się o tym dzisiaj, bo na GG przyszła wiadomość o zalicytowaniu przez kupującego. Na mailu nie pojawiła się wiadomość o wystawieniu przedmiotu, więc ten ktoś miał też dane do skrzynki pocztowej.
Proszę o pomoc, załączam logi z OTL i GMER'a.

OTL: http://wklej.eu/index.php?id=bd14fca8cf
Extras: http://wklej.eu/index.php?id=edebbff0f6
GMER: http://wklej.eu/index.php?id=47babfb65d

Z góry serdeczne dzięki.

[mateo8898]

W logach infekcji nie widać, kosmetyka.

Odinstaluj: Claro LTD toolbar, Akamai NetSession Interface. Następnie:

Uruchom OTL w oknie Własne opcje skanowania/skrypt wklej:

:OTL
[2012-12-24 14:03:49 | 000,002,432 | ---- | C] () -- C:\Users\Martin\AppData\Local\TempLm4168.html
[2012-12-24 14:03:49 | 000,002,089 | ---- | C] () -- C:\Users\Martin\AppData\Local\TempQU4168.html
O8:64bit: - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\Windows\system32\GPhotos.scr/200 File not found
O4 - HKU\S-1-5-21-1138582954-4036857483-3078598250-1003..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe File not found
O4 - HKU\S-1-5-21-1138582954-4036857483-3078598250-1000..\Run: [Overwolf] C:\Program Files (x86)\Overwolf\Overwolf.exe -silent File not found
O4 - HKU\S-1-5-21-1138582954-4036857483-3078598250-1000..\Run: [AdobeBridge] File not found
O4:64bit: - HKLM..\Run: [SysTrayApp] C:\Program Files\IDT\WDM\sttray64.exe File not found
[2012-11-04 17:17:50 | 000,006,520 | ---- | M] () -- C:\Program Files (x86)\mozilla firefox\searchplugins\babylon.xml
FF - HKEY_LOCAL_MACHINE\software\mozilla\Thunderbird\Extensions\\[email protected]: C:\Program Files\ESET\ESET Smart Security\Mozilla Thunderbird
FF - prefs.js..keyword.URL: "http://www.claro-search.com/?affID=116198&tt=4412_5&babsrc=KW_ss&mntrId=6002dff1000000000000c01885b7acab&q="
FF - prefs.js..browser.startup.homepage: "http://www.claro-search.com/?affID=116198&tt=4412_5&babsrc=HP_ss&mntrId=6002dff1000000000000c01885b7acab"
FF - prefs.js..browser.search.defaultenginename: "Claro Search"
FF - prefs.js..browser.search.order.1: "Claro Search"
IE - HKU\S-1-5-21-1138582954-4036857483-3078598250-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = localhost:21320
IE - HKU\S-1-5-21-1138582954-4036857483-3078598250-1000\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = http://www.claro-search.com/?q={searchTerms}&affID=116198&tt=4412_5&babsrc=SP_ss&mntrId=6002dff1000000000000c01885b7acab
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Secondary Start Pages = Reg Error: Value error.

:Reg
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"AdobeCS6ServiceManager"=-
"SwitchBoard"=-
"USB3MON"=-

:Commands
[clearallrestorepoints]
[emptytemp]

Klikasz Wykonaj skrypt. Podajesz log z usuwania + nowe logi z OTL.

[MartinTcV]

OTL usuwanie:
http://www.wklej.eu/index.php?id=69f483254d

OTL:
http://www.wklej.eu/index.php?id=487177e83f

OTL Extras:
http://www.wklej.eu/index.php?id=8a94723e0f

[mateo8898]

Wklej w OTL:

:OTL
O4 - HKCU..\Run: [Akamai NetSession Interface] "C:\Users\Martin\AppData\Local\Akamai\netsession_win.exe" File not found

Klikasz Wykonaj skrypt, następnie Sprzątanie

Przeczyść dysk oraz rejestr CCleaner

Wykonaj pełne skanowanie Malwarebytes' Anti-Malware - jeśli coś znajdzie usuń i daj raport (po uruchomieniu odrzuć okres testowy)

[MartinTcV]

Skrypt wykonany, przeczyszczone CCleanerem, podaję log ze skanu i usuwania.

Malwarebytes:
http://www.wklej.eu/index.php?id=f3c17a0c5e

[mateo8898]

OK, to tyle.

[MartinTcV]

Dzięki wielkie