wirus Phoenix.exe [ENHANCED PROTECTION MODE]

[PeyoteQRS]

Ostatnia fala ''facebook'owego'' wirusa przeszła również przez mój komputer. Bardzo proszę o pomoc w leczeniu. Objawy to standardowo: samoistne odinstalowanie się antywirusa (w tym przypadku Avast), zablokowany page facebook.com.
Do tej pory dwukrotnie wykonywałem skrypt:
http://www.wklej.eu/index.php?id=15ddc93589
Jednak komputer nie restartował się po każdym wykonaniu skryptu i byłem zmuszony zrestartować go ręcznie. Również nie mogę znaleźć raportu z wykonanego skryptu.

Logi
OTL: http://www.wklej.eu/index.php?id=4c87a40275
Extras: http://www.wklej.eu/index.php?id=9b5f494916

[mateo8898]

Co do Twojego skryptu:

8. Każdy skrypt jest unikatowy, napisany dla każdego przypadku z osobna, więc nie może być stosowany przez innych.

Uruchom OTL w oknie Własne opcje skanowania/skrypt wklej:

:OTL
PRC - [2011-08-22 10:49:41 | 001,213,440 | -H-- | M] () -- C:\_OTL\MovedFiles\08252011_100027\C_WINDOWS\update.tray-7-0-lnk\svchost.exe
SRV - File not found [Auto | Stopped] -- -- (StyleXPService)
O4 - HKLM..\Run: [2924239.exe] C:\WINDOWS\TEMP\2924239.exe ()
O4 - HKLM..\Run: [315763.exe] C:\WINDOWS\TEMP\315763.exe ()
O4 - HKLM..\Run: [3847110.exe] C:\Documents and Settings\Damian\Ustawienia lokalne\Temp\3847110.exe ()
O4 - HKLM..\Run: [48471943-loader2.exe] C:\WINDOWS\TEMP\48471943-loader2.exe ()
O4 - HKLM..\Run: [687724.exe] C:\Documents and Settings\Damian\Ustawienia lokalne\Temp\687724.exe ()
O4 - HKLM..\Run: [avast] File not found
O4 - HKLM..\Run: [l1rezerv.exe] File not found
O4 - HKLM..\Run: [sysdriver32.exe] File not found
O4 - HKLM..\Run: [sysdriver32_.exe] C:\WINDOWS\sysdriver32_.exe ()
O4 - HKLM..\Run: [systemup] File not found
O4 - HKLM..\Run: [tray_ico] File not found
O4 - HKLM..\Run: [tray_ico0] File not found
O4 - HKLM..\Run: [tray_ico1] File not found
O4 - HKLM..\Run: [tray_ico2] File not found
O4 - HKLM..\Run: [tray_ico3] File not found
O4 - HKLM..\Run: [tray_ico4] File not found
O4 - HKLM..\Run: [wxpdrv] File not found
O31 - SafeBoot: AlternateShell - services32.exe
[2011-08-25 10:06:35 | 000,000,000 | -H-D | C] -- C:\WINDOWS\update.2
[2011-08-25 09:43:55 | 000,579,584 | ---- | M] () -- C:\Documents and Settings\Damian\Pulpit\winlogon.exe
[2011-08-25 10:17:30 | 000,000,000 | ---- | M] () -- C:\WINDOWS\loader2.exe_ok

:Files
C:\_OTL\MovedFiles\08252011_100027

:Reg
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot]
"AlternateShell"="cmd.exe"

:Commands
[emptytemp]
[resethosts]
[clearallrestorepoints]

Klikasz Wykonaj skrypt. Dajesz log z usuwania + nowe logi z OTL + log z Gmer viewtopic.php?f=22&t=13967#p88736

[PeyoteQRS]

Log z usuwania: http://www.wklej.eu/index.php?id=dccbf404eb
OTL: http://wklej.eu/index.php?id=14b0100c0f
Extras: http://wklej.eu/index.php?id=96ac9561c0
GMER (tylko z dysku C): http://wklej.eu/index.php?id=e2692aabd2

Nie wiem czy to jest bardzo potrzebne, ale gdy GMER szuka z obu dysków to występuje błąd, który uniemożliwia zakończenie procesu.

[TRV13E]

Nie jestem pewien ale GMER'a można chyba zastąpić TDSSKiller viewtopic.php?f=22&t=13967&start=15#p120292

[mateo8898]

Gmer wystarczy tylko z dysku systemowego.

W OTL wklej:

:OTL
O4 - HKLM..\Run: [KernelFaultCheck] File not found
[2011-08-11 18:30:59 | 000,000,284 | ---- | M] () -- C:\WINDOWS\tasks\AppleSoftwareUpdate.job

:Reg
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\WINDOWS\services32.exe"=-
"C:\WINDOWS\update.1\svchost.exe"=-
"C:\WINDOWS\update.tray-7-0\svchost.exe"=-
"C:\WINDOWS\update.2\svchost.exe"=-

Klikasz Wykonaj skrypt, później Sprzątanie

Przeczyść dysk oraz rejestr CCleaner

Wykonaj pełne skanowanie Malwarebytes' Anti-Malware - jeśli coś znajdzie usuń i daj raport

Zaktualizuj IE do najnowszej wersji (nawet jeśli go nie używasz) http://www.instalki.pl/programy/downloa ... _8_XP.html

Zainstaluj jakiegoś antywira.