Wirus - Win 7 Security 2011

[karolas888]

Witam,

wczoraj podczas przeglądania stron nagle zamknęła się przeglądarka i uruchomił się skaner win 7 security 2011. Zablokował mi on przeglądarki - Firefoxa, jak i IE. Korzystając z drugiego komputera dowiedziałem się, że jest to wirus. Niestety jestem zielony jeżeli chodzi o komputery, dlatego zwracam się o pomoc do Was. Jeżeli ktoś mógłby mi pomóc będę bardzo wdzięczny.
Z tym, że mam jeszcze jeden problem. Wiem, że potrzebne będą logi mojego komputera, ale w związku z tym, że ten wirus blokuje mi dostęp do stron, jestem zmuszony pisać tego posta, jak i wysłać logi na niezainfekowany komputer. Jedynym wyjściem jest przerzucić je za pomocą pendrive'a, ale czy to jest bezpieczne? Boje się aby ten wirus nie przedostał się za jego pomocą na "czysty" komputer, czy moglibyście mi coś doradzić?

[kominekl]

Podaj logi z OTL i GMER (poniżej instrukcje).

OTL viewtopic.php?f=22&t=13967#p107754.
GMER viewtopic.php?f=22&t=13967#p88736.

[karolas888]

Oto logi:
OTL: http://wklej.to/iMszI
EXTRAS: http://wklej.to/W38K2
GMER: http://wklej.to/WSOgB

[mateo8898]

Odinstaluj toolbary: Conduit Engine, Softonic-Eng7 Toolbar. Następnie:

Uruchom OTL w oknie Własne opcje skanowania/skrypt wklej:

:OTL
PRC - [2011-05-22 00:30:59 | 000,335,872 | -HS- | M] () -- C:\Users\Karol\AppData\Local\evy.exe
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = http://start.facemoods.com/?a=ironto&s={searchTerms}&f=4
IE - HKU\S-1-5-21-3212485663-2536987246-658786658-1000\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://start.facemoods.com/?a=ironto
FF - prefs.js..browser.search.defaultenginename: "Facemoods Search"
FF - prefs.js..browser.search.defaultthis.engineName: "Softonic-Eng7 Customized Web Search"
FF - prefs.js..browser.search.defaulturl: "http://search.conduit.com/ResultsExt.aspx?ctid=CT2405280&SearchSource=3&q={searchTerms}"
FF - prefs.js..extensions.enabledItems: [email protected]:3.2.5.2
FF - prefs.js..keyword.URL: "http://search.conduit.com/ResultsExt.aspx?ctid=CT2405280&q="
[2011-01-15 19:45:10 | 000,000,000 | ---D | M] (Softonic-Eng7 Community Toolbar) -- C:\Users\Karol\AppData\Roaming\mozilla\Firefox\Profiles\1m65s9o2.default\extensions\{414b6d9d-4a95-4e8d-b5b1-149dd2d93bb3}
[2011-01-15 19:45:09 | 000,000,000 | ---D | M] (Conduit Engine) -- C:\Users\Karol\AppData\Roaming\mozilla\Firefox\Profiles\1m65s9o2.default\extensions\[email protected]
[2010-12-08 16:46:22 | 000,000,929 | ---- | M] () -- C:\Users\Karol\AppData\Roaming\Mozilla\Firefox\Profiles\1m65s9o2.default\searchplugins\conduit.xml
O3:64bit: - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O4 - HKLM..\Run: [Setwallpaper] File not found
O4 - HKU\S-1-5-21-3212485663-2536987246-658786658-1000..\Run: [ALLUpdate] File not found
O4 - HKU\S-1-5-21-3212485663-2536987246-658786658-1000..\Run: [SRS Audio Sandbox] File not found
O4 - HKU\S-1-5-19..\RunOnce: [mctadmin] File not found
O4 - HKU\S-1-5-20..\RunOnce: [mctadmin] File not found
O35 - HKU\S-1-5-21-3212485663-2536987246-658786658-1000..exefile [open] -- "C:\Users\Karol\AppData\Local\evy.exe" -a "%1" %* ()
O37 - HKU\S-1-5-21-3212485663-2536987246-658786658-1000\...exe [@ = exefile] -- "C:\Users\Karol\AppData\Local\evy.exe" -a "%1" %* ()
[2011-05-22 00:37:01 | 000,009,180 | -HS- | M] () -- C:\ProgramData\1hae4q380451ms3t48du670jf5554i0sm4bjn3g03klk4t2
[2011-05-22 00:30:57 | 000,000,000 | ---- | M] () -- C:\Users\Karol\AppData\Roaming\9326758.exe
[2011-05-22 00:30:57 | 000,000,000 | ---- | M] () -- C:\Users\Karol\AppData\Roaming\7215999.exe
[2011-05-22 00:30:57 | 000,000,000 | ---- | M] () -- C:\Users\Karol\AppData\Roaming\580605.exe
[2011-05-22 00:30:57 | 000,000,000 | ---- | M] () -- C:\Users\Karol\AppData\Roaming\1943041.exe
[2011-05-22 00:30:56 | 000,335,872 | -HS- | M] () -- C:\Users\Karol\AppData\Local\bml.exe
[2011-05-22 00:30:55 | 000,335,872 | ---- | M] () -- C:\Users\Karol\AppData\Roaming\2792882.exe
[2011-05-18 23:44:21 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\RelevantKnowledge
[2011-05-22 00:31:05 | 000,009,050 | -HS- | C] () -- C:\Users\Karol\AppData\Local\1hae4q380451ms3t48du670jf5554i0sm4bjn3g03klk4t2

:Reg
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"UpdateLBPShortCut"=-
"UpdateP2GoShortCut"=-

:Commands
[clearallrestorepoints]
[emptytemp]

Klikasz Wykonaj skrypt. Dajesz log z usuwania + nowe logi z OTL.

[karolas888]

Log z usuwania: http://wklej.to/OrWbX
OTL: http://wklej.to/tOXhs
EXTRAS: http://wklej.to/yZPQv

[mateo8898]

No nieźle nas tu chcesz robić w balona. Podajesz logi po wykonaniu skryptu z innego forum. Liczyłeś na to, że nikt tego nie zauważy???