Skróty zamiast plików na pendrive - infekcja na Windows XP SP3

Witam, zapewne było już kilka podobnych wątków, ale niestety nie pomogły mi.

Problem jest jak zawsze ten sam - skrót zamiast plików. W domu posiadam 3 laptopy, każdy z nich ma innego windowsa (xp, vista, 7) na każdym dzieje się tak samo. Po włożeniu pendrive'a widoczny jest jedynie skrót do niego a nie pliki.

Zajmijmy się jednym komputerem aby nie mącić wszystkimi trzema bez przerwy.

Windows XP SP3 (chyba wszystkie aktualizacje)
Zainstalowałem AVG Internet Security 2013 jednak to nie pomaga. Skanując zarażony pendrive nie wynajduje zagrożeń. Po przeskanowanie całego systemu czasami coś znajdzie i usunie, ale problem nadal pozostaje.

Ściągnąłem USBfix i faktycznie pozwala zabezpieczyć pendrive'a. Mogę wyciągać i wkładać ile razy chcę i skrót nie pojawia się. Niestety po sformatowaniu i ponownym podłączeniu skróty wracają. Wnioskuję, że infekcja nadal jest na komputerze.

Czytałem również, że pomocny jest OTL ale nie bardzo wiem co mam z nim zrobić. Uruchomiłem raz skan, trochę czasu mu to zajęło ale wypluł jakieś logi. Nie znam się na tym więc wiele mi nie mówią. Nie bardzo też wiem jakie opcje w OTL pozaznaczać aby były w logu jakieś pożyteczne informacje. Bardzo proszę o podanie co powinienem zmienić w opcjach by było ok.

Nie jestem zbytnio zaawansowanym użytkownikiem więc proszę o możliwie proste instrukcje.
Jaki antyvirus będzie lepszy od AVG? Jak widać ten nie daje sobie rady.

W załącznikach umieszczam log z USBfix'a, dwa logi z OTL oraz zdjęcie opcji OTL które miałem zaznaczone podczas skanowania.

Nie bardzo też wiem, jak ustwić abym pendriva nie odpalał się automatycznie. Zaznaczam te opcje w windowsie ale to nic nie zmienia.

Musisz dać logi ze wszystkich komputerów. W OTL zaznacz dodatkowy: wszyscy użytkownicy, lop oraz purity. Przed wykonaniem logów użyj AdwCleaner, opcja "Delete".

Wykonaj skrypt w OTL:

:OTL
SRV - File not found [Auto | Stopped] -- C:\Documents and Settings\All Users\Dane aplikacji\eSafe\eGdpSvc.exe -- (eSafeSvc)
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Secondary Start Pages = Reg Error: Value error.
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run: 11030 = C:\DOCUME~1\ALLUSE~1\LOCALS~1\Temp\ccfvch.scr (House)

:Files
G:\4#IJBYDXNHCGIFFSZMXJKQ.ini
C:\DOCUME~1\ALLUSE~1\LOCALS~1\Temp\ccfvch.scr

:Commands
[emptytemp]

Zrobiłem jak mówiłeś.

Najpierw użyłem AdwCleaner.
Uruchomiłem skan OTL.
Uruchomiłem skrypt.

Otrzymane pliki w załącznikach

Jeszcze raz powinienem czymś przeskanować czy już powinno być teoretycznie czysto?

Logi z innych komputerów dam jak tu wszystko będzie ok. Wolę najpierw na moim sprawdzić czy wszystko się udało.

Nie wykonales skryptu. Zgaduje, ze skopiowales bez :OTL na poczatku. Wykonaj jeszcze raz tym razem poprawnie.

Skrypt wykonałem, widać jednego pliku nie dodałem.

Wszystko wykonałem w takiej kolejności jak napisałem. Jeżeli najpierw powinien być skrypt a potem skan to zaraz odpalę od nowa.

Nie bardzo wiem jak dodać jeden plik bo wyskakuje komunikat na forum "Rozszerzenie log jest zabronione". Przesyłem w .rar. Mam nadzieję, że to nic złego.

Skrypt i dopiero log. Ale juz widze, ze jest ok. To wszystko jezeli chodzi o ten komputer.

Czy jak teraz zrobię format pendrive'a, i włożę ponownie do komputera to powinno być ok i skróty już się nie pojawią?

A co z AVG? Dlaczego nie wynajduje zagrożeń? Jakiś lepszy program polecisz?

Nie ma juz infekcji, nie utworza sie.

Na przyszlosc jezeli spotkasz sie z ta infekcja to nie klikaj na skrot, ktory tworzy tylko wlacz pokazywanie plikow chronionych oraz ukrytych i usun recznie infekcje z nosnika.

Wszystkie programy sa bezuzyteczne, wiec nie moge Ci nic polecic. Zostaw AVG skoro juz masz.

Z windowsa 7, do visty niestety nie mam teraz dostępu.

Na XP wygląda, że pomogło, dzięki

Na przyszłość: problem związany jest z jakąś odmianą wirusa NIL. Pomaga przeskanowanie programem Malwarebytes Anti-Malware, a następnie spod IE programem ESET Online.
Jeśli zależy Ci na danych z pendrive, uruchom dowolną dystrybucję Live Linuxa i pod nim podłącz pendrive. Usuwasz plik autorun.inf, wchodzisz w folder bez nazwy, wycinasz pliki które chcesz ocalić i wklejasz do folderu głównego pendrive. Na koniec usuwasz pusty już folder bez nazwy.
Zalecane jest skopiowanie pod Linuksem danych z pustego folderu na dysk, a potem już format nośnika z poziomu Windowsa i przeniesienie plików na pendrive.
Trochę to brzmi skomplikowanie, ale to chyba najszybsza procedura.

mandrake13
Ta infekcja sklada sie z paru plikow i najszybciej mozna usunac ja recznie:
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run: 11030 = C:\DOCUME~1\ALLUSE~1\LOCALS~1\Temp\ccfvch.scr (House)
+ pliki z zainfekowanego nosnika. Nie trzeba niczym skanowac co zreszta moze przyniesc rozne efekty.

Formatowanie nosnika tez nie ma sensu.

Kolobos napisał:

+ pliki z zainfekowanego nosnika.

Masz na myśli pliki z folderu głównego, czy wszystkie z pendrive?
A co do formatowania to zauważyłem, że część plików jest niewidoczna pod Windowsem, a widoczna pod Linuksem, a kilka było widzianych przez Win, a pod Linuksem już nie. Dlatego dla pewności zalecałbym jednak formatowanie.

Tylko pliki.

Wszystkie sa widoczne pod windows:
x:\autorun.inf
x:\4#*losoweznaki*.ini
x:\desktop.ini
x:\Thumbs.db
x:\Removable Disk (xGB).lnk

Wystarczy wlaczyc pokazywanie plikow ukrytych oraz wylaczyc ukrywanie chronionych i wszystko widac. Trzeba to zrobic juz po otwarciu nosnika w przeciwnym razie uruchomi sie autorun.inf (o ile opcja jest wlaczona) i ponownie ukryje pliki przestawiajac opcje. Mozna tez uzyc: attrib -S -H x:\*
Po kliknieciu na x:\Removable Disk (xGB).lnk instaluje sie plik C:\DOCUME~1\ALLUSE~1\LOCALS~1\Temp\losweznaki.scr/.exe na komputerze, ktory infekuje kolejne nosniki.

Warto pozniej sprawdzic czy w katalogu bez nazwy z plikami z nosnika nie ma plikow (zazwyczaj exe) wchodzacych w sklad infekcji.

Kolobos, a czy mógłbym prosić skrypt do OTL, tak jak w poprzednim przypadku?

Odinstaluj Bing Bar.

Wykonaj skrypt w OTL:

:OTL
O3:64bit: - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
F3:64bit: - HKU\S-1-5-21-321097869-1989068128-67020608-1000 WinNT: Load - (C:\Users\Renata\LOCALS~1\Temp\ccvlgwwyt.exe) - File not found
F3 - HKU\S-1-5-21-321097869-1989068128-67020608-1000 WinNT: Load - (C:\Users\Renata\LOCALS~1\Temp\ccvlgwwyt.exe) - File not found

Wolan89 napisał:

A co z AVG? Dlaczego nie wynajduje zagrożeń? Jakiś lepszy program polecisz?

Kolobos napisał:

Na przyszlosc jezeli spotkasz sie z ta infekcja to nie klikaj na skrot, ktory tworzy tylko wlacz pokazywanie plikow chronionych oraz ukrytych i usun recznie infekcje z nosnika.

Wszystkie programy sa bezuzyteczne, wiec nie moge Ci nic polecic. Zostaw AVG skoro juz masz.

Pod pierwszym podpisuję się obiema rękami, ale z tym drugim zdaniem to nie do końca się zgodzę. Np. Avira praktycznie zawsze wychwytuje takie zainfekowane pendrive'y, poza tym ma bardzo przydatną funkcję blokady plików autostart z nośników wymiennych i to domyślnie włączoną - z tego, co pamiętam. Mankamentem dla niektórych jest to, że jest tylko w angielskiej i niemieckiej wersji.

Jak juz pisalem, ta infekcja tylko czesciowo korzysta z autorun, wiec blokowanie nic nie da.