Skróty zamiast plików na pendrive, logi OTL, infekcja na 3 komputerach, XP 32bit

Witam,
Chciałem się podłączyć do wątku bo mam ten sam problem na 3 kompach:(.
Użyłem AdwCleaner, opcja Scan i Clean i problem nie został rozwiązany.
Nie zależy mi na danych z pendriva ale na usunięciu przyczyny z komputerów.
W załączeniu logi OTL z jednego komputera.
Bardzo proszę o pomoc!
Proszę też o info czy przestawioną metodę mogę zastosować na wszystkich 3 kompach czy też muszę przygotować skany otl z pozostałych dwóch (te dwa pozostałe kompy są na XP32bity).

Odinstaluj:
Ad-Aware Browsing Protection
Pomysl tez nad wymiana tego starocia na cos nowszego:
F-Secure Internet Security 2011, zreszta i tak nie wykrywa infekcji, wiec mozna go odinstalowac.

Wykonaj skrypt:

:OTL
O4 - HKCU..\Run: [home] wscript.exe //B "C:\Users\FUJITSU\AppData\Local\Temp\home.vbs" File not found
O4 - Startup: C:\Users\FUJITSU\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\home.vbs ()
[2013-09-24 15:17:16 | 000,150,772 | -HS- | C] () -- C:\Users\FUJITSU\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\home.vbs


Daj log z USBFix z opcji listing.

Musisz dac logi z OTL oraz USBFix, ze wszystkich trzech komputerow.

Zrobiłem tak jak napisałeś.
W zal log z USBFix.
Czy mam jeszcze coś robić z tym kompem - czy już wszystko ok?
Mam licencję na F-Secura 2013 ale robił blue screeny więc cofnąłem się do poprzednio używanego czyli FS2011. Jaki program byś polecał zamiast niego (komputery są stale narażone na zagrożenie bo ciągle przychodzą ludzie z zewnątrz z pendrivami)?? Dodam jeszcze że potrzebowałbym programu w rozsądnej cenie do zastosowań komercyjnych.
Skany z pozostałych kompów wrzucę dzisiaj/jutro.
Dzięki za pomoc!

Takich infekcji nie zablokujesz, nie wazne co zainstalujesz. Wiekszosc juz nie korzysta z autorun tak jak ma to miejsce w tym przypadku tylko z linkow, ktore po uruchomieniu instaluja szkodliwe oprogramowanie na komputerze i infekuja kolejne podlaczone nosniki.


Skrypt:

:Files
G:\home.vbs
G:\Klopsiki.lnk
G:\Kung_Fu_Panda.lnk
G:\Madagascar2_Ucieczka_z_Afryki.lnk
G:\Mustang_z_dzikiej_doliny.lnk
attrib /D /S -S -H G:\* /C

Wykonałem skrypt w OTL.
Niestety problem pozostał - podłączyłem inny pen i utworzyły się skróty.
W załączeniu ponowne logi.
Mam nadzieję że uda się to jakoś rozwiązać z Twoją pomocą
A możesz mi jeszcze powiedzieć w jaki sposób "przenosi" się ten wirus - przez peny ze skrótami czy jakoś inaczej? Co mam zrobić z innymi penami gdzie już są skróty - sformatować czy jest jakiś inny sposób?

> Wykonałem skrypt w OTL.

Nie wykonales.

> Niestety problem pozostał - podłączyłem inny pen i utworzyły się skróty.

Nic dziwnego.

> A możesz mi jeszcze powiedzieć w jaki sposób "przenosi" się ten wirus - przez peny ze > skrótami czy jakoś inaczej?

Przeciez napisalem w poprzedniej wiadomosci.

> Co mam zrobić z innymi penami gdzie już są skróty - sformatować czy jest jakiś inny sposób?

Usun skroty i atrybut ukryty ze swoich plikow/katalogow.

Czy wklejenie calego skryptu do OTL i nacisniecie wykonaj skrypt to az taki duzy problem?

Tym razem wykonaj poprawnie:

:OTL
O4 - HKCU..\Run: [home] wscript.exe //B "C:\Users\FUJITSU\AppData\Local\Temp\home.vbs" File not found
O4 - Startup: C:\Users\FUJITSU\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\home.vbs ()
[2013-09-24 15:17:16 | 000,150,772 | -HS- | C] () -- C:\Users\FUJITSU\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\home.vbs

:Files
G:\home.vbs
G:\Klopsiki.lnk
G:\Kung_Fu_Panda.lnk
G:\Madagascar2_Ucieczka_z_Afryki.lnk
G:\Mustang_z_dzikiej_doliny.lnk
C:\Users\FUJITSU\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\home.vbs
C:\Users\FUJITSU\AppData\Local\Temp\home.vbs
attrib /D /S -S -H G:\* /C


Daj log z wykonania skryptu.

Nie wiem co poszło poprzednio poszło nie tak ale tym razem zadziałało a robiłem w identyczny sposób. Dzięki bardzo za pomoc. Jeszcze jedno pytanie - skoro wirus jest gdzieś na penach to po włożeniu do usb komputer będzie znów od razu zainfekowany - czy się mylę?
W załączeniu logi.
Jeżeli mogę to jutro będę Cię prosił jeszcze o pomoc przy 2 kompach.
Dzięki raz jeszcze!

Nie ma juz infekcji. Skrypt, ktory podalem usunal infekcje z pendrivea.

A co z innymi pendriveami? Muszę zrobić takie skrypty dla wszystkich?

Tak, podlacz wszystkie zainfekowane do zainfekowanego komputera i daj log z USBFix + OTL.

Wykonałem czyszczenie AdwCleaner, opcja Scan i Clean na pozostałych dwóch kompach.
W załączeniu logi z czyszczenia AdwCleaner, OTLa i USBfixa. Podłączyłem do kompów wszystkie zainfekowane peny przed USBfixem.
Mam jeszcze 2 pytania:
1) mamy NASa na którym jest partycja publiczna (z czy tamtędy może się przenosić vir i ewentualnie jak go z tego dysku usunąć?
2) podłączałem co najmniej kilka razy zainfekowane peny do mojego kompa na windowsie 7 64 bity ale nie mam żadnych objawów infekcji dlaczego?

Mam jeszcze pytanie czy jest jakiś sposób na czyszczenie samych penów bez pisania skryptu dla każdego osobno? Bardzo proszę o pomoc.

> 1) mamy NASa na którym jest partycja publiczna (z czy tamtędy może się przenosić vir i ewentualnie jak go z tego dysku usunąć?

Sprawdz czy utworzyly sie skroty, jezeli sa to je usun.

> 2) podłączałem co najmniej kilka razy zainfekowane peny do mojego kompa na windowsie 7 64 bity ale nie mam żadnych objawów infekcji dlaczego?

Nie uruchomiles skrotow, antywirus zablokowal itp.


-> OTLDELL280

Odinstaluj:
PDFCreator Toolbar

Zainstaluj: http://ninite.com/java/

Wykonaj skrypt w OTL:

:OTL
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://www.golsearch.com/?babsrc=HP_ss_Btisdt6&mntrId=48DE00123F3A8781&affID=119357&tsp=501
O4 - HKLM..\Run: [home] wscript.exe //B "C:\DOCUME~1\DELL\USTAWI~1\Temp\home.vbs" File not found
O4 - HKCU..\Run: [home] wscript.exe //B "C:\DOCUME~1\DELL\USTAWI~1\Temp\home.vbs" File not found
O4 - Startup: C:\Documents and Settings\DELL\Menu Start\Programy\Autostart\home.vbs ()
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jinstall-1_6_0_45-windows-i586.cab (Java Plug-in 1.6.0_45)
O16 - DPF: {CAFEEFAC-0014-0002-0019-ABCDEFFEDCBA} http://java.sun.com/products/plugin/autodl/jinstall-142-windows-i586.cab (Java Plug-in 1.4.2_19)
O16 - DPF: {CAFEEFAC-0016-0000-0045-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_45-windows-i586.cab (Java Plug-in 1.6.0_45)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_45-windows-i586.cab (Java Plug-in 1.6.0_45)
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab (Reg Error: Key error.)
O20 - AppInit_DLLs: (C:\DOCUME~1\DELL\USTAWI~1\DANEAP~1\DProtect\eBP.dll) - File not found
O20 - AppInit_DLLs: (C:\Documents and Settings\DELL\Ustawienia lokalne\Dane aplikacji\DProtect\eBPSD.dll) - File not found
[2013-09-16 08:43:37 | 000,150,772 | -HS- | C] () -- C:\Documents and Settings\DELL\Menu Start\Programy\Autostart\home.vbs

:Files
[30/07/2013 - 08:24:52 | SH | 150772] E:\home.vbs
[02/10/2013 - 08:44:52 | A | 1413] E:\list motywacyjnystraz miejska natla.lnk
[02/10/2013 - 08:44:52 | A | 1339] E:\Demony 2012 .lnk
[02/10/2013 - 08:44:52 | A | 1417] E:\American Pie Zjazd Absolwentów (2012) PL.lnk
[02/10/2013 - 08:44:54 | A | 1391] E:\Kapłan zła - Priest of Evil - Lektor PL - 2010r.lnk
[02/10/2013 - 08:44:54 | A | 1337] E:\wniosek o przeszkolenie 2011 - 1.lnk
[02/10/2013 - 08:44:54 | A | 1309] E:\Kwestionariusz_osobowy-straz.lnk
[02/10/2013 - 08:44:54 | A | 1275] E:\literka U.lnk
[02/10/2013 - 08:44:54 | A | 1315] E:\KATALOG GRUPA POŁUDNIE v3.lnk
[02/10/2013 - 08:44:56 | A | 1373] E:\Zamiana ciał - The Change Up (2011)(Lektor PL).lnk
[02/10/2013 - 08:44:56 | A | 555] E:\The Fountain Aztek - Żródło PL.lnk
[02/10/2013 - 08:44:56 | A | 483] E:\Thor.lnk
[02/10/2013 - 08:44:56 | A | 505] E:\ocrg_2012_10_01.lnk
[02/10/2013 - 08:44:56 | A | 491] E:\Medigold.lnk
[30/07/2013 - 08:24:52 | SH | 150772] F:\home.vbs
[02/10/2013 - 08:44:56 | A | 1438] F:\ING2.lnk
[02/10/2013 - 08:44:58 | A | 610] F:\ING2_2.lnk
[02/10/2013 - 08:44:56 | A | 620] F:\zdjęcie 1.lnk
[02/10/2013 - 08:44:58 | A | 620] F:\zdjęcie 2.lnk
[02/10/2013 - 08:44:58 | A | 614] F:\ING2_2~1.lnk
[02/10/2013 - 08:44:58 | A | 1480] F:\Subtitles film 2.lnk
[02/10/2013 - 08:44:58 | A | 1440] F:\ing2c.lnk
[02/10/2013 - 08:44:58 | A | 610] F:\mslast.lnk
[02/10/2013 - 08:44:58 | A | 1474] F:\newsletter no.lnk
[02/10/2013 - 08:44:58 | A | 1446] F:\_disk_id.lnk
[02/10/2013 - 08:44:58 | A | 1452] F:\My Movie3.lnk
[02/10/2013 - 08:44:58 | A | 1474] F:\Newsletter3_ostateczna.lnk
[02/10/2013 - 08:44:58 | A | 1464] F:\My Movie3 (2).lnk
[02/10/2013 - 08:44:58 | A | 1546] F:\zaświadczenie (1).lnk
[02/10/2013 - 08:44:58 | A | 782] F:\The National - Trouble Will Find Me (2013) 320kbs.lnk
[02/10/2013 - 08:44:58 | A | 670] F:\wer ost.lnk
[02/10/2013 - 08:44:58 | A | 772] F:\The Tom Fun Orchestra - Earthworm Heart (2012).lnk
[02/10/2013 - 08:44:58 | A | 672] F:\2013.09.30.lnk
[02/10/2013 - 08:44:58 | A | 1307] G:\Lorax.lnk
[02/10/2013 - 08:44:58 | A | 1303] G:\Hop.lnk
[30/07/2013 - 08:24:52 | SH | 150772] G:\home.vbs
attrib /D /S -S -H E:\* /C
attrib /D /S -S -H F:\* /C
attrib /D /S -S -H G:\* /C


Calosc wklej do OTL i wykonaj, po wykonaniu daj log z wykonania oraz nowe logi ze skanowania z USBFix oraz OTL.


-> HPNX9400
Odinstaluj Adobe Reader 7.0.5 lub zmien na najnowsza wersje.
Zamiast AR mozesz zainstalowac Foxit lub Sumatre z ninite.com

Java: http://ninite.com/java/
Skrypt:

:OTL
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No CLSID value found.
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {C4069E3A-68F1-403E-B40E-20066696354B} - No CLSID value found.
O4 - HKLM..\Run: [home] wscript.exe //B "C:\DOCUME~1\HPNX\USTAWI~1\Temp\home.vbs" File not found
O4 - HKCU..\Run: [home] wscript.exe //B "C:\DOCUME~1\HPNX\USTAWI~1\Temp\home.vbs" File not found
O4 - Startup: C:\Documents and Settings\HPNX\Menu Start\Programy\Autostart\home.vbs ()
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.5.0/jinstall-1_5_0_06-windows-i586.cab (Java Plug-in 1.5.0_06)
O16 - DPF: {CAFEEFAC-0015-0000-0006-ABCDEFFEDCBA} http://java.sun.com/update/1.5.0/jinstall-1_5_0_06-windows-i586.cab (Java Plug-in 1.5.0_06)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.5.0/jinstall-1_5_0_06-windows-i586.cab (Java Plug-in 1.5.0_06)
[2013-09-24 08:59:08 | 000,150,772 | -HS- | C] () -- C:\Documents and Settings\HPNX\Menu Start\Programy\Autostart\home.vbs

:Files
[30/07/2013 - 08:24:52 | SH | 150772] G:\home.vbs
[02/10/2013 - 08:38:58 | A | 539] G:\New Folder (2).lnk
[02/10/2013 - 08:38:52 | A | 1335] G:\2.lnk
[02/10/2013 - 08:38:54 | A | 1335] G:\1.lnk
[02/10/2013 - 08:38:54 | A | 1335] G:\3.lnk
[02/10/2013 - 08:38:54 | A | 1357] G:\Problematyka.lnk
[02/10/2013 - 08:38:56 | A | 1369] G:\I Faza wstępna.lnk
[02/10/2013 - 08:38:56 | A | 1381] G:\Preromantyzm angielski.lnk
[02/10/2013 - 08:38:56 | A | 1387] G:\prezentacja o anoreksji.lnk
[30/07/2013 - 08:24:52 | SH | 150772] H:\home.vbs
[02/10/2013 - 08:38:58 | A | 1357] H:\wniosek (6).lnk
[02/10/2013 - 08:38:58 | A | 1481] H:\kinno.lnk
[02/10/2013 - 08:38:58 | A | 591] H:\American Pie Reunion 2012 TS XVID V3 - WBZ.lnk
[02/10/2013 - 08:38:58 | A | 619] H:\Fast and Furious 5 Fast Five (2011) DVDRip XviD-MAXSPEED.lnk
[02/10/2013 - 08:38:58 | A | 501] H:\Moje obrazy.lnk
[30/07/2013 - 08:24:52 | SH | 150772] I:\home.vbs
[30/09/2013 - 14:13:34 | A | 479] I:\autorun.lnk
[02/10/2013 - 08:38:58 | A | 1421] I:\rodzaje ryzyka w instytucji finansowych.lnk
[02/10/2013 - 08:38:58 | A | 1403] I:\PRAWO KONSTYTUCYJNE kazusy i Ä.lnk
[02/10/2013 - 08:38:58 | A | 1353] I:\wizytówka 1.lnk
[30/09/2013 - 14:13:34 | A | 437] I:\boabud.lnk
[02/10/2013 - 08:39:00 | A | 487] I:\veliki.lnk
[02/10/2013 - 08:39:00 | A | 485] I:\aliuz.lnk
[02/10/2013 - 08:39:00 | A | 491] I:\keyboard.lnk
[02/10/2013 - 08:39:00 | A | 493] I:\mojbiznis.lnk
[02/10/2013 - 08:39:00 | A | 489] I:\zvornik.lnk
[02/10/2013 - 08:39:00 | A | 491] I:\pogresna.lnk
[02/10/2013 - 08:39:00 | A | 513] I:\Nowy folder (2).lnk
[02/10/2013 - 08:39:00 | A | 487] I:\gasgas.lnk
[02/10/2013 - 08:39:00 | A | 497] I:\Praca MGR.lnk
[02/10/2013 - 08:39:00 | A | 491] I:\Recycled.lnk
[02/10/2013 - 08:39:00 | A | 491] I:\RECYCLER.lnk
[02/10/2013 - 08:39:00 | A | 493] I:\shakalito.lnk
[02/10/2013 - 08:38:58 | A | 569] I:\dodatkowe teksty do plakatu i ulotki.lnk
attrib /D /S -S -H G:\* /C
attrib /D /S -S -H H:\* /C
attrib /D /S -S -H I:\* /C


Po wykonaniu daj log z wykonania skryptu, log z otl oraz usbfix.

Na razie zrobiłem wszystko jak napisałeś na OTLDELL280 niestety problem pozostał. Skrypt wykonałem raz i ni zadziałał więc zrobiłem restart kompa i jeszcze raz wykonałem ale nic się nie zmieniło. W załączeniu komplet logów. Nad drugim kompem siedzę i wrzucę jak tylko skończę. Możesz mi jeszcze powiedzieć czy jak ktoś przyjdzie z zainfekowanym przeze mnie penem to czy jestem to w stanie naprawić i usunąć wirusa jakimś programem bez pisania skryptu?

W załączeniu pliki z drugiego kompa. Niestety nic się na razie nie zmieniło. Proszę zerknij na to jeszcze raz jeżeli możesz.

Miałem ten sam problem, po uruchomienu czegoś pokazywał się napis o braku jakiegoś pliku. Plik ten pobrałem (jakąś dziwną nazwę miał, cyfry, litery itp.) wrzuciłem na pedrive, pokazały się normalne foldery - pliki skopiowąlem na komputer, pendrive sformatowałem kilka razy i problem został naprawiony. Plik ten został usunięty najprawdopodobniej przez antywirus - oczywiście obsługiwał on dostęp do plików znajdujących się na pamięci przenośnej.
Czy po uruchomieniu jakiegoś skrótu pokazuje się komunikat? Jeśli tak, to jaki? Nie usuwaj, ani nie formatuj plików z pendrive, ponieważ możesz bardzo łatwo utracić dane.
----------
To usunięcie pliku to tak, jakbyś usunął plik systemowy - uniemożliwony zostaje dostęp do systemu, pokazują się błędy, po ponownym zainstalowaniu go (pliku) system odzyskuje sprawność. Taka sama sytuacja jest u Ciebie, tyle że na pendrivie.

Dodano po 6 [minuty]:

Zobacz, czy da radę program Pandora Recovery.

Po kliknięciu na skrót do pliku odpala się normalnie plik docelowy. Po kliknięciu na skrót do folderu w nowym oknie pojawia się folder z normalnymi plikami wewnątrz folderu chociaż sam folder jest ukryty. Pliki wewnątrz folderów nie są zmieniane jedynie te w katalogu głównym. Także to co innego. Kolobos świetnie mi pomógł z jednym kompem - wszystko wróciło do normy i działa idealnie natomiast z tymi dwoma na razie jest lipa. Niestety sam sobie z tym nie poradzę więc bardzo proszę o pomoc!

Czy możesz te pliki skopiować do jakiegoś folderu?

Tak mogę. Tylko co to da. To świństwo jest zarówno w kompie jak i na penach. Jak włożę zdrowego pena zo zainfekowanego kompa to od razu na penie robią się skróty...

Dodano po 42 [minuty]:

Tak mogę. Tylko co to da. To świństwo jest zarówno w kompie jak i na penach. Jak włożę zdrowego pena zo zainfekowanego kompa to od razu na penie robią się skróty...

Zrobilem blad w skrypcie.

Dla 1 komputera:

:Files
E:\home.vbs
E:\*.lnk
F:\home.vbs
F:\*.lnk
G:\*.lnk
G:\home.vbs
attrib /D /S -S -H E:\* /C
attrib /D /S -S -H F:\* /C
attrib /D /S -S -H G:\* /C

Dla drugiego:

:Files
G:\home.vbs
G:\*.lnk
H:\home.vbs
H:\*.lnk
I:\home.vbs
I:\*.lnk
attrib /D /S -S -H G:\* /C
attrib /D /S -S -H H:\* /C
attrib /D /S -S -H I:\* /C

Po wykonaniu daj nowe logi.

pioruowski998987654321
Niczego nie utraci, wszystkie pliki sa ukryte, widoczne sa tylko skroty. Wszystko widac w logach.

Zrobiłem różne kombinacje - samego skryptu :files, skryptu :otl i :files oraz wyjąłem wszystkie peny i zapuściłem sam skrypt :otl. Niestety nic nie pomogło. Infekcja musi siedzieć gdzieś w tych kompach bo po wyjęciu penów i zapuszczeniu skryptu :otl jak włożyłem zdrowego pena to został zainfekowany. Stąd wnioskuję że gdzieś to świństwo musi siedzieć dalej w kompie. W złączeniu logi. Nie chcę nadwyrężać twojej życzliwości Kolobos więc może znasz jakiś skaner online który sobie z tym poradzi? Jeżeli takowego nie ma to bardzo proszę żebyś jeszcze raz na to zerknął bo sam tego nie ogarnę! Dzięki raz jeszcze za pomoc!

Kolobos - skrypt który teraz podałeś super czyści zainfekowane peny po wykonaniu go na pierwszym komputerze który dzięki Tobie jest już czysty:). Problem tylko jeszcze w tych 2 kompach DELL280 i HPNX9400 bo one ciągle pozostają zainfekowane.

-> HPNX9400v3

Skrypt:

:OTL
O4 - HKLM..\Run: [home] wscript.exe //B "C:\DOCUME~1\HPNX\USTAWI~1\Temp\home.vbs" File not found
O4 - HKU\S-1-5-21-1347118556-4180654515-3599268702-1006..\Run: [home] wscript.exe //B "C:\DOCUME~1\HPNX\USTAWI~1\Temp\home.vbs" File not found
O4 - Startup: C:\Documents and Settings\HPNX\Menu Start\Programy\Autostart\home.vbs ()

:Files
C:\Documents and Settings\HPNX\Menu Start\Programy\Autostart\home.vbs
H:\home.vbs
H:\*.lnk
I:\home.vbs
I:\*.lnk
attrib /D /S -S -H I:\* /C
attrib /D /S -S -H H:\* /C
attrib /D /S -S -H R:\* /C

-> OTLDELL280v3

Skrypt:

:OTL
O4 - HKLM..\Run: [home] wscript.exe //B "C:\DOCUME~1\DELL\USTAWI~1\Temp\home.vbs" File not found
O4 - HKU\S-1-5-21-527237240-764733703-725345543-1003..\Run: [home] wscript.exe //B "C:\DOCUME~1\DELL\USTAWI~1\Temp\home.vbs" File not found
O4 - Startup: C:\Documents and Settings\DELL\Menu Start\Programy\Autostart\home.vbs ()

:Files
E:\*.lnk
E:\home.vbs
F:\home.vbs
F:\*.lnk
G:\home.vbs
G:\*.lnk
C:\Documents and Settings\DELL\Menu Start\Programy\Autostart\home.vbs
attrib /D /S -S -H E:\* /C
attrib /D /S -S -H F:\* /C
attrib /D /S -S -H G:\* /C

Kolobos WIELKIE dzięki za pomoc. W twoich skryptach dokonałem pewnej modyfikacji ponieważ plik home.vbs znalazłem jeszcze w innych miejscach na dysku i dodatkowo przy leczeniu samego kompa najpierw musiałem usunąć peny, a dopiero potem usunąć infekcję z samych penów. Poniżej podaje skrypty jakich użyłem:

:OTL
O4 - HKLM..\Run: [home] wscript.exe //B "C:\DOCUME~1\DELL\USTAWI~1\Temp\home.vbs" File not found
O4 - HKU\S-1-5-21-527237240-764733703-725345543-1003..\Run: [home] wscript.exe //B "C:\DOCUME~1\DELL\USTAWI~1\Temp\home.vbs" File not found
O4 - Startup: C:\Documents and Settings\DELL\Menu Start\Programy\Autostart\home.vbs ()
O4 - Startup: C:\Documents and Settings\DELL\Ustawienia lokalne\Temp\home.vbs ()
:Files
E:\*.lnk
E:\home.vbs
F:\home.vbs
F:\*.lnk
G:\home.vbs
G:\*.lnk
C:\Documents and Settings\DELL\Menu Start\Programy\Autostart\home.vbs
attrib /D /S -S -H E:\* /C
attrib /D /S -S -H F:\* /C
attrib /D /S -S -H G:\* /C


:OTL
O4 - HKLM..\Run: [home] wscript.exe //B "C:\DOCUME~1\HPNX\USTAWI~1\Temp\home.vbs" File not found
O4 - HKU\S-1-5-21-1347118556-4180654515-3599268702-1006..\Run: [home] wscript.exe //B "C:\DOCUME~1\HPNX\USTAWI~1\Temp\home.vbs" File not found
O4 - Startup: C:\Documents and Settings\HPNX\Menu Start\Programy\Autostart\home.vbs ()
O4 - Startup: C:\Documents and Settings\HPNX\Ustawienia lokalne\Temp\home.vbs ()

:Files
C:\Documents and Settings\HPNX\Menu Start\Programy\Autostart\home.vbs
H:\home.vbs
H:\*.lnk
I:\home.vbs
I:\*.lnk
attrib /D /S -S -H I:\* /C
attrib /D /S -S -H H:\* /C
attrib /D /S -S -H R:\* /C

Jeszcze raz dziękuję!!!

Dodano po 2 [minuty]:

Czy mogę się jakoś odwdzięczyć - jestem tu nowy więc nie wiem?

witam mam podobny problem i nie potrafię sobie z nim poradzić. Pomożecie?

Odinstaluj Bonanza Deals (remove only),ESET Online Scanner v3.Użyj AdwCleaner http://general-changelog-team.fr/fr/downloads/finish/20-outils-de-xplode/2-adwcleaner z funkcji Skan a następnie Clean
Uruchom OTL i w okno (Własne opcje skanowania/Script)wklej:

Cytat:

:OTL
SRV - [2013-10-07 17:18:56 | 000,148,976 | ---- | M] (BonanzaDeals) [On_Demand | Stopped] -- C:\Program Files\BonanzaDealsLive\Update\BonanzaDealsLive.exe -- (bonanzadealslivem)
SRV - [2013-10-07 17:18:56 | 000,148,976 | ---- | M] (BonanzaDeals) [Auto | Stopped] -- C:\Program Files\BonanzaDealsLive\Update\BonanzaDealsLive.exe -- (bonanzadealslive)
O4 - HKLM..\RunOnce: [] File not found
[2013-10-07 17:19:20 | 000,000,914 | ---- | C] () -- C:\WINDOWS\tasks\BonanzaDealsLiveUpdateTaskMachineUA.job
[2013-10-07 17:19:20 | 000,000,910 | ---- | C] () -- C:\WINDOWS\tasks\BonanzaDealsLiveUpdateTaskMachineCore.job

:Files
G:\Removable Disk (8GB).lnk
C:\DOCUME~1\UKASZ~1\USTAWI~1\Temp\pyl1C6.tmp.exe
C:\DOCUME~1\UKASZ~1\USTAWI~1\Temp\pyl25F.tmp.exe
G:\autorun.inf
G:\AUTORUN_.INF
G:\desktop.ini
G:\Thumbs.db

:Commands
[emptytemp]

Kliknij Wykonaj skrypt.Pokaż nowy OTL.txt i log USBFix z funkcji Listing.