[Mech]

Witam.
Ostatnio pobrałem plik z facebooka miało to być zdjęcie gdy chciałem otworzyć plik pojawiła się klepsydra i dalej nic nie było więc pomyślałem że to pewnie jakiś wirus sprawdziłem procesy w menedżer zadań i było że jest uruchomiony wyłączyłem to i usunąłem plik z pulpitu ale dziś zauważyłem że ten plik dalej jest w autostart
więc go chciałem usunąć ale nie da się bo wyskakuje że plik jest uruchomiony w procesach go nie ma w trybie awaryjnym go usunąłem ale gdy uruchomiłem od nowa komputer to plik sam się przywrócił do autostart.
może mi ktoś pomóc jak to usunąć?

[Jackie]

Daj logi z programu OTL, tutaj instrukcja: http://www.fastpc.pl/thread-5348.html
Jak się nazywa owy plik?

Przenoszę do działu bezpieczeństwa.

[Mech]

Nazwa pliku " efmib.exe "
A w tej instrukcji nie wyświetlają się mi obrazki więc nie wiem jak ustawić opcje program

[Jackie]

W puste okienko programu OTL wklej poniższy skrypt i wciśnij: Wykonaj skrypt:

:OTL

IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Security Risk Page = about:SecurityRisk
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,CustomizeSearch = http://ie.search.msn.com/{SUB_RFC1766}/s...chasst.htm
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = http://ie.search.msn.com/{SUB_RFC1766}/s...chasst.htm
IE - HKU\S-1-5-21-117609710-179605362-1801674531-1003\..\SearchScopes\{0388404D-6072-4CEB-B521-8F090FEAEE57}: "URL" = http://klit.startnow.com/s/?q={searchTer...rer:source}
IE - HKU\S-1-5-21-117609710-179605362-1801674531-1003\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = http://search.live.com/results.aspx?q={s...orm=IE8SRC
IE - HKU\S-1-5-21-117609710-179605362-1801674531-1003\..\SearchScopes\{0E6DD755-D957-4B3C-BBBE-06AC5CEB4AD6}: "URL" = http://search.yahoo.com/search?fr=chr-gr...earchTerms}
CHR - default_search_provider: search_url = {google:baseURL}search?{google:RLZ}{google:acceptedSuggestion}{google:originalQueryForSuggestion}{google:searchFieldtrialParameter}sourceid=chrome&ie={inputEncoding}&q={searchTerms}
CHR - default_search_provider: suggest_url = {google:baseSuggestURL}search?{google:searchFieldtrialParameter}client=chrome&hl={language}&q={searchTerms}
O3 - HKU\S-1-5-21-117609710-179605362-1801674531-1003\..\Toolbar\ShellBrowser: (&Adres) - {01E04581-4EEE-11D0-BFE9-00AA005B4383} - C:\WINDOWS\system32\browseui.dll (Microsoft Corporation)
O3 - HKU\S-1-5-21-117609710-179605362-1801674531-1003\..\Toolbar\WebBrowser: (&Adres) - {01E04581-4EEE-11D0-BFE9-00AA005B4383} - C:\WINDOWS\system32\browseui.dll (Microsoft Corporation)
O3 - HKU\S-1-5-21-117609710-179605362-1801674531-1003\..\Toolbar\WebBrowser: (&Łącza) - {0E5CBF21-D15F-11D0-8301-00AA005B4383} - C:\WINDOWS\system32\shell32.dll (Microsoft Corporation)
O4 - HKU\S-1-5-21-117609710-179605362-1801674531-1003..\Run: [hdkyfat] C:\Documents and Settings\Mech\Ustawienia lokalne\Dane aplikacji\grwpnj.exe ()
O4 - HKU\S-1-5-21-117609710-179605362-1801674531-1003..\Run: [Microsoft Windows System] C:\Documents and Settings\Mech\P-7-78-8964-9648-3874\windll.exe ()
O4 - Startup: C:\Documents and Settings\Mech\Menu Start\Programy\Autostart\efmib.exe ()

:Files
C:\Documents and Settings\Mech\P-7-78-8964-9648-3874\windll.exe
C:\Documents and Settings\Mech\Ustawienia lokalne\Dane aplikacji\grwpnj.exe
C:\found.000
C:\Documents and Settings\Mech\Menu Start\Programy\Autostart\efmib.exe
C:\Documents and Settings\Mech\Ustawienia lokalne\Dane aplikacji\grwpnj.exe

:Commands
[emptytemp]
[emptyflash]
[clearallrestorepoints]

Wykonaj po tym pełny skan programem Malware: http://www.dobreprogramy.pl/Malwarebytes...13117.html usuń co znajdzie i daj nowego loga z OTL po tej operacji.

[Jackie]

Wirus usunięty, komputer czysty.
Teraz uruchom program OTL i kliknij na przycisk: Sprzątanie.
To byłoby na tyle.

[Mech]

Ok wielkie dzięki za pomoc.

[Mech]

Pasek adresu mam cały czas zaznaczony

[Jackie]

Spróbuj odznaczyć i zaznaczyć ponownie.

[Mech]

Już to robiłem a jak odznaczę wyłączę okno i włączę to samo się zaznacza

[monster]

------------------->>@Jackie

O3 - HKU\S-1-5-21-117609710-179605362-1801674531-1003\..\Toolbar\ShellBrowser: (&Adres) - {01E04581-4EEE-11D0-BFE9-00AA005B4383} - C:\WINDOWS\system32\browseui.dll (Microsoft Corporation)
O3 - HKU\S-1-5-21-117609710-179605362-1801674531-1003\..\Toolbar\WebBrowser: (&Adres) - {01E04581-4EEE-11D0-BFE9-00AA005B4383} - C:\WINDOWS\system32\browseui.dll (Microsoft Corporation)
O3 - HKU\S-1-5-21-117609710-179605362-1801674531-1003\..\Toolbar\WebBrowser: (&Łącza) - {0E5CBF21-D15F-11D0-8301-00AA005B4383} - C:\WINDOWS\system32\shell32.dll (Microsoft Corporation)

W taki sposób nie wolno podawać do Sriptu usuwającego, bo w ten sposób ułożony Script usunął prawidłowe pliki Systemowe!
Można było, co najwyżej, usunąć same klucze (w Scripcie umieścić je pod komendą :Reg, a nie pod komendą :OTL ), ale w żadnym przypadku pliki!

------------->>@Mech

Wyciągnij te pliki z Kwarantanny C:\_OTL
Wstaw je spowrotem do folderu C:\WINDOWS\system32
Usuń z ich nazw przyrostek .vir.

[Mech]

Tylko że ja już odinstalowałem OTL

[Mech]

Nie mogę ich podmienić wyświetla się komunikat o tym że pliki już istnieją

[monster]

Wygląda więc na to, że System sam je odrodził, a w przypadku "shell32.exe" pewnie nie dopuścił do usunięcia.

.

[Mech]

Czyli po jakimś czasie Pasek Adresu sam się pojawi

[Nestee]

powinien..
Informacja od moderatora:
Wiadomość nie wnosząca nic do tematu, spam. +20%