Logi otl - infekcja wgsdgsdgdsgsd.exe i coś po rosyjsku

[luki_999]

Witajcie,

widzę, że temat już się pojawił na forum, no ale chyba każda sprawa jest unikalna.
Komputer wuja po włączeniu pokazuje tylko goły pulpit, w trybie awaryjnym się włącza się jakoś. Wykonuje właśnie skany OTLem.

Z góry dzięki za pomoc.

[ordynat]

1) Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:Files
C:\Users\mysticalcount\wgsdgsdgdsgsd.exe
C:\ProgramData\dsgsdgdsgdsgw.js
C:\Users\mysticalcount\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runctf.lnk
C:\ProgramData\dsgsdgdsgdsgw.pad
C:\Users\mysticalcount\jrtl.exe

:OTL
SRV:64bit: - File not found [On_Demand | Stopped] -- C:\Program Files\Trend Micro\AMSP\coreServiceShell.exe coreFrameworkHost.exe -- (Amsp)
SRV - [2012-12-24 21:56:25 | 000,894,920 | ---- | M] () [Auto | Stopped] -- C:\Program Files (x86)\Common Files\AVG Secure Search\vToolbarUpdater\13.3.2\ToolbarUpdater.exe -- (vToolbarUpdater13.3.2)
DRV:64bit: - [2012-12-24 21:56:25 | 000,030,568 | ---- | M] (AVG Technologies) [Kernel | System | Running] -- C:\Windows\SysNative\drivers\avgtpx64.sys -- (avgtp)
SRV - [2012-12-24 21:56:25 | 000,894,920 | ---- | M] () [Auto | Stopped] -- C:\Program Files (x86)\Common Files\AVG Secure Search\vToolbarUpdater\13.3.2\ToolbarUpdater.exe -- (vToolbarUpdater13.3.2)
IE:64bit: - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://searchfunmoods.com/?f=1&a=iron2&chnl=iron2&cd=2XzuyEtN2Y1L1Qzu0CzzyCtDtDtD0DyCyDzyyDtB0Ezy0AyCtN0D0Tzu0CtAtDyDtN1L2XzutBtFtBtFtDtFtAyEyE&cr=2132226720
IE:64bit: - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = http://searchfunmoods.com/results.php?f=4&q={searchTerms}&a=iron2&chnl=iron2&cd=2XzuyEtN2Y1L1Qzu0CzzyCtDtDtD0DyCyDzyyDtB0Ezy0AyCtN0D0Tzu0CtAtDyDtN1L2XzutBtFtBtFtDtFtAyEyE&cr=2132226720
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://searchfunmoods.com/?f=1&a=iron2&chnl=iron2&cd=2XzuyEtN2Y1L1Qzu0CzzyCtDtDtD0DyCyDzyyDtB0Ezy0AyCtN0D0Tzu0CtAtDyDtN1L2XzutBtFtBtFtDtFtAyEyE&cr=2132226720
IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = http://searchfunmoods.com/results.php?f=4&q={searchTerms}&a=iron2&chnl=iron2&cd=2XzuyEtN2Y1L1Qzu0CzzyCtDtDtD0DyCyDzyyDtB0Ezy0AyCtN0D0Tzu0CtAtDyDtN1L2XzutBtFtBtFtDtFtAyEyE&cr=2132226720
IE - HKLM\..\SearchScopes\{29320632-BD7F-3D96-F600-654AD59702B9}: "URL" = http://start.funmoods.com/results.php?f=4&q={searchTerms}&a=ironpub&chnl=ironpub&cd=2XzuyEtN2Y1L1Qzu0CzzyCtDtDtD0DyCyDzyyDtB0Ezy0AyCtN0D0Tzu0StByEtBtN1L2XzutBtFtCtFtCtFtAtCtB&cr=822319026
IE - HKU\S-1-5-21-814310408-3308586733-2167305392-1001\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://isearch.avg.com/?cid={15BDABDC-430B-4F4F-9A4D-0BE4B33A01B8}&mid=70ba0866b62f447b8343ba5d99989036-1b4e3dbd82c0776f32bcfe73a2331b136e8d534d&lang=pl&ds=xn011&pr=sa&d=2012-12-24 21:56:37&v=13.3.0.17&sap=hp
IE - HKU\S-1-5-21-814310408-3308586733-2167305392-1001\..\SearchScopes,Backup.Old.DefaultScope = {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}
IE - HKU\S-1-5-21-814310408-3308586733-2167305392-1001\..\SearchScopes,DefaultScope = {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}
IE - HKU\S-1-5-21-814310408-3308586733-2167305392-1001\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = http://searchfunmoods.com/results.php?f=4&q={searchTerms}&a=iron2&chnl=iron2&cd=2XzuyEtN2Y1L1Qzu0CzzyCtDtDtD0DyCyDzyyDtB0Ezy0AyCtN0D0Tzu0CtAtDyDtN1L2XzutBtFtBtFtDtFtAyEyE&cr=2132226720
IE - HKU\S-1-5-21-814310408-3308586733-2167305392-1001\..\SearchScopes\{29320632-BD7F-3D96-F600-654AD59702B9}: "URL" = http://start.funmoods.com/results.php?f=4&q={searchTerms}&a=ironpub&chnl=ironpub&cd=2XzuyEtN2Y1L1Qzu0CzzyCtDtDtD0DyCyDzyyDtB0Ezy0AyCtN0D0Tzu0StByEtBtN1L2XzutBtFtCtFtCtFtAtCtB&cr=822319026
IE - HKU\S-1-5-21-814310408-3308586733-2167305392-1001\..\SearchScopes\{6CE43F18-2B94-A673-7707-708A718E3B7C}: "URL" = http://search.babylon.com/?q={searchTerms}&affID=112555&babsrc=SP_ss&mntrId=6459e9a6000000000000beb70d4ead92
IE - HKU\S-1-5-21-814310408-3308586733-2167305392-1001\..\SearchScopes\{95B7759C-8C7F-4BF1-B163-73684A933233}: "URL" = http://isearch.avg.com/search?cid={15BDABDC-430B-4F4F-9A4D-0BE4B33A01B8}&mid=70ba0866b62f447b8343ba5d99989036-1b4e3dbd82c0776f32bcfe73a2331b136e8d534d&lang=pl&ds=xn011&pr=sa&d=2012-12-24 21:56:37&v=13.3.0.17&sap=dsp&q={searchTerms}
FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\extensions\\avg@toolbar: C:\ProgramData\AVG Secure Search\FireFoxExt\13.3.0.17 [2012-12-24 21:56:43 | 000,000,000 | ---D | M]
O2 - BHO: (Babylon toolbar helper) - {2EECD738-5844-4a99-B4B6-146BF802613B} - C:\Program Files (x86)\BabylonToolbar\BabylonToolbar\1.5.3.17\bh\BabylonToolbar.dll (Babylon BHO)
O2 - BHO: (Funmoods Helper Object) - {75EBB0AA-4214-4CB4-90EC-E3E07ECD04F7} - C:\PROGRA~2\Funmoods\1523~1.22\bh\escort.dll (Funmoods BHO)
O2 - BHO: (AVG Security Toolbar) - {95B7759C-8C7F-4BF1-B163-73684A933233} - C:\Program Files (x86)\AVG Secure Search\13.3.0.17\AVG Secure Search_toolbar.dll ()
O2 - BHO: (Yontoo) - {FD72061E-9FDE-484D-A58A-0BAB4151CAD8} - C:\Program Files (x86)\Yontoo\YontooIEClient.dll (Yontoo LLC)
O3:64bit: - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O3 - HKLM\..\Toolbar: (AVG Security Toolbar) - {95B7759C-8C7F-4BF1-B163-73684A933233} - C:\Program Files (x86)\AVG Secure Search\13.3.0.17\AVG Secure Search_toolbar.dll ()
O3 - HKLM\..\Toolbar: (Babylon Toolbar) - {98889811-442D-49dd-99D7-DC866BE87DBC} - C:\Program Files (x86)\BabylonToolbar\BabylonToolbar\1.5.3.17\BabylonToolbarTlbr.dll (Babylon Ltd.)
O3 - HKLM\..\Toolbar: (Funmoods Toolbar) - {A4C272EC-ED9E-4ACE-A6F2-9558C7F29EF3} - C:\PROGRA~2\Funmoods\1523~1.22\escorTlbr.dll (Funmoods)
O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O4 - HKLM..\Run: [vProt] C:\Program Files (x86)\AVG Secure Search\vprot.exe ()
O4 - HKU\S-1-5-21-814310408-3308586733-2167305392-1001..\Run: [MSConfig] C:\Users\mysticalcount\jrtl.exe ()
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktopChanges = 1

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania Skryptem.

2) Użyj >Adw-cleaner (aby pobrać kliknij na dużą zieloną strzałkę po prawej).
Kliknij w nim Usuń
Pokaż raport z niego C:\AdwCleaner[S1].txt

[luki_999]

Wklejam reszte logów po usuwaniu. Komputer włączył się normalnie, więc raczej jest OK, pozostaje mi tylko pousuwać pseudo antywirusy i wgrać coś konkretnego.

[ordynat]

Nie dałeś nowego logu z OTL,
Ale skoro jest OK, to kończymy:
W Adw-Cleaner kliknij na przycisk Odinstaluj
W OTL kliknij na przycisk Sprzątanie - to go usunie razem z jego Kwarantanną.

.