Logi - Wirus z Facebook'a

Witam na koncie na facebooku często ostatnio można zauważyć spreparowane linki, zachęcające do ściągnięcia czegoś itd., koleżanka kilknęła w jeden i teraz sama rozsyła spam w postaci postu, gdzie oznaczonych jest kilka osób, a na dole znajduje się link prowadzący do jakiejś strony.

Tutaj są logi z OTL'a, ja niestety nie wiem jak się tego pozbyć.

http://pastebin.com/mcyzfeQr

Witaj.

Uruchom OTL w okienku Własne opcje skanowania/skrypt wklej:

:Files
C:\Users\Admin\AppData\Local\Pokki\Engine\pokki.exe

:OTL
O4 - HKU\S-1-5-21-929212034-3805227821-1322915038-1000..\Run: [Pokki] "%LOCALAPPDATA%\Pokki\Engine\pokki.exe" File not found
O4 - HKU\S-1-5-19..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe File not found
O4 - HKU\S-1-5-20..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe File not found
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktopChanges = 1

:Commands
[emptytemp]

Kliknij Wykonaj skrypt daj log z usuwania.
1. Następnie:

• Daj nowe logi z OTL'a ( extras też - zeby go zrobic ustaw opcje skan dodatkowy na użyj filtrowania ) to dokończymy usuwanie adware
• Dorzuć log z programu Autoruns

Tutaj jest log usuwania:

http://pastebin.com/CFBT3qUK

Tutaj są świeże logi z OTL'a:

http://pastebin.com/Ckh0H7F5

Tutaj autorun:

http://pastebin.com/50qcq5yZ

Witaj.
Odinstaluj:

Browser Protector
Wszystko co ma w nazwie toolbar 
Wszystko co ma w nazwie SweetIM
AVG Secure Search

Uruchom OTL w okienku Własne opcje skanowania/skrypt wklej:

:OTL
IE - HKLM\..\SearchScopes\{BB74DE59-BC4C-4172-9AC4-73315F71CFFE}: "URL" = http://websearch.good-results.info/?l=1&q={searchTerms}&pid=703&r=2013/02/18&hid=3208912777&lg=EN&cc=PL
IE - HKLM\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = http://search.sweetim.com/search.asp?src=6&q={searchTerms}&crg=3.1010000.10002&barid={B97FA903-4ED5-11E2-BCC5-902B3494A546}
IE - HKU\S-1-5-21-929212034-3805227821-1322915038-1000\SOFTWARE\Microsoft\Internet Explorer\Main,bProtector Start Page = http://www1.delta-search.com/?affID=119370&babsrc=HP_ss&mntrId=0C4D0060B34F4715
IE - HKU\S-1-5-21-929212034-3805227821-1322915038-1000\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = http://www1.delta-search.com/?q={searchTerms}&affID=119370&babsrc=SP_ss&mntrId=0C4D0060B34F4715
IE - HKU\S-1-5-21-929212034-3805227821-1322915038-1000\..\SearchScopes\{95B7759C-8C7F-4BF1-B163-73684A933233}: "URL" = http://isearch.avg.com/search?cid={840EEB12-33C2-46A0-A7DA-859CCCB354B1}&mid=db192b22400247d0ab26416272704cb5-2aff2e3828c976488bb01ce5c6738f25b85659f3&lang=pl&ds=AVG&pr=fr&d=2012-12-24 20:28:59&v=14.0.2.14&pid=avg&sg=&sap=dsp&q={searchTerms}
IE - HKU\S-1-5-21-929212034-3805227821-1322915038-1000\..\SearchScopes\{BB74DE59-BC4C-4172-9AC4-73315F71CFFE}: "URL" = http://websearch.good-results.info/?l=1&q={searchTerms}&pid=703&r=2013/02/18&hid=3208912777&lg=EN&cc=PL
IE - HKU\S-1-5-21-929212034-3805227821-1322915038-1000\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = http://search.sweetim.com/search.asp?src=6&q={searchTerms}&crg=3.1010000.10002&barid={B97FA903-4ED5-11E2-BCC5-902B3494A546}
FF - prefs.js..browser.search.order.1: "Delta Search"
FF - prefs.js..browser.search.selectedEngine: "Delta Search"
FF - prefs.js..extensions.enabledAddons: ffxtlbr%40delta.com:1.5.0
CHR - homepage: http://websearch.good-results.info/?pid=703&r=2013/02/18&hid=3208912777&lg=EN&cc=PL
O20 - AppInit_DLLs: (c:\progra~3\browse~1\261125~1.80\{c16c1~1\browse~1.dll) - c:\ProgramData\BrowserProtect\2.6.1125.80\{c16c1ccb-7046-4e5c-a2f3-533ad2fec8e8}\BrowserProtect.dll ()

:Files
C:\Users\Admin\AppData\Roaming\mozilla\firefox\profiles\qz3csdpr.default-1365690979679\searchplugins\BrowserProtect.xml
C:\ProgramData\BrowserProtect


:Commands
[emptytemp]

Kliknij Wykonaj skrypt daj log z usuwania.
Następnie:

• W Autorunsie odznacz w kluczu: "HKLM\System\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\StartupPrograms"
  "rdpclip"
  
• Użyj AdwCleaner opcja "Delete"
• Uruchom OTL i kliknij "Sprzątanie"