Нямам Интернет след ZeroAccess [РЕШЕН]

18 март 201214 г.

Здравейте преди няколко дена имах съмнения за вирус Anti-Malwarebytes сканирах и откри ZeroAccess.kmem казва че е успял да го премахне , но след това нямам Интернет. Според мен последствията са от него .Нито получавам нито изпраща пакети ! Даже няма зададен IP-adress Прикачвам двата файла с логовете ! Благодаря и приятен ден Имам диск с XP но преинсталацията е краен Вариант ! .

attach.txt

dds.txt

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

18 март 201214 г.

Здравейте...!Пълен сте с остатъци от рууткита...!

Изтеглете ComboFix от тук или тук и го запазете на десктопа си.

Изключете вашата антивирусна и антишпионска програма, обикновено това става чрез натискане на десния бутон на мишката върху иконата на програма в системния трей.

Бележка: Ако не можете я спрете или не сте сигурни коя програма да изключите, моля прегледайте информацията от този линк: How to Disable your Security Programs

Стартирайте Combo-Fix.com и следвайте инструкциите.

Бележка: ComboFix ще се стартира без инсталирана Recovery Console.

Като част от неговата работа, ComboFix ще провери дали Microsoft Windows Recovery Console е инсталирана. Предвид бързо развиващия се зловреден софтуер е силно препоръчително да бъде инсталирана преди премахването на зловредния софтуер. Това ще Ви позволи да влезете в специален recovery/repair режим, който ще ни позволи по-лесно да решите проблем, който би могъл да възникне при премахване на зловредния софтуер.

Следвайте инструкциите, за да позволите на ComboFix да изтегли и инсталира Microsoft Windows Recovery Console. В един момент ще бъдете попитани дали сте съгласни с лицензното споразумение. Необходимо е да потвърдите, че сте съгласни, за да инсталирате Microsoft Windows Recovery Console.

** Забележете: Ако Microsoft Windows Recovery Console е вече инсталирана, ComboFix ще продължи към процеса по премахване на зловредния софтуер.

След като Microsoft Windows Recovery Console е инсталирана, използвайки ComboFix, Вие ще видите следното съобщение:

Изберете Yes, за да продължи сканирането за зловреден софтуер.

Когато процесът приключи успешно, инструментът ще създаде лог файл. Моля, включете съдържанието на C:\ComboFix.txt в следващия Ви коментар в тази тема.

Бележка:

Моля, не движете мишката, докато ComboFix работи. Това може да наруши процеса на работа.
ComboFix ще нулира всички настройки на Microsoft Internet Explorer, включително да направи IE браузър по подразбиране.
ComboFix ще изключи autorun функцията на ВСИЧКИ CD, Floppy и USB устройства, за да помогне при премахването на зловредния софтуер и Ви защити от бъдещи вируси/заплахи, които поразяват чрез autorun. Ако това е проблем за вас - моля, уведомете ме.
ComboFix ще изключи вашата интернет връзка. Интернет връзката ще се възстанови автоматично, преди ComboFix да завърши процеса на работа. При проблем, той ще прекрати интернет връзката. За да възстановите интернет връзката си, рестартирайте компютъра си.
В случай на проблем с ComboFix, той може да създаде лог файл. Моля, включете съдържанието на C:\BUG.txt в следващия Ви коментар в тази тема.

Моля, не прикачвайте лог файла/овете от програмата, а го/ги копирайте и поставете в следващия Ви коментар в тази тема.

18 март 201214 г.

Автор

Здравей Интернета се появи след сканирането с ComboFix но не можа да си инсталира RecoveryConsole поради липсата на интернет! Пускам Log.txt файла:

ComboFix 12-03-17.01 - User 03.2012 г. 11:10:08.1.1 - x86

Running from: c:\documents and settings\User\Desktop\ComboFix.exe

AV: Symantec AntiVirus Corporate Edition *Disabled/Updated* {FB06448E-52B8-493A-90F3-E43226D3305C}

.

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!

.

((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))

.

c:\documents and settings\All Users\Application Data\TEMP

c:\documents and settings\User\My Documents\DPE.DUS

c:\documents and settings\User\Recent\hpothb07.dat

c:\documents and settings\User\Recent\hpothb07.tif

c:\documents and settings\User\WINDOWS

c:\documents and settings\User\WINDOWS\hpothb07.dat

c:\windows\$NtUninstallKB46788$

c:\windows\$NtUninstallKB46788$\4017525177

c:\windows\$NtUninstallKB46788$\759653500\@

c:\windows\$NtUninstallKB46788$\759653500\L\axqocrng

c:\windows\$NtUninstallKB46788$\759653500\loader.tlb

c:\windows\$NtUninstallKB46788$\759653500\U\@00000001

c:\windows\$NtUninstallKB46788$\759653500\U\@000000c0

c:\windows\$NtUninstallKB46788$\759653500\U\@000000cb

c:\windows\$NtUninstallKB46788$\759653500\U\@000000cf

c:\windows\$NtUninstallKB46788$\759653500\U\@80000000

c:\windows\$NtUninstallKB46788$\759653500\U\@800000c0

c:\windows\$NtUninstallKB46788$\759653500\U\@800000cb

c:\windows\$NtUninstallKB46788$\759653500\U\@800000cf

.

c:\windows\system32\drivers\ipsec.sys was missing

Restored copy from - c:\windows\ServicePackFiles\i386\ipsec.sys

.

((((((((((((((((((((((((( Files Created from 2012-02-18 to 2012-03-18 )))))))))))))))))))))))))))))))

.

2012-03-18 09:19 . 2008-04-13 19:19 75264 -c--a-w- c:\windows\system32\dllcache\ipsec.sys

2012-03-18 09:19 . 2008-04-13 19:19 75264 ----a-w- c:\windows\system32\drivers\ipsec.sys

2012-03-14 08:22 . 2012-03-14 08:22 -------- d-sh--w- c:\documents and settings\Admin\PrivacIE

2012-03-14 07:48 . 2012-03-14 07:48 32808 ----a-w- c:\windows\system32\drivers\FixZeroAccess.sys

2012-03-14 07:27 . 2012-03-14 07:27 -------- d-sh--w- c:\documents and settings\Administrator\PrivacIE

2012-03-14 07:27 . 2012-03-14 07:27 -------- d-sh--w- c:\documents and settings\Administrator\IETldCache

2012-03-13 14:46 . 2012-03-13 14:46 -------- d-----w- C:\TDSSKiller_Quarantine

2012-03-13 14:35 . 2012-03-13 14:35 -------- d-----w- c:\documents and settings\User\Application Data\FixZeroAccess

2012-03-13 14:25 . 2012-03-13 14:25 -------- d-----w- C:\spoolerlogs

2012-03-13 13:33 . 2012-03-13 14:33 -------- d-----w- c:\program files\PC Tools Security

2012-03-13 11:18 . 2012-03-13 11:18 -------- d-----w- c:\documents and settings\User\Application Data\Malwarebytes

2012-03-13 11:18 . 2012-03-13 11:18 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes

2012-03-13 11:18 . 2012-03-13 11:18 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware

2012-03-13 11:18 . 2011-12-10 13:24 20464 ----a-w- c:\windows\system32\drivers\mbam.sys

2012-03-13 10:59 . 2012-03-13 10:59 -------- d-----w- c:\documents and settings\User\Application Data\TeamViewer

2012-03-13 10:59 . 2012-03-13 10:59 -------- d-----w- c:\program files\TeamViewer

2012-03-13 07:09 . 2012-03-13 14:33 0 --sha-w- c:\windows\system32\dds_log_ad13.cmd

2012-03-13 07:08 . 2012-03-13 07:08 -------- d-sh--w- c:\documents and settings\User\Local Settings\Application Data\2d47647c

2012-03-13 07:07 . 2012-03-13 07:07 28160 ----a-w- c:\windows\system32\AnrojwuyYumz.dll

.

(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2012-02-26 05:36 . 2011-06-28 06:06 414368 ----a-w- c:\windows\system32\FlashPlayerCPLApp.cpl

2012-01-12 16:53 . 2007-09-20 04:49 1859968 ----a-w- c:\windows\system32\win32k.sys

2012-01-11 19:06 . 2012-02-17 07:50 3072 ------w- c:\windows\system32\iacenc.dll

.

((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))

.

*Note* empty entries & legit default entries are not shown

REGEDIT4

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2008-11-07 68856]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ccApp"="c:\program files\Common Files\Symantec Shared\ccApp.exe" [2006-07-19 52896]

"vptray"="c:\progra~1\SYMANT~1\VPTray.exe" [2006-09-27 125168]

"RTHDCPL"="RTHDCPL.EXE" [2006-11-15 16270848]

"SunJavaUpdateSched"="c:\program files\Common Files\Java\Java Update\jusched.exe" [2010-05-14 248552]

"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2012-01-03 843712]

"Malwarebytes' Anti-Malware"="c:\program files\Malwarebytes' Anti-Malware\mbamgui.exe" [2012-01-13 460872]

.

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

.

c:\documents and settings\All Users\Start Menu\Programs\Startup\

HiPath SIcurity Card API.lnk - c:\program files\Siemens\Card API\bin\siecacst.exe [2008-4-11 61440]

smart security registration status.lnk - c:\program files\charismathics\smart security interface 4.51\CSPregtool.exe [2008-1-24 4317184]

.

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]

Authentication Packages REG_MULTI_SZ msv1_0 nwprovau

.

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]

SecurityProviders msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, AnrojwuyYumz.dll

.

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]

"DisableMonitoring"=dword:00000001

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\WINDOWS\\system32\\spool\\drivers\\w32x86\\3\\HP1005MC.EXE"=

"c:\\WINDOWS\\system32\\sessmgr.exe"=

"%windir%\\system32\\sessmgr.exe"=

"c:\\Documents and Settings\\User\\Local Settings\\Application Data\\Google\\Chrome\\Application\\chrome.exe"=

"c:\\Program Files\\TeamViewer\\Version7\\TeamViewer.exe"=

"c:\\Program Files\\TeamViewer\\Version7\\TeamViewer_Service.exe"=

"c:\\Program Files\\Common Files\\Microsoft Shared\\DW\\DW20.EXE"=

"c:\\Program Files\\Malwarebytes' Anti-Malware\\mbam.exe"=

"c:\\Program Files\\Symantec\\LiveUpdate\\LuComServer_3_1.EXE"=

"c:\\Documents and Settings\\User\\Desktop\\TDSSKiller.exe"=

.

R2 ABBYY.Licensing.FineReader.Professional.10.0;ABBYY FineReader 10 PE Licensing Service;c:\program files\Common Files\ABBYY\FineReader\10.00\Licensing\PE\NetworkLicenseServer.exe [10.12.2009 г. 22:04 814344]

R2 MBAMService;MBAMService;c:\program files\Malwarebytes' Anti-Malware\mbamservice.exe [13.3.2012 г. 13:18 652360]

R3 AtcL001;NDIS Miniport Driver for Attansic L1 Gigabit Ethernet Controller;c:\windows\system32\drivers\atl01_xp.sys [15.11.2007 г. 05:57 35840]

R3 EraserUtilRebootDrv;EraserUtilRebootDrv;c:\program files\Common Files\Symantec Shared\EENGINE\EraserUtilRebootDrv.sys [07.2.2012 г. 12:34 106104]

R3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [13.3.2012 г. 13:18 20464]

S3 A38CCID;ACR38U-CCID Smart Card Reader;c:\windows\system32\drivers\a38ccid.sys [06.7.2009 г. 13:20 36224]

S3 SavRoam;SAVRoam;c:\program files\Symantec AntiVirus\SavRoam.exe [27.9.2006 г. 20:33 116464]

.

NETSVCS REQUIRES REPAIRS - current entries shown

6to4

AppMgmt

AudioSrv

Browser

CryptSvc

DMServer

DHCP

ERSvc

EventSystem

FastUserSwitchingCompatibility

HidServ

Ias

Iprip

Irmon

LanmanServer

LanmanWorkstation

Messenger

Netman

Nla

Ntmssvc

NWCWorkstation

Nwsapagent

Rasauto

cqcpu

lemsgt

issm

winvnc

DLH5X

ctaud2k

TPECioCtl

StkASSrv

nvgts

drvmcdb

JiaoIO

sfsync04

DSDrv4

lcs

SABSVC

pinnaclemarvinusb

sit_prt

HabuFltr

hcwPVRP2

usb_rndisx

BVRPMPR5

ELkbd

cmdmon

MRENDIS5

dirms_defragmentation

fsks

ROB_V

sisagp

pdiddcci

ghaio

etoksrv

cobbmservice

ldlcserv

asapiw2k

db2das00

mwsarcpkt

mqdmmdm

pilogsrv

brmfrmps

Pctspk

int15

PSSdk23

RMSvc

STV680m

tosrfbnp

wmp54gsvc

C-Dilla

tsircsrv

acermemusagecheckservice

slee_81_service

mbmiodrvr

3comtftp

CTEDSPFX.DLL

ovepstatusengine

viaudio

clr_optimization_v2.0.50215_32

iviaspi

NxNetMon

puscsrvc

nvstor64

maxbackserviceint

idebusdr

dpc_srv_webcast

U81xobex

PCTINDIS5

ssrvc

Cardex

DS1410D

nimxdfk

PGPwded

YMIDUSB

atierecord

rt61

umwdf

oracleorahome90agent

spcstb

winachsf

rt2500

LPCFilter

cdr4_2k

TMBUS

sonypvu1

VirtualCam

BrSerIf

cqmgserv

rmedia

RMCAST

dvd43llh

oracleorahomehttpserver

as32svc

LoopBeMidi1

pcampr5

vusbbus

SWMX00

Via4in1

p17xfilt

isamsmt

W8335XP

dcpflics

bt

schscnt

s116unic

VAIOMediaPlatform-MusicServer-UPnP

regdefend

U2SP

VCIDRV

vrmonsvc

beatjamupnpmusicserver

Ncrc710

hwdatacard

rpcsvr4x

wusb54gv2svc

nimcdlbk

mstdc

omsad

CTSBLFX.DLL

aswlsvc

MSW_USB

ppped

sr_watchdog

NSNDIS5

ptbsync

softfax

tsmapip

VICESYS

hidgame

atinrvxx

adiusbaw

mldserv

CAMFLT

naimagent32

CDRPDACC

bgsvcgen

amdk8

mssqlserverolapservice

servidor

nimdbgk

fuj02b1

cdr4_xp

bthidenum

pktfilter

winachcf

thkeys

sshrmd

Rasman

Remoteaccess

Schedule

Seclogon

SENS

Sharedaccess

SRService

Tapisrv

Themes

TrkWks

W32Time

WZCSVC

Wmi

WmdmPmSp

winmgmt

wscsvc

xmlprov

BITS

wuauserv

ShellHWDetection

helpsvc

WmdmPmSN

napagent

hkmsvc

.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs

.

Contents of the 'Scheduled Tasks' folder

.

2012-03-18 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-1935655697-602162358-725345543-1003Core.job

- c:\documents and settings\User\Local Settings\Application Data\Google\Update\GoogleUpdate.exe [2011-12-02 13:41]

.

2012-03-18 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-1935655697-602162358-725345543-1003UA.job

- c:\documents and settings\User\Local Settings\Application Data\Google\Update\GoogleUpdate.exe [2011-12-02 13:41]

.

------- Supplementary Scan -------

.

uStart Page = hxxp://www.dir.bg/

uInternet Connection Wizard,ShellNext = iexplore

IE: Free YouTube Download - c:\documents and settings\User\Application Data\DVDVideoSoftIEHelpers\youtubedownload.htm

Trusted Zone: ubb.bg\ebb

TCP: DhcpNameServer = 192.168.0.1

DPF: {7B133798-FAA8-4A7E-950D-BEB35D3363AF} - hxxp://195.22.146.79/LinksysViewer.cab

.

- - - - ORPHANS REMOVED - - - -

.

SafeBoot-29722406.sys

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2012-03-18 11:23

Windows 5.1.2600 Service Pack 3 NTFS

.

scanning hidden processes ...

.

scanning hidden autostart entries ...

.

scanning hidden files ...

.

scan completed successfully

hidden files: 0

.

**************************************************************************

.

--------------------- DLLs Loaded Under Running Processes ---------------------

.

- - - - - - - > 'explorer.exe'(408)

c:\windows\system32\WININET.dll

c:\windows\system32\webcheck.dll

c:\windows\system32\IEFRAME.dll

c:\windows\system32\wpdshserviceobj.dll

c:\windows\system32\portabledevicetypes.dll

c:\windows\system32\portabledeviceapi.dll

.

------------------------ Other Running Processes ------------------------

.

c:\program files\Common Files\Symantec Shared\ccSetMgr.exe

c:\program files\Common Files\Symantec Shared\ccEvtMgr.exe

c:\program files\Common Files\Symantec Shared\SPBBC\SPBBCSvc.exe

c:\windows\System32\SCardSvr.exe

c:\program files\Symantec AntiVirus\DefWatch.exe

c:\program files\Java\jre6\bin\jqs.exe

c:\program files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE

c:\program files\Symantec AntiVirus\Rtvscan.exe

c:\windows\System32\spool\DRIVERS\W32X86\3\HP1005MC.EXE

c:\windows\RTHDCPL.EXE

c:\program files\Symantec AntiVirus\DoScan.exe

c:\windows\system32\wscntfy.exe

.

**************************************************************************

.

Completion time: 2012-03-18 11:32:27 - machine was rebooted

ComboFix-quarantined-files.txt 2012-03-18 09:32

.

Pre-Run: 32 049 786 880 bytes free

Post-Run: 32 765 816 832 bytes free

.

- - End Of File - - 589FD774B63EA9B0ADE879BF02BE5E1C

Мерси и чакам ако има нещо !

icotonev

HJT Team

Пол:Мъж
Град:гр.Ямбол
Интереси:Malware Removal, Security Analyst, Malware Hunters,Trusted Helper

18 март 201214 г.

Направете бекъп на регистрите.Изтеглете програмата ERUNT,инсталирате и стартирате програмата,избирате папка за съхранение,в секцията Backup options,трябва да бъдат маркирани "System registry" , "Current user registry" и "Other open user registries",натискате "Ok" и потвърждавате създаването на папка.

Описание с картинки на ERUNT: тук

Отворете notepad и с copy/paste въведете следната информация:

REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost]
"netsvcs"=hex(7):36,74,6f,34,00,41,70,70,4d,67,6d,74,00,41,75,64,69,6f,53,72,\
  76,00,42,72,6f,77,73,65,72,00,43,72,79,70,74,53,76,63,00,44,4d,53,65,72,76,\
  65,72,00,44,48,43,50,00,45,52,53,76,63,00,45,76,65,6e,74,53,79,73,74,65,6d,\
  00,46,61,73,74,55,73,65,72,53,77,69,74,63,68,69,6e,67,43,6f,6d,70,61,74,69,\
  62,69,6c,69,74,79,00,48,69,64,53,65,72,76,00,49,61,73,00,49,70,72,69,70,00,\
  49,72,6d,6f,6e,00,4c,61,6e,6d,61,6e,53,65,72,76,65,72,00,4c,61,6e,6d,61,6e,\
  57,6f,72,6b,73,74,61,74,69,6f,6e,00,4d,65,73,73,65,6e,67,65,72,00,4e,65,74,\
  6d,61,6e,00,4e,6c,61,00,4e,74,6d,73,73,76,63,00,4e,57,43,57,6f,72,6b,73,74,\
  61,74,69,6f,6e,00,4e,77,73,61,70,61,67,65,6e,74,00,52,61,73,61,75,74,6f,00,\
  52,61,73,6d,61,6e,00,52,65,6d,6f,74,65,61,63,63,65,73,73,00,53,63,68,65,64,\
  75,6c,65,00,53,65,63,6c,6f,67,6f,6e,00,53,45,4e,53,00,53,68,61,72,65,64,61,\
  63,63,65,73,73,00,53,52,53,65,72,76,69,63,65,00,54,61,70,69,73,72,76,00,54,\
  68,65,6d,65,73,00,54,72,6b,57,6b,73,00,57,33,32,54,69,6d,65,00,57,5a,43,53,\
  56,43,00,57,6d,69,00,57,6d,64,6d,50,6d,53,70,00,77,69,6e,6d,67,6d,74,00,77,\
  73,63,73,76,63,00,78,6d,6c,70,72,6f,76,00,6e,61,70,61,67,65,6e,74,00,68,6b,\
  6d,73,76,63,00,42,49,54,53,00,77,75,61,75,73,65,72,76,00,53,68,65,6c,6c,48,\
  57,44,65,74,65,63,74,69,6f,6e,00,68,65,6c,70,73,76,63,00,00

Запазете файла с името fix.reg.
Файла трябва да изглежда така -
Стартирайте го и изберете YES на диалоговия прозорец.
Рестартирайте компютъра си.

След процедурата:

Копирайте текста в карето на notepad и го запазвате с име CFScript.txt на десктопа си:

KILLALL::

ClearJavaCache::

File::
c:\windows\system32\AnrojwuyYumz.dll
c:\windows\system32\dds_log_ad13.cmd

Folder::
c:\documents and settings\User\Local Settings\Application Data\2d47647c

След съхранението преместете CFScript.txt на иконата на ComboFix.exe

Генерирания рапорт прикачете в следващия си пост..!

18 март 201214 г.

Автор

След последните процедури поствам инфо:

ComboFix 12-03-17.01 - User 03.2012 г. 12:25:16.2.1 - x86

Microsoft Windows XP Professional 5.1.2600.3.1251.359.1033.18.1015.276 [GMT 2:00]

Running from: c:\documents and settings\User\Desktop\ComboFix.exe

Command switches used :: c:\documents and settings\User\Desktop\CFScript.txt

AV: Symantec AntiVirus Corporate Edition *Disabled/Updated* {FB06448E-52B8-493A-90F3-E43226D3305C}

.

FILE ::

"c:\windows\system32\AnrojwuyYumz.dll"

"c:\windows\system32\dds_log_ad13.cmd"

.

((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))

.

c:\documents and settings\User\Local Settings\Application Data\2d47647c

c:\documents and settings\User\Local Settings\Application Data\2d47647c\@

c:\documents and settings\User\Local Settings\Application Data\2d47647c\U\00000001.$

c:\documents and settings\User\Local Settings\Application Data\2d47647c\U\80000000.$

c:\documents and settings\User\Local Settings\Application Data\2d47647c\U\800000c0.$

c:\documents and settings\User\Local Settings\Application Data\2d47647c\U\800000cb.$

.

((((((((((((((((((((((((( Files Created from 2012-02-18 to 2012-03-18 )))))))))))))))))))))))))))))))

.

2012-03-18 10:09 . 2012-03-18 10:09 -------- d-----w- c:\program files\ERUNT