Trojan gen downloader

Bonsoir :)

Qui le détecte ? Où ?
Un peu plus de précisions seraient les bienvenues ;)

A+

Avast l'a détecté dans un premier temps, depuis toutes les 3 minutes environ avast me fait une piqûre de rappel avec le message suivant "cheval de troie bloqué"
objet: C:\windows\installer\...
Infection: Win32:ZAccess-PB [trj]
Action: mis en quarantaine
Processus:C:\windows\syswow64\svchost.exe

J'ai également lancé un scan superantispyware et ais mis le dit "trojan.agent/gen-downloader" en quarantaine.

Infection: Win32:ZAccess-PB [trj]
Ben voilà :)

superantispyware : poubelle ça vaut plus rien et ça va nous gêner.
Pareil pour : Spybot/AD-Aware/MacàFric Security Bidon si présents

▶ Télécharge sur cette page: RogueKiller (choisir entre la version 32 et 64 bits selon ton Windows, si tu ne sais pas, demande moi!)
▶ Enregistre et ferme tous les programmes en cours
▶ Lance RogueKiller et attend que le Prescan ait fini
▶ Accepte l'EULA puis clique sur Scan.
▶ Une fois terminé, clique sur Rapport et copie/colle le rapport dans ta prochaine réponse.

Voila le rapport:

RogueKiller V8.5.4 _x64_ [Mar 18 2013] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : https://www.luanagames.com/index.fr.html
Site Web : https://www.luanagames.com/index.fr.html
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 64 bits version
Demarrage : Mode normal
Utilisateur : Lucas [Droits d'admin]
Mode : Recherche -- Date : 03/05/2013 01:28:47
| ARK || FAK || MBR |

¤¤¤ Processus malicieux : 2 ¤¤¤
[BLPATH] cacaoweb.exe -- C:\Users\Lucas\AppData\Roaming\cacaoweb\cacaoweb.exe [-] -> TUÉ [TermProc]
[SUSP PATH] YontooDesktop.exe -- C:\Users\Lucas\AppData\Roaming\Yontoo\YontooDesktop.exe [7] -> TUÉ [TermProc]

¤¤¤ Entrees de registre : 8 ¤¤¤
[RUN][BLPATH] HKCU\[...]\Run : cacaoweb ("C:\Users\Lucas\AppData\Roaming\cacaoweb\cacaoweb.exe" -noplayer) [-] -> TROUVÉ
[RUN][SUSP PATH] HKCU\[...]\Run : Yontoo Desktop ("C:\Users\Lucas\AppData\Roaming\Yontoo\YontooDesktop.exe") [7] -> TROUVÉ
[RUN][BLPATH] HKUS\S-1-5-21-3714802650-2468626267-1178235633-1001[...]\Run : cacaoweb ("C:\Users\Lucas\AppData\Roaming\cacaoweb\cacaoweb.exe" -noplayer) [-] -> TROUVÉ
[RUN][SUSP PATH] HKUS\S-1-5-21-3714802650-2468626267-1178235633-1001[...]\Run : Yontoo Desktop ("C:\Users\Lucas\AppData\Roaming\Yontoo\YontooDesktop.exe") [7] -> TROUVÉ
[HJ DESK] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> TROUVÉ
[HJ DESK] HKCU\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> TROUVÉ
[HJ DESK] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> TROUVÉ
[HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> TROUVÉ

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤
[ZeroAccess][FILE] @ : C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\@ [-] --> TROUVÉ
[ZeroAccess][FOLDER] U : C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\U --> TROUVÉ
[ZeroAccess][FOLDER] L : C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\L --> TROUVÉ
[ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_32\Desktop.ini [-] --> TROUVÉ
[ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_64\Desktop.ini [-] --> TROUVÉ
[Susp.ASLR][FILE] services.exe : C:\Windows\system32\services.exe [-] --> TROUVÉ

¤¤¤ Driver : [NON CHARGE] ¤¤¤

¤¤¤ Infection : Rogue.ProgFiles|ZeroAccess ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\Windows\system32\drivers\etc\hosts

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: ST9640320AS +++++
--- User ---
[MBR] 9bdb89a7dcf62f83291f2d3fe2e494bd
[BSP] ee2bdaa9eb275e6ef7785d0a79d3ead1 : Windows 7/8 MBR Code
Partition table:
0 - [XXXXXX] FAT32-LBA (0x1c) [HIDDEN!] Offset (sectors): 2048 | Size: 25600 Mo
1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 52430848 | Size: 260473 Mo
2 - [XXXXXX] EXTEN-LBA (0x0f) [VISIBLE] Offset (sectors): 585879552 | Size: 324406 Mo
User = LL1 ... OK!
User = LL2 ... OK!

+++++ PhysicalDrive1: ST9640320AS +++++
--- User ---
[MBR] e7723cfd3972ed6fbfb02291033389cf
[BSP] fb7125154b8e9affe51ee86074033c7a : Empty MBR Code
Partition table:
0 - [XXXXXX] EXTEN-LBA (0x0f) [VISIBLE] Offset (sectors): 16065 | Size: 610470 Mo
User = LL1 ... OK!
User = LL2 ... OK!

+++++ PhysicalDrive2: USB Disk +++++
--- User ---
[MBR] e7c4811166bab12f5c19592cc9af1009
[BSP] df4f83c1f72e36823a12b0dfc7617313 : Empty MBR Code
Partition table:
0 - [XXXXXX] FAT16 (0x06) [VISIBLE] Offset (sectors): 129 | Size: 1909 Mo
User = LL1 ... OK!
Error reading LL2 MBR!

Termine : << RKreport[1]_S_03052013_012847.txt >>
RKreport[1]_S_03052013_012847.txt

Merci pour le temps que tu m'accordes! =)

Avec plaisir ^^
Le bouton "Suppression" est dégrisé en principe, clique dessus, laisse redémarrer le pc si nécessaire, et viens poster le nouveau rapport.

Ensuite faudra réparer les services de Windows, sont très certainement endommagés.

Le nouveau rapport:

RogueKiller V8.5.4 _x64_ [Mar 18 2013] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : https://www.luanagames.com/index.fr.html
Site Web : https://www.luanagames.com/index.fr.html
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 64 bits version
Demarrage : Mode normal
Utilisateur : Lucas [Droits d'admin]
Mode : Suppression -- Date : 03/05/2013 01:42:39
| ARK || FAK || MBR |

¤¤¤ Processus malicieux : 2 ¤¤¤
[BLPATH] cacaoweb.exe -- C:\Users\Lucas\AppData\Roaming\cacaoweb\cacaoweb.exe [-] -> TUÉ [TermProc]
[SUSP PATH] YontooDesktop.exe -- C:\Users\Lucas\AppData\Roaming\Yontoo\YontooDesktop.exe [7] -> TUÉ [TermProc]

¤¤¤ Entrees de registre : 6 ¤¤¤
[RUN][BLPATH] HKCU\[...]\Run : cacaoweb ("C:\Users\Lucas\AppData\Roaming\cacaoweb\cacaoweb.exe" -noplayer) [-] -> SUPPRIMÉ
[RUN][SUSP PATH] HKCU\[...]\Run : Yontoo Desktop ("C:\Users\Lucas\AppData\Roaming\Yontoo\YontooDesktop.exe") [7] -> SUPPRIMÉ
[HJ DESK] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REMPLACÉ (0)
[HJ DESK] HKCU\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REMPLACÉ (0)
[HJ DESK] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REMPLACÉ (0)
[HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REMPLACÉ (0)

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤
[ZeroAccess][FILE] @ : C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\@ [-] --> SUPPRIMÉ AU REBOOT
[Del.Parent][FILE] 00000004.@ : C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\U\00000004.@ [-] --> SUPPRIMÉ
[Del.Parent][FILE] 00000008.@ : C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\U\00000008.@ [-] --> SUPPRIMÉ
[Del.Parent][FILE] 000000cb.@ : C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\U\000000cb.@ [-] --> SUPPRIMÉ
[Del.Parent][FILE] 80000000.@ : C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\U\80000000.@ [-] --> SUPPRIMÉ
[ZeroAccess][FOLDER] ROOT : C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\U --> SUPPRIMÉ
[Del.Parent][FILE] 00000004.@ : C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\L\00000004.@ [-] --> SUPPRIMÉ
[Del.Parent][FILE] 76603ac3 : C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\L\76603ac3 [-] --> SUPPRIMÉ
[ZeroAccess][FOLDER] ROOT : C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\L --> SUPPRIMÉ
[ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_32\Desktop.ini [-] --> SUPPRIMÉ AU REBOOT
[ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_64\Desktop.ini [-] --> SUPPRIMÉ AU REBOOT
[Susp.ASLR][FILE] services.exe : C:\Windows\system32\services.exe [-] --> REMPLACÉ AU REBOOT (C:\Windows\winsxs\amd64_microsoft-windows-s..s-servicecontroller_31bf3856ad364e35_6.1.7600.16385_none_2b54b20ee6fa07b1\services.exe)

¤¤¤ Driver : [NON CHARGE] ¤¤¤

¤¤¤ Infection : Rogue.ProgFiles|ZeroAccess ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\Windows\system32\drivers\etc\hosts

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: ST9640320AS +++++
--- User ---
[MBR] 9bdb89a7dcf62f83291f2d3fe2e494bd
[BSP] ee2bdaa9eb275e6ef7785d0a79d3ead1 : Windows 7/8 MBR Code
Partition table:
0 - [XXXXXX] FAT32-LBA (0x1c) [HIDDEN!] Offset (sectors): 2048 | Size: 25600 Mo
1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 52430848 | Size: 260473 Mo
2 - [XXXXXX] EXTEN-LBA (0x0f) [VISIBLE] Offset (sectors): 585879552 | Size: 324406 Mo
User = LL1 ... OK!
User = LL2 ... OK!

+++++ PhysicalDrive1: ST9640320AS +++++
--- User ---
[MBR] e7723cfd3972ed6fbfb02291033389cf
[BSP] fb7125154b8e9affe51ee86074033c7a : Empty MBR Code
Partition table:
0 - [XXXXXX] EXTEN-LBA (0x0f) [VISIBLE] Offset (sectors): 16065 | Size: 610470 Mo
User = LL1 ... OK!
User = LL2 ... OK!

+++++ PhysicalDrive2: USB Disk +++++
--- User ---
[MBR] e7c4811166bab12f5c19592cc9af1009
[BSP] df4f83c1f72e36823a12b0dfc7617313 : Empty MBR Code
Partition table:
0 - [XXXXXX] FAT16 (0x06) [VISIBLE] Offset (sectors): 129 | Size: 1909 Mo
User = LL1 ... OK!
Error reading LL2 MBR!

Termine : << RKreport[2]_D_03052013_014239.txt >>
RKreport[1]_S_03052013_012847.txt ; RKreport[2]_D_03052013_014239.txt

Parfait, la machine a bien redémarré ?
Qu'en pense Avast! maintenant ? :-)

~~

Télécharge Farbar Service Scanner sur ton Bureau.

● Coche les cases suivantes :

Internet Services
Windows Firewall
System Restore
Security Center
Windows Update
Windows Defender
Others Services

● Clique sur "Scan".
● Un rapport FSS.txt est crée dans le dossier où se trouve l'outil.

Héberge le rapport sur FEC Upload et poste le lien obtenu en échange

Hum, Avast semble ne pas avoir trop apprécié j'ai le message suivant en le démarrant: Fail to load language dll [1033\UILangRes.dll]

De plus lorsque je lance le scan avec fss j'ai le message suivant: "Impossible de démarrer ou d'exécuter le programme ou la fonction"\??\C:\watcom-1.3\binw\sc.exe" en raison d'une incompatibilité avec les versions 64 bits de windows...

Mais j'ai tout de même le rapport ci joint: https://forums-fec.be/upload/www/?a=d&i=6490995351

Avast! a pris une claque à cause du ZeroAccess qui était sur ta machine, désinstalle-le.

Et des services sont bien touchés comme je le craignais.

● Télécharge Service Repair (Eset) sur ton Bureau.

● Exécute le, clique sur Yes dans la boite de dialogue.
● A la fin, clique sur Yes pour autoriser le redémarrage.
● L'outil va créer un dossier CC Support dans le répertoire où l'outil a été exécuté.
● Héberge le rapport CC Support\Logs\SvcRepair.txt sur FEC Upload et poste le lien obtenu en échange

Pour Avast je n'arrive pas du tout à le désinstaller, même en mode sans echec..

sinon voila le rapport: https://forums-fec.be/upload/www/?a=d&i=8717446822

T'inquiète pas on trouvera une solution pour avast :)
Toute façon pour le peu qu'il a servi dans ton cas ... héhé

Refais FSS comme ICI on va voir si Eset a bien travaillé (à première vue oui)

Voici le rapport: https://forums-fec.be/upload/www/?a=d&i=8564675913

C'est pas faux ^^
D'ailleurs connaîtrais tu un antivirus gratuit plus efficace?

Bah disons que sur la scène du gratuit il est (normalement) sur la première marche du podium donc bon :/

Y'a plus qu'à réactiver Windaube Defender et réinstaller donc et ce sera parfait, néanmoins on va contrôler le tout :

Faire un scan OTL pour diagnostiquer les programmes qui tournent et déceler des infections :

▶ Télécharge ici :OTL

▶ Fais un double clic sur l'icône pour le lancer (clic droit executer en tant qu'administrateur sous Vista, Windows 7 ou Windows 8). Vérifier que toutes les autres fenêtres sont fermées afin qu'il s'exécute sans interruption.

▶ Quand la fenêtre apparaît, Coche la case Tous les utilisateurs
▶ Coche les cases à coté de Recherche Lop et Recherche Purity.
▶ Laisse tous les autres paramètres par défaut

▶ Copie et colle le contenu de ce qui suit en gras dans la partie inférieure d'OTL "Personnalisation"


msconfig
netsvcs
/md5start
explorer.exe
winlogon.exe
userinit.exe
svchost.exe
services.exe
winsock.*
/md5stop
%temp%\*.exe /s
%ALLUSERSPROFILE%\Application Data\*.exe /s
%ALLUSERSPROFILE%\Application Data\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.*
BASESERVICES
CREATERESTOREPOINT
SAVEMBR:0

▶ Clic sur Analyse.

A la fin du scan, 2 Bloc-Notes vont s'ouvrir avec les rapports (OTL.txt et extras.txt).

NE PAS COPIER/COLLER LE RAPPORT ICI - LIRE JUSQU'AU BOUT

Ces fichiers se trouvent à côté de l'exécutable OTL.exe

héberge OTL.txt et extra.txt sur FEC Upload et donne les liens obtenus en échange

NE PAS COPIER/COLLER LE LIEN DE SUPPRESSION, CONSERVE-LE SI TU DESIRE ENSUITE SUPPRIMER LES RAPPORTS DE LA BASE DE DONNEES FEC

Voici l'extras: https://forums-fec.be/upload/www/?a=d&i=7036909426
et l'OTL: https://forums-fec.be/upload/www/?a=d&i=0875079708

Merci encore pour ton aide :)

De rien Lucas :)

J'ai un doute sur un fichier.
Envoie C:\Windows\IFinst27.exe sur https://www.virustotal.com/gui/ et copie/colle le lien vers l'analyse une fois celle-ci terminée. S'il t'informe que le fichier a déjà été analysé, clique sur Réanalyser

ça a l'air plutôt clean:
https://www.virustotal.com/gui/file/2405e5479aeb7d43d1362969b9c439e5931b8f900f9adfe0faaa986365415193

Mouais mouais mouais ...........

Bon fait déjà ça le temps que j'ai plus d'infos sur ce fichier.
Envoie-le sur http://upload.malekal.com

~~

Relance OTL, colle ça en personnalisation :

:OTL
[2013/03/14 21:41:10 | 000,000,000 | ---D | M] (cacaoweb) -- C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\cacaoweb@cacaoweb.org  
[2013/03/29 20:09:57 | 000,000,000 | ---D | M] (Yontoo) -- C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\plugin@yontoo.com
[2013/04/20 12:57:22 | 000,000,000 | ---D | C] -- C:\adobeTemp      
[2013/05/03 10:02:30 | 000,001,288 | ---- | M] () -- C:\Users\Public\Desktop\Panda Cloud Cleaner.lnk      
[2013/05/03 01:40:10 | 000,000,000 | ---D | M] -- C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\U      
[2013/05/03 00:10:43 | 000,004,608 | ---- | M] () -- C:\Windows\assembly\GAC_32\Desktop.ini      
[2013/05/03 00:10:43 | 000,006,144 | ---- | M] () -- C:\Windows\assembly\GAC_64\Desktop.ini      
[2013/05/02 23:13:06 | 000,000,000 | ---D | M] -- C:\Users\Lucas\AppData\Roaming\cacaoweb 
[2013/05/03 00:13:59 | 000,000,000 | ---D | M] -- C:\Users\Lucas\AppData\Roaming\Yontoo 
@Alternate Data Stream - 24 bytes -> C:\Windows:C9647CA7FCF860C0      
@Alternate Data Stream - 143 bytes -> C:\ProgramData\Temp:981884E7      
@Alternate Data Stream - 141 bytes -> C:\ProgramData\Temp:52DBE86F      
@Alternate Data Stream - 133 bytes -> C:\ProgramData\Temp:5D458568      

:Files
net start RpcSs /C

:Commands
[EMPTYTEMP]

Click correction et poste le rapport

pour OTL je refais ceci également? :

"? Quand la fenêtre apparaît, Coche la case Tous les utilisateurs
? Coche les cases à coté de Recherche Lop et Recherche Purity.
? Laisse tous les autres paramètres par défaut "

Nan sinon je l'aurais précisé :)

Voila:
All processes killed
========== OTL ==========
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\cacaoweb@cacaoweb.org\defaults\preferences folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\cacaoweb@cacaoweb.org\defaults folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\cacaoweb@cacaoweb.org\chrome\skin folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\cacaoweb@cacaoweb.org\chrome\locale\fr-FR folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\cacaoweb@cacaoweb.org\chrome\locale\es-ES folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\cacaoweb@cacaoweb.org\chrome\locale\en-US folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\cacaoweb@cacaoweb.org\chrome\locale\de-DE folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\cacaoweb@cacaoweb.org\chrome\locale folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\cacaoweb@cacaoweb.org\chrome\content folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\cacaoweb@cacaoweb.org\chrome folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\cacaoweb@cacaoweb.org folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\plugin@yontoo.com\skin folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\plugin@yontoo.com\META-INF folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\plugin@yontoo.com\locale\en-US folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\plugin@yontoo.com\locale folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\plugin@yontoo.com\defaults\preferences folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\plugin@yontoo.com\defaults folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\plugin@yontoo.com\content folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\plugin@yontoo.com folder moved successfully.
C:\adobeTemp\backup folder moved successfully.
C:\adobeTemp folder moved successfully.
C:\Users\Public\Desktop\Panda Cloud Cleaner.lnk moved successfully.
C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\U folder moved successfully.
C:\Windows\assembly\GAC_32\Desktop.ini moved successfully.
C:\Windows\assembly\GAC_64\Desktop.ini moved successfully.
C:\Users\Lucas\AppData\Roaming\cacaoweb folder moved successfully.
C:\Users\Lucas\AppData\Roaming\Yontoo\dat\update folder moved successfully.
C:\Users\Lucas\AppData\Roaming\Yontoo\dat folder moved successfully.
C:\Users\Lucas\AppData\Roaming\Yontoo folder moved successfully.
ADS C:\Windows:C9647CA7FCF860C0 deleted successfully.
ADS C:\ProgramData\Temp:981884E7 deleted successfully.
ADS C:\ProgramData\Temp:52DBE86F deleted successfully.
ADS C:\ProgramData\Temp:5D458568 deleted successfully.
========== FILES ==========
[color=#A23BEC]< net start RpcSs /C >/color
C:\Users\Lucas\Downloads\cmd.bat deleted successfully.
C:\Users\Lucas\Downloads\cmd.txt deleted successfully.
========== COMMANDS ==========

[EMPTYTEMP]

User: All Users

User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 57616 bytes

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes

User: Lucas
->Temp folder emptied: 331453713 bytes
->Temporary Internet Files folder emptied: 112131028 bytes
->Java cache emptied: 1726368 bytes
->FireFox cache emptied: 104112260 bytes
->Google Chrome cache emptied: 269183180 bytes
->Flash cache emptied: 58361 bytes

User: Public

User: UpdatusUser
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 401408 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 91572010 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 42305291 bytes
RecycleBin emptied: 11159460002 bytes

Total Files Cleaned = 11 551,00 mb

OTL by OldTimer - Version 3.2.69.0 log created on 05032013_133149

Files\Folders moved on Reboot...
C:\Users\Lucas\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.
C:\Users\Lucas\AppData\Local\Microsoft\Windows\Temporary Internet Files\counters.dat moved successfully.

PendingFileRenameOperations files...

Registry entries deleted on Reboot...