Komputer zablokowany przez policje - pomocy ...

[piotrek8705]

Witam,

 

mój laptop (windows vista home basic, 32-bitowy system operacyjny) został zainfekowany przez wirus Ukash.

 

udało mi się wejść w tryb awaryjny i zrobić skanowanie programem OTL.

 

Bardzo proszę o pomoc.

OTL.Txt

Extras.Txt

[picasso]

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
O4 - HKCU..\Run: [vozxmzqctsfohcv] C:\ProgramData\vozxmzqc.exe () 
[2012-07-13 22:51:02 | 000,000,000 | ---D | C] -- C:\ProgramData\ubtbuqyktrynsyu
[2012-07-13 22:51:04 | 000,000,051 | ---- | M] () -- C:\ProgramData\xtpwjvwpledsnzc
[2012-07-13 22:50:58 | 000,049,152 | ---- | M] () -- C:\Users\Kasia\0.6172324138976585.exe
IE - HKLM\..\SearchScopes\{242E2C21-363C-471D-876F-25C5832B688C}: "URL" = "http://startsear.ch/?aff=1&src=sp&cf=9f5f7591-dfb4-11e0-9aa8-00235a60e0d4&q={searchTerms}"
IE - HKLM\..\SearchScopes\{32D0FC49-4F35-4360-B1DA-5A4E1E435623}: "URL" = "http://startsear.ch/?aff=1&q={searchTerms}"
IE - HKLM\..\SearchScopes\{67A2568C-7A0A-4EED-AECC-B5405DE63B64}: "URL" = "http://startsear.ch/?aff=1&src=sp&cf=9f5f7591-dfb4-11e0-9aa8-00235a60e0d4&q={searchTerms}"
IE - HKLM\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = "http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2560206"
IE - HKLM\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = "http://search.sweetim.com/search.asp?src=6&crg=3.1010000&st=10&q={searchTerms}&barid={E968AEC4-BD40-11E0-9EBB-00235A60E0D4}"
IE - HKCU\..\SearchScopes\{043C5167-00BB-4324-AF7E-62013FAEDACF}: "URL" = "http://vshare.toolbarhome.com/search.aspx?q={searchTerms}&srch=dsp"
IE - HKCU\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = "http://search.babylon.com/web/{searchTerms}?babsrc=SP_ss&affID=100474&mntrId=ba5df2d800000000000000242bc02a61"
IE - HKCU\..\SearchScopes\{32D0FC49-4F35-4360-B1DA-5A4E1E435623}: "URL" = "http://startsear.ch/?aff=1&q={searchTerms}"
IE - HKCU\..\SearchScopes\{70D46D94-BF1E-45ED-B567-48701376298E}: "URL" = "http://127.0.0.1:4664/search&s=kN-PCvi73mLEInMVRR-B_88JJMM?q={searchTerms}"
IE - HKCU\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = "http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2560206"
IE - HKCU\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = "http://search.sweetim.com/search.asp?src=6&crg=3.1010000&st=10&q={searchTerms}&barid={E968AEC4-BD40-11E0-9EBB-00235A60E0D4}"
SRV - File not found [Auto | Stopped] -- C:\Program Files\Common Files\Nero\Nero BackItUp 4\NBService.exe -- (Nero BackItUp Scheduler 4.0)
DRV - File not found [Kernel | Auto | Stopped] --  -- (adfs)
 
:Reg
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings]
"ProxyOverride"=-
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules]
"TCP Query User{E03AF6C8-5499-45F7-AE7D-4A9E1C00824E}C:\program files\sopcast\adv\sopadver.exe"=-
"TCP Query User{E0D8F813-9AF0-447C-BE62-7B90D01E0BBB}C:\program files\sopcast\adv\sopadver.exe"=-
"UDP Query User{5EC18C85-1E48-44C2-911F-BE446DA207AA}C:\program files\sopcast\adv\sopadver.exe"=- 
"UDP Query User{C7293FCD-A30C-422F-8EAF-A55D1A4B3CF0}C:\program files\sopcast\adv\sopadver.exe"=-
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany (i odblokowany), otworzy się log z wynikami usuwania.

 

2. Deinstalacje adware:

- Przez Panel sterowania odinstaluj:Babylon toolbar on IE, Browsers Protector, Softonic-Eng46 Toolbar, SweetIM for Messenger 3.5 / SweetIM Toolbar for Internet Explorer 4.1, StartSearch Toolbar 1.3 oraz wtyczki vShare Plugin + vShare.tv plugin 1.3 (nośniki adware). Przy okazji wyrzuć zbędny Akamai NetSession Interface.

- Otwórz Google Chrome, wejdź do Opcji i w Rozszerzeniach odmontuj: StartSearch Video plug-in + vshare plugin.

 

3. Uruchom AdwCleaner i zastosuj Delete. Z tego działania powstanie log na dysku C.

 

4. Wygeneruj nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log z usuwania OTL z punktu 1 oraz AdwCleaner z punktu 3.

 

 

 

.

[piotrek8705]

Zrobiłem tak jak Pani kazała:) przesyłam dalsze dane...

07142012_023352.txt

AdwCleanerS1.txt

OTL.Txt

[picasso]

Wszystko zrobione.

 

1. Mini poprawka na odpadki. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
IE - HKCU\..\URLSearchHook: {86bf3498-8c44-4c3d-bbfb-05bd50858039} - No CLSID value found
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {86BF3498-8C44-4C3D-BBFB-05BD50858039} - No CLSID value found.
O4 - HKCU..\Run: [Akamai NetSession Interface] "C:\Users\Kasia\AppData\Local\Akamai\netsession_win.exe" File not found
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings]
"ProxyOverride"=-

 

Klik w Wykonaj skrypt. Tym razwem bez restartu.

 

2. Porządki po narzędziach: w OTL uruchom Sprzątanie + w AdwCleaner Uninstall.

 

3. Wyczyść foldery Przywracania systemu: KLIK.

 

4. Na wszelki wypadek przeskanuj system za pomocą MBAM.

 

5. Wykonaj aktualizacje: KLIK. Wyciąg z listy zainstalowanych:

 

Internet Explorer (Version = 7.0.6002.18005)
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83216031FF}" = Java™ 6 Update 31
"{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}" = Microsoft Silverlight
"{AC76BA86-7AD7-1045-7B44-A81200000003}" = Adobe Reader 8 - Polish
"{BB65C393-C76E-4F06-9B0C-2124AA8AF97B}" = Adobe Flash Player 9 ActiveX (wersja dla IE) ----> odinstalować
"{EE7257A2-39A2-4D2F-9DAC-F9F25B8AE1D8}" = Skype™ 5.9
"Adobe Flash Player ActiveX" = Adobe Flash Player 10 ActiveX (wersja dla IE) ----> odinstalować
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin (wersja dla Firefox) ----> już jest najnowsza 11.3.300.265
"KLiteCodecPack_is1" = K-Lite Codec Pack 5.1.0 (Full)
 
========== HKEY_CURRENT_USER Uninstall List ==========[/color]
 
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"Google Chrome" = Google Chrome 10.0.648.127 

 

 

 

PS. Nowe Gadu-Gadu można zastąpić lżejszym programem alternatywnym. Do wybotu: WTW, Kadu, Miranda, AQQ. Opisy: KLIK.

 

 

 

.

[piotrek8705]

Bardzo dziękukuję za pomoc. Wszystko działa:) pozdrawiam