Weelsof UKASH - komputer zablokowany

[piotr6428]

Witam, niestety Weelsof i mnie dopadł, kody nie działają, nie jestem na tyle doświadczony aby używać ComboFixa.

System to Windows 7 64-bit.

Proszę o pomoc, zamieszczam logi.

OTL.Txt

Extras.Txt

[picasso]

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
IE - HKLM\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = "http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2786678"
IE - HKLM\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = "http://search.sweetim.com/search.asp?src=6&q={searchTerms}"
IE - HKU\S-1-5-21-4239924813-3576964427-2620023077-1000\..\SearchScopes\{0388404D-6072-4CEB-B521-8F090FEAEE57}: "URL" = "http://klit.startnow.com/s/?q={searchTerms}&src=defsearch&provider=&provider_name=yahoo&provider_code=&partner_id=693&product_id=741&affiliate_id=&channel=&toolbar_id=200&toolbar_version=2.4.0&install_country=PL&install_date=20111222&user_guid=28D6D0D56CC3417B996A1EDC1DC57C49&machine_id=25c68cd04eff4e153985a273155925b1&browser=IE&os=win&os_version=6.1-x64-SP0&iesrc={referrer:source}"
IE - HKU\S-1-5-21-4239924813-3576964427-2620023077-1000\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = "http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2786678"
IE - HKU\S-1-5-21-4239924813-3576964427-2620023077-1000\..\SearchScopes\{CFF4DB9B-135F-47c0-9269-B4C6572FD61A}: "URL" = "http://mystart.incredimail.com/mb68/?search={searchTerms}&loc=search_box&u=92823250184699511"
IE - HKU\S-1-5-21-4239924813-3576964427-2620023077-1000\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = "http://search.sweetim.com/search.asp?src=6&st=2&q={searchTerms}&barid={EC383D94-EC5C-11E0-BF8E-90004EF9644D}"
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - No CLSID value found.
O4 - HKLM..\Run: [NWEReboot]  File not found
O4 - HKU\S-1-5-21-4239924813-3576964427-2620023077-1000..\Run: [DU Meter] C:\Program Files (x86)\DU Meter\DUMeter.exe File not found
O4 - HKU\S-1-5-21-4239924813-3576964427-2620023077-1000..\Run: [yprkqbqmjedyymh] C:\ProgramData\yprkqbqm.exe ()
O4 - Startup: C:\Users\Piotr\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\OpenOffice.org 2.4.lnk =  File not found
[2012/07/22 20:49:14 | 000,000,000 | ---D | C] -- C:\ProgramData\tclsyocqjzwxfig
[2012/07/22 20:49:15 | 000,000,051 | ---- | M] () -- C:\ProgramData\auhjrtavfqfyefo
[2012/07/22 20:49:03 | 000,053,248 | ---- | M] () -- C:\Users\Piotr\0.5165306816293858.exe
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
"Start Page Restore"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany (i odblokowany), otworzy się log z wynikami usuwania.

 

2. Deinstalacje adware:

- Przez Panel sterowania odinstaluj: Conduit Engine, DealPly, StartNow Toolbar, SweetIM Toolbar for Internet Explorer 4.2, uTorrentBar Toolbar.

- Otwórz Google Chrome, wejdź do Opcji. W Rozszerzeniach odmontuj DealPly + uTorrentBar, zmień stronę startową oraz w zarządzaniu wyszukiwarkami przestaw domyślną z bieżącego SweetIM Search na coś innego, po czym SweetIM Search z listy usuń.

 

3. Uruchom AdwCleaner i zastosuj Delete. Z tego działania powstanie log na dysku C.

 

4. Wygeneruj nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log z usuwania OTL z punktu 1 oraz AdwCleaner z punktu 3.

 

 

 

.

[piotr6428]

Dołączam logi.

OTL.Txt

AdwCleanerS1.txt

07232012_130328.txt

[picasso]

Zadania pomyślnie wykonane. Przejdź do tej porcji czynności:

 

1. Mini poprawka. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
O8:64bit: - Extra context menu item: Search the Web - C:\Program Files (x86)\SweetIM\Toolbars\Internet Explorer\resources\menuext.html File not found
O8 - Extra context menu item: Search the Web - C:\Program Files (x86)\SweetIM\Toolbars\Internet Explorer\resources\menuext.html File not found

 

Klik w Wykonaj skrypt. Tym razem nie będzie restartu.

 

2. Porządki po narzędziach: w OTL uruchom Sprzątanie + w AdwCleaner Uninstall.

 

3. Wyczyść foldery Przywracania systemu: KLIK.

 

4. Wykonaj pełne (nie ekspresowe) skanowanie w Malwarebytes Anti-Malware. Jeśli coś wykryje, przedstaw raport.

 

.

[piotr6428]

Wszystko w porządku. Dziękuję za fachową pomoc. Pozdrawiam !

[picasso]

Na zakończenie wykonaj podstawowe aktualizacje: KLIK. Z Twojej listy zainstalowanych, Windows nieaktualizowany (brak SP1+IE9) oraz widoczne wersje:

 

64bit- Home Premium Edition  (Version = 6.1.7600) - Type = NTWorkstation
Internet Explorer (Version = 8.0.7600.16385)
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
64bit: [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F86416020FF}" = Java™ 6 Update 20 (64-bit)
"{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}" = Microsoft Silverlight
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83216020FF}" = Java™ 6 Update 29
"{AC76BA86-7AD7-1033-7B44-A95000000001}" = Adobe Reader 9.5.0
"{D103C4BA-F905-437A-8049-DB24763BBE36}" = Skype™ 4.2
"Adobe Flash Player ActiveX" = Adobe Flash Player 10 ActiveX (wtyczka dla IE)
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin (wtyczka dla Opera/Firefox)
"Adobe Shockwave Player" = Adobe Shockwave Player 11.6

 

To m.in. stara Java jest przyczyną tej infekcji.

 

 

.