Skocz do zawartości
WAŻNE - Użytkownicy uprawnieni do pomocy
WAŻNE - Zakładanie tematu: obowiązkowe logi
Nadchodzące zmiany w logowaniu

Blokada komputera - UKASH

matip125

Przez matip125
w Dział pomocy doraźnej

Rekomendowane odpowiedzi

matip125

matip125

Opublikowano
Opublikowano

Witam!

 

Wczoraj dopadla mnie blokada komputera znanego wszystkim wirusa...

Cale szczescie korzystanie z PC jest nie mozliwe z jednego konta na komputerze, a drugie ZWYKLEGO UZYTKOWNIKA (nie administratora) normalnie chodzi co mnie zdziwilo.

Probowalem nawiazac polaczenie z TRYBEM AWARYJNYM - ale bez skutku laczy sie i w pewnej chwili sie zawiesza.

Przesylam logi z OTL'a i bardzo prosze o pomoc z waszej strony!

 

 

Pozdrawiam!

OTL.Txt

Extras.Txt

Odnośnik do komentarza
Pomoc jest darmowa, ale proszę rozważ przekazanie dotacji na utrzymanie serwisu: klik.
picasso

picasso

Opublikowano
Opublikowano
Cale szczescie korzystanie z PC jest nie mozliwe z jednego konta na komputerze, a drugie ZWYKLEGO UZYTKOWNIKA (nie administratora) normalnie chodzi co mnie zdziwilo.

 

Usuwanie będzie wymagało uprawnień administracyjnych, niestety z poziomu konta ograniczonego zapomnij o skryptach etc, bo wszystko wymaga uprawnień administracyjnych. Poza tym, zalogowanie na dane konto ma poważny wpływ na zawartość logów. Marta a MaTI = tu jest poważna różnica w rejestrze i folderach kont.

 

Probowalem nawiazac polaczenie z TRYBEM AWARYJNYM - ale bez skutku laczy sie i w pewnej chwili sie zawiesza.

 

Opisz o co Ci chodzi. Zamiast Trybu awaryjnego odetnij po prostu sieć, podobno wtedy infekcja nie jest zdolna podsunąć tej planszy blokującej.

 

 

UKASH to Twój najmniejszy problem. W systemie działa trojan ZeroAccess, który czyni także poważny szkody (kasuje z rejestru usługi). Wymagane dodatkowe skany, z poziomu konta MaTI.

 

1. Uruchom SystemLook x64 i w oknie wklej:

 

:reg
HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
 
:filefind
services.exe

 

Klik w Look i przedstaw log.

 

2. Wygeneruj także log z Farbar Service Scanner. Zaznacz wszystkie opcje.

 

 

 

.

Odnośnik do komentarza
matip125

matip125

Opublikowano
  • Autor
Opublikowano

Czyli mam odlaczyc siec i zrobic skana z konta ograniczonego?

 

Wejscia w tryb awaryjny wyglada nastepujaco:

F8 - tryb awaryjny (wszystkie po kolei probowalem)

Zaczyna sie wyszukiwanie plikow systemu windows po 5sec wyszukiwania staje w miejscu i pisze CZEKAJ...

Wczoraj wieczorem wlaczylem i mysle moze ruszy, ale przez cala noc nawet nie drgnelo.

Co to moze byc?

Jak na to zaradzic?

 

A i gdyby byl jakis pomysl, aby to uruchomic, to prosze o wskazowki (lub link do takich wskazowek) jak wlaczyc te wszystkie programy w trybie awaryjnym.

 

Ps. Dziekuje za pierwsza odpowiedz.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano
Czyli mam odlaczyc siec i zrobic skana z konta ograniczonego?

 

Nie, przecież logi dałeś mi właśnie z konta ograniczonego Marta:

 

Computer Name: MATI-KOMPUTER | User Name: Marta | NOT logged in as Administrator.

 

Masz odciąć sieć (kable wypięte), zalogować się na konto administratorskie MaTI i zrobić skany o które proszę.

 

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Na pewno robisz to dostatecznie szybko? Wpisem infekcji UKASH jest ten, ale oznaczony jako "not found", co nie wiadomo jak interpretować w obliczu faktu, że infekcja jest czynna (może to już nieaktualne i jest inny wpis):

 

O4:64bit: - HKLM..\Run: [tcpmonui] E:\Users\MaTI\AppData\Local\Microsoft\Windows\3659\tcpmonui.exe File not found

 

Wstępnie szukaj do zabijania w menedżerze zadań procesu tcpmonui.exe.

 

Jak mówię, ta infekcja nie jest tu najgorszą, w systemie jest bardziej inwazyjny trojan i muszę pobrać o nim dane poprzez narzędzia podane wcześniej.

 

 

 

.

Odnośnik do komentarza
  • 2 tygodnie później...
picasso

picasso

Opublikowano
Opublikowano

Między logami z OTL jest różnica, tzn. w drugim brak widocznych folderów ZeroAccess na dysku, a że upłynął spory czas trudno powiedzieć czy one się zregenerowały (będę to sprawdzać). Niemniej log z SystemLook poświadcza obecne modyfikacje ZeroAccess w rejestrze.

 

1. Otwórz Notatnik i wklej w nim:

 

reg delete HKCU\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /f
reg add HKLM\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /ve /t REG_EXPAND_SZ /d %%systemroot%%\system32\wbem\wbemess.dll /f
netsh winsock reset
netsh advfirewall reset

 

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.BAT

 

Adnotacja dla innych czytających: batch unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Z prawokliku na plik FIX.BAT wybierz opcję "Uruchom jako Administrator". Zresetuj ręcznie system.

 

2. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL


IE - HKLM\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2A69}: "URL" = "http://search.bearshare.com/web?src=ieb&q={searchTerms}"


IE - HKU\S-1-5-21-2647105612-3883565987-1890095508-1001\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2A69}: "URL" = "http://search.bearshare.com/web?src=ieb&q={searchTerms}"


IE - HKU\S-1-5-21-2647105612-3883565987-1890095508-1001\..\SearchScopes\{AD22EBAF-0D18-4fc7-90CC-5EA0ABBE9EB8}: "URL" = "http://www.daemon-search.com/search/web?q={searchTerms}"


FF - prefs.js..browser.search.defaultenginename: "Web Search..."


FF - prefs.js..browser.search.order.1: "BearShare Web Search"


O3:64bit: - HKLM\..\Toolbar: (DAEMON Tools Toolbar) - {32099AAC-C132-4136-9E9A-4E364A424E17} - E:\Program Files (x86)\DAEMON Tools Toolbar\DTToolbar64.dll File not found


O3:64bit: - HKU\S-1-5-21-2647105612-3883565987-1890095508-1001\..\Toolbar\WebBrowser: (DAEMON Tools Toolbar) - {32099AAC-C132-4136-9E9A-4E364A424E17} - E:\Program Files (x86)\DAEMON Tools Toolbar\DTToolbar64.dll File not found


O4:64bit: - HKLM..\Run: [tcpmonui] E:\Users\MaTI\AppData\Local\Microsoft\Windows\3659\tcpmonui.exe File not found


O4:64bit: - HKLM..\Run: [wancp] E:\Users\MaTI\AppData\Local\Temp\wancp.dll (DT Soft Ltd)


O4 - HKU\S-1-5-21-2647105612-3883565987-1890095508-1001..\Run: [15u225bkgq] E:\Users\MaTI\15u225bkgq.exe ()


O4 - HKU\S-1-5-21-2647105612-3883565987-1890095508-1001..\Run: [mssend] E:\Users\MaTI\AppData\Roaming\xcho1ekjar1zqyrd22hdanrvvgzuotwy2\svcnost.exe (StompSoft, Inc.)


O4 - HKU\S-1-5-21-2647105612-3883565987-1890095508-1001..\Run: [qqrepkt3zf] E:\Users\MaTI\qqrepkt3zf.exe ()


 


:Files


E:\Users\MaTI\AppData\Local\Microsoft\Windows\3659


E:\Users\MaTI\AppData\Roaming\hellomoto


E:\Users\MaTI\AppData\Roaming\xcho1ekjar1zqyrd22hdanrvvgzuotwy2


E:\found.*


 


:Reg


[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]


"Start Page"="about:blank"


[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]


"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"


[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes]


"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"


 


:Commands


[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany i otworzy się log z wynikami usuwania.

 

3. Przez Panel sterowania odinstaluj adware MediaBar oraz pozycję mIRC (w Twoim logu elementy zbieżne z tym: KLIK).

 

4. Zrób nowy log OTL z opcji Skanuj (już bez Extras) oraz SystemLook na warunki:

 

:reg


HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s


HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s


HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s


 


:folderfind


{ee4f1e86-dc1f-8db3-1061-5202f1900415}

 

 

 

 

.

Odnośnik do komentarza
  • 2 tygodnie później...
  • 1 miesiąc temu...
matip125

matip125

Opublikowano
  • Autor
Opublikowano

SystemLook 30.07.11 by jpshortstuff

Log created at 02:52 on 06/10/2012 by MaTI

Administrator - Elevation successful

 

========== filefind ==========

 

Searching for "services.exe"

E:\Windows\System32\services.exe --a---- 328704 bytes [23:19 13/07/2009] [01:39 14/07/2009] 24ACB7E5BE595468E3B9AA488B9B4FCB

E:\Windows\winsxs\amd64_microsoft-windows-s..s-servicecontroller_31bf3856ad364e35_6.1.7600.16385_none_2b54b20ee6fa07b1\services.exe --a---- 328704 bytes [23:19 13/07/2009] [01:39 14/07/2009] 24ACB7E5BE595468E3B9AA488B9B4FCB

 

-= EOF =-

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Plik nie jest naruszony. W związku z tym te obiekty ZeroAccess wyglądają na odpadki. Przejdź do usuwania infekcji:

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
O4 - HKU\S-1-5-21-2647105612-3883565987-1890095508-1001..\Run: [Atdeq] E:\Users\MaTI\AppData\Roaming\Ohmyci\lyin.exe (EAGLE TECH)
O7 - HKU\S-1-5-21-2647105612-3883565987-1890095508-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HideSCAHealth = 1
 
:Files
E:\Windows\assembly\GAC_32\Desktop.ini
E:\Windows\assembly\GAC_64\Desktop.ini
E:\Windows\Installer\{ee4f1e86-dc1f-8db3-1061-5202f1900415}
E:\Users\MaTI\AppData\Local\{ee4f1e86-dc1f-8db3-1061-5202f1900415}
E:\Users\MaTI\AppData\Roaming\Saab
E:\Users\MaTI\AppData\Roaming\Loaqhe
E:\Users\MaTI\AppData\Roaming\Esdigy
E:\Users\MaTI\AppData\Roaming\Zaota
E:\Users\MaTI\AppData\Roaming\Upul
E:\Users\MaTI\AppData\Roaming\Onor
E:\Users\MaTI\AppData\Roaming\Ohmyci
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany.

 

2. Do wykonania zaległa sprawa z poprzednich instrukcji:

 

3. Przez Panel sterowania odinstaluj adware MediaBar oraz pozycję mIRC (w Twoim logu elementy zbieżne z tym: KLIK).

 

Jeśli Panel sterowania nadal będzie zwracał błąd, to sprawdź czy jesteś w stanie uruchomić plik E:\Windows\System32\appwiz.cpl, który dałby dostęp do deinstalacji.

 

3. Zrób nowy log OTL z opcji Skanuj. Dołącz log z wynikami usuwania powstały w punkcie 1.

 

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano
Panel sterowania nadal nie dziala jedynie udalo mi sie usunac pozycję mIRC.

 

Nie rozumiem, skoro byłeś zdolny usunąć mIRC to dlaczego nie MediaBar?

 

 

W zaden sposob nie moge odnalesc pliku appwiz.cpl

 

Czy na pewno masz włączone pokazywanie rozszerzeń? Klawisz z flagą Windows + R i w polu Uruchom wklej E:\Windows\System32\appwiz.cpl. Czy to zwraca błąd?

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano
Odnalazlem ten plik appwiz.cpl, ale nie darady jego uruchomic, a gdy chce go usunac wyskakuje komunikat

 

Mój Boże, ale dlaczego Ty chcesz go usuwać? Na szczęście plik blokują uprawnienia. Ten plik jest apletem Dodaj / Usuń programy i nie kazałam go usuwać (!) tylko uruchomić. Jego uruchomienie miało być obejściem dostępowym przy nieuruchamiającym się Panelu sterowania. Co to znaczy "nie daje rady go uruchomić"? Jaki błąd?

 

 

Nie wiem w ktorym miejscu znajduje sie MEDIABAR.

 

Na liście zainstalowanych programów. W jaki sposób usunąłeś mIRC, skoro MediaBar nie możesz znaleźć?

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Teraz już wychodzę z domu i nie mogę prowadzić tematu. Jak wrócę, to przemyślę sprawę z tymi błędami.

 

 

Co do Mirc'a poprostu wiedzialem w ktorym miejscu byl zainstalowany.

 

Z tego co rozumiem to skasowałeś po prostu ... folder? Czyli: nie odinstalowany i tyle. Zupełnie nie o to mi chodziło, bo ta metoda to nieprawidłowe usuwanie, brutalne połowiczne operacje zostawiające kupę wpisów w rejestrze. Zresztą w logu z OTL widać, że coś źle "poszło", bo wpisy startowe po tym nadal są. Nie podejmuj już żadnych innych działań na własną rękę. Zajmę się doczyszczeniem tego co namieszałeś jak wrócę.

 

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano (edytowane)

Wstępnie spróbuj przerejestrowania bibliotek systemowych:

 

1. Z prawokliku na C:\Windows\system32\cmd.exe wybierz opcję Uruchom jako Administrator. W linii komend wklej:

 

for %i in (C:\Windows\system32\*.dll) do regsvr32.exe /s %i

 

Wykonanie tej komendy potrwa ... Poczekaj aż komenda ukończy, czyli nastąpi przejście do nowej linii i ustawienie znaku zachęty na C:\Windows\System32>.

 

2. Zresetuj system. Podaj czy jest jakaś zmiana.

 

 

.

Edytowane przez picasso
9.11.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso
Odnośnik do komentarza
Gość
Ten temat został zamknięty. Brak możliwości dodania odpowiedzi.
Tematy

  • Ostatnio przeglądający   0 użytkowników

    • Brak zarejestrowanych użytkowników przeglądających tę stronę.
×
×
  • Dodaj nową pozycję...