Pozostałości po UKASH

[WisnieR]

Witam.

 

Dziś mnie też dopadł wirus UKASH jednak udało mi się ręczne z nim poradzić przez usunięcie podjerzanego pliku exe. Myśle, że jednak zostały jakieś pozostałości po nim i w ramach prośby chciałbym aby ktoś to spradził. Załączam logi z OTL

 

OTL:

http://wklej.org/id/801834/

 

Extras:

http://wklej.org/id/801835/

[Landuss]

Niestety oprócz "Ukash" to jest też ZeroAccess a więc infekcja znacznie gorsza.

 

Uruchom SystemLook x64 i do okna wklej:

 

:reg
HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
 
:filefind
services.exe

 

Klik w Look i przedstaw wynikowy raport.

[WisnieR]

Proszę bardzo:

http://wklej.org/id/804092/

[Landuss]

1. Start > w polu szukania wpisz cmd > z prawokliku uruchom jako Administrator i wklep te polecenia:

 

reg delete HKCU\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /f

 

reg add HKLM\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /ve /t REG_EXPAND_SZ /d ^%systemroot^%\system32\wbem\wbemess.dll /f

 

2. Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst:

 

:Files
C:\ProgramData\uqkwkrfmgzzyycv
C:\ProgramData\xigndwdrcqidtdd
C:\Users\jhij\0.8475121929936513.exe
C:\Windows\Installer\{a4438f0e-6279-40d4-c689-a6132726b7e1}
C:\Users\jhij\AppData\Local\{a4438f0e-6279-40d4-c689-a6132726b7e1}
netsh winsock reset /C
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Kliknij w Wykonaj skrypt. Zatwierdź restart komputera.

 

3. Uruchamiasz OTL ponownie, tym razem wywołujesz opcję Skanuj. Pokazujesz nowy log z OTL (bez extras), z SystemLook oraz z Farbar Service Scanner (zaznacz wszystko do skanowania)

[WisnieR]

Ok siadłem do PC i zrobiłem w końcu te logi:

 

OTL:

http://wklej.org/id/806280/

 

SystemLook:

http://wklej.org/id/806281/

 

FSS:

http://wklej.org/id/806283/

[Landuss]

1. Odbuduj skasowane usługi (w instrukcjach omiń sfc /scannow):

• Rekonstrukcja usług Zapory systemu Windows (MpSvc + Bfe + SharedAccess): KLIK.
  
• Rekonstrukcja usługi Centrum zabezpieczeń: KLIK.
  
• Rekonstrukcja usługi Windows Defender: KLIK.
  
• Rekonstrukcja usługi Aktualizacje automatyczne - Pobierz fixa i zaimportuj: KLIK
  

2. Po wykonaniu wszystkiego pokaż nowy log z FSS.

Edytowane 9 Września 2012 przez picasso
9.09.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso