Wirus Ukash

[ninjatoon]

Witam.

Kompter zablokowany przez ukash'a podszywający się pod policję.

Załączam pliki z OTL'a. Komp nie był czyszczony żadnym narzędziem.

Bardzo proszę o pomoc!

OTL.Txt

Extras.Txt

[picasso]

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = "http://start.funmoods.com/results.php?f=4&q={searchTerms}&a=iron2&chnl=iron2&cd=2XzutAtN2Y1L1QzuyBzzzzyEtA0C0CzyyDyD0B0DyEtAyByEtN0D0TzutBtDtCtBtDyCtBtD&cr=117952301"
IE - HKU\S-1-5-21-996900166-1390096038-1055133534-1000\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = "http://start.funmoods.com/results.php?f=4&q={searchTerms}&a=iron2&chnl=iron2&cd=2XzutAtN2Y1L1QzuyBzzzzyEtA0C0CzyyDyD0B0DyEtAyByEtN0D0TzutBtDtCtBtDyCtBtD&cr=117952301"
IE - HKU\S-1-5-21-996900166-1390096038-1055133534-1000\..\SearchScopes\{2C0095DF-A88B-3D56-5376-4E012AF447B0}: "URL" = "http://search.babylon.com/?q={searchTerms}&AF=100478&babsrc=SP_ss&mntrId=2456437400000000000078843cc955bd"
FF - prefs.js..backup.old.browser.search.defaultenginename: "Search the web (Babylon)"
FF - prefs.js..browser.startup.homepage: "http://search.babylon.com/?babsrc=HP_Prot"
FF - prefs.js..browser.search.defaultenginename: "Search"
FF - prefs.js..browser.search.defaultthis.engineName: "WiseConvert 2.2 Customized Web Search"
FF - prefs.js..browser.search.defaulturl: "http://search.conduit.com/ResultsExt.aspx?ctid=CT3208939&SearchSource=3&q={searchTerms}"
FF - prefs.js..browser.search.order.1: "Search the web (Babylon)"
FF - prefs.js..browser.startup.homepage: "http://search.babylon.com/?babsrc=HP_Prot"
FF - prefs.js..keyword.URL: "http://search.conduit.com/ResultsExt.aspx?ctid=CT3208939&SearchSource=2&q="
O4 - HKU\S-1-5-21-996900166-1390096038-1055133534-1000..\Run: [ozvikcsxeeislsg] C:\ProgramData\ozvikcsx.exe () 
[2012-08-01 12:29:40 | 000,000,000 | ---D | C] -- C:\ProgramData\nmpqspafezbrssb
[2012-08-01 12:29:42 | 000,000,051 | ---- | M] () -- C:\ProgramData\qelhluckwmgsrpj
[2012-08-01 12:28:51 | 000,061,440 | ---- | M] () -- C:\Users\Oliwia\ms.exe
[2012-06-20 21:57:56 | 000,302,425 | ---- | C] () -- C:\Users\Oliwia\AppData\Local\funmoods-speeddial.crx
[2012-06-20 21:57:55 | 000,031,470 | ---- | C] () -- C:\Users\Oliwia\AppData\Local\funmoods.crx
[2012-05-17 00:26:00 | 000,000,933 | ---- | M] () -- C:\Users\Oliwia\AppData\Roaming\Mozilla\Firefox\Profiles\pao2frvs.default\searchplugins\conduit.xml
[2012-06-20 21:58:33 | 000,002,301 | ---- | M] () -- C:\Users\Oliwia\AppData\Roaming\Mozilla\Firefox\Profiles\pao2frvs.default\searchplugins\Search.xml
[2011-12-03 14:51:38 | 000,002,310 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\babylon.xml
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Backup.Old.Start Page"=-
"Start Page"="about:blank"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"Backup.Old.DefaultScope"=-
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
"Backup.Old.DefaultScope"=-
"DefaultScope"="{2C0095DF-A88B-3D56-5376-4E012AF447B0}"
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany (i odblokowany), otworzy się log z wynikami usuwania.

 

2. Odinstaluj adware:

- Przez Panel sterowania: Babylon toolbar on IE, Funmoods Web Search, FoxTab FLV Player, RewardsArcade.

- W Firefox w Dodatkach: Babylon, Funmoods.com, RewardsArcade, WiseConvert 2.2 Community Toolbar.

- W Google Chrome w Rozszerzeniach: Funmoods, RewardsArcade. Ponadto, z listy stron startowych wymaż start.funmoods.com + w zarządzaniu wyszukiwarkami przestaw domyślną z Web Search na cokolwiek innego, po tym Web Search usuń z listy.

 

3. Uruchom AdwCleaner i zastosuj Delete. Z tego działania powstanie log na dysku C.

 

4. Wygeneruj nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log z usuwania OTL z punktu 1 oraz AdwCleaner z punktu 3.

 

 

 

.

[ninjatoon]

Hm... niestety nie mogę znaleść pliku otl po wykonaniu skryptu! Jest jeden plik w folderze _OTL który dołączam po zmianie rozszerzenia z .log na .txt.

Dołączam więc ADWCleaner (były 2 więc podaję oba) oraz otl po wykonaniu skryptu.

AdwCleanerS1.txt

08242012_175200_.txt

OTL.Txt

[picasso]

To o ten log z usuwania OTL chodziło, zaś podwójne logi z AdwCleaner zbędne (zostawiam tylko ten z usuwania). Wszystko zrobione. Kolejne czynności:

 

1. Mini poprawka. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Reg
[HKEY_LOCAL_MACHINE\SOFTWARE\Mozilla\Firefox\Extensions]
"crossriderapp498@crossrider.com"=-

 

Klik w Wykonaj skrypt. Tym razem nie będzie restartu.

 

2. Porządki po narzędziach: w OTL uruchom Sprzątanie + w AdwCleaner Uninstall.

 

3. Wyczyść foldery Przywracania systemu: KLIK.

 

4. Wykonaj pełne skanowanie w Malwarebytes Anti-Malware. Jeśli coś wykryje, przedstaw raport.

 

 

 

.

[ninjatoon]

Ok. Wszystko zrobione. Malwarebytes wykrył jedno zagrożenie które usunąłem. Po restarcie i ponowyn skanie nie znalazł już żadnego zagrożenia, więc myślę, że byłoby na tyle jeżeli chodzi o mój problem.

Bardzo dziękuję za pomoc z tym całym galimariasem

Pozdrawiam!

[picasso]

Nie przedstawiłeś raportu co zostało wykryte, by można było to ocenić. Na zakończenie wykonaj ważne podstawowe aktualizacje: KLIK. Konkretnie u Ciebie brakuje SP1 dla Windows 7 oraz są widzialne wersje aplikacji:

 

Home Premium Edition  (Version = 6.1.7600) - Type = NTWorkstation
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83217005FF}" = Java™ 7 Update 5
"{90110415-6000-11D3-8CFE-0150048383C9}" = Microsoft Office Professional Edition 2003 ----> brak SP3
"{AC76BA86-7AD7-1045-7B44-A93000000001}" = Adobe Reader 9.3 - Polish
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin
"AVG" = AVG 2011
"Mozilla Firefox 13.0.1 (x86 pl)" = Mozilla Firefox 13.0.1 (x86 pl)

 

Temat rozwiązany. Zamykam.

 

 

.