Ukash - proszę o pomoc

[dominator1984]

Witam, Komputer zainfekowany ukashem. Proszę w związku z tym o pomoc w usunięciu ustrojstwa, w załączniku przesyłam log z OTL.

Extras.Txt

[picasso]

No ale przecież to tylko log Extras (poboczny). Gdzie jest główny?

[dominator1984]

No ale przecież to tylko log Extras (poboczny). Gdzie jest główny?

Faktycznie nie dołaczyłem głównego pliku

OTL.Txt

[picasso]

Używałeś ComboFixa. Na przyszłość: KLIK. Sprawy mają się tak: w domu uruchamiasz ComboFix, jeśli umiesz samodzielnie bez ComboFix usunąć tę infekcję.

 

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
IE:64bit: - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = "http://searchfunmoods.com/?f=1&a=test331&chnl=test331&cd=2XzuyEtN2Y1L1Qzu0CzzyCtDtDtDtB0B0C0AtBtD0D0B0BtDtN0D0Tzu0CtByDtDtN1L2XzutBtFtCtFtBtFtAtAtC&cr=456003518"
IE:64bit: - HKLM\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A}
IE:64bit: - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = "http://searchfunmoods.com/results.php?f=4&q={searchTerms}&a=test331&chnl=test331&cd=2XzuyEtN2Y1L1Qzu0CzzyCtDtDtDtB0B0C0AtBtD0D0B0BtDtN0D0Tzu0CtByDtDtN1L2XzutBtFtCtFtBtFtAtAtC&cr=456003518"
IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = "http://searchfunmoods.com/results.php?f=4&q={searchTerms}&a=test331&chnl=test331&cd=2XzuyEtN2Y1L1Qzu0CzzyCtDtDtDtB0B0C0AtBtD0D0B0BtDtN0D0Tzu0CtByDtDtN1L2XzutBtFtCtFtBtFtAtAtC&cr=456003518"
IE - HKCU\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = "http://searchfunmoods.com/results.php?f=4&q={searchTerms}&a=test331&chnl=test331&cd=2XzuyEtN2Y1L1Qzu0CzzyCtDtDtDtB0B0C0AtBtD0D0B0BtDtN0D0Tzu0CtByDtDtN1L2XzutBtFtCtFtBtFtAtAtC&cr=456003518"
IE - HKCU\..\SearchScopes\{25D64578-518A-C6AB-5795-50F82F7DFA93}: "URL" = "http://search.babylon.com/?q={searchTerms}&affID=111366&babsrc=SP_ss&mntrId=008edbb00000000000000008ca84c644"
O2 - BHO: (DownloadnSave Class) - {94F53867-52CC-B6C2-311A-6EDB9B1E3B6A} - C:\ProgramData\DownloadnSave\bhoclass.dll File not found
O4 - HKCU..\Run: [cggwavtfpgftvcb] C:\Windows\cggwavtf.exe (Cybernet Manufacturing)
 
:Files
C:\ProgramData\jtwooibxpbwacay
C:\ProgramData\ezejbdzirovtjvi
C:\Users\Lagusek\AppData\Roaming\mozilla\firefox\profiles\l5aq3nm1.default\searchplugins\Search.xml
C:\Users\Lagusek\AppData\Local\funmoods-speeddial_sf.crx
C:\Users\Lagusek\AppData\Local\funmoods.crx
C:\Program Files (x86)\mozilla firefox\searchplugins\babylon.xml
C:\Program Files (x86)\mozilla firefox\searchplugins\v9.xml
C:\Users\Lagusek\AppData\Roaming\sp_data.sys
C:\Windows\SysNative\custmon64i.dll
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Backup.Old.Start Page"=-
"Start Page"="about:blank"
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"Backup.Old.DefaultScope"=-
"DefaultScope"="{25D64578-518A-C6AB-5795-50F82F7DFA93}"
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes]
"Backup.Old.DefaultScope"=-
"DefaultScope"="{25D64578-518A-C6AB-5795-50F82F7DFA93}"
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany (i odblokowany), otworzy się log z wynikami usuwania. Od tego momentu działasz w Trybie normalnym:

 

2. Odinstaluj adware:

- Otwórz Firefox i w Dodatkach odinstaluj: Babylon + DealPly + DownloadnSave. Sprawdź czy widać (uszkodzoną) pozycję Funmoods, a jeśli to też.

- Przez Panel sterowania odinstaluj: Babylon toolbar on IE, DealPly, DownloadnSave, Funmoods Web Search, V9 HomeTool.

 

3. Uruchom AdwCleaner i zastosuj Delete. Z tego działania powstanie log na dysku C.

 

4. Wygeneruj nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log z usuwania OTL z punktu 1 oraz AdwCleaner z punktu 3.

 

 

 

.

Edytowane 8 Października 2012 przez picasso
8.10.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso