Zablokowany pulpit

[prolanc]

Witam wszystkich moj kumpel ma problem z zablkowanym pulpitem na forum wyczytalem w czym zrobić raport ale nie wiem co wkleić z niego do walsne opcje skanowania bardzo będę wdzięczny za pomoc i pozdrawiam

Edytowane 17 Września 2012 przez picasso
Zbędne załączniki usuwam. Poprawne pliki w następnym poście. //picasso

[Landuss]

To na początek pytanie - czy to są logi zrobione w prawidłowego (zainfekowanego) konta użytkownika? Ponieważ w tych raportach nie widać w ogóle obiektów tej infekcji i stąd to pytanie.

[prolanc]

No te logi robił kumpel przez tryb awaryjny jak sa zle wykonane te logi to napisz jak bys mogl jak dokladnie je zrobić

 

kumpel zrobil jeszcze raz te raporty to je dodaje

Edytowane 17 Września 2012 przez picasso
Zbędne załączniki usuwam. Poprawne pliki w następnym poście. //picasso

[picasso]

Proszę poprawić te logi, są na złym ustawieniu, ustawione Wszystko a ma być Użyj filtrowania: KLIK.

[prolanc]

ok poprawil

OLT.Txt

Extras.Txt

[picasso]

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
IE:64bit: - HKLM\..\SearchScopes,DefaultScope = {9BB47C17-9C68-4BB3-B188-DD9AF0FD21}
IE:64bit: - HKLM\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD21}: "URL" = "http://dts.search-results.com/sr?src=ieb&appid=393&systemid=1&sr=0&q={searchTerms}"
IE:64bit: - HKLM\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2406}: "URL" = "http://dts.search-results.com/sr?src=ieb&appid=102&systemid=406&sr=0&q={searchTerms}"
IE - HKLM\..\SearchScopes\{0D7562AE-8EF6-416d-A838-AB665251703A}: "URL" = "http://start.facemoods.com/?a=ppcb&s={searchTerms}&f=4&hl={language}&src=chrm"
IE - HKLM\..\SearchScopes\{60CD077E-CEC9-4797-823B-AC4596B0BA68}: "URL" = "http://dts.search-results.com/sr?src=ieb&appid=393&systemid=1&q={searchTerms}"
IE - HKLM\..\SearchScopes\{8A96AF9E-4074-43b7-BEA3-87217BDA7406}: "URL" = "http://www.searchqu.com/web?src=ieb&systemid=406&q={searchTerms}"
IE - HKLM\..\SearchScopes\{95B7759C-8C7F-4BF1-B163-73684A933233}: "URL" = "http://startsear.ch/?aff=1&src=sp&cf=d2569f23-dbb4-11e0-8f62-90fba648100f&q={searchTerms}"
IE - HKLM\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD21}: "URL" = "http://dts.search-results.com/sr?src=ieb&appid=393&systemid=1&sr=0&q={searchTerms}"
IE - HKLM\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2406}: "URL" = "http://dts.search-results.com/sr?src=ieb&appid=102&systemid=406&sr=0&q={searchTerms}"
IE - HKLM\..\SearchScopes\{A55A7804-8838-4493-A5B8-B1967AF6931C}: "URL" = "http://downloads.phpnuke.org/en/index.php?rvs=google"
IE - HKLM\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = "http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2304157"
IE - HKLM\..\SearchScopes\{CA5267B4-3EBA-4228-BAAA-D19F82508B20}: "URL" = "http://downloads.phpnuke.org/en/index.php?rvs=google"
IE - HKLM\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = "http://search.sweetim.com/search.asp?src=6&q={searchTerms}"
IE - HKCU\..\SearchScopes\{0D7562AE-8EF6-416d-A838-AB665251703A}: "URL" = "http://start.facemoods.com/?a=ppcb&s={searchTerms}&f=4"
IE - HKCU\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = "http://search.babylon.com/?q={searchTerms}&affID=113480&tt=090812_ppc_3212_4&babsrc=SP_ss&mntrId=260574f600000000000000025b052161"
IE - HKCU\..\SearchScopes\{1F096B29-E9DA-4D64-8D63-936BE7762CC5}: "URL" = "http://search.babylon.com/?babsrc=SP_ss&q={searchTerms}&mntrId=260574f600000000000090fba648100f&tlver=1.4.19.19&ss=1&affID=18047"
IE - HKCU\..\SearchScopes\{60CD077E-CEC9-4797-823B-AC4596B0BA68}: "URL" = "http://dts.search-results.com/sr?src=ieb&appid=393&systemid=1&q={searchTerms}"
IE - HKCU\..\SearchScopes\{68465BC7-FF32-403E-9CCA-C13976814567}: "URL" = "http://isearch.avg.com/search?cid={09EBBF0F-2C24-4606-A9C6-B93CB0FA6332}&mid=d6d0a256a08a47d19fc641b2e0acf9fc-98325a0788630574ae6fb2b8aa6e4c192b263f36&lang=pl&ds=AVG&pr=fr&d=2012-01-27 22:06:33&v=10.0.0.7&sap=dsp&q={searchTerms}"
IE - HKCU\..\SearchScopes\{8A96AF9E-4074-43b7-BEA3-87217BDA7406}: "URL" = "http://www.searchqu.com/web?src=ieb&systemid=406&q={searchTerms}"
IE - HKCU\..\SearchScopes\{95B7759C-8C7F-4BF1-B163-73684A933233}: "URL" = "https://isearch.avg.com/search?cid={09EBBF0F-2C24-4606-A9C6-B93CB0FA6332}&mid=d6d0a256a08a47d19fc641b2e0acf9fc-98325a0788630574ae6fb2b8aa6e4c192b263f36&lang=pl&ds=AVG&pr=fr&d=2012-01-27 22:06:33&v=12.2.5.32&sap=dsp&q={searchTerms}"
IE - HKCU\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD21}: "URL" = "http://dts.search-results.com/sr?src=ieb&appid=393&systemid=1&sr=0&q={searchTerms}"
IE - HKCU\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2406}: "URL" = "http://dts.search-results.com/sr?src=ieb&appid=102&systemid=406&sr=0&q={searchTerms}"
IE - HKCU\..\SearchScopes\{A55A7804-8838-4493-A5B8-B1967AF6931C}: "URL" = "http://downloads.phpnuke.org/en/index.php?rvs=google"
IE - HKCU\..\SearchScopes\{AD22EBAF-0D18-4fc7-90CC-5EA0ABBE9EB8}: "URL" = "http://www.daemon-search.com/search/web?q={searchTerms}"
IE - HKCU\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = "http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2304157"
IE - HKCU\..\SearchScopes\{CA5267B4-3EBA-4228-BAAA-D19F82508B20}: "URL" = "http://downloads.phpnuke.org/en/index.php?rvs=google"
IE - HKCU\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = "http://search.sweetim.com/search.asp?src=6&q={searchTerms}"
IE - HKCU\..\URLSearchHook: {414b6d9d-4a95-4e8d-b5b1-149dd2d93bb3} - No CLSID value found
IE - HKCU\..\URLSearchHook: {8532a8b7-c06a-41bb-936a-8ce73e4711ed} - No CLSID value found
IE - HKCU\..\URLSearchHook: {A3BC75A2-1F87-4686-AA43-5347D756017C} - No CLSID value found
IE - HKCU\..\URLSearchHook: {dd02a4eb-4afd-4d60-99d8-e67f964ca813} - No CLSID value found
IE - HKCU\..\URLSearchHook: {EF99BD32-C1FB-11D2-892F-0090271D4F88} - No CLSID value found
O2:64bit: - BHO: (Java™ Plug-In 2 SSV Helper) - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll File not found
O2 - BHO: (Wincore Mediabar) - {28387537-e3f9-4ed7-860c-11e69af4a8a0} - C:\PROGRA~2\IMESHA~1\MediaBar\Datamngr\ToolBar\wincoreimdtx.dll File not found
O3:64bit: - HKLM\..\Toolbar: (no name) - !{7AC3E13B-3BCA-4158-B330-F66DBB03C1B5} - No CLSID value found.
O3:64bit: - HKLM\..\Toolbar: (no name) - !{95B7759C-8C7F-4BF1-B163-73684A933233} - No CLSID value found.
O3:64bit: - HKLM\..\Toolbar: (no name) - !{98889811-442D-49dd-99D7-DC866BE87DBC} - No CLSID value found.
O3:64bit: - HKLM\..\Toolbar: (no name) - 10 - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - !{7AC3E13B-3BCA-4158-B330-F66DBB03C1B5} - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - !{95B7759C-8C7F-4BF1-B163-73684A933233} - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - !{98889811-442D-49dd-99D7-DC866BE87DBC} - No CLSID value found.
O3 - HKLM\..\Toolbar: (Wincore Mediabar) - {28387537-e3f9-4ed7-860c-11e69af4a8a0} - C:\PROGRA~2\IMESHA~1\MediaBar\Datamngr\ToolBar\wincoreimdtx.dll File not found
O3 - HKLM\..\Toolbar: (no name) - {CCC7A320-B3CA-4199-B1A6-9F516DD69829} - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - 10 - No CLSID value found.
O4 - HKLM..\Run: []  File not found
O4 - HKLM..\Run: [stmRst] C:\Windows\StmClean.exe File not found
O4 - HKLM..\Run: [sunJavaUpdateSched] "C:\Program Files (x86)\Java\jre6\bin\jusched.exe" File not found
O4 - HKCU..\Run: [jnsweqjygfqegha] C:\ProgramData\jnsweqjy.exe (Oracle Corporation)
O4 - HKCU..\Run: [Voocytucpo] C:\Users\Juzef\AppData\Roaming\Ofozn\ibog.exe ()
 
:Files
C:\ProgramData\aqmwsdbggcxxtpz
C:\ProgramData\deqdjajlwraeecv
C:\Users\Juzef\AppData\Roaming\Poyst
C:\Users\Juzef\AppData\Roaming\Oqridy
C:\Users\Juzef\AppData\Roaming\Ofozn
C:\Users\Juzef\AppData\Roaming\mozilla\firefox\profiles\1n1rbdt2.default\searchplugins\BabylonMngr.xml
C:\Users\Juzef\AppData\Roaming\mozilla\firefox\profiles\1n1rbdt2.default\searchplugins\Search_Results.xml
C:\Program Files (x86)\mozilla firefox\searchplugins\babylon.xml
C:\Program Files (x86)\mozilla firefox\searchplugins\fcmdSrchppcb.xml
C:\Program Files (x86)\mozilla firefox\searchplugins\SearchquWebSearch.xml
C:\Program Files (x86)\mozilla firefox\searchplugins\SearchResults.xml
C:\Program Files (x86)\mozilla firefox\searchplugins\Search_Results.xml
C:\Users\Juzef\AppData\Local\promo.exe
C:\user.js
netsh advfirewall reset /C
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings]
"ProxyOverride"=-
"ProxyEnable"=dword:00000000
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"BrowserMngr Start Page"=-
"Default_Page_URL"=-
"Search Bar"=-
"Search Page"="http://go.microsoft.com/fwlink/?LinkId=54896"
"Secondary Start Pages"=-
"Start Page"="about:blank"
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Main]
"Search Page"="http://go.microsoft.com/fwlink/?LinkId=54896"
"Start Page"="about:blank"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"BrowserMngrDefaultScope"=-
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Search]
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany. Blokada zniknie. I kolejne kroki usuwające już z poziomu Trybu normalnego:

 

2. Odinstaluj adware:

- Otwórz Firefox i w Dodatkach odinstaluj: Babylon, Browser Manager, SpeedBit Video Downloader.

- Przez Panel sterowania odinstaluj: Babylon toolbar on IE, BabylonObjectInstaller, Browser Manager, Browsers Protector, Contextual Tool Extrafind, DAEMON Tools Toolbar, DealPly, MediaBar, MyPlayCity Toolbar, Windows iLivid Toolbar, SpeedBit Video Downloader, StartSearch Toolbar 1.3, uTorrentBar Toolbar, Windows iLivid Toolbar, XfireXO Toolbar, Yontoo 1.10.02. Od razu usuń też zbędny Akamai NetSession Interface.

 

3. Uruchom AdwCleaner i zastosuj Delete. Na dysku C powstanie log z usuwania. Skutkiem ubocznym uruchomienia AdwCleaner będzie usunięcie AVG Secure Search, program traktuje to jako sponsora.

 

4. Wygeneruj nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log z usuwania AdwCleaner z punktu 3.

 

 

 

.

Edytowane 17 Października 2012 przez picasso
17.10.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso