Live security platinum trojan help

[Misiek678]

Po włączeniu kompa program (jak w tytule) blokuje wszystko próbowałem odinstalowywyac w panelu sterowania ale się nie powiodło. przeczytałem że należy przeskanować programem otl tak zrobiłem pliki postaram się załączyć (wszystko oczywiście robione w trybie awaryjnym) za wszelkie odpowiedzi bardzo dziękuje

pozdrawiam misiek

Extras.TxtPobieranie informacji ...

OTL.TxtPobieranie informacji ...

[Landuss]

1. Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst:

 

:OTL
IE:64bit: - HKLM\..\SearchScopes\{2fa28606-de77-4029-af96-b231e3b8f827}: "URL" = "http://eu.ask.com/web?q={searchterms}&l=dis&o=HPNTDF"
IE - HKLM\..\SearchScopes\{2fa28606-de77-4029-af96-b231e3b8f827}: "URL" = "http://eu.ask.com/web?q={searchterms}&l=dis&o=HPNTDF"
IE - HKU\S-1-5-21-3429716957-328999514-967447291-1001\..\SearchScopes\{2fa28606-de77-4029-af96-b231e3b8f827}: "URL" = "http://eu.ask.com/web?q={searchterms}&l=dis&o=HPNTDF"
IE - HKU\S-1-5-21-3429716957-328999514-967447291-1001\..\SearchScopes\{52F950EF-C50E-4018-B05D-22C68B9C1405}: "URL" = "http://websearch.ask.com/redirect?client=ie&tb=AVR-3&o=APN10401&src=kw&q={searchTerms}&locale=&apn_ptnrs=^ABZ&apn_dtid=^YYYYYY^YY^PL&apn_uid=d924b8e5-b327-48a3-816a-bf40222900f0&apn_sauid=34864698-0462-4772-BF4F-34F7D1B9A601"
FF - prefs.js..browser.search.defaultengine: "Ask.com"
FF - prefs.js..browser.search.order.1: "Ask.com"
[2012-09-07 22:15:59 | 000,000,000 | ---D | M] (Avira SearchFree Toolbar plus Web Protection) -- C:\Users\HP\AppData\Roaming\mozilla\Firefox\Profiles\uvg3be7l.default\extensions\toolbar@ask.com
[2012-01-04 20:17:04 | 000,002,333 | ---- | M] () -- C:\Users\HP\AppData\Roaming\mozilla\firefox\profiles\uvg3be7l.default\searchplugins\askcom.xml
O4 - HKLM..\Run: []  File not found
O4 - HKU\S-1-5-21-3429716957-328999514-967447291-1001..\RunOnce: [0C1D1CCF0000199800082A2DF875F002] C:\ProgramData\0C1D1CCF0000199800082A2DF875F002\0C1D1CCF0000199800082A2DF875F002.exe ()
O7 - HKU\S-1-5-21-3429716957-328999514-967447291-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HideSCAHealth = 1
 
:Files
C:\Users\HP\Desktop\Live Security Platinum.lnk
C:\ProgramData\0C1D1CCF0000199800082A2DF875F002
C:\ProgramData\0C1D1CCF0000199800082A2DE56C34C7
C:\Users\HP\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Live Security Platinum
 
:Reg
[-HKEY_USERS\S-1-5-21-3429716957-328999514-967447291-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Live Security Platinum]
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Kliknij w Wykonaj skrypt. Zatwierdź restart komputera.

 

2. Przez Panel sterowania odinstaluj: Ask Toolbar (Avira SearchFree Toolbar plus Web Protection) oraz Avira SearchFree Toolbar plus Web Protection Updater

 

3. Uruchom AdwCleaner z opcji Delete

 

4. Uruchamiasz OTL ponownie, tym razem wywołujesz opcję Skanuj. Pokazujesz nowy log z OTL (bez extras)

[Misiek678]

wykonałem wcześniejsze polecenia otl w załączniku wyskakuje mi tylko powiadomienie że usługa centrum zabezpieczeń systemu windows jest wyłaczona

OTL.TxtPobieranie informacji ...

[Landuss]

  Cytat

wyskakuje mi tylko powiadomienie że usługa centrum zabezpieczeń systemu windows jest wyłaczona

 

Pokaż raport z Farbar Service Scanner (zaznacz wszystko do skanowania)

[Misiek678]

po przeskannowaniu programem plik w załaczniku

 

 

 

edit

znalazłem na forum poradę jak rozwiązać ten problem oto link https://www.fixitpc.pl/topic/6767-rekonstrukcja-centrum-zabezpieczen-systemu-windows/

FSS.txtPobieranie informacji ...

Edytowane 18 Września 2012 przez Misiek678

[Landuss]

To pytanie czy teraz wszystko już działa jak należy? Jeśli tak to będziemy finalizować temat.

[Misiek678]

po wykonaniu poleceń znikło powiadomienie

[picasso]

Po obecności polityki HideSCAHealth można się było spodziewać zmian ustawień w usługach Windows wykonanych przez infekcję. Polityka miała w zamiarze ukryć ikonę Centrum w obszarze powiadomień, a ukrycie służy zamaskowaniu blędów. Po jej usunięciu skryptem ujawnił się faktyczny błąd i na ten temat:

 

 

  Cytat

edit

znalazłem na forum poradę jak rozwiązać ten problem oto link https://www.fixitpc.pl/topic/6767-rekonstrukcja-centrum-zabezpieczen-systemu-windows/

 

To nie było potrzebne, choć wykonanie tego oczywiście rozwiązuje sprawę. Artykuł dedykuje całkowity brak usługi, a to nie był ten przypadek. Usługa Centrum była tylko wyłączona. To zresztą nie jedyna usługa wyłączona przez tę infekcję, również Windows Update oraz Windows Defender są poszkodowane. Start > w polu szukania wklep services.msc > z prawokliku Uruchom jako Administrator. Na liście dwuklik w usługę Windows Update i Typ uruchomienia przestaw na Automatycznie (opóźnione uruchomienie). Windows Defender pomijam, w tle chodzi Avira.

 

 

 

.

[Misiek678]

Wykonałem wcześniejsze polecenia. Bardzo dziękuję za przeprowadzenie mnie przez proces usuwania tego szkodnika prawdziwy profesjonalizm pozwolił na uniknięcie jakich kolwiek nieporozumień. Pozdrawiam Misiek

[picasso]

Tutaj jeszcze nie koniec działań...

 

1. Porządki po narzędziach: w AdwCleaner użyj Uninstall, w OTL uruchom Sprzątanie.

 

2. Napraw błąd WMI numer 10 automatem z KB2545227.

 

3. Wyczyść foldery Przywracania systemu: KLIK.

 

4. Zaktualizuj Java i Adobe: KLIK.

 

========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83217005FF}" = Java™ 7 Update 5
"{AC76BA86-7AD7-FFFF-7B44-AA0000000001}" = Adobe Reader X (10.1.0) MUI
"Adobe Flash Player ActiveX" = Adobe Flash Player 10 ActiveX (wtyczka dla IE)
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin (wtyczka dla Firefox)
"Adobe Shockwave Player" = Adobe Shockwave Player 11.6

 

 

.

 

 

[Misiek678]

zrobiłem porządki błąd wmi 10 potraktowałem automatem microsoft fixit foldery przywracania wyczyszczone oraz programy java, adobe flash player zaktualizowane

[picasso]

Wykonałeś zalecone czynności, toteż temat został zakończony. Zamykam.