Infekcja Weelsof

[mithrilli]

Witam,

Również mam problem z Weelsof'em, wrzucam logi z OTL'a

Proszę o pomoc w pozbyciu się tego dziadostwa.

Pozdrawiam

Michał

OTL.Txt

Extras.Txt

[picasso]

Zasady działu: KLIK. Tu jest zakaz dopisywania się. Wydzielone w osobny temat. Logi z OTL źle zrobione, opcja Rejestr ustawiona na Wszystko, a ma być Użyj filtrowania.

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\Users\Krzysztof\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk
C:\Users\Krzysztof\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\rundlll.exe
C:\ProgramData\lsass.exe
C:\ProgramData\0tbpw.pad
C:\ProgramData\kzabfzqxnlqiljz
C:\Users\Krzysztof\AppData\Roaming\Tawiwu
C:\Users\Krzysztof\AppData\Roaming\Ucofat
C:\Users\Krzysztof\AppData\Roaming\mozilla\firefox\profiles\em4qmn8r.default\searchplugins\askcom.xml
 
:OTL
IE - HKLM\..\SearchScopes\{EEE7E0A3-AE64-4dc8-84D1-F5D7BAF2DB0C}: "URL" = "http://slirsredirect.search.aol.com/slirs_http/sredir?sredir=2685&query={searchTerms}&invocationType=tb50winampie7"
IE - HKU\S-1-5-21-2414596299-4141308215-1096230379-1000\..\SearchScopes\{0B278C6F-EC6B-3477-311E-6342928C69FF}: "URL" = "http://flv.asksearch.com/s/?q={searchTerms}&iesrc={referrer:source?}&cfg=2-113-11-UwNh"
IE - HKU\S-1-5-21-2414596299-4141308215-1096230379-1000\..\SearchScopes\{3BF9E7C9-7A07-44EC-B2D2-39721064FEA4}: "URL" = "http://websearch.ask.com/redirect?client=ie&tb=PTV&o=15184&src=crm&q={searchTerms}&locale=&apn_ptnrs=RY&apn_dtid=YYYYYYYYPL&apn_uid=94985051-8cc3-48ec-abf4-5c6df632ee4c&apn_sauid=A4970025-42D6-4156-9553-DA30513A99BC"
IE - HKU\S-1-5-21-2414596299-4141308215-1096230379-1000\..\SearchScopes\{EEE7E0A3-AE64-4dc8-84D1-F5D7BAF2DB0C}: "URL" = "http://slirsredirect.search.aol.com/slirs_http/sredir?sredir=2685&query={searchTerms}&invocationType=tb50winampie7"
O4 - HKLM..\Run: []  File not found
O4 - HKU\S-1-5-21-2414596299-4141308215-1096230379-1000..\Run: [uxiqup] C:\Users\Krzysztof\AppData\Roaming\Ucofat\oceg.exe File not found
SRV - File not found [Auto | Stopped] -- C:\Program Files\Clarus\Samsung SecretZone\SZAssistSVC.exe -- (SZASSIST)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Program Files\Clarus\Samsung SecretZone\mvd21.sys -- (mvd21)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Program Files\Clarus\Samsung SecretZone\mdf15.sys -- (mdf15)
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
"Start Page Restore"=-
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany, blokada zniknie.

 

2. Odinstaluj adware:

- Otwórz Firefox i w Dodatkach odinstaluj KMPlayer Toolbar, TheBflix.

- Otwórz Google Chrome i w Rozszerzeniach powtórz deinstalację tego samego co wyżej. Dodatkowo, w zarządzaniu wyszkiwarkami przestaw domyślną z Ask na Google, po tym Ask usuń z listy. Z listy stron startowych wymaż odnośnik do Ask.

- Przez Panel sterowania odinstaluj Babylon toolbar on IE, KMPlayer Toolbar, KMPlayer Toolbar Updater, Winamp Toolbar, TheBflix. Od razu usuń i niepełnosprawne skanery McAfee Security Scan Plus + Norton Security Scan.

 

3. Uruchom AdwCleaner i zastosuj Delete. Na dysku C powstanie log z usuwania.

 

4. Wygeneruj nowy log OTL z opcji Skanuj (już bez Extras), przypominam o Użyj filtrowania. Dołącz log z usuwania AdwCleaner z punktu 3.

 

 

 

.

 

[mithrilli]

Wykonałem wszystkie powyższe zalecenia,

załączam logi z OTL'a i adwcleaner'a.

Dzięki za wydzielenie tematu

Pozdrawiam

Michał

OTL.Txt

AdwCleanerS1.txt

[picasso]

Zadania wykonane.

 

1. Poprawka na wyszukiwarki Internet Explorer. Otwórz Notatnik i wklej w nim:

 

Windows Registry Editor Version 5.00
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}]
@="Bing"
"URL"="http://www.bing.com/search?q={searchTerms}&FORM=IE8SRC"
"DisplayName"="@ieframe.dll,-12512"
 
[-HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Search]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
"Default_Page_URL"=-

 

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.REG > z prawokliku Scal

 

2. Porządki po narzędziach: w AdwCleaner użyj Uninstall, w OTL uruchom Sprzątanie.

 

3. W Dzienniku zdarzeń jest błąd WMI numer 10. Instrukcje naprawcze: KB950375.

 

4. Wyczyść foldery Przywracania systemu: KLIK.

 

5. Zaktualizuj wyliczone poniżej programy: KLIK. Log mówi, że posiadasz wersje:

 

Internet Explorer (Version = 8.0.6001.19328)
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83216016FF}" = Java™ 6 Update 29
"{26A24AE4-039D-4CA4-87B4-2F83217004FF}" = Java™ 7 Update 4
"{8727531E-6C58-4852-A90B-39CF45E269A9}" = OpenOffice.org 3.2
"{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}" = Microsoft Silverlight
"{AC76BA86-7AD7-1045-7B44-A90100000001}" = Adobe Reader 9.0.1 - Polish
"Adobe Flash Player ActiveX" = Adobe Flash Player 10 ActiveX (wtyczka dla IE)
"Adobe Shockwave Player" = Adobe Shockwave Player 11.6
"Gadu-Gadu" = Gadu-Gadu 7.7
"KLiteCodecPack_is1" = K-Lite Mega Codec Pack 5.8.3
"Mozilla Firefox 15.0.1 (x86 pl)" = Mozilla Firefox 15.0.1 (x86 pl)
 
FF - HKLM\Software\MozillaPlugins\@Microsoft.com/NpCtrl,version=1.0: C:\Program Files\Microsoft Silverlight\4.1.10329.0\npctrl.dll ( Microsoft Corporation)

 

Gadu-Gadu 7.7 też zakreślam, z następujących powodów: wersja nie obsługująca w pełni własnej sieci i o niskim poziomie zabezpieczeń (brak szyfrowania). Są alternatywne nowocześniejsze programy z obsługą sieci Gadu: WTW, Kadu, Miranda, AQQ. Opisy: Darmowe komunikatory.

 

 

 

.