Blokada komputera wirus ukash

[Szajba]

Witam. Dzisiaj podczas użytkowania z mojego komputera niespodziewanie zniknął explorer.exe i wdarło mi się na dysk złośliwe oprogramowanie które jest rzekomą informacją od policji. Czytałem wcześniej na czym polega ten wirus i zwracam się do was z pomocą.

 

Oto potrzebne pliki:

Extras.Txt

OTL.Txt

[picasso]

UKASH to nie wirus, to trojan gatunku ransomware. Prócz tego w systemie jest duża ilość adware (konsekwencja nieuważnych instalacji). Firefox wygląda na odinstalowany, będę usuwać jego szczątki.

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
O4:64bit: - HKLM..\Run: [WinSCard] C:\Users\Bartek\AppData\Local\Microsoft\Windows\2225\WinSCard.exe (Opera Software)
IE - HKLM\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = "http://search.sweetim.com/search.asp?src=6&q={searchTerms}&crg=3.1010000.10011&barid={379931F4-DDCA-11E1-A680-6CF049D9999C}"
IE - HKCU\..\SearchScopes\{0D7562AE-8EF6-416d-A838-AB665251703A}: "URL" = "http://start.facemoods.com/?a=bf2&s={searchTerms}&f=4"
IE - HKCU\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = "http://search.babylon.com/?q={searchTerms}&affID=110824&tt=101012_ikan_4112_6&babsrc=SP_ss&mntrId=5c86f3d300000000000000ff29698aed"
IE - HKCU\..\SearchScopes\{8717F1E9-7A5F-42c4-BC55-7EDFCA3154F4}: "URL" = "http://www.google.com/cse?cx=partner-pub-3794288947762788%3A4067623346&ie=UTF-8&q={searchTerms}&sa=Search&siteurl=www.google.com%2Fcse%2Fhome%3Fcx%3Dpartner-pub-3794288947762788%3A4067623346"
IE - HKCU\..\SearchScopes\{95B7759C-8C7F-4BF1-B163-73684A933233}: "URL" = "https://isearch.avg.com/search?cid={02D9DB66-8A1F-4E89-B090-D89CE2910F4F}&mid=f9a01375df7c4107b01fcaa83c89a88b-fb2ad8b5345a3433fdc8dcc1a851fd17db2910a4&lang=pl&ds=xn011&pr=sa&d=2012-10-17 19:02:17&v=13.0.0.7&sap=dsp&q={searchTerms}"
IE - HKCU\..\SearchScopes\{AD22EBAF-0D18-4fc7-90CC-5EA0ABBE9EB8}: "URL" = "http://www.daemon-search.com/search/web?q={searchTerms}"
IE - HKCU\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = "http://search.sweetim.com/search.asp?src=6&q={searchTerms}&crg=3.1010000.10011&barid={379931F4-DDCA-11E1-A680-6CF049D9999C}"
FF:64bit: - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\Windows\system32\Macromed\Flash\NPSWF64_11_4_402_287.dll File not found
FF:64bit: - HKLM\Software\MozillaPlugins\@microsoft.com/GENUINE: disabled File not found
 
:Files
C:\Users\Bartek\AppData\Local\Microsoft\Windows\2225
C:\Users\Bartek\AppData\Roaming\hellomoto
C:\Users\Bartek\AppData\Roaming\kgVpf.exe
C:\ProgramData\xrxbhdvbnhencwn
C:\Program Files (x86)\mozilla firefox\searchplugins\fcmdSrch.xml
C:\Users\Bartek\AppData\Local\Temp*.html
C:\Users\Bartek\AppData\Roaming\mozilla
C:\Program Files (x86)\mozilla firefox
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
[-HKEY_CURRENT_USER\Software\Mozilla]
[-HKEY_CURRENT_USER\Software\MozillaPlugins]
[-HKEY_LOCAL_MACHINE\Software\Wow6432Node\MozillaPlugins]
[-HKEY_LOCAL_MACHINE\Software\Wow6432Node\Mozilla]
[-HKEY_LOCAL_MACHINE\Software\Wow6432Node\mozilla.org]
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany i odblokowany. Kolejne działania już w Trybie normalnym:

 

2. Przez Panel sterowania odinstaluj adware: AVG Security Toolbar, Babylon toolbar, DAEMON Tools Toolbar, DealPly, Facemoods Toolbar, Internet Explorer Toolbar 4.6 by SweetPacks, SweetIM for Messenger 3.7, Update Manager for SweetPacks 1.1, Yontoo 1.10.02. pozbądź się też zbędnego Akamai NetSession Interface.

 

3. Uruchom AdwCleaner i zastosuj Delete. Na dysku C powstanie log z usuwania.

 

4. Wygeneruj nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log z usuwania AdwCleaner z punktu 3.

 

 

 

.

Edytowane 17 Listopada 2012 przez picasso
17.11.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso