Problem z wirusem Weelsof

[damianosski]

Witam, weelsof bloknoł mi kompa. Próbowałem go usunąć, lecz bezskutecznie. Używałem autoruns aby go znaleźć, teraz blokuje sie dopiero po jakimś czasie a nie przy starcie systemu.

 

Prosze o pomoc.

pozdrawiam

OTL.Txt

Extras.Txt

[picasso]

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\Users\bogdaniec\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk
C:\ProgramData\lsass.exe
C:\ProgramData\0tbpw.pad
C:\Users\bogdaniec\AppData\Roaming\mozilla\firefox\profiles\6srrhn2l.default\searchplugins\askcom.xml
C:\Users\bogdaniec\AppData\Roaming\mozilla\firefox\profiles\6srrhn2l.default\searchplugins\my-web-search.xml
C:\Users\bogdaniec\AppData\Roaming\mozilla\firefox\profiles\6srrhn2l.default\searchplugins\Search_Results.xml
C:\Program Files\mozilla firefox\searchplugins\Search_Results.xml
C:\found.*
 
:OTL
IE - HKLM\..\SearchScopes\{7321541E-F83A-4D84-AF9B-1DCF1814EF82}: "URL" = "http://slirsredirect.search.aol.com/slirs_http/sredir?sredir=1602&query={searchTerms}&invocationType=tb50hpcmnbie7-pl-pl"
IE - HKLM\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD22}: "URL" = "http://dts.search-results.com/sr?src=ieb&appid=57&systemid=2&sr=0&q={searchTerms}"
IE - HKCU\..\SearchScopes\{7321541E-F83A-4D84-AF9B-1DCF1814EF82}: "URL" = "http://slirsredirect.search.aol.com/slirs_http/sredir?sredir=1602&query={searchTerms}&invocationType=tb50hpcmnbie7-pl-pl"
IE - HKCU\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD22}: "URL" = "http://dts.search-results.com/sr?src=ieb&appid=57&systemid=2&sr=0&q={searchTerms}"
IE - HKCU\..\SearchScopes\{A97BE3CE-7DC0-4F27-8E56-9119DFAC7FF1}: "URL" = "http://websearch.ask.com/redirect?client=ie&tb=ORJ&o=&src=kw&q={searchTerms}&locale=&apn_ptnrs=&apn_dtid=OSJ000&apn_uid=0986AC3C-D887-4069-90FB-573EE4D5B19B&apn_sauid=285E7F5B-8D90-4E7B-A995-1F500587C4EB"
IE - HKCU\..\URLSearchHook: {796b75f6-6187-47e2-8f1f-c16e059e6e19} - No CLSID value found
O2 - BHO: (Wincore Mediabar) - {c2d64ff7-0ab8-4263-89c9-ea3b0f8f050c} - C:\PROGRA~1\BEARSH~1\MediaBar\Datamngr\ToolBar\wincorebsdtx.dll File not found
O3 - HKLM\..\Toolbar: (no name) - !{0b84b4b4-8af8-4f1f-91fe-074a666f6425} - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - !{8dcb7100-df86-4384-8842-8fa844297b3f} - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - !{8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - !{D4027C7F-154A-4066-A1AD-4243D8127440} - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - {0BF43445-2F28-4351-9252-17FE6E806AA0} - No CLSID value found.
O3 - HKLM\..\Toolbar: (Wincore Mediabar) - {c2d64ff7-0ab8-4263-89c9-ea3b0f8f050c} - C:\PROGRA~1\BEARSH~1\MediaBar\Datamngr\ToolBar\wincorebsdtx.dll File not found
O3 - HKLM\..\Toolbar: (no name) - 10 - No CLSID value found.
O4 - HKLM..\Run: []  File not found
O8 - Extra context menu item: &Wyszukiwarka na pasku narzędzi AOL - C:\ProgramData\AOL\ieToolbar\resources\pl-PL\local\search.html File not found
DRV - File not found [Kernel | Boot | Stopped] -- system32\DRIVERS\fvxscsi.sys -- (FVXSCSI)
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\fcdabus.sys -- (fcdabus)
 
:Reg
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2]
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany. Blokada zniknie. Kolejne czynności prowadź już w Trybie normalnym:

 

2. Przez Panel sterowania odinstaluj adware Ask Toolbar, Ask Toolbar Updater, FilmFanatic Toolbar. Otwórz Firefox i w Dodatkach powtórz usuwanie tego samego.

 

3. Uruchom AdwCleaner i zastosuj Delete. Na dysku C powstanie log z usuwania.

 

4. Wygeneruj nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log z usuwania AdwCleaner z punktu 3.

 

 

 

.

[damianosski]

Oczywiście pomogło

 

 

Oto logi:

AdwCleanerS1.txt

OTL.Txt

 

Dziękuje za szybką odpowiedz

[picasso]

Tu nie koniec czyszczenia. Po pierwsze: log wygląda jakby połowa skryptu się w ogóle nie wykonała. Po drugie: pojawił się nowy szkodliwy wpis trojana udający "Zaporę";

 

O4 - HKCU..\Run: [Microsoft Firewall 2.9] C:\Users\bogdaniec\AppData\Roaming\WMPRWISE.EXE ()

 

1. Wyłącz osłonę rezydentną Avast. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\Users\bogdaniec\AppData\Roaming\ntuser.dat
C:\Users\bogdaniec\AppData\Roaming\desktop.ini
C:\Users\bogdaniec\AppData\Roaming\WMPRWISE.EXE
C:\Program Files\paUninstall FilmFanatic.dll
 
:Services
fcdabus
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany.

 

2. Otwórz Notatnik i wklej w nim:

 

Windows Registry Editor Version 5.00

 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"!{0b84b4b4-8af8-4f1f-91fe-074a666f6425}"=-
"!{8dcb7100-df86-4384-8842-8fa844297b3f}"=-
"!{8E5E2654-AD2D-48bf-AC2D-D17F00898D06}"=-
"!{D4027C7F-154A-4066-A1AD-4243D8127440}"=-
"{0BF43445-2F28-4351-9252-17FE6E806AA0}"=-
"10"=-
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}]
@="Bing"
"URL"="http://www.bing.com/search?q={searchTerms}&FORM=IE8SRC"
"DisplayName"="@ieframe.dll,-12512"
 
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{7321541E-F83A-4D84-AF9B-1DCF1814EF82}]
 
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{A97BE3CE-7DC0-4F27-8E56-9119DFAC7FF1}]
 
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{7321541E-F83A-4D84-AF9B-1DCF1814EF82}]
 
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt\&Wyszukiwarka na pasku narzędzi AOL]
 
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2]
 
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"Microsoft Firewall 2.9"=-

 

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.REG > z prawokliku Scal

 

3. W Google Chrome pozostała odpadkowa wtyczka FilmFanatic:

 

========== Chrome  ==========
 
CHR - plugin: MindSpark Toolbar Platform Plugin Stub (Enabled) = C:\Program Files\FilmFanatic\bar\1.bin\NPpaStub.dll

 

Zamknij Google Chrome (nie może być uruchomione) i otwórz w Notatniku do edycji plik:

 

C:\Users\bogdaniec\AppData\Local\Google\Chrome\User Data\Default\Preferences

 

W pliku wyszukaj blok wtyczki MindSpark Toolbar Platform Plugin Stub i usuń. Dla porównania tu punkt 3, oczywiście nazwa wtyczek inna: KLIK.

 

4. Zrób nowy log OTL z opcji Skanuj (bez Extras).

 

 

PS. Co do poniższego, to dlaczego program nie został pobrany z linka do którego kierowałam:

 

[2012-10-24 23:02:41 | 000,538,941 | ---- | M] () -- C:\Users\bogdaniec\Desktop\AdwCleaner_www.INSTALKI.pl.exe

 

Na przyszłość: proszę nie pobierać tego typu aplikacji z serwisów pośrednich tylko ze stron domowych, bo tylko to gwarantuje pozyskanie najnowszej wersji.

 

 

.

Edytowane 28 Listopada 2012 przez picasso
28.11.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso