Podejrzenie ukasha

[maciek1921]

Znajomy w pracy dał mi komputer do sprawdzenia bo podobno złapał wirusa który zablokował mu ekran żądając zapłaty za jego odblokowanie. Objawy sugerują kolejny przypadek ataku ukasha. Co ciekawe gdy podłączyłem komputer w pracy to ukash się nie pokazał.

Załączam logi do sprawdzenia. Z góry dziękuje w imieniu swoim i znajomego.

 

otl http://wklej.to/cP6fK

extras http://wklej.to/N90z4

 

Pozdrawiam

[picasso]

Infekcja jak najbardziej jest w systemie, oto linia startowa:

 

O4 - Startup: C:\Users\Czarodziej\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk = C:\ProgramData\lsass.exe (Microsoft Corporation)

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\Users\Czarodziej\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk
C:\ProgramData\lsass.exe
C:\ProgramData\dsgsdgdsgdsgw.pad
 
:OTL
FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\{D19CA586-DD6C-4a0a-96F8-14644F340D60}: C:\Program Files (x86)\Common Files\McAfee\SystemCore
FF - HKEY_LOCAL_MACHINE\software\mozilla\Thunderbird\Extensions\\msktbird@mcafee.com: C:\Program Files\McAfee\MSK
O2:64bit: - BHO: (scriptproxy) - {7DB2D5A0-7241-4E79-B68D-6309F01C5231} - C:\Program Files\Common Files\McAfee\SystemCore\ScriptSn.20120226215505.dll File not found
O2 - BHO: (scriptproxy) - {7DB2D5A0-7241-4E79-B68D-6309F01C5231} - C:\Program Files (x86)\Common Files\McAfee\SystemCore\ScriptSn.20120226215505.dll File not found
O4:64bit: - HKLM..\Run: []  File not found
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany. Blokada zniknie.

 

2. Zrób nowy log OTL z opcji Skanuj (już bez Extras).

 

 

 

.

[maciek1921]

Nowy log http://wklej.to/8I0te

[picasso]

Wszystko zrobione, zamykamy sprawy:

 

1. W OTL uruchom Sprzątanie dedykowane likwidacji z dysku OTL wraz z kwarantanną.

 

2. W Dzienniku zdarzeń występuje częsty błąd WMI numer 10. Napraw narzędziem z KB2545227.

 

3. Wyczyść foldery Przywracania systemu: KLIK.

 

4. Zaktualizuj poniżej wyliczone aplikacje: KLIK. W logu widać wersje:

 

========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83216030FF}" = Java™ 6 Update 30
"{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}" = Microsoft Silverlight
"{95140000-0070-0000-0000-0000000FF1CE}" = Microsoft Office 2010
"{AC76BA86-7AD7-FFFF-7B44-AA0000000001}" = Adobe Reader X (10.1.0) MUI
"Adobe Flash Player ActiveX" = Adobe Flash Player 11 ActiveX (wtyczka IE)
 
FF - HKLM\Software\MozillaPlugins\@Microsoft.com/NpCtrl,version=1.0: c:\Program Files (x86)\Microsoft Silverlight\4.1.10329.0\npctrl.dll ( Microsoft Corporation)
CHR - plugin: Silverlight Plug-In (Enabled) = c:\Program Files (x86)\Microsoft Silverlight\4.1.10329.0\npctrl.dll

 

Czyli: sprawdź wersję wtyczki Adobe Flash w Internet Explorer, odinstaluj starą Java i wtyczkę Silverlight przed wprowadzeniem nowych, doinstaluj pakiet SP1 dla Office 2010.

 

 

 

.

[maciek1921]

Dziękuję za pomoc.