Policyjna blokada

[Simanith]

Tak jak w poprzednich tematach, wirus podający się za policję i blokujący cały komputer.

Google podpowiedział mi ze najlepszym lekarstwem będzie ComboFix (dopiero tutaj przeczytałem że nie powinno się go lekkomyślnie używać) i wydaje się że programik wszystko naprawił.

Chciałbym zeby jednak ktoś sprawdził czy wszystkie składniki szkodnika zostały usunięte.

ComboFix.txt

[picasso]

Zasady działu podają jakie raporty załącza się tu obowiązkowo: KLIK. Wprawdzie ComboFix usunął tę infekcję, ale jest tu jeszcze sprawa adware.

 

1. Przez Panel sterowania odinstaluj Ask Toolbar.

 

2. Uruchom AdwCleaner i zastosuj Delete. Na dysku C powstanie log z usuwania.

 

3. Zrób obowiązkowe logi OTL. Dołącz log utworzony przez AdwCleaner.

 

 

 

.

 

[Simanith]

oto logi

AdwCleanerS1.txt

OTL.Txt

Extras.Txt

[picasso]

AdwCleaner miał co robić, ale tu nie koniec działań. Log z OTL pokazuje więcej obiektów infekcji, których raport z ComboFix nie był zdolny pokazać. I są inne rzeczy, które należy zaadresować.

 

1. W systemie kryzysowe zestawienie antywirusów. Działają w tym samym czasie dwa avast! Free Antivirus + McAfee SecurityCenter. Jeden z nich musi zostać odinstalowany. Od razu pozbądź się też skróconego skanera, który prawdopodobnie był instalacją sponsorowaną w paczce Adobe: McAfee Security Scan Plus.

 

2. Otwórz Notatnik i wklej w nim:

 

Windows Registry Editor Version 5.00
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
[-HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes]

 

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.REG

 

Kliknij prawym na plik i wybierz opcję Scal. Zatwierdź import do rejestru.

 

3. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files

C:\Users\andrzej\AppData\Roaming\x3gung1fbpwjowhadksrp1y3noklsejg2
C:\Users\andrzej\AppData\Roaming\xlefwudvwvsvxun2s22cwjqlpbcdugxf2
C:\Users\andrzej\AppData\Roaming\xo3ddstxqhfvvsxfpctdxmsctv3vi23e2
C:\Users\andrzej\AppData\Roaming\xq3flqqdphm3g33xgfeldlyyfbgqk2ri2
C:\Users\andrzej\AppData\Roaming\Efohliu
C:\Users\andrzej\AppData\Roaming\Firewall Host
netsh advfirewall reset /C
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany.

 

4. Wygeneruj nowy log OTL z opcji Skanuj (już bez Extras).

 

 

.

[Simanith]

McAfee usunięty, został tylko Avast

OTL.Txt

[picasso]

W porządku, zrobione. Przechodzimy do wykończeń:

 

1. Zostały odpadkowe wtyczki po McAfee w przeglądarkach. Z Firefox usuniesz kasując ten plik z dysku:

 

C:\Program Files (x86)\mozilla firefox\components\Scriptff.dll

 

Natomiast z Google Chrome inna sprawa. Zamknij przeglądarkę (nie może być w procesach) i otwórz w Notatniku do edycji twen plik:

 

C:\Users\andrzej\AppData\Local\Google\Chrome\User Data\Default\Preferences

 

W pliku wyszukaj blok wtyczki McAfee SecurityCenter i usuń. Dla porównania tutaj punkt 3 jak to się robi, tylko oczywiście inna nazwa wtyczki: KLIK.

 

2. Odinstaluj w prawidłowy sposób ComboFix, co wyczyści też foldery Przywracania systemu. Klawisz z flagą Windows + R i w polu Uruchom wklej komendę (używam ścieżkę z której go uruchamiałeś poprzednio):

 

E:\ComboFix.exe /uninstall

 

Następnie wyczyść resztę: przez SHIFT+DEL skasuj folder C:\Windows\erdnt, w AdwCleaner użyj Uninstall, w OTL uruchom Sprzątanie.

 

3. Uwieńczeniem aktualizacje poniżej wyliczonych programów: KLIK. W Twoim raporcie widać następujące wersje:

 

Internet Explorer (Version = 8.0.7601.17514)
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
64bit: [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F86416020FF}" = Java™ 6 Update 20 (64-bit)
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{95140000-0070-0000-0000-0000000FF1CE}" = Microsoft Office 2010
"{AC76BA86-7AD7-1045-7B44-A91000000001}" = Adobe Reader 9.1 - Polish
"Adobe Flash Player ActiveX" = Adobe Flash Player 11 ActiveX (wtyczka dla IE) ----> sprawdź wersję
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin (wtyczka dla Firefox) ----> już jest najnowsza
"Google Chrome" = Google Chrome

 

Czyli: stare Java i Adobe do deinstalacji przed montażem najnowszych, aktualizacja Internet Explorer, instalacji pakietu SP1 dla Office 2010. Jeśli ten wpis Office to jakiś odpadek (coś mało tu od Office widzę), to posłuż się tym narzędziem do jego usunięcia: KLIK.

 

 

 

.

[Simanith]

dziękuję za pomoc