Infekcja Ukashem

[grimwalker]

Witam serdecznie,

Złapałem tego małego gnojka zwanego Ukash i mimo wcześniejszych doświadczeń, ta jego wersja wzbudza u mnie pewną wątpliwość.

 

Widzę, że 0.06177619608907603.exe jest do wywalenia, zapewne msconfig.ini też, ale nie mam pojęcia co zrobić z msconfig.dat z folderu Dane Aplikacji i dlatego zwracam się z prośbą o pomoc. W załączeniu logi z OTL wykonane na koncie użytkownika.

OTL.Txt

Extras.Txt

[picasso]

Cała seria "msconfig" jest na odstrzał, tylko należy jeszcze zdjąć wpis startowy uruchamiający msconfig.dat.

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\Documents and Settings\root\Dane aplikacji\msconfig.dat
C:\Documents and Settings\root\Dane aplikacji\msconfig.ini
C:\Documents and Settings\root\0.06177619608907603.exe
C:\Documents and Settings\All Users\Dane aplikacji\Ask
C:\Documents and Settings\All Users\Dane aplikacji\CheckPoint
C:\Documents and Settings\root\Dane aplikacji\CheckPoint
C:\Documents and Settings\LocalService\Dane aplikacji\Ad-Aware Antivirus
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"=-
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
 
:OTL
FF - HKLM\Software\MozillaPlugins\@checkpoint.com/FFApi: C:\Program Files\CheckPoint\ZAForceField\TrustChecker\bin\npFFApi.dll File not found
O3 - HKU\S-1-5-21-1060284298-1767777339-839522115-1003\..\Toolbar\WebBrowser: (no name) - {EE2AC4E5-B0B0-4EC6-88A9-BCA1A32AB107} - No CLSID value found.
DRV - File not found [Kernel | System | Stopped] -- C:\WINDOWS\system32\drivers\SBREdrv.sys -- (SBRE)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\WINDOWS\gdrv.sys -- (gdrv)
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany. Blokada zniknie.

 

2. Wyczyść Firefox zaśmiecony adware: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox.

 

3. Uruchom AdwCleaner i zastosuj Delete. Na dysku C powstanie log z usuwania.

 

4. Zrób nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log utworzony przez AdwCleaner.

 

 

 

.

[grimwalker]

Zrobione, przesyłam załączniki.

OTL.Txt

AdwCleanerS3.txt

[picasso]

Wszystko zrobione. Finalizujemy sprawy:

 

1. Drobna poprawka po użyciu AdwCleaner + usunięcie resztek Google Chrome (wygląda na odinstalowane). Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Reg
[-HKEY_LOCAL_MACHINE\SOFTWARE\Google]
[-HKEY_CURRENT_USER\Software\Google]
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\ZoneAlarm LTD Toolbar]
 
:Files
C:\Documents and Settings\root\Ustawienia lokalne\Dane aplikacji\Google

 

Klik w Wykonaj skrypt. Tym razem nie będzie restartu.

 

2. Wyczyść po narzędziach: w AdwCleaner użyj Uninstall, w OTL uruchom Sprzątanie, "Stare dane programu Firefox" na Pulpicie już do śmieci.

 

3. Wyczyść foldery Przywracania systemu: KLIK.

 

4. Zaktualizuj Windows i wyliczone poniżej oprogramowanie: KLIK. Wg raportu krytyczny poziom aktualizacji systemu oraz zainstalowane wersje:

 

Windows XP Professional Edition Dodatek Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 6.0.2900.2180)
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83217007FF}" = Java 7 Update 7
"{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}" = Microsoft Silverlight
"{AC76BA86-7AD7-1045-7B44-AA1000000001}" = Adobe Reader X (10.1.4) - Polish
"Adobe Flash Player ActiveX" = Adobe Flash Player ActiveX (wtyczka dla IE)
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin (wtyczka dla Firefox/Opera)
"Adobe Shockwave Player" = Adobe Shockwave Player 11.5
"ENTERPRISE" = Microsoft Office Enterprise 2007
"FileZilla Client" = FileZilla Client 3.4.0
"Gadu-Gadu" = Gadu-Gadu 6.1
"Mozilla Thunderbird 12.0.1 (x86 pl)" = Mozilla Thunderbird 12.0.1 (x86 pl)
 
FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\WINDOWS\system32\Macromed\Flash\NPSWF32_11_4_402_287.dll ()
FF - HKLM\Software\MozillaPlugins\@Microsoft.com/NpCtrl,version=1.0: C:\Program Files\Microsoft Silverlight\4.0.50917.0\npctrl.dll ( Microsoft Corporation)

 

Czyli: pełna aktualizacja Windows (SP3 + IE8 + łaty wydane po), aktualizacja Office 2007 (pakiet SP3), deinstalacja wszystkich zakreślonych wersji Adobe / Java / Silverlight przed zastąpieniem najnowszymi wersjami, no i reszta wymienionych programów do aktualizacji.

 

Gadu-Gadu 6.1 też zakreślam, bo to szok. Archaiczne próchno, niezdolne obsłużyć własną sieć, bardzo słabo zabezpieczone (brak szyfrowania!). Polecam alternatywny nowoczesny WTW, dobrze obsługuje sieć Gadu (obsługa protokołów GG8/GG10): KLIK.

 

 

.

[grimwalker]

Większość update'ów zrobiona. Wszystko wygląda na sprawne.

Pozostaje mi tylko podziękować za pomoc.

Pozdrawiam!