Policja Polska - zablokowany komputer

[Grzegorz1]

Witam

Jeden z komputerów w mojej domowej sieci został zablokowany przez tzw. Policyjny wirus.

W załączeniu logi,

proszę o pomoc w analizie i posprzątaniu.

Extras.Txt

OTL.Txt

[picasso]

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\Users\Family\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runctf.lnk
C:\ProgramData\0tbpw.pad
C:\Users\Family\AppData\Roaming\Yandex
C:\Program Files (x86)\Mozilla Firefox\extensions\{5e20bc99-d1ae-0b74-6fdb-2171ba5ede45}
 
:OTL
O3 - HKU\.DEFAULT\..\Toolbar\WebBrowser: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No CLSID value found.
O3 - HKU\S-1-5-18\..\Toolbar\WebBrowser: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No CLSID value found.
O3 - HKU\S-1-5-21-1236169856-3573213423-1841828282-1001\..\Toolbar\WebBrowser: (no name) - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - No CLSID value found.
O3 - HKU\S-1-5-21-1236169856-3573213423-1841828282-1001\..\Toolbar\WebBrowser: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No CLSID value found.
O4 - HKLM..\Run: []  File not found
O4 - HKLM..\Run: [browsers Protector] C:\Program Files (x86)\Browsers Protector\regmon32.exe File not found
O4 - HKLM..\Run: [NPSStartup]  File not found
O4 - HKU\S-1-5-21-1236169856-3573213423-1841828282-1001..\Run: [Clownfish]  File not found
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany i odblokowany.

 

2. Przez Panel sterowania odinstaluj adware Browsers Protector, Contextual Tool Extrafind, Softonic toolbar on IE and Chromer.

 

3. Wyczyść Firefox z adware: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox.

 

4. Uruchom AdwCleaner i zastosuj Delete. Na dysku C powstanie log z usuwania.

 

5. Zrób nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log utworzony przez AdwCleaner.

 

 

 

.

[Grzegorz1]

Wykonałem, zgodnie z poleceniami.

Proszę o analizę.

 

Dodatkowo po restarcie mam komunikat:

"Wystąpił problem podczas uruchamiania pliku

C:\Users\Family|AppData\Local\Temp\wpbt0.dll

Nie można odnaleźć okreslonego modułu"

AdwCleanerS2.txt

OTL.Txt

[picasso]

Błąd się pojawia, bo nie wszystkie składniki infekcji się usunęły.

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\Users\Family\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runctf.lnk
 
:Commands
[reboot]

 

Klik w Wykonaj skrypt. Zatwierdź restart komputera.

 

2. Korekta domyślnych wyszukiwarek Internet Explorer po użyciu AdwCleaner. Otwórz Notatnik i wklej w nim:

 

Windows Registry Editor Version 5.00

 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
[-HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes]

 

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.REG

 

Kliknij prawym na plik i z menu wybierz opcję Scal. Potwierdź import do rejestru.

 

3. W Google Chrome nadal odpadkowe wtyczki adware:

 

========== Chrome  ==========
 
CHR - plugin: StartSearch Video plug-in (Enabled) = C:\Users\Family\AppData\Local\Google\Chrome\User Data\Default\Extensions\bildoibdboopgomcbiplincneeicgipj\1.3_0\chvsharetvplg.dll
CHR - plugin: StartSearch Video plug-in (Enabled) = C:\Program Files (x86)\Mozilla Firefox\plugins\npvsharetvplg.dll

 

Ich usunięcie wymaga już edycji kodu pliku Preferences. Skopiuj na Pulpit ten plik:

 

C:\Users\Family\AppData\Local\Google\Chrome\User Data\Default\Preferences

 

Shostuj gdzieś i prześlij link. Ja plik zedytuję, odeślę do podstawienia i poproszę o końcowy log z OTL poświadczający zmiany.

 

 

 

.

[Grzegorz1]

Plik Preferences (nie wiem czy dobrze wrzuciłem, dałem też Preferences.zip)

 

http://24cd.pl/gk/Preferences

 

ps.

jestem pod wrażeniem i nie tylko

[picasso]

1. Przesyłam zedytowany plik: KLIK. Rozpakuj ZIP. Zamknij Google Chrome (nie może być uruchomione w procesach!). Wymień pliki Preferences. Po tym uruchom przeglądarkę, by sprawdzić czy nie wyrzuca żadnego błędu startowego.

 

2. Zrób nowy log OTL z opcji Skanuj (bez Extras).

 

 

 

.

[Grzegorz1]

i jak wygląda to teraz?

Czy już czysto?

OTL.Txt

[picasso]

Wszystko poprawnie wykonane. Przejdź do:

 

1. Wyczyść po narzędziach: w AdwCleaner uruchom Uninstall, w OTL uruchom Sprzątanie, skasuj folder "Stare dane programu Firefox" z Pulpitu.

 

2. Wyczyść foldery Przywracania systemu: KLIK.

 

3. Zaktualizuj wyliczone poniżej programy: KLIK. Wg raportu masz zainstalowane wersje:

 

========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
64bit: [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F86416029FF}" = Java™ 6 Update 29 (64-bit)
"{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}" = Microsoft Silverlight
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{AC76BA86-7AD7-1045-7B44-A91000000001}" = Adobe Reader 9.1 - Polish
"Adobe Flash Player ActiveX" = Adobe Flash Player 11 ActiveX (wtyczka dla IE)
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin (wtyczka dla Firefox)
"Adobe Shockwave Player" = Adobe Shockwave Player 11.6
"Mozilla Firefox 16.0.2 (x86 pl)" = Mozilla Firefox 16.0.2 (x86 pl)
 
========== HKEY_USERS Uninstall List ==========
 
[HKEY_USERS\S-1-5-21-1236169856-3573213423-1841828282-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"Google Chrome" = Google Chrome 23.0.1271.91
 
FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\windows\SysWOW64\Macromed\Flash\NPSWF32_11_4_402_287.dll ()
CHR - plugin: Silverlight Plug-In (Enabled) = C:\Program Files (x86)\Microsoft Silverlight\4.1.10329.0\npctrl.dll

 

W podsumowaniu: odinstaluj wszystkie pozycje Adobe i Java, zastąp najnowszymi wersjami, zaktualizuj Silverlight w Google Chrome (w Firefox już jest najnowszy), zaktualizuj Firefox i Google Chrome.

 

Uwagi poboczne:

- Gadu-Gadu 10 widzę. Ten potwór nadaje się tylko do zastąpienia czymś innym mniej dręczącym zasoby. Propozycje programów z obsługą sieci Gadu: WTW, Kadu, Miranda, AQQ. Opisy: KLIK.

- Również kodeki są stare (ffdshow i K-Lite). Czas na wymianę.

 

 

.

[Grzegorz1]

Dzięki

wykonałem praktycznie wszystko, jeszcze kodeki i ew. coś zastępczego za gg.10 (na razie go całkowicie odinstalowalem).

Laptop zdecydowanie chodzi szybciej - jeszcze raz wielkie dzięki.

 

I jeszcze jedna rzecz:

Gdy odpaliłem AdwCleaner i chciałem zainstalować z niego Hosts Anti-PUP/Adware to mój antywirus McAfee krzyknął "koń trojański" i go wywalił, nie pozwala zainstalować.

 

ps

A tak między nami, to na prawdę nie mogę wyjść z podziwu i jestem pod wrażeniem.

Wydawało mi się, że się trochę znam na komputerach a tu naprawdę 'czapki z głów'.

Wiele rzeczy mnie tu zadziwiło.

Po pierwsze jaki porządek na forum, wszystko jasno i czytelnie opisane, aktualny soft, naprawdę rewelacja, pełny profesjonalizm.

A gdy się zorientowałem, że jesteś kobietą, to już w ogóle szczęka mi opadła i jeszcze ta fotka, jesteś niezła laska

Będzie dotacja na utrzymanie serwera

Mam jeszcze inne komputery, więc na pewno się tu jeszcze pokażę.

[picasso]

I jeszcze jedna rzecz:

Gdy odpaliłem AdwCleaner i chciałem zainstalować z niego Hosts Anti-PUP/Adware to mój antywirus McAfee krzyknął "koń trojański" i go wywalił, nie pozwala zainstalować.

 

McAfee wykrzykuje głupoty, należy puścić program (wyjątek w antywirusie). Co do samej akcji w AdwCleaner, to tylko Uninstall zastosuj, nie montuj tego pliku HOSTS.

 

 

ps

A tak między nami, to na prawdę nie mogę wyjść z podziwu i jestem pod wrażeniem.

 

(...)

 

Będzie dotacja na utrzymanie serwera

 

Dzięki za komplementy i pomoc dla serwera.

 

 

Mam jeszcze inne komputery, więc na pewno się tu jeszcze pokażę.

 

Na to przeznacz już odrębne tematy.

 

 

 

.