Fałszywa blokada "policyjna" po raz kolejny

[bauzoo]

Witam,

System siostry został zarażony wirusem o którym mowa już w innych tematach a więc blokada komputera podszywająca się pod policyjną interwencję. Oczywiście występuje tylko przy podłączeniu do siecie.

Proszę o pomoc w eliminacji problemu.

Poniżej załączone niezbędne logi.(system win7/32 bity)

Z góry dziekuje i pozdrawiam

Extras.Txt

OTL.Txt

GMER.txt

[picasso]

Jaki był powód pobierania (a być może i używania) ESETSirefefEVCleaner?

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\Users\Asia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runctf.lnk
C:\Users\Asia\wgsdgsdgdsgsd.exe
C:\ProgramData\dsgsdgdsgdsgw.pad
 
:OTL
CHR - Extension: uTorrentBar = C:\Users\Asia\AppData\Local\Google\Chrome\User Data\Default\Extensions\bejbohlohkkgompgecdcbbglkpjfjgdj\2.3.15.10_0\
IE - HKLM\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = "http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2786678"
IE - HKU\S-1-5-21-3121193918-1617943661-1372999420-1001\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = "http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2786678"
IE - HKU\S-1-5-21-3121193918-1617943661-1372999420-1001\..\URLSearchHook: {bf7380fa-e3b4-4db2-af3e-9d8783a45bfc} - No CLSID value found
O3 - HKU\S-1-5-21-3121193918-1617943661-1372999420-1001\..\Toolbar\WebBrowser: (no name) - {BF7380FA-E3B4-4DB2-AF3E-9D8783A45BFC} - No CLSID value found.
O16 - DPF: {D28CDB2E-AE6D-11CF-96B8-444553540000} "http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab" (Reg Error: Key error.)
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany. Blokada zniknie.

 

2. Zrób nowy log OTL z opcji Skanuj (już bez Extras).

 

 

 

.

 

[bauzoo]

Witam,

Dziękuje za dotychczasową pomoc!

Przesyłam log wykonany już po uruchomieniu skryptu.

Postaram się wyjaśnić użycie / pobranie pliku o którym mowa oraz to skąd pochodzi ten plik.

Dziękuje i pozdrawiam

OTL.Txt

[picasso]

Usuwanie nie do końca pomyślne, skrót infekcji nie puścił. Poprawka:

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\Users\Asia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runctf.lnk

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt.

 

2. Do oceny wystarczy mi tylko log z usuwania. Nowy skan OTL zbędny.

 

 

Postaram się wyjaśnić użycie / pobranie pliku o którym mowa oraz to skąd pochodzi ten plik.

 

Chodzi mi o to, czy to narzędzie dedykowane usuwaniu trojana ZeroAccess było używane. Czy były jakieś konkretne oznaki, że ten trojan jest.

 

 

 

.

Edytowane 1 Lutego 2013 przez picasso
1.02.2013 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso