Wirus ukash - problem przy połączeniu z internetem

[kair165]

Witam,

 

Wczoraj mój komputer został zaatakowany przez wirus ukash (wirus rządający opłaty 300zł za odblokowanie komputera wysłany przez policje oddział cyberprzestępczości).

 

Defekty: podczas uruchamiania wyszukiwarki Internet Explorer znikają ikony na pulpicie i pojawia się komunikat o złamaniu prawa itp. itd. wiecęj objawów nie zauważyłem.

 

Działanie: skan komputera poprzez program antywirusowy nod32 oraz avg, oba antywirusy wykryły zainfekowane pliki (niestety nie mam raportów ani danych na ten temat) niestety to działanie nie pomogło.

 

W załączniku przesyłam raport olt i extras.

 

Bardzo proszę o pomoc

Extras.Txt

OTL.Txt

[picasso]

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\ProgramData\dsgsdgdsgdsgw.pad
C:\Users\Daniel\wgsdgsdgdsgsd.exe
C:\Users\Daniel\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runctf.lnk
C:\Users\Daniel\AppData\Roaming\Babylon
C:\Program Files\BabylonToolbar
C:\ProgramData\Babylon
C:\Users\Daniel\AppData\Local\Temp*.html
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
 
:OTL
IE - HKLM\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2A69}: "URL" = "http://search.bearshare.com/web?src=ieb&systemid=2&q={searchTerms}"
IE - HKCU\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = "http://search.babylon.com/?q={searchTerms}&affID=110824&tt=4812_4&babsrc=SP_ss&mntrId=e46cca600000000000000c607641e04a"
IE - HKCU\..\SearchScopes\{95B7759C-8C7F-4BF1-B163-73684A933233}: "URL" = "http://isearch.avg.com/search?cid={1511C964-29B1-4A0A-B519-B9E7F445D5C7}&mid=e130e64c6dcb47d08174d16d3855a29a-921e0f511149d3376ca024f2d33500de9e81f92c&lang=pl&ds=AVG&pr=pr&d=2012-12-01 14:23:24&v=13.2.0.4&sap=dsp&q={searchTerms}"
IE - HKCU\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2A69}: "URL" = "http://search.bearshare.com/web?src=ieb&systemid=2&q={searchTerms}"
O4 - HKLM..\Run: [Regedit32] C:\Windows\system32\regedit.exe File not found
SRV - File not found [Auto | Stopped] -- C:\PROGRA~1\ANSYSI~1\SHARED~1\LICENS~1\Intel\lmgrd.exe -- (ANSYS FLEXlm license manager)
DRV - File not found [Kernel | Auto | Stopped] -- C:\Windows\system32\Drivers\DgiVecp.sys -- (DgiVecp)
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany. Blokada zniknie.

 

2. Przez Panel sterowania odinstaluj adware Ask Toolbar, MediaBar. Również za dużo antywirusów i odinstaluj ESET, bo stary.

 

3. Otwórz Google Chrome i wejdź do ustawień. W sekcji "Po uruchomieniu" wymaż z listy stron startowych search.babylon.com + ustaw opcję na "Otwórz stronę nowej karty".

 

4. Uruchom AdwCleaner i zastosuj Delete. Na dysku C powstanie log z usuwania.

 

5. Zrób nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log utworzony przez AdwCleaner.

 

 

 

.

[kair165]

Witam,

 

Wykonałem wszystkie operacje jak powyżej. Proszę o dalsze instrukcje.

LOG - AdwCleaner.txt

OTL.Txt

[picasso]

Zmian nie widać, bo AdwCleaner uruchomiłeś ze złej opcji. Miało być Delete (Usuń) a nie Search (Szukaj). Jeszcze raz: AdwCleaner z opcji Delete, po tym skan OTL.

[kair165]

W załączniku Logi z OLT i AdwCleraner, mam nadzieje ze teraz juz dobrze zrobiłem:)

OTL.Txt

LOG - AdwCleaner 1.txt

[picasso]

Teraz dobrze wykonane. Tylko poprawki:

 

1. W Google Chrome nadal ustawiona wyszukiwarka adware. Wejdź do ustawień i w zarządzaniu wyszukiwarkami przestaw domyślną z Search the web (Babylon) na Google, po tym Search the web (Babylon) usuń z listy.

 

2. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Services
catchme
vToolbarUpdater13.2.0
 
:Files
regsvr32 /u "C:\Program Files\BearShare Applications\MediaBar\Datamngr\IEBHO.dll" /C
C:\Program Files\BearShare Applications
C:\Program Files\Mozilla Firefox
 
:Reg
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{A5EE467E-61B0-4E7B-8A15-4FE7C544F6CB}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ROC_roc_ssl_v12"=-
"vProt"=-
[-HKEY_CURRENT_USER\Software\Mozilla]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Mozilla]
[-HKEY_LOCAL_MACHINE\SOFTWARE\mozilla.org]
[-HKEY_LOCAL_MACHINE\SOFTWARE\MozillaPlugins]
 
:OTL
CHR - Extension: AVG Secure Search = C:\Users\Daniel\AppData\Local\Google\Chrome\User Data\Default\Extensions\ndibdjnfmopecpmkdieinmbadjfpblof\13.2.0.5_0\
CHR - Extension: AVG Secure Search = C:\Users\Daniel\AppData\Local\Google\Chrome\User Data\Default\Extensions\ndibdjnfmopecpmkdieinmbadjfpblof\13.2.0.5_0\.bak

 

Klik w Wykonaj skrypt. Tym razem nie będzie restartu.

 

3. Porządki po narzędziach: w AdwCleaner uruchom Uninstall, w OTL uruchom Sprzątanie. Jedna uwaga: AdwCleaner był uruchamiany z Temporary Internet Files.

 

4. Wyczyść foldery Przywracania systemu: KLIK.

 

5. Zaktualizuj Windows i wyliczone poniżej aplikacje: KLIK. Wg raportu Windows nie aktualizowany oraz zainstalowane wersje:

 

Professional  (Version = 6.1.7600) - Type = NTWorkstation
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83216019FF}" = Java™ 6 Update 19
"{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}" = Microsoft Silverlight
"{AC76BA86-7AD7-1045-7B44-A95000000001}" = Adobe Reader 9.5.0 - Polish
"Adobe Flash Player ActiveX" = Adobe Flash Player 11 ActiveX (wtyczka dla IE)
"Adobe Flash Player Plugin" = Adobe Flash Player 10 Plugin (wtyczka dla Firefox/Opera)
"Microsoft SQL Server 10" = Microsoft SQL Server 2008

 

W podsumowaniu: odinstaluj stare Adobe / Java / Silverlight, zainstaluj Service Pack dla Microsoft SQL Server 2008 (KB968382) oraz SP1 + resztę łatek dla Windows 7.

 

 

 

.

[kair165]

Wykonałem wszystkie kroki:) teraz jakby chodził dużo szybciej:) czy to juz koniec operacji?

[picasso]

Tak, to koniec. Temat rozwiązany, zamykam.