Wirus - policja, departament cyberprzestępczości + rundll wpbt0

[Delegat]

Witam!

W czwartek 6-12-12 po wejsciu na forum ksd nagle zablokowal mi sie komputer, wyskoczyl komunikat ze to policja departament wydzial cyberprzestepczosc i zeby go odblokowac to musze wplacic 300(nie pamietam waluty). Za kazdym razem kiedy tylko odpalalem net blokowal sie caly komp. Natomiast nie blokowal sie gdy po odpaleniu go otwieralem menadzer zadan(ctrl alt del), czego nie mozna bylo otworzyc w przypadku juz zablokowanego monitora.

Nastepnie po kilku skanach roznymi darmowymi wersjami antywirusow(ad aware, norton, panda, kaspersky, mcafee, speedypc pro, spyhunter, spybot, bitdefender - tylko ten ostatni teraz zostal na kompie) jakos to zniklo, juz nie blokuje mi sie ekran, choc w zadnym z tych wypadkow nie znalazlo to akurat tego wirusa. Teraz pojawia sie tylko komunikat-blad przy odpalaniu kompa rundll wpbt0.dll . Prosilbym o pomoc jak usunac te wirusy.

Zalaczam logi z ost. 14 dni, wykonane wczoraj.

 

Pozdrawiam!

OTL.Txt

[picasso]

Log z OTL jest niekompletny, brakuje pliku Extras (opcja "Rejestr - skan dodatkowy" nie została ustawiona na "Użyj filtrowania"). Skanery to mało co usuwały, bo jest tu za dużo plików infekcji na dysku. SpyHunter to program wątpliwej reputacji, zapomnij o nim. A na Spybot - Search & Destroy 2 to nie można za bardzo liczyć, mało efektywny. Spybot jak rozumiem odinstalowany? Będę usuwać po nim szczątki.

 

Przechodząc do usuwania:

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\Documents and Settings\Amministratore\Menu Avvio\Programmi\Esecuzione automatica\runctf.lnk
C:\Documents and Settings\All Users\Dati applicazioni\0tbpw.pad
C:\Programmi\Enigma Software Group
C:\Programmi\Spybot - Search & Destroy 2
C:\Documents and Settings\All Users\Dati applicazioni\Spybot - Search & Destroy
C:\Documents and Settings\Amministratore\Desktop\SpyHunter-Installer.exe
C:\Documents and Settings\Amministratore\Desktop\SpeedyPC Pro Installer.exe
C:\WINDOWS\tasks\Ad-Aware Antivirus Scheduled Scan.job
C:\WINDOWS\tasks\Refresh immunization (Spybot - Search & Destroy).job
C:\WINDOWS\tasks\Scan the system (Spybot - Search & Destroy).job
C:\WINDOWS\tasks\Check for updates (Spybot - Search & Destroy).job
 
:OTL
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No CLSID value found.
O4 - HKLM..\Run: []  File not found
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\PROGRA~1\FILECO~1\SYMANT~1\SymcData\idsdefs\20091105.001\symidsco.sys -- (SYMIDSCO)
DRV - File not found [File_System | Boot | Stopped] -- system32\DRIVERS\Lbd.sys -- (Lbd)
DRV - File not found [Kernel | System | Stopped] -- C:\WINDOWS\system32\drivers\SBREdrv.sys -- (SBRE)
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\ewusbdev.sys -- (hwusbdev)
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\ewusbmdm.sys -- (hwdatacard)
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\ew_jubusenum.sys -- (huawei_enumerator)
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\ewusbnet.sys -- (ewusbnet)
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\ew_hwusbdev.sys -- (ew_hwusbdev)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Programmi\Enigma Software Group\SpyHunter\esgiguard.sys -- (esgiguard)
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. Zatwierdź restart systemu.

 

2. Odinstaluj wątpliwą aplikację SpeedyPC / DriverCure.

 

3. Wyczyść Firefox ze śmieci i starych naleciałości: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox.

 

4. Zrób nowy log OTL z opcji Skanuj. Przypominam o pliku Extras.

 

 

 

.

[Delegat]

Witam! Problem znikl z rundll, z tego co kojarze to pozniej Bitdefender znalazl w OTL wirus midas2(chyba taka nazwa jesli dobrze zapamietalem) i go usunal.

Zrobilem wszystko wedlug punktow 1-4. Oto nowy logi oraz extras z 30 dni.

Extras.Txt

OTL.Txt

[picasso]

z tego co kojarze to pozniej Bitdefender znalazl w OTL wirus midas2(chyba taka nazwa jesli dobrze zapamietalem) i go usunal.

 

Fałszywy alarm, jeśli znalazł w programie OTL. Nie jedyny to skaner błędnie klasyfikujący program. Dr. Web też takie gafy wali.

 

 

Zadania pomyślnie wykonane. Kończymy:

 

1. Mała poprawka. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
DRV - File not found [File_System | Boot | Stopped] -- system32\DRIVERS\Lbd.sys -- (Lbd)
DRV - [2009-10-07 16:28:50 | 000,017,544 | ---- | M] (Panda Security, S.L.) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\RkPavproc1.sys -- (RkPavproc1)
FF - HKEY_LOCAL_MACHINE\software\mozilla\Thunderbird\Extensions\\eplgTb@eset.com: C:\Programmi\ESET\ESET NOD32 Antivirus\Mozilla Thunderbird
[2012-12-12 20:18:55 | 000,000,000 | ---D | C] -- C:\Documents and Settings\Amministratore\Dati applicazioni\DriverCure
[2012-12-12 20:18:54 | 000,000,000 | ---D | C] -- C:\Documents and Settings\Amministratore\Dati applicazioni\SpeedyPC Software
[2012-12-12 20:18:20 | 000,000,000 | ---D | C] -- C:\Documents and Settings\All Users\Dati applicazioni\SpeedyPC Software
[2012-12-08 15:59:16 | 000,000,000 | ---D | C] -- C:\Documents and Settings\All Users\Dati applicazioni\Norton
[2012-11-26 18:07:12 | 000,000,000 | ---D | C] -- C:\Documents and Settings\All Users\Dati applicazioni\GFI Software
[2011-08-07 13:44:46 | 000,000,064 | ---- | C] () -- C:\WINDOWS\System32\rp_stats.dat
[2011-08-07 13:44:46 | 000,000,044 | ---- | C] () -- C:\WINDOWS\System32\rp_rules.dat
 
:Reg
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\Programmi\SopCast\adv\SopAdver.exe"=-

 

Klik w Wykonaj skrypt.

 

2. W OTL uruchom Sprzątanie, które skasuje z dysku OTL i jego kwarantannę.

 

3. Wyczyść foldery Przywracania systemu: KLIK.

 

4. Odinstaluj wszystkie stare Java, Adobe Reader i Adobe Shockwave Player, zastąp najnowszymi: KLIK. Wg raportu masz oprogramowanie w wersjach z krytycznymi lukami:

 

========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83216031FF}" = Java™ 6 Update 31
"{3248F0A8-6813-11D6-A77B-00B0D0150060}" = J2SE Runtime Environment 5.0 Update 6
"{3248F0A8-6813-11D6-A77B-00B0D0160030}" = Java™ 6 Update 3
"{AC76BA86-7AD7-1040-7B44-A70500000002}" = Adobe Reader 7.0.5 - Italiano
"{D103C4BA-F905-437A-8049-DB24763BBE36}" = Skype™ 4.2
"Adobe Shockwave Player" = Adobe Shockwave Player 11.5

 

 

 

.

[Delegat]

Zrobione punkty 1-4. Wywalona stare javy, adobe reader oraz shockwave player - zainstalowane nowe. Wywalony skype

 

Dziekuje za pomoc!