Infekcja "policyjna" - prośba o pomoc w usunięciu

[gr00by]

Witam!

 

Prosze o analize zalaczonych logow - zebrane z linii polecen w trybie awaryjnym. W "zwyklym" trybie awaryjnym uruchamia sie plansza dot. zablokowania PC przez policje.

 

Z gory dziekuje!

Extras.Txt

OTL.Txt

[jessica]

Na Forum trafiłeś w bardzo złym momencie: @Picasso i @Landuss są na urlopach, a tu nie ma innych wyznaczonych osób do pomagania podczas ich nieobecności.

Nie wiem, kiedy tu się zjawią,

 

1) Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

 

:Files
C:\Documents and Settings\Mateusz i Szymon\wgsdgsdgdsgsd.exe
C:\Documents and Settings\All Users\Dane aplikacji\dsgsdgdsgdsgw.pad
C:\Documents and Settings\All Users\Dane aplikacji\dsgsdgdsgdsgw.js
C:\Documents and Settings\Mateusz i Szymon\Menu Start\Programy\Autostart\runctf.lnk

:Reg
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\winmgmt\Parameters]
"ServiceDll"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,\
 00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\
 77,00,62,00,65,00,6d,00,5c,00,57,00,4d,00,49,00,73,00,76,00,63,00,2e,00,64,\
 00,6c,00,6c,00,00,00

:Commands
[emptytemp]

 

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.

 

2) Do SystemLook wklej:

 

:regfind

wgsdgsdgdsgsd.

 

Naciśnij Look i pokaż raport.

 

3) Odinstaluj SweetIM for Messenger 3.6

 

4) Użyj AdwCleaner. Kliknij w nim Usuń. Pokaż raport z niego C:\AdwCleaner[s1].txt.

 

5) Zrób nowy log z OTL.

[gr00by]

Niestety, raportu z punktu 1. brak - PC sie zwiesil :-(

 

Pozostale raporty - zalaczone.

 

SystemLook 30.07.11 by jpshortstuff

Log created at 18:04 on 05/01/2013 by Mateusz i Szymon

Administrator - Elevation successful

 

========== regfind ==========

 

Searching for " wgsdgsdgdsgsd."

No data found.

 

-= EOF =-

AdwCleanerS1.txt

OTL.Txt

[picasso]

Infekcja usunięta.

 

1. Drobne poprawki. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Reg
[HKEY_USERS\S-1-5-21-725345543-583907252-839522115-1003\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[HKEY_USERS\S-1-5-21-725345543-583907252-839522115-1004\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[-HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes]
 
:OTL
IE - HKU\S-1-5-21-725345543-583907252-839522115-1003\..\SearchScopes\{3DED77DF-0F6B-49C1-A595-5EDFEE3FCE86}: "URL" = "http://websearch.ask.com/redirect?client=ie&tb=IMH6&o=2467&src=crm&q={searchTerms}&locale=en_US&apn_ptnrs=^A45&apn_dtid=^YYYYYY^YY^PL&apn_uid=3f06820a-f331-4ef9-bb7d-646a8464a9b2&apn_sauid=A2D69605-ECAA-4BF0-98E6-0A61CB4AB3BC&atb=sysid%3D406%3Aappid%3D102%3Auc"
O3 - HKU\S-1-5-21-725345543-583907252-839522115-1003\..\Toolbar\WebBrowser: (no name) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No CLSID value found.
O4 - HKU\S-1-5-21-725345543-583907252-839522115-1003..\Run: [GameTracker] C:\Program Files\GameTracker\GTLite.exe File not found
O8 - Extra context menu item: Search the Web - C:\Program Files\SweetIM\Toolbars\Internet Explorer\resources\menuext.html File not found
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\EagleXNt.sys -- (EagleXNt)

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. Tym razem nie będzie restartu.

 

2. Porządki po narzędziach: w AdwCleaner uruchom Odinstaluj, w OTL uruchom Sprzątanie.

 

3. Wyczyść foldery Przywracania systemu: KLIK.

 

4. Porównaj co wymaga aktualizacji: KLIK.

 

 

.

[gr00by]

Pieknie dziekuje!