Policja - Twój komputer został zablokowany

[mariox36]

Witam,

mój znajomy właśnie przyniósł "zablokowany" komputer. Po uruchomieniu pojawia się komunikat "Polska Policja. Cyberprzestępczość Departament. Twój komputer został zablokowany" i informacja, żeby zapłacić 400zł (Paysafe card) za odblokowanie komputera.

Ktoś próbował już usunąć wirusa na tym komputerze, ale nie wiem jakie działania były podejmowane.

 

Proszę o pomoc w usunięciu wirusa.

 

W załączeniu logi OTL.

OTL.Txt

Extras.Txt

[picasso]

Ktoś próbował już usunąć wirusa na tym komputerze, ale nie wiem jakie działania były podejmowane.

 

Był tu używany ComboFix.

 

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Reg
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Winmgmt\Parameters]
"ServiceDll"=hex(2):"%SystemRoot%\system32\wbem\WMIsvc.dll"
 
:Files
C:\Documents and Settings\Czarus\wgsdgsdgdsgsd.dll
C:\Documents and Settings\All Users\Application Data\dsgsdgdsgdsgw.pad
C:\Documents and Settings\All Users\Application Data\dsgsdgdsgdsgw.js
C:\Documents and Settings\Czarus\Start Menu\Programs\Startup\runctf.lnk
C:\Program Files\mozilla firefox\searchplugins\v9.xml
 
:OTL
O4 - HKLM..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k File not found
O4 - HKCU..\Run: []  File not found
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} "http://java.sun.com/update/1.5.0/jinstall-1_5_0_06-windows-i586.cab" (Reg Error: Value error.)
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. Zatwierdź restart systemu. Opuść Tryb awaryjny.

 

2. Przez Panel sterowania odinstaluj adware V9 Homepage Uninstaller.

 

3. Wyczyść Firefox z adware v9: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox.

 

4. Uruchom AdwCleaner i zastosuj Usuń. Na dysku C powstanie log z usuwania.

 

5. Zrób nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log utworzony przez AdwCleaner.

 

 

 

.

[mariox36]

Zrobione. Pliki w załączeniu.

AdwCleanerS1.txt

OTL.Txt

[picasso]

Prawie wszystko zrobione, ale jakimś cudem ostał się jeden plik infekcji. Poprawka:

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\Documents and Settings\Czarus\wgsdgsdgdsgsd.dll
C:\Program Files\v9Soft
 
:Reg
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
 
:OTL
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} "http://java.sun.com/update/1.5.0/jinstall-1_5_0_06-windows-i586.cab" (Reg Error: Value error.)
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt.

 

2. Zrób nowy log OTL z opcji Skanuj (bez Extras).

 

 

 

.

[mariox36]

Zrobione.

Podczas wykonywania skryptu OTL przestał odpowiadać w tym miejscu:

 

O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} "http://java.sun.com/update/1.5.0/jinstall-1_5_0_06-windows-i586.cab" (Reg Error: Value error.)

 

 

Log ze skanu w załączeniu.

OTL.Txt

[picasso]

Pobierz log z załącznika, kompletnie pusty i nie mogę go sprawdzić. A punktowany wpis O16 był problematyczny, bo omyłkowo podałam złą dyrektywę (już poprawione).

 

1. Mała poprawka. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} "http://java.sun.com/update/1.5.0/jinstall-1_5_0_06-windows-i586.cab" (Reg Error: Value error.)

 

Klik w Wykonaj skrypt.

 

2. Zrób nowy poprawny log OTL z opcji Skanuj (bez Extras).

 

 

 

.

[mariox36]

Zrobione.

OTL.Txt

[picasso]

Akcje pomyślnie wykonane i możemy kończyć:

 

1. Odinstaluj w prawidłowy sposób ComboFix, co wyczyści też foldery Przywracania systemu. Start > Uruchom > wklej komendę:

 

C:\ComboFix.exe /uninstall

 

2. Następnie w AdwCleaner uruchom Odinstaluj, w OTL uruchom Sprzątanie, przez SHIFT+DEL skasuj poniżej wyliczone foldery:

 

C:\Documents and Settings\Czarus\Desktop\Stare dane programu Firefox

C:\WINDOWS\erdnt

 

3. Usuń wszystkie stare Adobe + Java, zaktualizuj Firefox i cały Windows: KLIK. Wg raportu krytyczny poziom aktualizacji XP (brak SP3 + IE8 + reszty łat) oraz widać wersje:

 

Windows XP Tablet PC Edition Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 6.0.2900.2180)
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83217009FF}" = Java 7 Update 9
"{3248F0A8-6813-11D6-A77B-00B0D0150060}" = J2SE Runtime Environment 5.0 Update 6
"Adobe Acrobat 5.0" = Adobe Acrobat 5.0
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin
"Mozilla Firefox 16.0.2 (x86 pl)" = Mozilla Firefox 16.0.2 (x86 pl)
 
FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\WINDOWS\system32\Macromed\Flash\NPSWF32_11_5_502_110.dll ()

 

4. Nie masz też żadnego programu zabezpiecxzającego zainstalowanego.

 

 

 

 

.

[mariox36]

Tak, wiem, że obecnie nie ma na tym komputerze teraz żadnego programu zabezpieczającego.

Dziękuję za pomoc. Jestem pod wrażeniem - pełen profesjonalizm. Same konkrety

 

Mam jeszcze jedno pytanie: Dlaczego za pierwszym razem nie zadziałało? :

:OTL

O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} "http://java.sun.com/update/1.5.0/jinstall-1_5_0_06-windows-i586.cab" (Reg Error: Value error.)

[picasso]

Mam jeszcze jedno pytanie: Dlaczego za pierwszym razem nie zadziałało?

 

Jak mówiłam: "wpis O16 był problematyczny, bo omyłkowo podałam złą dyrektywę (już poprawione)". Zamiast komendy :OTL zaplątało mi się tam :Reg.

 

 

 

 

.

[mariox36]

Jasne.

Dziękuje jeszcze raz za pomoc.