UKASH

[spychu14]

Witam !!!

Niestety tylko konto administratora. Zaraz po zalogowaniu automatyczne wylogowanie lub biały ekran. W trybie awaryjnym to samo.

 

Logi z OTL zrobione z LIVECD.

 

OTL :

http://pastebin.com/TigA1wHB

Extras :

http://pastebin.com/0Z2LfUFX

 

Dziękuje i pozdrawiam

[picasso]

Zasady działu na temat tytułów "proszę o sprawdzenie logów": KLIK. Wkleiłeś błędne linki do raportów (ze spacjami), poprawione.

 

 

Niestety tylko konto administratora. Zaraz po zalogowaniu automatyczne wylogowanie lub biały ekran. W trybie awaryjnym to samo.

 

OTL wbudowany w OTLPE jest bardzo stary. Nie sprawdziłeś wszystkich trybów awaryjnych, tu zadziała Tryb awaryjny z Wierszem polecenia, bo infekcja jest dopisana do Shella graficznego (dlatego tylko cmd). A ten ComboFix ustawiony w Autostarcie to zgroza, tego programu nie wolno w taki sposób uruchamiać, a o samym używaniu: KLIK.

 

 

1. Z poziomu OTLPE uruchom OTL i w sekcji Custom Scans/Fixes wklej:

 

:Files
C:\Documents and Settings\Administrator\Dane aplikacji\skype.dat
C:\Documents and Settings\Administrator\Dane aplikacji\skype.ini
C:\Documents and Settings\Administrator\Menu Start\Programy\Disk Antivirus Professional
C:\Documents and Settings\Administrator\Pulpit\Disk Antivirus Professional.lnk
C:\Documents and Settings\Administrator\Menu Start\Programy\Autostart\ComboFix.exe
C:\Documents and Settings\Administrator\Dane aplikacji\PriceGong
C:\Documents and Settings\All Users\Dane aplikacji\srcheng
C:\Documents and Settings\All Users\Dane aplikacji\001B03F1F93478CB0000001B03DE8056
C:\WINDOWS\tasks\{783AF354-B514-42d6-970E-3E8BF0A5279C}.job
C:\WINDOWS\tasks\{5B57CF47-0BFA-43c6-ACF9-3B3653DCADBA}.job
 
:Reg
[HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"=-
[-HKEY_USERS\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Uninstall\System Progressive Protection]
 
:OTL
O2 - BHO: (CSrchBHO Class) - {DFC29618-7A64-4F20-83D1-6E538E7FC57D} - C:\Documents and Settings\All Users\Dane aplikacji\srcheng\srcheng.dll (TODO: )
O2 - BHO: (XML Class) - {500BCA15-57A7-4eaf-8143-8C619470B13D} - Reg Error: Value error. File not found
O4 - HKLM..\Run: [userFaultCheck]  File not found
SRV - File not found [On_Demand] --  -- (NMIndexingService)
SRV - File not found [Auto] --  -- (ipfw)
DRV - File not found [Kernel | On_Demand] --  -- (ip_fw)
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Run Fix. System zostanie odblokowany. Zaloguj się normalnie do Windows.

 

2. Przez Dodaj/Usuń programy odinstaluj adware oraz zbędne / archaiczne aplikacje: Akamai NetSession Interface, Skaner on-line mks_vir, Uniblue RegistryBooster, uTorrentBar Toolbar.

 

3. Uruchom AdwCleaner i zastosuj Usuń. Na dysku C powstanie log z usuwania.

 

4. Zrób nowy log ze standardowego OTL z opcji Skanuj. Dołącz log utworzony przez AdwCleaner.

 

 

.

[spychu14]

Komputer się włącza. Postąpiłem wg. instrukcji.

Załączam nowe logi do analizy i dziękuję za pomoc.

AdwCleanerS1.txt

OTL.Txt

Extras.Txt

[picasso]

Wszystko pomyślnie zrobione. Finalizujemy:

 

1. Mini poprawki. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
IE - HKU\S-1-5-21-1815623427-2197264814-3285987932-500\..\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}: "URL" = "http://www.bing.com/search?q={searchTerms}&FORM=IE8SRC"
IE - HKU\S-1-5-21-1815623427-2197264814-3285987932-500\..\SearchScopes\{C2BC8855-EA37-11DE-8A39-0800200C9A66}: "URL" = "http://www.mystart101.com/web/{searchTerms}/1"
O3 - HKU\S-1-5-21-1815623427-2197264814-3285987932-500\..\Toolbar\WebBrowser: (no name) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No CLSID value found.
O4 - HKU\S-1-5-21-1815623427-2197264814-3285987932-500..\Run: [Akamai NetSession Interface] "C:\Documents and Settings\Administrator\Ustawienia lokalne\Dane aplikacji\Akamai\netsession_win.exe" File not found
O15 - HKU\S-1-5-21-1815623427-2197264814-3285987932-500\..Trusted Domains: mks.com.pl ([www] http in Zaufane witryny)
O16 - DPF: {68282C51-9459-467B-95BF-3C0E89627E55} "http://www.mks.com.pl/skaner/SkanerOnline.cab" (MksSkanerOnline Class)
O16 - DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} "http://fpdownload.macromedia.com/get/flashplayer/current/polarbear/ultrashim.cab" (Reg Error: Key error.)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\DRIVERS\ip_fw.sys -- (ip_fw)
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[-HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes]

 

Klik w Wykonaj skrypt. Tym razem nie będzie restartu.

 

2. Porządki po narzędziach: w AdwCleaner uruchom Odinstaluj, w OTL uruchom Sprzątanie.

 

3. Wyczyść foldery Przywracania systemu: KLIK.

 

4. Odinstaluj wszystkie stare wersje Adobe i Java, zastąp najnowszymi, zaktualizuj Firefox, Google Chrome i OpenOffice.org: KLIK. Wg raportu są u Ciebie zainstalowane:

 

========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83216032FF}" = Java™ 6 Update 32
"{8727531E-6C58-4852-A90B-39CF45E269A9}" = OpenOffice.org 3.2
"{AC76BA86-7AD7-1045-7B44-A70500000002}" = Adobe Reader 7.0.5 - Polish
"Adobe Flash Player ActiveX" = Adobe Flash Player 11 ActiveX (wtyczka dla IE)
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin (wtyczka dla Firefox)
"Google Chrome" = Google Chrome 19.0.1084.56
"Mozilla Firefox 18.0.1 (x86 pl)" = Mozilla Firefox 18.0.1 (x86 pl)
 
FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\WINDOWS\system32\Macromed\Flash\NPSWF32_11_5_502_149.dll ()

 

To m.in. dziurawa Java jest drogą do tej infekcji.

 

 

PS. Widzę u Ciebie zainstalowany Tlen.pl. Program jest skończony, firma go porzuciła. Polecam nowoczesną alternatywę WTW: KLIK.

 

 

.

[spychu14]

Dziękuje za pomoc i cenne rady.

 

Pozdrawiam