Ukash po raz n-ty

[skibox]

Witam serdecznie, kumpel złapał prawdopodobnie tego całego ukasha, odpaliliśmy OTLa z wiersza poleceń (inaczej w ogóle nie dało się uruchomić systemu). Ślicznię proszę o pomoc w rozkodowaniu logów

OTL.Txt

Extras.Txt

[picasso]

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"=-
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
 
:Files
C:\Users\JB\AppData\Roaming\skype.dat
C:\Users\JB\AppData\Roaming\skype.ini
 
:OTL
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://startsear.ch/?aff=2&cf=d84706b9-f0c2-11e0-8683-001e8c131c7a
IE - HKCU\..\URLSearchHook: {F3FEE66E-E034-436a-86E4-9690573BEE8A} - SOFTWARE\Classes\CLSID\{F3FEE66E-E034-436a-86E4-9690573BEE8A}\InprocServer32 File not found
IE - HKLM\..\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}: "URL" = http://startsear.ch/?aff=1&src=sp&cf=d84706b9-f0c2-11e0-8683-001e8c131c7a&q={searchTerms}
IE - HKLM\..\SearchScopes\{90822403-A060-423C-9D2E-2B318F98A768}: "URL" = http://startsear.ch/?aff=2&src=sp&cf=d84706b9-f0c2-11e0-8683-001e8c131c7a&q={searchTerms}
IE - HKLM\..\SearchScopes\{CF04959C-D72C-4FDD-A71F-0B147A959030}: "URL" = http://startsear.ch/?aff=2&src=sp&cf=d84706b9-f0c2-11e0-8683-001e8c131c7a&q={searchTerms}
IE - HKCU\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = http://search.babylon.com/?q={searchTerms}&AF=110004&babsrc=SP_ss&mntrId=2088e4180000000000000019700eaa61
IE - HKCU\..\SearchScopes\{15B0A0FC-C27A-4288-B51C-2D26EFE6E5AD}: "URL" = http://search.yahoo.com/search?fr=chr-greentree_ie&ei=utf-8&ilc=12&type=937811&p={searchTerms}
IE - HKCU\..\SearchScopes\{CF04959C-D72C-4FDD-A71F-0B147A959030}: "URL" = http://startsear.ch/?aff=2&src=sp&cf=d84706b9-f0c2-11e0-8683-001e8c131c7a&q={searchTerms}
O2 - BHO: (Babylon toolbar helper) - {2EECD738-5844-4a99-B4B6-146BF802613B} - Reg Error: Value error. File not found
O2 - BHO: (YTD Toolbar) - {F3FEE66E-E034-436a-86E4-9690573BEE8A} - Reg Error: Value error. File not found
O3 - HKLM\..\Toolbar: (YTD Toolbar) - {F3FEE66E-E034-436a-86E4-9690573BEE8A} - Reg Error: Value error. File not found
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No CLSID value found.
O4 - HKLM..\Run: [] File not found
O4 - HKCU..\Run: [] C:\Program Files (x86)\Samsung\Kies\External\FirmwareUpdate\KiesPDLR.exe File not found
O4 - HKCU..\Run: [ChomikBox] C:\Program Files (x86)\ChomikBox.exe File not found
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. Zatwierdź restart. System zostanie odblokowany i przejdź w Tryb normalny, by wykonać pozostałe działania:

 

2. Odinstaluj adware:

- Przez Panel sterowania odinstaluj: YTD Toolbar v7.0, LiveVDO plugin 1.3, vShare.tv plugin 1.3. Tak, to te wtyczki video, śmiecą system (instalacja adware)

- W Google Chrome: w Rozszerzeniach odinstaluj LiveVDO plugin.

- W Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox.

 

3. Uruchom AdwCleaner i zastosuj Usuń. Na dysku C powstanie log z usuwania.

 

4. Zrób nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log utworzony przez AdwCleaner.

 

 

 

.

[skibox]

Załączam nowe logi:

OTL.Txt

AdwCleanerS1.txt

[picasso]

Wszystko zrobione. Kończymy:

 

1. Google Chrome nie wygląda na zainstalowane, a w raporcie widać odpadki. Przez SHIFT+DEL skasuj katalog:

 

C:\Users\JB\AppData\Local\Google\Chrome

 

2. Pozostałe korekty. Otwórz Notatnik i wklej w nim:

 

Windows Registry Editor Version 5.00
 
[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Google\Chrome]
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{C35B92A1-A108-4B17-8F93-34551573DE03}"
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{C35B92A1-A108-4B17-8F93-34551573DE03}"
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{6A1806CD-94D4-4689-BA73-E35EA1EA9990}"
 
[-HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes]

 

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.REG

 

Kliknij prawym na plik i z menu wybierz opcję Scal. Potwierdź import do rejestru.

 

3. Porządki po narzędziach: w AdwCleaner uruchom Odinstaluj, w OTL uruchom Sprzątanie.

 

4. Wyczyść foldery Przywracania systemu: KLIK.

 

5. Odinstaluj wyliczone poniżej programy i zastąp najnowszymi wersjami: KLIK. M.in. luki w Java są przyczyną infekcji. Wg listy zainstalowanych są tu wersje:

 

========== HKEY_LOCAL_MACHINE Uninstall List ==========
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]

"{26A24AE4-039D-4CA4-87B4-2F83217017FF}" = Java 7 Update 17

"{AC76BA86-7AD7-1033-7B44-AA1000000001}" = Adobe Reader X (10.1.6)

"Adobe Shockwave Player" = Adobe Shockwave Player 11.6

 

 

 

.