Weelsof - prośba o pomoc

[kosmonavtlar]

Witam serdecznie,

Mam prośbę o pomoc w pokonaniu wirusa Weelsof, który ponownie zainfekował, tym razem inny mój komputer.

Usiłuję wygenerować logi, jednak nie jest możliwe uruchomienie komputera z trybu awaryjnego, ani z trybu awaryjnego z wierszem poleceń - za każdym razem windows uruchamia się, po czym zamyka i restartuje system. 

pozdrawiam,

kosmonavtlar

 

[picasso]

W związku z niemożnością wykonania raportów z poziomu Trybu awaryjnego, wykonaj log FRST z poziomu środowiska zewnętrznego.

 

 

.

[kosmonavtlar]

Mam system WIndows XP - nie mogę dotrzeć do funkcji WinRE, nie mam takiego wyboru również przy pomocy klawisza F8, czy aby wykonać raport mam próbować z instalowaniem windowsa i kombinacją klawiszy Shift i F10?

[picasso]

Windows XP nie ma WinRE i nie dostaniesz się do tego środowiska żadnym sposobem z poziomu instalatora XP. Musisz posiadać jakieś alternatywne środowisko zewnętrzne. W Twoim przypadku: na pendrive umieść FRST, zbootuj z płyty OTLPE, ale nie uruchamiaj w niej starego OTL na Desktopie, tylko wejdź przez eksplorator na pendrive i uruchom FRST.

 

 

 

.

[kosmonavtlar]

Witam ponownie,

Załączam logi z FRST.

Pozdrawiam,

kosmonavtlar

FRST.txt

[picasso]

Hmmm, ja tu nic nie widzę.... Czy na pewno tu chodzi o infekcję, czy była plansza blokady z pytaniem o okup? Czy była tu jakaś próba nakładkowej instalacji XP, bo dużo plików Windows jest odświeżonych?

Uruchom jednak OTL z desktopu OTLPE dla porównania.

 

 

 

.

[kosmonavtlar]

Tak, to była plansza blokady z pytaniem o  okup.

Próbowałem nie tyle instalować, co naprawić windows, ale włączyła sie instalacja.

Wieczorem doślę logi z otl - rozumiem, że nie ten stary z płyty, tylko ten nowy - "standardowy".

pozdrawiam,

kosmonavtlar

[picasso]

Próbowałem nie tyle instalować, co naprawić windows, ale włączyła sie instalacja.

Czy na pewno nadal jest blokada w systemie?

 

 

Wieczorem doślę logi z otl - rozumiem, że nie ten stary z płyty, tylko ten nowy - "standardowy".

Nie, w tym przypadku chodzi o ten stary na płycie. Nowszy OTL działa tylko pod Windows i nie da się go uruchomić w środowisku zewnętrznym.

 

 

 

 

.

[kosmonavtlar]

Witam ponownie,

Przesyłam log OTL.

pozdrawiam,

kosmonavtlar

OTL.txt

[picasso]

Już widzę w czym problem z FRST: polskie ścieżki nie są przetwarzane w WinRE. Ja już to zgłosiłam w FRST działającym pod Windows i zostało co dopiero naprawione. Widać jednak, że w RE nie aplikuje się. Przechodzimy do usuwania:

 

1. Otwórz Notatnik i wklej w nim:

 

C:\Documents and Settings\Michał\Menu Start\Programy\Autostart\odzjd4bjw.lnk
C:\Documents and Settings\All Users\Dane aplikacji\gll.exe
C:\Documents and Settings\All Users\Dane aplikacji\odzjd4bjw.ctrl
C:\Documents and Settings\All Users\Dane aplikacji\odzjd4bjw.pff
C:\Documents and Settings\All Users\Dane aplikacji\wjb4djzdo.plz

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt.

 

System powinien zostać odblokowany. Loguj się normalnie do Windows i:

 

2. Przez Dodaj/Usuń programy odinstaluj AVG SafeGuard toolbar.

 

3. Zrób nowy skan FRST spod Windows (ma powstać też plik Addition). Dołącz plik fixlog.txt.

 

 

 

.

[kosmonavtlar]

Wszystko zrobiłem zgodnie z instrukcją (załączam na razie tylko plik fixlog), jednak nie mogę się przekonać, czy wszystko w porządku i wykonać dalszych kroków (usunięcie AVG i ponowny skan z FRST), ponieważ mam problem w związku z tym naprawianiem/instalacją windowsa.

Po ponownym uruchomieniu komputera wyświetla mi się informacja: "wystąpił problem, który uniemożliwił systemowi windows dokładne sprawdzenie stanu licencji tego komputera. Aby kontynuować, nalezy aktywować tę kopię systemu windows w firmie Microsoft.

Czy chcesz traz aktywować kopię system windows?"

 

Gdy klikam ok, pojawia się pusty ekran bez ikon i nic dalej nie rusza

 

 

Fixlog.txt

[picasso]

Po ponownym uruchomieniu komputera wyświetla mi się informacja: "wystąpił problem, który uniemożliwił systemowi windows dokładne sprawdzenie stanu licencji tego komputera. Aby kontynuować, nalezy aktywować tę kopię systemu windows w firmie Microsoft.

 

Czy chcesz traz aktywować kopię system windows?"

 

Gdy klikam ok, pojawia się pusty ekran bez ikon i nic dalej nie rusza

To niestety pokłosie tej Reperacji z płyty CD. Reperacja z CD XP nie pomoże w takich przypadkach wcale, bo mechanizm adresuje tylko komponenty Windows i nie usunie komponentów dodanych wtórnie przez infekcję (np. w Autostarcie). Za to Reperacja ma liczne skutki uboczne, ponieważ płyty XP są zbyt stare. Reperacja degraduje aktualizacje, m.in. brutalnie cofa pliki Internet Explorer do wersji IE6. Jeśli miałeś zainstalowany IE8, to Reperacja uziemiła w nieprawidłowy sposób silnik IE, a jeden ze skutków ubocznych to właśnie puste dialogi aktywacji. Spróbuj przeinstalować IE8, jak w tym temacie: KLIK.

 

 

 

.

[kosmonavtlar]

Przeinstalowanie IE na wersję IE 8 z poziomu trybu awaryjnego pomogło, zakończyłem aktywację i uruchomiłem windowsa już normalnie. W załączniku przesyłam logi: FRST, ADDITION oraz wcześniej zrobiony FIXLOG.

pozdrawiam serdecznie,

kosmonavtlar

 

FRST.txt

Addition.txt

Fixlog.txt

[kosmonavtlar]

Komputer działa bez zarzutu, niemniej jednak będę wdzięczny za ostateczne potwierdzenie, że wszystko ok.

pozdrawiam,

kosmonavtlar

 

Rzecz jasna w miarę Twoich możliwości czasowych, Picasso...

[picasso]

Była przerwa techniczna (serwer nieczynny z powodu usterki sprzętowej), więc dopiero teraz mogę odpowiedzieć.

 

Informacyjnie: detekcja polskich ścieżek systemu XP (i tylko XP) nie zostanie naprawiona w FRST uruchomionym w środowisku zewnętrznym, gdyż system bardzo stary i wycofywany z użytku, a fiks wymaga potężnego nakładu pracy. Tyle ile uszarpałam już wcześniej, to detekcja tych ścieżek w FRST uruchomionym spod Windows. I możemy przejść do akcji wykończeniowych:

 

1. Pobierz najnowszą wersję FRST. Otwórz Notatnik i wklej w nim:

 

Startup: C:\Documents and Settings\Michał\Menu Start\Programy\Autostart\odzjd4bjw.lnk
HKLM\...\Run: [KernelFaultCheck] - %systemroot%\system32\dumprep 0 -k
Toolbar: HKCU - No Name - {E7DF6BFF-55A5-4EB7-A673-4ED3E9456D39} - No File
DPF: {68282C51-9459-467B-95BF-3C0E89627E55} http://www.mks.com.pl/skaner/SkanerOnline.cab
C:\WINDOWS\SET*.tmp

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt.

 

2. Uruchom TFC - Temp Cleaner.

 

3. Zresetuj cache wtyczek Google Chrome: w pasku adresów wpisz chrome://plugins i ENTER, na liście wtyczek wybierz dowolną i kliknij Wyłącz, następnie wtyczkę ponownie włącz.

 

4. Zrób nowy skan FRST (bez Addition). Dołącz plik fixlog.txt.

 

 

 

.

[kosmonavtlar]

Witam ponownie,

W załącznikach przesyłam logi: FRST oraz fixlog

 

Serdeczne dzięki za pomoc kolejnym razem!

FRST.txt

Fixlog.txt

[picasso]

1. Drobnostka. Jeden wpis starej kontrolki MKS nie przetworzony (bug w FRST). Pobierz ponowie FRST (już ma poprawkę). Otwórz Notatnik i wklej w nim:

 

DPF: {68282C51-9459-467B-95BF-3C0E89627E55} http://www.mks.com.pl/skaner/SkanerOnline.cab

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix.

 

2. Przez SHIFT+DEL skasuj folder C:\FRST.

 

3. Wyczyść foldery Przywracania systemu: KLIK.

 

4. Usuń starsze wersje Adobe i Java, zastąp najnowszymi: KLIK. To m.in. luki w starych Java są przyczyną infekcji tego rodzaju. Wg Twojego raportu mamy następujące wersje:

 

==================== Installed Programs =======================
 

Adobe Reader X (10.1.7) - Polish (Version: 10.1.7)

Adobe Shockwave Player 11.5 (Version: 11.5.8.612)

Java™ 6 Update 21 (Version: 6.0.210)

 

 

 

.

[kosmonavtlar]

Witam ponownie Picasso,

Wszystko poszło sprawnie, według Twoich instrukcji.

Załączam ponowny log z FRST.

pozdrawiam,

kosmonavtlar

Fixlog.txt

[picasso]

Akcja wykonana. Temat ukończony. Zamykam.