Policja - biały ekran, prośba o pomoc

[kosmonavtlar]

Witam serdecznie,

Ponownie proszę o pomoc w usunięciu wirusa. W trakcie pracy na ekranie pojawił się napis policja, etc. Podobnie jak rok temu.

Mam system win xp, załączam obowiązkowe logi.

 

pozdrawiam,

kosmonavtlar

OTL.Txt

Extras.Txt

[picasso]

Nowe zasady działu, obowiązkowe są raporty z FRST. Proszę dodaj je.

 

 

 

 

.

[kosmonavtlar]

Dzięki za szybką odpowiedź,

W załączniku przesyłam logi z frst.

 

Przypomnę jeszcze, że mam (podobnie jak rok temu) dwóch użytkowników. User - na którym jestem na co dzień i administrator - normalnie mi się nie wyświetla, ale w trybie awaryjnym tak.

Ponieważ w trybie awaryjnym na user też pojawiał mi się biały ekran, uruchomiłem otl i teraz frst z trybu awaryjnego z wierszem poleceń i tak dokonałem skanu

 

kosmonavtlar.

FRST.txt

Addition.txt

[picasso]

Tak, wiem ile jest kont w systemie oraz że system jest uruchomiony w Trybie awaryjnym z Wierszem polecenia, widzę to w raportach. Natomiast to czego nie widzę to ... infekcji. Nie ma w ogóle wpisów tego rodzaju, jest tylko adware, ale to inna sprawa. Czy na pewno ponowny start do Trybu normalnego daje te same objawy? Na razie mogę zalecić tylko usuwanie adware i wykonywalnych w Temp:

 

1. Otwórz Notatnik i wklej w nim:

 

S2 BitGuard; C:\Documents and Settings\All Users\Dane aplikacji\BitGuard\2.7.1832.68\{c16c1ccb-7046-4e5c-a2f3-533ad2fec8e8}\BitGuard.exe [3780064 2013-11-18] ()
AppInit_DLLs: C:\Documents and Settings\All Users\Dane aplikacji\BitGuard\2.7.1832.68\{c16c1ccb-7046-4e5c-a2f3-533ad2fec8e8}\BitGuard.dll [ 2013-11-18] ()
HKCU\...\Run: [VkontakteDJ] - C:\VkontakteDJ\VkontakteDJ.exe /H
HKCU\Software\Microsoft\Internet Explorer\Main,bProtector Start Page = http://www.delta-search.com/?affID=119816&tt=070313_9105&babsrc=HP_ss&mntrId=b8ed7069000000000000001c23275115
SearchScopes: HKCU - DefaultScope {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} URL = http://www.delta-search.com/?q={searchTerms}&affID=119816&tt=070313_9105&babsrc=SP_ss&mntrId=b8ed7069000000000000001c23275115
SearchScopes: HKCU - bProtectorDefaultScope {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}
SearchScopes: HKCU - {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = http://yandex.ru/yandsearch?win=47&clid=1946476-10005&text={searchTerms}
SearchScopes: HKCU - {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} URL = http://www.delta-search.com/?q={searchTerms}&affID=119816&tt=070313_9105&babsrc=SP_ss&mntrId=b8ed7069000000000000001c23275115
BHO: No Name - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - No File
BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll No File
FF SearchPlugin: C:\Program Files\mozilla firefox\searchplugins\babylon.xml
C:\Documents and Settings\All Users\Dane aplikacji\Babylon
C:\Documents and Settings\user\Dane aplikacji\Babylon
C:\Documents and Settings\user\Dane aplikacji\File Scout
C:\Documents and Settings\user\Dane aplikacji\Systweak
C:\Documents and Settings\user\Dane aplikacji\VKDJ
C:\Documents and Settings\user\Dane aplikacji\Yandex
C:\Documents and Settings\user\Ustawienia lokalne\Temp\*.exe
C:\Documents and Settings\user\Ustawienia lokalne\Dane aplikacji\Google\Chrome

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt.

 

2. Sprawdź czy jesteś w stanie wejść w Tryb normalny. Jeśli tak, zrób poprawne deinstalacje adware:

- Przez Panel sterowania: BitGuard, Bundled software uninstaller.

- W Firefox: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox.

 

3. Uruchom AdwCleaner. Zastosuj Szukaj, a po tym Usuń. Powstanie folder C:\AdwCleaner z raportem z usuwania.

 

4. Zrób nowy skan FRST (bez Addition). Dołącz plik fixlog.txt i log z AdwCleaner.

 

 

 

.

[kosmonavtlar]

Rzeczywiście, system uruchomił się poprawnie w trybie normalnym. Postępowałem według znanego schematu i nie sprawdziłem, czy ekran pojawia się ponownie tylko od razu zresetowałem i uruchomiłem w trybie awaryjnym.

 

Wykonałem kroki wg Twojej instrukcji. W folderze adwcleaner powstały dwa raporty (jeden z poszukiwania, jeden z usuwania?) - na wszelki wypadek załączam oba oraz pozostałe, o których pisałaś.

 

pozdrowienia,

kosmonavtlar

FRST.txt

Fixlog.txt

AdwCleanerS0.txt

AdwCleanerR0.txt

[picasso]

Tak, AdwCleaner tworzy osobne raporty dla funkcji szukania oraz usuwania. Co do akcji: pomyślnie wykonana. Możemy kończyć:

 

1. Minimalna korekta. Otwórz Notatnik i wklej w nim:

 

Reg: reg add "HKCU\Software\Microsoft\Internet Explorer\SearchScopes" /v DefaultScope /t REG_SZ /d {0633EE93-D776-472f-A0FF-E1416B8B2E3A} /f
Reg: reg add "HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes" /v DefaultScope /t REG_SZ /d {0633EE93-D776-472f-A0FF-E1416B8B2E3A} /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix.

 

2. Przez SHIFT+DEL skasuj foldery:

 

C:\FRST

C:\Documents and Settings\user\Pulpit\Stare dane programu Firefox

 

W AdwCleaner uruchom Odinstaluj, w OTL uruchom Sprzątanie.

 

3. Uruchom TFC - Temp Cleaner.

 

4. Wyczyść foldery Przywracania systemu: KLIK.

 

 

 

.

[kosmonavtlar]

Wszystkie kroki wykonałem, przesyłam ostatniego loga.

Dziękuję raz jeszcze za pomoc i pozdrawiam,

kosmonavtlar

 

Fixlog.txt

[picasso]

Skrypt wykonany pomyślnie. Resztę już podałam. Temat rozwiązany. Zamykam.

 

 

 

.