Kolejna blokada UKASH

[Kamish]

Witam,

kolejny problem z zablokowanym komputerem, załączam logi z OTS

acha, zapomniałbym - Win XP Home edition

 

PS. chodzi głównie o uzyskanie dostępu do lapka, komputer działa od jakichś 5 lat bez formatowania i był chroniony jedynie darmowym avastem, więc pewnie jest pełen rozmaitego syfu

Extras.Txt

OTL.Txt

[picasso]

Log z OTL jest zrobiony ze złego konta, czyli:

 

Computer Name: KASIA | User Name: Administrator | Logged in as Administrator.

 

Serwisowe konto Administrator wbudowane w system, co dopiero inicjowane, a nie konto użytkownika. Każde konto ma inny rejestr = logi się różnią. Na razie mogę usunąć tylko to co łączy wszystkie konta.

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Reg
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"="Explorer.exe"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
"6714:TCP"=-
"9235:TCP"=-
 
:OTL
SRV - File not found [Auto | Stopped] -- C:\WINDOWS\system32\ptwtlaux.dll -- (yhapk)
SRV - File not found [Auto | Stopped] -- C:\WINDOWS\system32\ptwtlaux.dll -- (xgaka)
SRV - File not found [Auto | Stopped] -- C:\WINDOWS\system32\ptwtlaux.dll -- (guplz)
O4 - HKLM..\Run: [c4dU5nsvHkbsaiW] C:\Documents and Settings\EFEKT\Dane aplikacji\43euyh45wsuw.exe File not found
O4 - HKLM..\Run: [crrss] C:\WINDOWS\system32\crrss.exe ()
O20 - HKLM Winlogon: UserInit - (C:\Documents and Settings\EFEKT\Dane aplikacji\43euyh45wsuw.exe) -  File not found
[2010-04-23 20:16:16 | 000,012,444 | -HS- | C] () -- C:\Documents and Settings\All Users\Dane aplikacji\71Bf24L21
[2010-04-22 16:06:36 | 000,012,390 | -HS- | C] () -- C:\Documents and Settings\All Users\Dane aplikacji\iWUJi
[2010-04-22 07:42:15 | 000,012,022 | -HS- | C] () -- C:\Documents and Settings\All Users\Dane aplikacji\mWbU
FF - HKLM\Software\MozillaPlugins\@divx.com/DivX Player Plugin,version=1.0.0: C:\Program Files\DivX\DivX Player\npDivxPlayerPlugin.dll File not found
FF - HKLM\Software\MozillaPlugins\@messenger.yahoo.com/YahooMessengerStatePlugin;version=1.0.0.6: C:\Program Files\Yahoo!\Shared\npYState.dll File not found
FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=3: C:\Program Files\Google\Update\1.3.21.53\npGoogleUpdate3.dll File not found
FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=9: C:\Program Files\Google\Update\1.3.21.53\npGoogleUpdate3.dll File not found
O2 - BHO: (no name) - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - No CLSID value found.
O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} "http://download.divx.com/player/DivXBrowserPlugin.cab" (Reg Error: Key error.)
O16 - DPF: {68282C51-9459-467B-95BF-3C0E89627E55} "http://www.mks.com.pl/skaner/SkanerOnline.cab" (Reg Error: Key error.)
O16 - DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} "http://fpdownload.macromedia.com/get/flashplayer/current/ultrashim.cab" (Reg Error: Key error.)
O16 - DPF: {CAFEEFAC-0016-0000-0005-ABCDEFFEDCBA} "http://java.sun.com/update/1.6.0/jinstall-1_6_0_05-windows-i586.cab" (Reg Error: Key error.)
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany, zaloguj się na właściwe konto, pojawi się log z wynikami usuwania.

 

2. Przejdź do Panelu sterowania i odinstaluj adware Complitly. Zastosuj AdwCleaner z opcji Delete. Z tego działania powstanie log na dysku C.

 

3. Zresetuj plik HOSTS do postaci domyślnej za pomocą automatycznego narzędzia Fix-it z artykułu: KB972034.

 

4. Wygeneruj nowy log OTL z opcji Skanuj (już bez Extras) oraz obowiązkowy zaległy GMER. Prawidłowe uruchomienie GMER wymaga usunięcia sterownika emulacji napędów wirtualnych:

 

DRV - [2009-08-14 16:28:19 | 000,721,904 | ---- | M] () [Kernel | Boot | Running] -- C:\WINDOWS\system32\drivers\sptd.sys -- (sptd)

 

Dołącz logi z usuwania narzędziami w punktach 1+2.

 

 

 

.

[Kamish]

Problem polega na tym, że nie mam dostępu do konta użytkownika - ani z poziomu trybu awaryjnego z / bez obsługi sieci, ani z wierszem polecenia. Mogę zalogować się tylko na konto "Administrator". jakiekolwiek programy (np. OTL) ściągam na zdrowym PC i przerzucam przez pendrive'a na zainfekowanego lapka. Z kolei pena czyta tylko przez Hiren's boot CD z poziomu mini windowska XP. Masz jakąś radę dla laika, jak dostać się na konto użytkownika, żeby odpalić na nim OTL i wstawić właściwe logi?

[picasso]

Kamish, przecież mówiłam "Na razie mogę usunąć tylko to co łączy wszystkie konta." Zadane instrukcje są dedykowane uruchomieniu z poziomu konta Administrator, bo tylko tyle danych mi dostarczyłeś. Po wykonaniu tych instrukcji, co zapewne odblokuje system, nowe logi z OTL wygenerujesz już z poziomu właściwego konta.

Edytowane 27 Sierpnia 2012 przez picasso
27.08.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso