"Komputer został zablokowany przez naruszenie prawa polskiego" (Weelsof)

[Castiel]

Witam, mam taki sam problem jak już sporo osób tutaj opisywało - dopadł mnie trojan Weelsof (http://www.cert.pl/news/5483). Różnica jest taka, że w moim przypadku nie jest to rzekoma sprawka policji, a 'prawa polskiego' i widnieje tam herb Polski. Generator kodów Ukash nie pomaga.

 

1. Mam Win 7 x64, mogę uruchomić tryb awaryjny z dostępem do sieci lub z wierszem poleceń.

 

2. Odinstalowałem Daemon Tools Lite, po ściągnięciu i włączeniu SPTDinst-v181-x64 pokazał się komunikat 'No SPTD version was detected'.

 

3. Ściągnąłem OTL, w ustawieniach (oprócz zalecanych) jest jeszcze okienko 'Pomiń znane dobre pliki' (zostawiłem zaznaczone).

 

Bardzo proszę o pomoc.

-------------------------------

 

 

Results of screen317's Security Check version 0.99.24

Windows 7 x64 (UAC is disabled!)

Internet Explorer 8 Out of date!

``````````````````````````````

Antivirus/Firewall Check:

Windows Security Center service is not running! This report may not be accurate!

WMI entry may not exist for antivirus; attempting automatic update.

```````````````````````````````

Anti-malware/Other Utilities Check:

Java™ 6 Update 31

Adobe Flash Player 11.3.300.262

Adobe Reader X (10.1.3)

Mozilla Firefox (x86 pl..)

````````````````````````````````

Process Check:

objlist.exe by Laurent

``````````End of Log````````````

OTL.Txt

Extras.Txt

[picasso]

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
O2:64bit: - BHO: (Java™ Plug-In 2 SSV Helper) - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre7\bin\jp2ssv.dll File not found
O2 - BHO: (CescrtHlpr Object) - {64182481-4F71-486b-A045-B233BD0DA8FC} - C:\Program Files (x86)\facemoods.com\facemoods\1.4.17.11\bh\facemoods.dll File not found
O3 - HKLM\..\Toolbar: (facemoods Toolbar) - {DB4E9724-F518-4dfd-9C7C-78B52103CAB9} - C:\Program Files (x86)\facemoods.com\facemoods\1.4.17.11\facemoodsTlbr.dll File not found
O4:64bit: - HKLM..\Run: [sysFxUI] C:\Users\RC\AppData\Local\Microsoft\Windows\467\SysFxUI.exe ()
O4:64bit: - HKLM..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre7\bin\jusched.exe" File not found
O4 - HKLM..\Run: [facemoods] "C:\Program Files (x86)\facemoods.com\facemoods\1.4.17.11\facemoodssrv.exe" /md I File not found
O4 - HKU\S-1-5-21-2123982863-3783761578-1848220-1000..\Run: [ASRockXTU]  File not found
O4 - HKU\S-1-5-21-2123982863-3783761578-1848220-1000..\Run: [zASRockInstantBoot]  File not found
O4 - Startup: C:\Users\RC\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Tworzenie wycinków ekranu i uruchamianie programu OneNote 2010.lnk =  File not found
 
:Files
C:\Users\RC\AppData\Local\Microsoft\Windows\467
C:\Users\RC\AppData\Roaming\hellomoto
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System będzie restartował, nastąpi odblokowanie, w katalogu C:\_OTL pojawi się log z wynikami usuwania.

 

2. Przejdź do Panelu sterowania i odinstaluj adware: Ask Toolbar, Facemoods Toolbar, Deinstalator Strony V9.

 

3. Zastosuj AdwCleaner z opcji Delete. Z tego działania powstanie log na dysku C.

 

4. Wygeneruj nowy log OTL z opcji Skanuj (już bez Extras). Dołącz logi z usuwania narzędziami w punktach 1+3.

 

 

 

.

[Castiel]

Działa!

 

W Panelu sterowania usunąłem Facemods Toolbar, Ask Toolbar tam nie było, natomiast po kliknięciu na Deinstalator Strony V9 pojawiło się okienko, że prawdopodobnie jest już odinstalowany, a później komunikat, że nie mam uprawnień do usunięcia go z listy, ale już żadnego z tych trzech na liście nie ma.

 

Czy folder C:\_OTL (są tam jeszcze jakieś pliki) mogę już usunąć?

 

A na przyszłość - gdyby ten ramsonware pojawił się jeszcze raz, czy mogę powtórzyć kroki z tego wątku, czy muszę jeszcze raz prosić o pomoc? I przede wszystkim - czy jakiś program pomoże mi zablokować tego konkretnego wirusa, gdyby znów mnie chciał zaatakować?

 

Bardzo Ci dziękuję za pomoc i poświęcony czas.

07052012_192656.txt

AdwCleanerS1.txt

OTL.Txt

[picasso]

A na przyszłość - gdyby ten ramsonware pojawił się jeszcze raz, czy mogę powtórzyć kroki z tego wątku, czy muszę jeszcze raz prosić o pomoc? I przede wszystkim - czy jakiś program pomoże mi zablokować tego konkretnego wirusa, gdyby znów mnie chciał zaatakować?

 

Nie, a dlatego że ten trojan ma różne wersje i w zasadzie u nikogo nie powtarza się nazwa obiektów zasadniczych, nazwy losowe. Nie ma czegoś takiego jak "uniwersalny skrypt", skrypt jest dostosowany do tego co widać w raportach. Każdorazowo muszą zostać zanalizowane logi. W kwestii dróg roznoszenia się: KLIK. Luki w oprogramowaniu, kliknięty szkodliwy URL i bum.

 

 

W Panelu sterowania usunąłem Facemods Toolbar, Ask Toolbar tam nie było, natomiast po kliknięciu na Deinstalator Strony V9 pojawiło się okienko, że prawdopodobnie jest już odinstalowany, a później komunikat, że nie mam uprawnień do usunięcia go z listy, ale już żadnego z tych trzech na liście nie ma.

 

Wpis Ask Toolbar był widoczny na liście zainstalowanych (pobierałam dane z Twojego loga), ale skoro go nie widziałeś to najwyraźniej miał atrybut ukryty. Niemniej AdwCleaner się z nim już rozprawił.

 

 

---

Wszystkie zadania poprawnie wykonane. Przejdź do kolejnych czynności:

 

1. Porządki po narzędziach: w AdwCleaner Uninstall + w OTL Sprzątanie (to skasuje m.in. katalog kwarantanny C:\_OTL).

 

2. Wyczyść foldery Przywracania systemu: KLIK.

 

3. Na wszelki wypadek wykonaj pełne (nie ekspresowe) skanowanie w Malwarebytes Anti-Malware. Przedstaw wynikowy raport, o ile coś zostanie wykryte.

 

 

 

 

.

[Castiel]

Nic nie wykryto

 

Jeszcze raz dzięki.

[picasso]

Na zakończenie wykonaj aktualizacje / weryfikacje wersji: KLIK. Z Twojej listy zainstalowanych:

 

Internet Explorer (Version = 8.0.7601.17514)
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
64bit: [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}" = Microsoft Silverlight
"Adobe Flash Player ActiveX" = Adobe Flash Player 11 ActiveX 64-bit
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83216031FF}" = Java™ 6 Update 31
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin
"Adobe Shockwave Player" = Adobe Shockwave Player 11.6
"Google Chrome" = Google Chrome ----> wg głównego OTL wersja 19.0.1084.56
"Mozilla Firefox 12.0 (x86 pl)" = Mozilla Firefox 12.0 (x86 pl)

 

.