Blokada systemu przez UKASH

[FogGy]

Witam, tak jak w temacie dziś, podczas uruchamiania komputera pojawił się komunikat o blokadzie systemu przez Ukash. W załącznikach zamieszczam logi z OTL. Kierując się instrukcją zamieszczoną na innym forum użyłem programu ComboFix, niestety bez skutku. Nie otrzymałem nawet raportu z tego programu, ponieważ tuż po ponownym uruchomieniu komputera znów pojawiła się blokada Ukash. Z góry dziękuje za pomoc.

Extras.Txt

OTL.Txt

[picasso]

Zasady działu: bez podbijania. My wszystko widzimy kto potrzebuje odpowiedzi, ale przecież widać ile mamy do roboty ...

 

 

Kierując się instrukcją zamieszczoną na innym forum użyłem programu ComboFix, niestety bez skutku. Nie otrzymałem nawet raportu z tego programu, ponieważ tuż po ponownym uruchomieniu komputera znów pojawiła się blokada Ukash.

 

Forum fixitpc.pl versus używanie ComboFix w zaciszu domowym: KLIK.

 

 

---

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
O4:64bit: - HKLM..\Run: [sensApi] C:\Users\Kamil\AppData\Local\Microsoft\Windows\4386\SensApi.exe ()
O2 - BHO: (Windows Live ID Sign-in Helper) - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files (x86)\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll File not found
O2 - BHO: (IEPluginBHO Class) - {F5CC7F02-6F4E-4462-B5B1-394A57FD3E0D} - C:\ProgramData\Gadu-Gadu 10\_userdata\ggbho.2.dll File not found
O3 - HKLM\..\Toolbar: (no name) - {10EDB994-47F8-43F7-AE96-F2EA63E9F90F} - No CLSID value found.
O3 - HKU\S-1-5-21-1028587419-3669330845-735310777-1000\..\Toolbar\WebBrowser: (no name) - {00000000-5736-4205-0008-F7ED0776FB27} - No CLSID value found.
IE - HKU\S-1-5-21-1028587419-3669330845-735310777-1000\..\URLSearchHook: {88c7f2aa-f93f-432c-8f0e-b7d85967a527} - No CLSID value found
IE - HKU\S-1-5-21-1028587419-3669330845-735310777-1000\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = "http://search.babylon.com/?q={searchTerms}&AF=100482&babsrc=SP_ss&mntrId=a4366488000000000000c417fe230703"
IE - HKU\S-1-5-21-1028587419-3669330845-735310777-1000\..\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}: "URL" = "http://websearch.ask.com/redirect?client=ie&tb=BT5&o=&src=crm&q={searchTerms}&locale="
IE - HKU\S-1-5-21-1028587419-3669330845-735310777-1000\..\SearchScopes\{5E7E47F1-5870-43A0-A97B-41162B5EB6B2}: "URL" = "http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT3072253"
 
:Files
C:\Users\Kamil\AppData\Local\Microsoft\Windows\4386
C:\Users\Kamil\AppData\Roaming\hellomoto
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany, nastąpi odblokowanie, w katalogu C:\_OTL pojawi się log z wynikami usuwania.

 

2. Przeprowadź deinstalacje adware:

- Przez Panel sterowania: Babylon toolbar on IE, uTorrentControl2 Toolbar.

- W menedżerze dodatków Firefox: BitTorrentBar Community Toolbar, Conduit Engine, QuickStores-Toolbar, uTorrentControl2 Community Toolbar

 

3. Zastosuj AdwCleaner z opcji Delete. Z tego działania powstanie log na dysku C.

 

4. Wygeneruj nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log z usuwania OTL z punktu 1 oraz AdwCleaner z punktu 3.

 

 

 

.

[FogGy]

Bardzo dziękuje za fachową pomoc. Oczywiście pomogło. Przepraszam za podbijanie. Umieszczam logi z AdwCleaner oraz OTL. Mam nadzieję ze teraz logi są poprawne. Niestety loga z usuwania OTL nie mogę znaleźć.

AdwCleanerS2.txt

OTL.Txt

[picasso]

Zapomniałeś dodać log z usuwania OTL, ale w sumie już podaruję. Ale log OTL z opcji Skanuj nie wygląda na zrobiony po usuwaniu AdwCleaner, gdyż pokazuje rzeczy które usuwał. Kolejność procedur jest ścisła. Proszę ponowić skanowanie w OTL i wymienić załączniki poprzez Edycję posta.

 

EDIT

 

Wprawdzie zgłosiłeś mi na PW, iż log podmieniony, ale ... żadnej różnicy nie widzę. Nadal widoczne te wpisy, które AdwCleaner już usuwał. Jeśli to na pewno nowy log i nie ma tu żadnych zafałszowań, to może to wszystko wróciło?

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
IE - HKU\S-1-5-21-1028587419-3669330845-735310777-1000\..\URLSearchHook: {687578b9-7132-4a7a-80e4-30ee31099e03} - No CLSID value found
FF - prefs.js..browser.search.defaultthis.engineName: "uTorrentControl2 Customized Web Search"
FF - prefs.js..browser.search.defaulturl: "http://search.conduit.com/ResultsExt.aspx?ctid=CT3072253&SearchSource=3&q={searchTerms}"
FF - prefs.js..browser.search.selectedEngine: "uTorrentControl2 Customized Web Search"
FF - prefs.js..extensions.enabledItems: engine@conduit.com:3.2.5.2
FF - prefs.js..keyword.URL: "http://search.conduit.com/ResultsExt.aspx?ctid=CT3072253&SearchSource=2&q="
[2012-06-04 19:39:54 | 000,000,000 | ---D | M] (uTorrentControl2 Community Toolbar) -- C:\Users\Kamil\AppData\Roaming\mozilla\Firefox\Profiles\p3liy92z.default\extensions\{687578b9-7132-4a7a-80e4-30ee31099e03}
[2012-05-30 08:43:28 | 000,000,935 | ---- | M] () -- C:\Users\Kamil\AppData\Roaming\Mozilla\Firefox\Profiles\p3liy92z.default\searchplugins\conduit.xml
O3 - HKU\S-1-5-21-1028587419-3669330845-735310777-1000\..\Toolbar\WebBrowser: (no name) - {687578B9-7132-4A7A-80E4-30EE31099E03} - No CLSID value found.
O18 - Protocol\Handler\ms-itss {0A9007C0-4076-11D3-8789-0000F8105754} - C:\Program Files (x86)\Common Files\Microsoft Shared\Information Retrieval\msitss.dll File not found
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. Znajoma sekwencja: resset + w katalogu C:\_OTL pojawi się log.

 

2. Do oceny wystarczy tylko log z wynikami usuwania, nowe skanowanie w OTL niepotrzebne.

 

 

 

.

[FogGy]

Tak jak napisałem nie mogę znaleźć logu z usuwania. W katalogu C:\_OTL mam tylko Folder i plik tekstowy, którego nie moge umieścić.

[picasso]

W katalogu C:\_OTL mam tylko Folder i plik tekstowy, którego nie moge umieścić.

 

I właśnie ten "plik tekstowy" to jest log z usuwania. Zasady działu + Pomoc forum wyjaśniają dlaczego ten plik nie pozwala się dołączyć: załączniki akceptują tylko rozszerzenie *.TXT, a to *.LOG. Należy ręcznie zmienić nazwę pliku.

 

 

 

.

[FogGy]

Dzięki za pomoc mam nadzieję, że o to chodziło.

OTL.txt

[picasso]

Załatwione. Przejdź do tych czynności:

 

1. Prawidłowa deinstalacja ComboFix, która wyczyści też foldery Przywracania systemu. Klawisz z flagą Windows + R i w polu Uruchom wklej:

 

"pełna ścieżka dostępu do ComboFix.exe" /uninstall

 

2. Dalsze porządki po narzędziach: w OTL uruchom Sprzątanie + w AdwCleaner Uninstall + przez SHIFT+DEL skasuj folder C:\Windows\erdnt (kopia rejestru stworzona przez ComboFix).

 

3. Wykonaj pełne (nie ekspresowe) skanowanie w Malwarebytes Anti-Malware. Jeśli coś wykryje, przedstaw raport.

 

 

 

.

[FogGy]

Przepraszam, że tak późno, ale miałem pewien problem z połączeniem internetowym. Przedstawiam skan z malwarebytes.

mbam-log-2012-07-12 (11-41-34).txt

[picasso]

Tylko ten wynik z Softonic zdaje się być na usunięcie (adware), dwa pozostałe to prawdopodobnie fałszywe alarmy. Na zakończenie wykonaj podstawowe aktualizacje: KLIK. Twoja lista zainstalowanych wykazuje brak dodatku SP1 Dla Windows 7 oraz następujące wersje:

 

64bit- Home Premium Edition  (Version = 6.1.7600) - Type = NTWorkstation
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
64bit: [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F86416030FF}" = Java™ 6 Update 30 (64-bit)
"{26A24AE4-039D-4CA4-87B4-2F86417002FF}" = Java™ 7 Update 2 (64-bit)
"{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}" = Microsoft Silverlight
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83216031FF}" = Java™ 6 Update 31
"{58B785A2-D2CA-40AA-AE89-FCC49326CDC4}" = OpenOffice.org 3.2
"{AC76BA86-7AD7-FFFF-7B44-A91000000001}" = Adobe Reader 9.1 MUI
"{EE7257A2-39A2-4D2F-9DAC-F9F25B8AE1D8}" = Skype™ 5.9
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin
"Adobe Shockwave Player" = Adobe Shockwave Player 11.5

 

 

PS. Gadu-Gadu 10 = polecam rozpatrzenie się za alternatywą, mniej dręczącą zasoby komputera. Do wglądu artykuł Darmowe komunikatory i opisy aplikacji WTW, Miranda, AQQ, Kadu.

 

 

.

[FogGy]

Jeszcze raz bardzo dziękuję. Gadu-Gadu nie używam od dawna więc prawdopodobnie je odinstaluje.