Tak samo jak reszta czyli UKASH

[papaj86]

Witam mam ten sam problem co reszta czyli ten uporczywy ukash. Ponizej wklejam logi z OTL'a. Robilem tez combofixem ale za zadne skarby nie moge odszukac loga. Dziekuje za pomoc.

Extras.Txt

OTL.Txt

[picasso]

Robilem tez combofixem ale za zadne skarby nie moge odszukac loga.

 

Na temat nienadzorowanego używania ComboFix: KLIK. Log powinien być zlokalizowany tu: C:\ComboFix.txt.

 

 

---

Prócz infekcji głównej jest tu także adware oraz kuriozalne zapisy kierujące do easyMule z ... C:\Windows.old. To katalog pozostawiony przez proces reinstalacji Windows.

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
O4 - HKCU..\Run: [wevtutil] C:\Users\papaj\AppData\Local\Microsoft\Windows\4233\wevtutil.exe ()
O4 - HKCU..\Run: [eMuleAutoStart] C:\Windows.old\Program Files\easyMule\emule.exe ("http://www.verycd.com")
O8 - Extra context menu item: Download by easyMule - C:\Windows.old\Program Files\easyMule\IE2EM.htm ()
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} "http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab (Reg Error: Key error.)"
IE - HKLM\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = "http://startsear.ch/?aff=2&src=sp&cf=7057fab0-54b4-11e1-bb16-001fe25fdfd9&q={searchTerms}"
IE - HKLM\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = "http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT3072253"
IE - HKLM\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = "http://search.sweetim.com/search.asp?src=6&q={searchTerms}&barid={C0E4255A-F13C-45F1-9D8C-DF0962494101}"
IE - HKCU\..\SearchScopes\{043C5167-00BB-4324-AF7E-62013FAEDACF}: "URL" = "http://vshare.toolbarhome.com/search.aspx?q={searchTerms}&srch=dsp"
IE - HKCU\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = "http://startsear.ch/?aff=2&src=sp&cf=7057fab0-54b4-11e1-bb16-001fe25fdfd9&q={searchTerms}"
IE - HKCU\..\SearchScopes\{99863849-AB44-422C-A4F6-AC761758C664}: "URL" = "http://search.babylon.com/?q={searchTerms}&AF=109130&babsrc=SP_ss&mntrId=6c903f8b000000000000001fe25fdfd9"
IE - HKCU\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = "http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT3072253"
IE - HKCU\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = "http://search.sweetim.com/search.asp?src=6&q={searchTerms}&barid={C0E4255A-F13C-45F1-9D8C-DF0962494101}"
DRV - File not found [Kernel | On_Demand | Stopped] -- D:\NTGLM7X.sys -- (SetupNTGLM7X)
DRV - File not found [Kernel | On_Demand | Stopped] -- D:\NTACCESS.sys -- (NTACCESS)
DRV - File not found [Kernel | On_Demand | Stopped] -- D:\INSTALL\GMSIPCI.SYS -- (GMSIPCI)
 
:Files
C:\Users\papaj\AppData\Local\Microsoft\Windows\4233
C:\Users\papaj\AppData\Roaming\hellomoto
C:\Users\papaj\AppData\Roaming\BC72.E53
C:\Users\papaj\AppData\Roaming\mozilla\Firefox\extensions\{687578b9-7132-4a7a-80e4-30ee31099e03}
netsh advfirewall reset /C
 
:Reg
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings]
"ProxyServer"=-
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany (i odblokowany), otworzy się log z wynikami usuwania.

 

2. Przez Panel sterowania odinstaluj adware uTorrentControl2 Toolbar oraz vShare Plugin (nośnik adware).

 

3. Popraw przez AdwCleaner z opcji Delete. Z tego działania powstanie log na dysku C.

 

4. Skasuj z dysku folder odpadkowy C:\Windows.old.

 

5. Wygeneruj nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log z usuwania OTL z punktu 1 oraz AdwCleaner z punktu 3.

 

 

 

.

[papaj86]

wiem ze tam powinien byc log z combofixa ale poprostu go tam nie ma... wszystko zrobione wg poleceń-poniżej logi:

07092012_105032.txt

AdwCleanerS1.txt

OTL1.Txt

[picasso]

Wszystko zrobione.

 

1. Mini poprawka. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
IE - HKCU\..\URLSearchHook: {687578b9-7132-4a7a-80e4-30ee31099e03} - No CLSID value found
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {687578B9-7132-4A7A-80E4-30EE31099E03} - No CLSID value found.
CHR - Extension: uTorrentControl2 = C:\Users\papaj\AppData\Local\Google\Chrome\User Data\Default\Extensions\pacgpkgadgmibnhpdidcnfafllnmeomc\2.3.7.1_0\

 

Klik w Wykonaj skrypt. Tym razem pojedze bez restartu.

 

2. Porządki po narzędziach: w OTL uruchom Sprzątanie + w AdwCleaner Uninstall + przez SHIFT+DEL skasuj folder C:\Windows\erdnt (kopia rejestru zrobiona przez ComboFix).

 

3. Wyczyść foldery Przywracania systemu: KLIK.

 

4. Wykonaj pełne (nie ekspresowe) skanowanie w Malwarebytes Anti-Malware. Jeśli coś wykryje, przedstaw raport.

 

 

 

.

[papaj86]

Malware wykryl 22 zagrożeń...ponizej log:

mbam-log-2012-07-09 (19-34-20)1.txt

[picasso]

W sekcji "Wykrytych plików" wynik Scripter's Spectrum.svp z katalogu AllPlayer to fałszywy alarm, należy przywrócić go z kwarantanny na miejsce. Przypuszczalnie także solidcore32.dll od Ubisoft to zwrot niezgodny z rzeczywistością. Natomiast za cracki i aktywatory nie biorę żadnej odpowiedzialności. Przejdź do wykończeń:

 

1. Naprawa drobnego błędu WMI numer 10. Instrukcje w artykule KB950375.

 

2. Istotne aktualizacje: KLIK. Wg Twoich logów system ma krytyczny status zabezpieczeń (braku SP2 + IE9 oraz łat następujących po nich), widoczne także wersje:

 

Windows Vista Home Basic Edition Service Pack 1 (Version = 6.0.6001) - Type = NTWorkstation
Internet Explorer (Version = 8.0.6001.19019)
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83216031FF}" = Java™ 6 Update 31
"{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}" = Microsoft Silverlight
"{EE7257A2-39A2-4D2F-9DAC-F9F25B8AE1D8}" = Skype™ 5.9
"Adobe Flash Player ActiveX" = Adobe Flash Player 10 ActiveX
"Adobe Flash Player Plugin" = Adobe Flash Player 10 Plugin
"Office14.PROPLUS" = Microsoft Office Professional Plus 2010 ----> brak pakietu SP1
"Opera 11.61.1250" = Opera 11.61

 

 

PS. I poczytaj o alternatywach dla GG10 (Darmowe komunikatory). WTW, Miranda, Kadu, AQQ...

 

.