U mnie też Komputer Zablokowany Przez Prawo Polskie

[Gidzbus]

Zablokowało mi komputer w firmie.

Zanim trafiłem na to forum użyłem Combofix(załączony raport).

Komputer działa tylko w trybie awaryjnym.

 

Proszę bardzo o pomoc i z góry serdecznie dziękuje.

Poniżej logi:

OTL.Txt

Extras.Txt

ComboFix.txt

[Landuss]

1. Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst:

 

:OTL
DRV - File not found [Adapter | On_Demand | Unknown] --  -- (Winsock - Google Desktop Search Backup Before Last Install)
DRV - File not found [Adapter | On_Demand | Unknown] --  -- (Winsock - Google Desktop Search Backup Before First Install)
DRV - File not found [Kernel | Auto | Stopped] -- system32\drivers\CX88TUNE.sys -- (CXTUNE)
DRV - File not found [Kernel | Auto | Stopped] -- system32\drivers\CX88XBAR.sys -- (CX88XBAR)
DRV - File not found [Kernel | Auto | Stopped] -- system32\drivers\cx88vid.sys -- (CX23880)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\DOCUME~1\WACICI~1\USTAWI~1\Temp\catchme.sys -- (catchme)
[2009-07-23 19:27:20 | 000,000,000 | ---D | M] (Winamp Toolbar) -- C:\Documents and Settings\Właściciel\Dane aplikacji\Mozilla\Firefox\Profiles\0gbwujqo.default\extensions\{0b38152b-1b20-484d-a11f-5e04a9b0661f}
[2009-07-23 19:27:35 | 000,001,196 | ---- | M] () -- C:\Documents and Settings\Właściciel\Dane aplikacji\Mozilla\Firefox\Profiles\0gbwujqo.default\searchplugins\winamp-search.xml
O4 - HKLM..\Run: [WSManHTTPConfig] C:\Documents and Settings\Właściciel\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\812\WSManHTTPConfig.exe ()
 
:Files
C:\Documents and Settings\Właściciel\Dane aplikacji\hellomoto
C:\Documents and Settings\Właściciel\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\812
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Kliknij w Wykonaj skrypt. Zatwierdź restart komputera.

 

2. Wejdź w panel usuwania programów i odinstaluj: Winamp Toolbar oraz przestarzały program Spybot Search & Destroy

 

3. Uruchom AdwCleaner z opcji Delete

 

4. Uruchamiasz OTL ponownie, tym razem wywołujesz opcję Skanuj. Pokazujesz nowe logi z OTL

[Gidzbus]

Wykonałem wszystkie zalecenia i zadziałało.

 

Poniżej nowe logi z OTL.

 

Jeszcze raz dziękuje.

 

 

P.S.Wieczorem założe kolejny temat bo właśnie zadzwonił syn z domu i to samo się pojawiło na kolejnym komputerze.

OTL.Txt

[Landuss]

Wykonane poprawnie. Przejdź do finalizacji tematu:

 

1. Użyj opcji Sprzątanie z OTL.

 

2. Opróżnij folder przywracania systemu: KLIK

 

3. Zaktualizuj wymienione programy do najnowszych wersji:

 

"{26A24AE4-039D-4CA4-87B4-2F83216011FF}" = Java 6 Update 29

"{AC76BA86-7AD7-1045-7B44-A95000000001}" = Adobe Reader 9.5.1 - Polish

"Mozilla Firefox (3.6.13)" = Mozilla Firefox (3.6.13)

 

Szczegóły aktualizacyjne: KLIK

 

4. Dla bezpieczeństwa zmień hasła logowania do serwisów w sieci.

 

P.S.Wieczorem założe kolejny temat bo właśnie zadzwonił syn z domu i to samo się pojawiło na kolejnym komputerze.

 

Nie zakładaj nowego tematu. Napisz tutaj, pozostawię temat otwarty.

[Gidzbus]

No to podaje logi z kolejnego zainfekowanego komputera.

 

A tak z ciekawości skąd to się bierze i jak się przed tym ustrzec.

gmer.txt

OTL.Txt

Extras.Txt

[Landuss]

A tak z ciekawości skąd to się bierze i jak się przed tym ustrzec.

 

To raczej ja sie powinienem zapytać skąd to bierzecie bo ja nie mam pojęcia.

 

1. Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst:

 

:OTL
DRV - File not found [Kernel | Auto | Stopped] -- D:\Program Files\MySecretFolder\MSF32.SYS -- (MSF32)
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\drivers\h648103.sys -- (h648103)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\EagleNT.sys -- (EagleNT)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\dfrdrd\catchme.sys -- (catchme)
IE - HKU\S-1-5-21-1547161642-1500820517-682003330-1003\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http: //klit.startnow.com/?src=startpage&provider=&provider_name=yahoo&provider_code=&partner_id=693&product_id=741&affiliate_id=&channel=&toolbar_id=200&toolbar_version=2.4.0&install_country=PL&install_date=20120709&user_guid=A295EC6AEED9469B9C822C8CD99B65EF&machine_id=36df412749c2db2d224a393f38d1c9f1&browser=IE&os=win&os_version=5.1-x86-SP3
IE - HKU\S-1-5-21-1547161642-1500820517-682003330-1003\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Restore = http: //search.softonic.com/MON00084/tb_v1?SearchSource=10&cc=
IE - HKU\S-1-5-21-1547161642-1500820517-682003330-1003\..\SearchScopes\{0388404D-6072-4CEB-B521-8F090FEAEE57}: "URL" = http: //klit.startnow.com/s/?q={searchTerms}&src=defsearch&provider=&provider_name=yahoo&provider_code=&partner_id=693&product_id=741&affiliate_id=&channel=&toolbar_id=200&toolbar_version=2.4.0&install_country=PL&install_date=20120709&user_guid=A295EC6AEED9469B9C822C8CD99B65EF&machine_id=36df412749c2db2d224a393f38d1c9f1&browser=IE&os=win&os_version=5.1-x86-SP3&iesrc={referrer:source}
IE - HKU\S-1-5-21-1547161642-1500820517-682003330-1003\..\SearchScopes\{B4C5D556-946D-46FD-8596-21BE3905B4F7}: "URL" = http: //search.softonic.com/MON00084/tb_v1?q={searchTerms}&SearchSource=4&cc=
FF - prefs.js..keyword.URL: "http://klit.startnow.com/s/?src=addrbar&provider=&provider_name=yahoo&provider_code=&partner_id=693&product_id=741&affiliate_id=&channel=&toolbar_id=200&toolbar_version=2.4.0&install_country=PL&install_date=20120709&user_guid=A295EC6AEED9469B9C822C8CD99B65EF&machine_id=36df412749c2db2d224a393f38d1c9f1&browser=FF&os=win&os_version=5.1-x86-SP3&q="
[2012-07-09 20:38:15 | 000,000,000 | ---D | M] (StartNow Toolbar) -- C:\Documents and Settings\grzesiek\Dane aplikacji\Mozilla\Firefox\Profiles\vmk8r33s.default\extensions\{5911488E-9D1E-40ec-8CBB-06B231CC153F}
[2012-05-27 22:43:47 | 000,002,060 | ---- | M] () -- C:\Documents and Settings\grzesiek\Dane aplikacji\Mozilla\Firefox\Profiles\vmk8r33s.default\searchplugins\softonic.xml
O4 - HKLM..\Run: [uIRibbon] C:\Documents and Settings\grzesiek\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\2146\UIRibbon.exe ()
O4 - HKU\S-1-5-21-1547161642-1500820517-682003330-1003..\Run: [AdobeBridge]  File not found
 
:Files
C:\Documents and Settings\grzesiek\Dane aplikacji\hellomoto
C:\Documents and Settings\grzesiek\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\2146
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Kliknij w Wykonaj skrypt. Zatwierdź restart komputera.

 

2. Wejdź w panel usuwania programów i odinstaluj: Softonic toolbar on IE and Chrome / StartNow Toolbar / Akamai NetSession Interface / Akamai NetSession Interface Service

 

3. Uruchom AdwCleaner z opcji Delete

 

4. Uruchamiasz OTL ponownie, tym razem wywołujesz opcję Skanuj. Pokazujesz nowe logi z OTL

[Gidzbus]

Niestety nie zadzałało.

Wiesza się komputer po 6 linijce skryptu .

Poniżej nowe logi bo może ciś się zmieniło.

OTL.Txt

[Landuss]

Niestety nic się nie zmieniło skoro się zawiesza. To może wytnij tą linijkę, na której się zawiesza ze skryptu i leć dalej.

[Gidzbus]

Ok.

Coś ruszyło musiałem usunąć 4 pierwsze linie ze skryptu i poszło.

nowe logi

OTL.Txt

[Landuss]

Teraz skrypt wykonany jak należy. Standard na koniec:

 

1. Użyj opcji Sprzątanie z OTL.

 

2. Opróżnij folder przywracania systemu: KLIK

 

3. Zaktualizuj Jave i Adobe Reader: KLIK

 

4. Dla bezpieczeństwa zmień hasła logowania do serwisów w sieci.