Pomoc w usunięciu wirusa "Security Shield"

[cllio]

Mam problem z wirusem Security Shield, już znalazłam w necie i podałam mu "klucz licencyjny", więc mogę go wyłączyć.

Proszę o pomoc w dezynfekcji systemu

OTL

http://www.wklej.org/id/796898/

a tu

Extras

http://www.wklej.org/hash/3223be4ee48/

[Atis]

Security Shield to mały problem, bo w logu widać składniki ZeroAccess (Sirefef)

Do okna Własne opcje skanowania / skrypt wklej:

:OTL DRV - File not found [Kernel | Auto | Stopped] -- C:\WINDOWS\system32\Drivers\SSPORT.sys -- (SSPORT) O4 - HKU\S-1-5-21-1644491937-1035525444-1417001333-1003..\Run: [AdobeBridge] File not found 2012-07-24 17:09:40 | 000,000,851 | ---- | C -- C:\Documents and Settings\Izka\Menu Start\Programy\Uninstall Security Shield.lnk 2012-07-24 17:09:40 | 000,000,845 | ---- | C -- C:\Documents and Settings\Izka\Pulpit\Uninstall Security Shield.lnk 2012-07-24 17:09:40 | 000,000,835 | ---- | C -- C:\Documents and Settings\Izka\Menu Start\Programy\Security Shield.lnk 2012-07-24 17:09:40 | 000,000,829 | ---- | C -- C:\Documents and Settings\Izka\Pulpit\Security Shield.lnk 2012-07-24 17:09:40 | 000,000,049 | ---- | C -- C:\Documents and Settings\Izka\Pulpit\Security Shield Support.url 2012-07-24 17:09:40 | 000,000,048 | ---- | C -- C:\Documents and Settings\Izka\Ustawienia lokalne\Dane aplikacji\Security Shield.cfg 2012-07-24 16:12:55 | 000,352,256 | ---- | M -- C:\Documents and Settings\Izka\Ustawienia lokalne\Dane aplikacji\wpdpqxxt.exe :Commands [emptytemp]

Kliknij Wykonaj skrypt i zatwierdź restart.

Pokaż raport z usuwania.

Wklej i kliknij Skanuj:

HKEY_CURRENT_USER\Software\Classes\CLSID{42aedc87-2188-41fd-b9a3-0c966feabec1} /s HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID{42aedc87-2188-41fd-b9a3-0c966feabec1} /s /md5start services.exe /md5stop

Pokaż ten log.

[cllio]

Dziękuję za szybką pomoc!

A tu raport z usuwania:

http://www.wklej.org/id/797021/

i

OTL:

http://www.wklej.org/id/797022/

[Atis]

1. Wszystkie programy -> Akcesoria -> Wiersz polecenia

W wierszu polecenia wklej i zatwierdź enterem:

reg delete HKCU\Software\Classes\CLSID{42aedc87-2188-41fd-b9a3-0c966feabec1} /f

1. Do okna Własne opcje skanowania / skrypt wklej:

:OTL DRV - File not found [Kernel | Boot | Stopped] -- -- (cerc6) SRV - File not found [Auto | Stopped] -- C:\DOCUME~1\Izka\USTAWI~1\Temp\hpdj.exe -- (hpdj) :Files C:\WINDOWS\Installer{22cbb6ca-5546-bce8-2182-92913e00dfdc} C:\Documents and Settings\Izka\Ustawienia lokalne\Dane aplikacji{22cbb6ca-5546-bce8-2182-92913e00dfdc} :Commands [emptytemp]

Kliknij Wykonaj skrypt i zatwierdź restart.

Pokaż raport z usuwania.

1. Wklej i kliknij Skanuj:

HKEY_CURRENT_USER\Software\Classes\CLSID{42aedc87-2188-41fd-b9a3-0c966feabec1} /s

Pokaż ten log.

1. Pobierz i uruchom Farbar Service Scanner

Zaznacz wszystkie pozycje i kliknij Scan.

Pokaż ten raport.

[cllio]

Raport z usuwania:

http://www.wklej.org/id/797083/

Log:

http://www.wklej.org/id/797086/

Farbar raport:

http://www.wklej.org/id/797087/

W międzyczasie Avira zaczęła mi świrować i w kółko usuwam 2 wirusy a one cały czas są wykrywane na nowo :-/

TR/ATRAPS.Gen

TR/ATRAPS.Gen2

[Atis]

Jaki plik wykrywa jako zainfekowany?

Wyłącz program żeby nie przeszkadzał w usuwaniu:

Kliknij prawym na ikonie obok zegara i odznacz: AntiVir Guard Enable

Wklej i kliknij Wykonaj skrypt:

:Files C:\WINDOWS\Installer{22cbb6ca-5546-bce8-2182-92913e00dfdc} C:\Documents and Settings\Izka\Ustawienia lokalne\Dane aplikacji{22cbb6ca-5546-bce8-2182-92913e00dfdc} :Commands [emptytemp]

Pokaż raport i nowy log.

[cllio]

Raport:

http://www.wklej.org/id/797118/

a pliki zainfekowane to C:\WINDOWS]Installer{22cbb6ca-5546-bce8-2182-92913e00dfdc}\U\800000cb.@

i drugi 80000000.@

[Atis]

Pokaż nowy log.

Wklej i kliknij Skanuj:

HKEY_CURRENT_USER\Software\Classes\CLSID{42aedc87-2188-41fd-b9a3-0c966feabec1} /s /md5start services.exe /md5stop

Pokaż ten log.

[cllio]

Log:

http://www.wklej.org/id/797151/

Avira już nie krzyczy

[Atis]

Wyłączyłaś Avire podczas usuwania?

[cllio]

Zrobiłam skan jeszcze raz i tym razem na pewno avira była wyłączona:

http://www.wklej.org/id/797232/

[Atis]

Chodzi o to żeby wyłączyć na czas usuwania.

Odinstaluj Babylon Toolbar

Wklej i kliknij Wykonaj skrypt:

:Files C:\WINDOWS\Installer{22cbb6ca-5546-bce8-2182-92913e00dfdc}

Pokaż raport i nowy log.

[cllio]

Awira była wyłączona, Babylon odinstalowany

Raport:

http://www.wklej.org/id/797265/

Log

http://www.wklej.org/id/797272/

[Atis]

OTL nie potrafi tego skasować.

Wyłącz program antywirusowy.

Pobierz i uruchom The Avenger

Do okna programu wklej:

Folders to delete: C:\WINDOWS\Installer{22cbb6ca-5546-bce8-2182-92913e00dfdc}

Kliknij w Execute i zatwierdź restart.

Pokaż raport z usuwania i nowy log z OTL.

[cllio]

No to jeszcze raz Avira była wyłączona

Raport z Avengera:

http://www.wklej.org/id/797325/

Log z OTL

http://www.wklej.org/id/797326/

[Atis]

Wklej i kliknij Wykonaj skrypt:

:OTL IE - HKU\S-1-5-21-1644491937-1035525444-1417001333-1003\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://search.babylon.com/?affID=110819 ... ffe56ab7b2 2012-07-24 22:25:22 | 000,002,349 | ---- | M -- C:\Program Files\mozilla firefox\searchplugins\babylon.xml [2012-07-24 22:25:18 | 000,000,000 | ---D | C] -- C:\Documents and Settings\All Users\Dane aplikacji\Babylon [2012-07-24 22:25:17 | 000,000,000 | ---D | C] -- C:\Documents and Settings\Izka\Dane aplikacji\Babylon [2012-07-25 11:16:47 | 000,000,000 | ---D | C] -- C:\Avenger 2012-07-24 22:25:29 | 000,000,304 | ---- | M -- C:\user.js

Napraw usługi uszkodzone przez trojana.

Pobierz i rozpakuj archiwum:

http://sendfile.pl/191972/xp.zip

Kliknij prawym na pliku FIX i wybierz Scal.

Uruchom OTL i kliknij Sprzątanie.

Wyłącz i ponownie włącz przywracanie systemu:

http://support.microsoft.com/kb/310405/pl

Uruchom SecurityCheck i aktualizuj programy oznaczone jako Out of date

Dysk przeskanuj Malwarebytes-AntiMalware.

Podczas instalacji kliknij Odrzuć żeby zainstalować tylko darmowy skaner.

http://www.dobreprogramy.pl/Malwarebyte ... 13117.html

[cllio]

Mam problem z SecurityCheck wyrzuca mi Autolt Error Line-1 Error: Variable must be of type "Object"

ale w sumie pojawił mi się teraz ni stąd checkup http://www.wklej.org/id/797829/

[Atis]

W panelu sterpwania odinstaluj:

Java 6 Update 32

Adobe Reader 9

Później zainstaluj:

Internet Explorer 8

Java

Adobe Reader

[cllio]

Zrobiłam szybkie skanowanie i był jeden trojan tu jest log http://www.wklej.org/id/797859/ Programy zaktualizowałam, więc już IE6 jest na IE8 w ogóle zapomniałam, że taka przeglądarka istnieje..

Teraz jeszcze puściłam pełny skan przez Malwarebytes dla /C i /D wyniki podam rano, bo pewnie jeszcze to potrwa długo.

Pozdrawiam serdecznie.

-- Dodane 26.07.2012 (Cz) 19:54 --

Wynik pełnego skanu http://www.wklej.org/id/798297/

Czy to już wszystko?