Wirus UKASH - zablokowany komputer

[mich13]

Witam,

Bardzo proszę o pomoc w usunięciu wirusa UKASH.

Poniżej przesyłam logi:

http://www.wklejto.pl/133086

– Dodane 09.09.2012 (N) 17:40 –

OLT Extras:

http://www.wklejto.pl/133088

[Atis]

Boot Mode: Normal

W przypadku tego wirusa nie można uruchomić systemu w normalnym trybie.

Nie widać żadnej aktywnej infekcji.

W logu widać tylko plik autorun.inf na E:

O32 - AutoRun File - [2004-04-30 15:01:00 | 000,000,053 | -HS- | M] () - E:\Autorun.inf – [FAT32]

[mich13]

W laptopie mam założone dwa konta: Admin i Michal. Wczoraj złapałem wirusa UKASH na koncie Michal. Teraz jak loguję się na tym koncie to po pokazaniu się pulpitu po kilku sekundach wyświetla się znów na cały ekran informacja UKASH z grzywną do zapłacenia 300 zł…

Co dziwne jak loguję się na koncie Admin wszystko jest ok. Co robić? Proszę o pomoc…

[adam9870]

Czy odznaczałeś coś w msconfig?

Zaloguj się na konto Michał w trybie awaryjnym albo trybie awaryjnym z obsługą sieci i utwórz logi w OTL. Spokojnie, w trybie awaryjnym nie działa infekcja, oznacza to że będziesz mógł normalnie skorzystać z konta Michał.

[mich13]

Nic nie odznaczałem w msconfig. Zgodnie z Twoimi zaleceniami spróbuję zalogować się na konto Michal w trybie awaryjnym i utworzyć logi w OLT.

– Dodane 09.09.2012 (N) 21:32 –

W trybie awaryjnym mam do wyboru dwa konta: admin i Administrator. Nie ma konta Michal. Na które się zalogować?

[Atis]

Na ekranie wyboru konta naciśnij Ctrl+ Alt+Del i w ten sposób zaloguj się na własne konto.

[mich13]

Poszło. Zaraz utworze logi.

– Dodane 09.09.2012 (N) 22:14 –

Logi z OLT poniżej:

http://www.wklejto.pl/133103

[Atis]

Odinstaluj Windows Searchqu Toolbar

Do okna Własne opcje skanowania / skrypt wklej:

:OTL O3 - HKLM…\Toolbar: (no name) - 10 - No CLSID value found. O4 - HKLM…\Run: [] File not found O4 - HKLM…\Run: [Adobe ARM] “C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe” File not found O4 - HKCU…\Run: [TimeDateMUICallback] C:\Documents and Settings\Michał\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\4755\TimeDateMUICallback.exe () [2012-09-08 22:35:44 | 000,000,000 | —D | C] – C:\Documents and Settings\Michał\Dane aplikacji\hellomoto [2009-12-11 18:59:10 | 000,000,001 | ---- | C] () – C:\Documents and Settings\Michał\oashdihasidhasuidhiasdhiashdiuasdhasd [2009-12-11 18:57:43 | 000,000,016 | ---- | C] () – C:\Documents and Settings\Michał\Dane aplikacji\fvgqad.dat [2009-12-11 18:56:48 | 000,000,004 | ---- | C] () – C:\Documents and Settings\Michał\Dane aplikacji\avdrn.dat :Files C:\Documents and Settings\Michał\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\4755 :Reg [-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2] :Commands [resethosts] [emptytemp]

Kliknij Wykonaj skrypt i zatwierdź restart.

Pokaż raport z usuwania i nowy log Skanuj.

[mich13]

Już działam.

– Dodane 09.09.2012 (N) 22:31 –

Usuwam Windows Searchqu Toolbar przez Panel sterowania - dodaj/usuń programy, trwa usuwanie, kończy się, ale program nadal zostaje. Proszę o instrukcje

– Dodane 09.09.2012 (N) 22:33 –

Przez Ccleaner nie da się usunąć - wyświetla się info: odmowa dostępu

[Atis]

Wykonaj skrypt i pokaż nowy log.

Wszystkie programy > Akcesoria > Notatnik > Plik > Otwórz > Nazwa pliku i wklej to:

E:\Autorun.inf

Pokaż zawartość tego pliku.

[mich13]

ok działam

– Dodane 09.09.2012 (N) 22:57 –

Wykonałem skrypt, zrestartowałem komp, poniżej nowy log:

http://www.wklejto.pl/133107

Zawartość pliku po wklejeniu E:\Autorun.inf

[AUTORUN]

ShellExecute=Info.exe protect.ed 480 480

[Atis]

A gdzie jest raport z usuwania?

Wklej i kliknij Wykonaj skrypt:

:OTL IE - HKLM…\SearchScopes{9BB47C17-9C68-4BB3-B188-DD9AF0FD2419}: “URL” = http://www.searchqu.com//web?src=ieb&ap … 19&sr=0&q={searchTerms} O2 - BHO: (Loader Class) - {9D717F81-9148-4f12-8568-69135F087DB0} - C:\Program Files\Windows Searchqu Toolbar\Datamngr\BrowserConnection.dll (Bandoo Media, inc) O3 - HKLM…\Toolbar: (no name) - 10 - No CLSID value found. O4 - HKLM…\Run: [DATAMNGR] C:\Program Files\Windows Searchqu Toolbar\Datamngr\datamngrUI.exe (Bandoo Media, inc) O16 - DPF: {CAFEEFAC-0015-0000-0006-ABCDEFFEDCBA} http://java.sun.com/update/1.5.0/jinsta … s-i586.cab (Reg Error: Key error.) O16 - DPF: {CAFEEFAC-0016-0000-0001-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinsta … s-i586.cab (Reg Error: Key error.) O16 - DPF: {CAFEEFAC-0016-0000-0003-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinsta … s-i586.cab (Reg Error: Key error.) O16 - DPF: {CAFEEFAC-0016-0000-0005-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinsta … s-i586.cab (Reg Error: Key error.) O16 - DPF: {CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinsta … s-i586.cab (Reg Error: Key error.) O16 - DPF: {CAFEEFAC-0016-0000-0021-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinsta … s-i586.cab (Java Plug-in 1.6.0_21) O20 - AppInit_DLLs: (C:\PROGRA~1\WI9130~1\Datamngr\datamngr.dll) - C:\Program Files\Windows Searchqu Toolbar\Datamngr\datamngr.dll (Bandoo Media, inc) O20 - AppInit_DLLs: (C:\PROGRA~1\WI9130~1\Datamngr\IEBHO.dll) - C:\Program Files\Windows Searchqu Toolbar\Datamngr\IEBHO.dll (Bandoo Media, inc) :Files C:\Program Files\Windows Searchqu Toolbar :Reg [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Searchqu 0 MediaBar] :Commands [resethosts] [emptytemp]

Pokaż raport z usuwania i nowy log Skanuj.

[mich13]

Proszę o instrukcję jak zrobić raport z usuwania…

[Atis]

Raport z usuwania otwiera się automatycznie po restarcie.

Wykonaj nowy skrypt i pokaż log.

[mich13]

Raport z usuwania nie otworzył się po restarcie. Odczekałem chwilę i nic.

Wykonałem nowy skrypt, log poniżej:

http://www.wklejto.pl/133109

[Atis]

Nic nie zostało wykonane.

User Name: Michał | NOT logged in as Administrator.

Przyczyną może być to, że nie masz uprawnień administratora na tym koncie.

Z logu wynika, że trojan został usunięty.

Zaloguj się w normalnym trybie na konto admin na którym masz uprawnienia administratora.

Najpierw spróbuj odinstalować Windows Searchqu Toolbar.

Później wykonaj poprzedni skrypt i pokaż nowy log.

[mich13]

Windows Searchqu Toolbar udało się odinstalować.

Wykonałem poprzedni skrypt. Tym razem pojawił się raport usuwania:

http://www.wklejto.pl/133111

Nowy log:

http://www.wklejto.pl/133112

[Atis]

Wklej i kliknij Wykonaj skrypt:

:OTL IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://www.searchqu.com/419 IE - HKCU…\SearchScopes{9BB47C17-9C68-4BB3-B188-DD9AF0FD2419}: “URL” = http://www.searchqu.com//web?src=ieb&ap … 19&sr=0&q={searchTerms} O3 - HKCU…\Toolbar\WebBrowser: (no name) - {C4069E3A-68F1-403E-B40E-20066696354B} - No CLSID value found. O4 - HKLM…\Run: [] File not found :Files C:\WINDOWS\System32\drivers\etc\hosts.ics :Reg [-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

Odinstaluj starą wersję programu:

Java 6 Update 21

J2SE Runtime Environment 5.0 Update 6

Java SE Runtime Environment 6 Update 1

Java 6 Update 3

Java 6 Update 5

Java 6 Update 7

Adobe Reader 8.2.0

Adobe Flash Player 10 Plugin

Później zainstaluj:

Adobe Reader

Flash Player

Java

Uruchom OTL i kliknij Sprzątanie.

Wyłącz i ponownie włącz przywracanie systemu:

http://support.microsoft.com/kb/310405/pl

Uruchom SecurityCheck i aktualizuj programy oznaczone jako Out of date

Dysk przeskanuj Malwarebytes-AntiMalware.

Podczas instalacji odznacz Uruchom okres testowy Malwarebytes Anti-Malware PRO.

http://www.dobreprogramy.pl/Malwarebyte … 13117.html

[mich13]

Wykonałem nowy skrypt:

http://www.wklejto.pl/133113

Działam dalej…

– Dodane 10.09.2012 (Pn) 1:45 –

Results of screen317’s Security Check version 0.99.50 Windows XP Service Pack 3 x86 Internet Explorer 8 Antivirus/Firewall Check: Symantec AntiVirus Anti-malware/Other Utilities Check: Windows Defender CCleaner Process Check: objlist.exe by Laurent Windows Defender MSMpEng.exe Windows Defender MSASCui.exe Symantec AntiVirus DefWatch.exe Symantec AntiVirus Rtvscan.exe Symantec AntiVirus DoScan.exe Windows Defender MsMpEng.exe Windows Defender MSASCui.exe System Health check Total Fragmentation on Drive C:: ````````````````````End of Log``````````````````````

– Dodane 10.09.2012 (Pn) 1:48 –

Na raporcie nie widzę, które programy są Out of date

[adam9870]

Wszystko jest OK. Żadne programy nie są w tej chiwli Out of date, bo chyba wykonałeś raport z Security Check po odinstalowaniu starej Javy, Flasha itp.

Zainstaluj

1. Java 6 Update 35

Wchodzisz na stronę:

http://www.oracle.com/technetwork/java/ … 36473.html

Zaznaczasz Accept License Agreement

Pobierz i zainstaluj plik jre-6u35-windows-i586.exe

2. Java 7 Update 7

wersja 7 http://www.oracle.com/technetwork/java/ … 36441.html czyli wchodzisz na podaną stronę, zaznaczasz Accept License Agreement, pobierasz jre-7u7-windows-i586.exe i instalujesz.

Możesz zainstalować tylko wersję 7 Javy, a w razie gdyby jakieś programy nie działały, to doinstaluj wersję 6.

3. Pobierz i zainstaluj Adobe Reader X 10.1.4

http://ardownload.adobe.com/pub/adobe/r … _en_US.exe

Źródło linka http://www.dobreprogramy.pl/Adobe-Reade … 11539.html

4. Trzeba zainstalować najnowszego Flash Playera

Uruchom kolejno każdą przeglądarkę internetową, której używasz (Internet explorer, np. Firefox) i zainstaluj najnowszego Flash Playera ze strony http://get.adobe.com/pl/flashplayer/ Zwracam uwagę, że możesz odznaczyć opcję "Tak, chcę zainstalować program Chrome jako przeglądarkę domyślną oraz pasek narzędzi Google Toolbar do programu Internet Explorer — opcjonalnie. " jeżeli nie jesteś zainteresowany niczym innym poza Flashem. Proponowany program może różnić się w zależności od tego, z jakiej przeglądarki korzystasz. Polecam nie zaznaczać tej opcji.

Pozdrawiam.