Wirus Ukash blokada komputera pomocy!

[dominik110410]

Witam mam to samo i nie wiem co zrbić tu są logi otl.txt http://wklej.org/id/804966/

a to extras.txt http://wklej.to/FZ0sK

proszę o szybką pomoc i z góry dzięki

[spandaupol (Spandau)]

Nie no same rootkity. Będziemy usuwać z zewnątrz.

SRV:64bit: - [2012-08-02 09:26:42 | 000,082,384 | ---- | M] () [unknown (-1) | Unknown] – C:\Windows\SysNative\drivers\dedeb7fe393f8ebc.sys – (dedeb7fe393f8ebc)

Spróbujemy usuwania z zewnątrz przy użyciu FRST64 http://www.fixitpc.pl/topic/4414-diagno … h-windows/

Otwórz notatnik i wklej do niego:

2 dedeb7fe393f8ebc; C:\Windows\System32\drivers\dedeb7fe393f8ebc.sys [82384 2012-08-02] (Unknown) C:\Windows\System32\drivers\dedeb7fe393f8ebc.sys C:\Users\Dominik\lapqeteazore.exe C:\ProgramData\lfxurelm.exe C:\Program Files (x86)\Browsers Protector\regmon32.exe C:\Program Files (x86)\Browsers Protector C:\ProgramData\ksrczrturkgxlny C:\Windows\SysNative%APPDATA% C:\Users\Dominik\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Live Security Platinum C:\ProgramData\7531CCA9175500DB1631134CF875EF60 C:\Users\Dominik\AppData\Local\setup.exe C:\Users\Dominik\0.16327474014414622.exe C:\Windows\Installer{2e7bbbb2-a0a8-245f-2643-7f0b50e785cb} C:\Users\Dominik\AppData\Local{2e7bbbb2-a0a8-245f-2643-7f0b50e785cb} C:\ProgramData\nkjtowrzjxpykkg C:\Users\Dominik\AppData\Roaming\yuqpp.exe

Plik proszę zapisać pod nazwą fixlist.txt

Pobierasz FRST64 http://www.bleepingcomputer.com/downloa … scan-tool/ Umieszczasz go na pendrive wraz z plikiem fixlist.txt Restartujesz komputer i przy starcie wybierasz F8 idziesz do Napraw komputer z linii komend uruchom FRST i klik w Fix Powstanie na pendrive raport fixlog.txt pokaż ten raport.

Następnie uruchom komputer normalnie. Pobierz SystemLook (SystemLook64) http://jpshortstuff.247fixes.com/SystemLook.html Wklej do niego

:reg HKEY_CURRENT_USER\Software\Classes\CLSID{2e7bbbb2-a0a8-245f-2643-7f0b50e785cb} /s HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID{2e7bbbb2-a0a8-245f-2643-7f0b50e785cb} /s :filefind services.exe

Klikasz Look pokaż log na forum

Następnie ponownie uruchamiasz OTL klikasz raz jeszcze Skanuj i dajesz nowy log na forum

[dominik110410]

nie wie mza co ale jak ju.ż robiłem tak jak mówiłeś w lini poleceń chciałem uruchomić ten program z pendrive i mi wyskakuje że urządzenie nie gotowe do użucia

[spandaupol (Spandau)]

Hm nie wiem, może masz jakiś inny pendrive http://www.searchengines.pl/pendrive-bl … 03062.html Jeśli będzie problem proszę pisać, znajdziemy inne rozwiązanie.

[adam9870]

Ciekawostka - nie trzeba używać pendrive.

1. Pobieramy FRST64 na przykład na pulpit http://www.bleepingcomputer.com/downloa … scan-tool/ Na pulpicie umieszczamy plik fixlist.txt

2. Podczas uruchamiania systemu, jeszcze przed ekranem ładowania plików naciskamy klawisz F8, aby włączyć menu Zaawansowane opcje rozruchu. Na ekranie Zaawansowane opcje rozruchu wybieramy przy pomocy strzałek w górę i w dół pozycję Napraw komputer i naciskamy Enter.

3. Trwa uruchamianie.

4. W oknie “Opcje odzyskiwania systemu” wybieramy język i klikamy OK

5. W oknie “Opcje odzyskiwania systemu” logujemy się i klikamy OK. Jeżeli konto na które logujemy się nie jest zabezpieczone hasłem, to pole “Hasło” pozostawiamy puste.

6. W ten sposób dotarliśmy do okna “Opcje odzyskiwania systemu”. Wybieramy Wiersz polecenia.

W oknie wiersza polecenia, które zostanie otwarte wprowadzamy ścieżkę do FRST64 i naciskamy Enter.

Co to jest pełna ścieżka? Np. C:\Users\Adam\Desktop\FRST64.exe

U Ciebie to będzie ścieżka C:\Users\Dominik\Desktop\FRST64.exe

Wpisując kolejne części ścieżki możemy sobie pomóc poprzez naciskanie Tab

7. Zostanie uruchomiony FRST64, potwierdzamy komunikat

8. W oknie FRST64 klikamy Fix i czekamy aż program skończy pracę - pojawi się komunikat rozpoczynający się od “Fix completed”. Ten komunikat informuje także o utworzeniu loga Fixlog.

9. Po wszystkim zamykamy okno wiersza polecenia i w oknie Opcje odzyskiwania systemu klikamy Uruchom ponownie

Po ponownym uruchomieniu komputera w miejscu gdzie mamy FRST (u nas jest to pulpit) będzie plik Fixlog z logiem z operacji.

Pozdrawiam.

[dominik110410]

zrobiłem tak jak mówiłeś z pulpitu i to jest ten raport http://wklej.to/qSIuC

– Dodane 07.08.2012 (Wt) 14:56 –

to jak zrobiłęm w tym systemlook http://wklej.to/ZsXg7

– Dodane 07.08.2012 (Wt) 15:06 –

a to po ponownym skanowaniu w otl http://wklej.to/1zdLu

[spandaupol (Spandau)]

ATTENTION: THE TOOL IS NOT RUN FROM RECOVERY ENVIRONMENT AND WILL NOT FUNCTION PROPERLY.

Narzędzie nie zostało uruchomione ze środowiska recovery więc nic się nie usunęło.

dominik110410 , Czy masz możliwość wypalenia płytki OTLPE na innym komputerze instrukcja http://www.fixitpc.pl/topic/4414-diagno … h-windows/ Jeśli tak napisz podam skrypt do OTLPE

[dominik110410]

niestety nie mam

[spandaupol (Spandau)]

Uruchom BlitzBlank http://download1.emsisoft.com/BlitzBlank.exe Przejdź do karty Scripts i wklej

DeleteFolder: C:\Windows\Installer{2e7bbbb2-a0a8-245f-2643-7f0b50e785cb} C:\Users\Dominik\AppData\Local{2e7bbbb2-a0a8-245f-2643-7f0b50e785cb} C:\Program Files (x86)\Browsers Protector C:\Windows\SysNative%APPDATA% C:\Users\Dominik\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Live Security Platinum C:\ProgramData\7531CCA9175500DB1631134CF875EF60 DeleteFile: C:\Windows\System32\drivers\dedeb7fe393f8ebc.sys C:\Users\Dominik\lapqeteazore.exe C:\ProgramData\lfxurelm.exe C:\Program Files (x86)\Browsers Protector\regmon32.exe C:\ProgramData\ksrczrturkgxlny C:\Users\Dominik\AppData\Local\setup.exe C:\Users\Dominik\0.16327474014414622.exe C:\ProgramData\nkjtowrzjxpykkg C:\Users\Dominik\AppData\Roaming\yuqpp.exe

Klikasz Execute Now Zgadzasz się na restart. Raport powinien zostać zapisany na dysku C:\ Pokażesz go na forum

[dominik110410]

zrobiłem tak jak mówiłeś i mi coś takiego wyskoczyło http://desmond.imageshack.us/Himg703/sc … es=landing

[spandaupol (Spandau)]

C:\Program Files (x86)\Browsers Protector C:\Windows\SysNative%APPDATA%

Usuń te dwie powyższe linie ze skryptu i powtórz usuwanie.

[dominik110410]

usunołm i znowu to samo

[spandaupol (Spandau)]

To będziemy po kawałku usuwać

W okno Własne opcje skanowania / skrypt w OTL wklej:

:Files C:\Windows\System32\drivers\dedeb7fe393f8ebc.sys C:\Users\Dominik\lapqeteazore.exe C:\ProgramData\lfxurelm.exe C:\Program Files (x86)\Browsers Protector\regmon32.exe C:\Program Files (x86)\Browsers Protector C:\ProgramData\ksrczrturkgxlny C:\Windows\SysNative%APPDATA% C:\Users\Dominik\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Live Security Platinum C:\ProgramData\7531CCA9175500DB1631134CF875EF60 C:\Users\Dominik\AppData\Local\setup.exe C:\Users\Dominik\0.16327474014414622.exe C:\Windows\Installer{2e7bbbb2-a0a8-245f-2643-7f0b50e785cb} C:\Users\Dominik\AppData\Local{2e7bbbb2-a0a8-245f-2643-7f0b50e785cb} C:\ProgramData\nkjtowrzjxpykkg C:\Users\Dominik\AppData\Roaming\yuqpp.exe :Services dedeb7fe393f8ebc :Commands [emptytemp]

Klikasz na Wykonaj skrypt. Zgadzasz się na restart komputera. Log z usuwania na forum

Następnie ponownie uruchamiasz OTL klikasz raz jeszcze Skanuj i dajesz nowy log na forum Czyli dwa logi jeden z usuwania drugi z nowego skanowania po usuwaniu.

[dominik110410]

log z usuwania

http://wklej.to/fSlrf

[spandaupol (Spandau)]

Proszę o nowy raport OTL

Następnie ponownie uruchamiasz OTL klikasz raz jeszcze Skanuj i dajesz nowy log na forum Czyli dwa logi jeden z usuwania drugi z nowego skanowania po usuwaniu.

[dominik110410]

już czekam na koniec skanowania ale po tym usunięciu internet wreście dobrze chodzi

– Dodane 07.08.2012 (Wt) 16:17 –

już jest ten skan po usunięciu http://wklej.to/VFH7E

[spandaupol (Spandau)]

Proszę o raport Kasperski TDSSKiller [http://www.fixitpc.pl/topic/8-dezynfekc … entry33542](http://www.fixitpc.pl/topic/8-dezynfekcja-zbior-narzedzi-usuwajacych/page p 33542#entry33542)

[dominik110410]

nie wiem o co chodzi

[spandaupol (Spandau)]

Proszę o raport Kasperski TDSSKiller [http://www.fixitpc.pl/topic/8-dezynfekc … entry33542](http://www.fixitpc.pl/topic/8-dezynfekcja-zbior-narzedzi-usuwajacych/page p 33542#entry33542) Jak coś wykryje Wybierz opcje Skip i zaprezentuj raport na forum

[dominik110410]

jest już ten raport z kasperski http://wklej.to/TKwJZ