Witam, przysłał mnie tu Interpol z Komorowskim :)

[peryhelium]

Witam

 

Wczoraj na mój komp zawitał Interpol z Komorowskim, wspólnie domagając się kaski za odblokowanie kompa. Niestety Avast nie zaanonsował, ani nie zatrzymał przed furtką gości, w związku z czym piszę o pomoc z trybu awaryjnego. Będę niezmiernie wdzięczny za pomoc.

Addition.txt

Extras.Txt

FRST.txt

OTL.Txt

[picasso]

Jest tu wariant infekcji ransomware, który modyfikuje systemową usługę Instrumentacji Windows (Winmgmt). Przeprowadź następujące działania:

 

1. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
Startup: C:\Documents and Settings\Młody\Menu Start\Programy\Autostart\program.lnk
ShortcutTarget: program.lnk -> C:\Documents and Settings\All Users\Dane aplikacji\3E5836AE.cpp ()
S2 winmgmt; C:\DOCUME~1\ALLUSE~1\DANEAP~1\1DDC01E3.cpp [X]
S3 gupdate; "C:\Program Files\Google\Update\GoogleUpdate.exe" /svc [X]
S3 gupdatem; "C:\Program Files\Google\Update\GoogleUpdate.exe" /medsvc [X]
SearchScopes: HKLM -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKU\S-1-5-21-2052111302-1935655697-682003330-1003 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
BHO: Java(tm) Plug-In SSV Helper -> {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} -> C:\Program Files\Java\jre7\bin\ssv.dll No File
BHO: Java(tm) Plug-In 2 SSV Helper -> {DBC80044-A445-435b-BC74-9C25C1C588A9} -> C:\Program Files\Java\jre7\bin\jp2ssv.dll No File
FF Plugin: @tools.google.com/Google Update;version=3 -> C:\Program Files\Google\Update\1.3.23.9\npGoogleUpdate3.dll No File
FF Plugin: @tools.google.com/Google Update;version=9 -> C:\Program Files\Google\Update\1.3.23.9\npGoogleUpdate3.dll No File
Reg: reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2 /f
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Blokada zniknie, więc opuść Tryb awaryjny. Uruchom to narzędzie Microsoftu: KLIK. Zaakceptuj > Wykryj problemy i pozwól mi wybrać poprawki do zastosowania > Odinstalowywanie > zaznacz na liście odpadkowy wpis Google Update Helper > Dalej.

 

3. Zrób nowy log FRST z opcji Scan (bez Addition i Shortcut). Dołącz też plik fixlog.txt.

 

 

 

.

[peryhelium]

Wyrazy szacunku i piękne dzięki, komp hula, Interpol zajął się swoimi sprawami, a Komorowski wrócił do "naprawiania" systemu Państwowej Komisji Wyborczej

 

Może i oni powinni przesłać tu swoje logi?

 

Z serdecznymi pozdrowieniami

 

p

FRST.txt

Fixlog.txt

[picasso]

Gładko poszło. Jeszcze mini poprawka. Otwórz Notatnik i wklej w nim:

 

Reg: reg add "HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" /f
Reg: reg add "HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" /ve /t REG_SZ /d Bing /f
Reg: reg add "HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" /v URL /t REG_SZ /d "http://www.bing.com/search?q={searchTerms}&FORM=IE8SRC" /f
Reg: reg add "HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}" /v DisplayName /t REG_SZ /d "@ieframe.dll,-12512" /f
CMD: del /q "C:\Documents and Settings\Młody\Pulpit\0swv3fui.exe"
RemoveDirectory: C:\MATS
DeleteQuarantine:

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Przedstaw wynikowy fixlog.txt.

 

 

.

[peryhelium]

Pięknie....

 

Jeszcze raz thx, dużo zdrowia życzę

Fixlog.txt

[picasso]

Kończymy:

 

1. Skasuj pobrane narzędzia z D:\FIXITPC. Po tym zastosuj DelFix oraz wyczyść foldery Przywracania systemu: KLIK.

 

2. Poniższe pozycje do deinstalacji i zastąpienia najnowszemi wersjami (to m.in. luki są przyczyną tej infekcji): KLIK

 

==================== Installed Programs ======================
 

Adobe Flash Player 13 ActiveX (HKLM\...\Adobe Flash Player ActiveX) (Version: 13.0.0.214 - Adobe Systems Incorporated) ----> wtyczka dla IE

Adobe Flash Player 13 Plugin (HKLM\...\Adobe Flash Player Plugin) (Version: 13.0.0.214 - Adobe Systems Incorporated) ----> wtyczka dla FF

Adobe Reader X (10.1.11) - Polish (HKLM\...\{AC76BA86-7AD7-1045-7B44-AA1000000001}) (Version: 10.1.11 - Adobe Systems Incorporated)

Java 7 Update 55 (HKLM\...\{26A24AE4-039D-4CA4-87B4-2F83217045FF}) (Version: 7.0.550 - Oracle)

 

3. Proponuję do zestawu zabezpieczeń dorzucić darmową wersję Malwarebytes Anti-Exploit.

 

 

To tyle.