Ransomware w moim dysku

[Matkos]

Jakiś feralny dzień albo mi się tylko zdaje, że administracja dwoi się i troi dzisiaj. Mam identyczny problem jak poprzednicy, tylko jestem totalnie zielony w tych sprawach i potrzebuję krok po kroku wyjaśnienia mi co muszę zrobić. Z tego czytałem to muszę wykonać logi z OTL, tylko nie mam zielonego pojęcia jak ; / Dlatego tutaj moja ogromna prośba, czy ktoś mógłby pomóc i dokładnie wyjaśnić co i jak? Próbowałem już z generatorem ale nic z tego. Z góry dziękuje za pomoc.

[przemo22]

Aby wykonać logi programem OTL wystarczy ściągnąć program OTL (https://www.fixitpc.pl/topic/61-diagnostyka-ogolne-raporty-systemowe/). Po włączeniu dodatkowo zaznacz Extra Registry na opcję 'użyj filtrowania' i kliknij skanuj. Wtedy dostaniesz log OTL + Extras (2 logi) - które wrzucisz na forum. Dalej pokierują cię panowie picasso lub landuss.

Edytowane 20 Lipca 2012 przez picasso
Proszę podawać link do oryginałów i konfiguracji a nie wtórnego serwisu. //picasso

[Matkos]

Jak mam wykonać logi skoro nie mogę operować w systemie, ponieważ automatycznie pojawia się komunikat proszący o kod Ukash? Jakoś specjalnie to się robi?

[Landuss]

Po prostu wejdź w tryb awaryjny z obsługą sieci i wtedy wykonaj logi. W tym trybie blokady nie ma. Wystarczy trochę pomyśleć.

[przemo22]

Landuss - przynajmniej w moim przypadku, jeśli miałem odłączony internet, mogłem swobodnie operować komputerem. Dodatkowo przy internecie z modemem, podłączałem go bez kabla ADSL, a kiedy włączył się komputer, jak w/w normalnie, podłączałem kabel ADSL i zadziałało - może komuś pomóc, jeśli ktoś nie ogarnia trybu awaryjnego etc. Nie mogłem napisać ci na PW, więc piszę tutaj, myślę że to nie problem.

 

P.S Post nie ma nic związanego z tematem tego użytkownika więc możesz usunąć.

[Matkos]

Wybaczcie za mój nieogar, po prostu niektórzy są za głupi co do niektórych spraw, dla was wydaje się to oczywiste, dla mnie już trochę mniej. Dodaję już te logi, proszę -

Extras.Txt

OTL.Txt

[Landuss]

1. Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst:

 

:OTL
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\XDva391.sys -- (XDva391)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\EagleXNt.sys -- (EagleXNt)
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = "http://search.babylon.com/?affID=112560&tt=010712_4&babsrc=HP_ss&mntrId=78bf5f6a0000000000006cf04971503e"
IE - HKCU\..\URLSearchHook: {bf7380fa-e3b4-4db2-af3e-9d8783a45bfc} - SOFTWARE\Classes\CLSID\{bf7380fa-e3b4-4db2-af3e-9d8783a45bfc}\InprocServer32 File not found
IE - HKCU\..\SearchScopes\{0D7562AE-8EF6-416d-A838-AB665251703A}: "URL" = "http://start.facemoods.com/?a=ddr&s={searchTerms}&f=4"
IE - HKCU\..\SearchScopes\{AD22EBAF-0D18-4fc7-90CC-5EA0ABBE9EB8}: "URL" = "http://www.daemon-search.com/search/web?q={searchTerms}"
IE - HKCU\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = "http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2786678"
FF - prefs.js..browser.search.defaultenginename: "Search the web (Babylon)"
FF - prefs.js..browser.search.defaulturl: "http://search.conduit.com/ResultsExt.aspx?ctid=CT2786678&SearchSource=3&q={searchTerms}"
FF - prefs.js..browser.search.order.1: "Search the web (Babylon)"
FF - prefs.js..browser.startup.homepage: "http://search.babylon.com/?babsrc=HP_Prot"
FF - prefs.js..keyword.URL: "http://search.conduit.com/ResultsExt.aspx?ctid=CT2786678&q="
[2011-07-03 00:52:06 | 000,000,863 | ---- | M] () -- C:\Documents and Settings\Miłosz\Dane aplikacji\Mozilla\Firefox\Profiles\n8yobcoz.default\searchplugins\conduit.xml
[2011-07-30 18:27:46 | 000,001,565 | ---- | M] () -- C:\Documents and Settings\Miłosz\Dane aplikacji\Mozilla\Firefox\Profiles\n8yobcoz.default\searchplugins\web-search.xml
[2010-12-13 14:36:54 | 000,002,035 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\fcmdSrchddr.xml
O2 - BHO: (uTorrentBar Toolbar) - {bf7380fa-e3b4-4db2-af3e-9d8783a45bfc} - C:\Program Files\uTorrentBar\prxtbuTor.dll File not found
O3 - HKLM\..\Toolbar: (uTorrentBar Toolbar) - {bf7380fa-e3b4-4db2-af3e-9d8783a45bfc} - C:\Program Files\uTorrentBar\prxtbuTor.dll File not found
 
:Files
C:\Documents and Settings\Miłosz\ms.exe
C:\Documents and Settings\All Users\Dane aplikacji\rukzxjjpvaprepk
C:\Documents and Settings\All Users\Dane aplikacji\tladxoat.exe
C:\Documents and Settings\All Users\Dane aplikacji\syhmvfbu.exe
C:\Documents and Settings\All Users\Dane aplikacji\ppuawrdc.exe
C:\Documents and Settings\Miłosz\0.9770573233953326.exe
C:\Documents and Settings\All Users\Dane aplikacji\ocoieelkdjgqjoc
C:\Documents and Settings\Miłosz\Ustawienia lokalne\Dane aplikacji\vissje.exe
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{800062E5-FA93-4d15-917C-86A2070D9261}"
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ppuawrdcdorrysd"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ppuawrdcdorrysd"=-
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Kliknij w Wykonaj skrypt. Zatwierdź restart komputera.

 

2. Przez Panel sterowania odinstaluj: Babylon toolbar on IE / DAEMON Tools Toolbar / DealPly / facemoods / free-downloads.net Toolbar / Softonic-Polska Toolbar / uTorrentBar Toolbar

 

Otwórz Firefox i w Dodatkach odmontuj: uTorrentBar Community Toolbar / ST-Polska Community Toolbar / DealPly / free-downloads.net Community Toolbar / DAEMON Tools Toolbar / Conduit Engine / Babylon

 

Otwórz Google Chrome i wejdź do Opcji, w Rozszerzeniach odmontuj Babylon Toolbar / DealPly / Facemoods

 

3. Uruchom AdwCleaner z opcji Delete

 

4. Uruchamiasz OTL ponownie, tym razem wywołujesz opcję Skanuj. Pokazujesz nowy log z OTL (bez extras)

[Matkos]

Na razie wszystko działa, wielkie dzięki Oto log z OTL -

OTL.Txt

[Landuss]

Wszystko poprawnie usunięte. Przejdź do finalizacji tematu:

 

1. Użyj opcji Sprzątanie z OTL.

 

2. Opróżnij folder przywracania systemu: KLIK

 

3. Zaktualizuj system do Service Pack 3 oraz wymienione programy do najnowszych wersji:

 

Windows XP Professional Edition Dodatek Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation

 

Internet Explorer (Version = 6.0.2900.2180)

"{26A24AE4-039D-4CA4-87B4-2F83216031FF}" = Java 6 Update 31

"{AC76BA86-7AD7-1045-7B44-A70000000000}" = Adobe Reader 7.0 - Polish

 

Szczegóły aktualizacyjne: KLIK

 

4. Dla bezpieczeństwa zmień hasła logowania do serwisów w sieci.

[Matkos]

Naprawdę wielkie dzięki za pomoc, jestem waszym dłużnikiem

[Matkos]

Co tu dużo mówić, mam chyba szczęście... znowu proszą w miły sposób o kod Ukash i wydanie tych pięciuset złotych, więc z uprzejmą prośbą, błagam o pomoc. Oto logi z OTL -

OTL.Txt

Extras.Txt

[picasso]

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
FF - prefs.js..browser.startup.homepage: "http://search.babylon.com/?babsrc=HP_Prot"
FF - prefs.js..keyword.URL: "http://search.conduit.com/ResultsExt.aspx?ctid=CT2786678&q="
O4 - HKLM..\Run: [CCE] "C:\Documents and Settings\Miłosz\Moje dokumenty\Pobieranie\cce_2.4.225190.192_x32\CCE\CCE.exe" -continue File not found
O4 - HKLM..\Run: [ppuawrdcdorrysd] C:\Documents and Settings\All Users\Dane aplikacji\ppuawrdc.exe ()
O4 - HKCU..\Run: [PKTray] C:\Program Files\Przyspiesz Komputer\PKTray.exe File not found
O4 - HKCU..\Run: [PlayNC Launcher]  File not found
O4 - HKCU..\Run: [ppuawrdcdorrysd] C:\Documents and Settings\All Users\Dane aplikacji\ppuawrdc.exe () 
[2012-07-24 12:42:05 | 000,000,000 | ---D | C] -- C:\Documents and Settings\All Users\Dane aplikacji\ocoieelkdjgqjoc
[2012-07-24 12:42:07 | 000,057,344 | ---- | C] () -- C:\Documents and Settings\All Users\Dane aplikacji\jmipkiry.exe
[2012-07-24 12:42:01 | 000,057,344 | ---- | C] () -- C:\Documents and Settings\All Users\Dane aplikacji\khpxdmot.exe
[2012-07-24 12:42:01 | 000,000,051 | ---- | C] () -- C:\Documents and Settings\All Users\Dane aplikacji\rukzxjjpvaprepk
[2012-07-24 12:42:00 | 000,057,344 | ---- | C] () -- C:\Documents and Settings\Miłosz\ms.exe
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany (i odblokowany), otworzy się log z wynikami usuwania.

 

2. Otwórz Firefox i w Dodatkach odinstaluj adware Babylon, Conduit Engine, free-downloads.net Community Toolbar, ST-Polska Community Toolbar, uTorrentBar Community Toolbar. Otwórz Google Chrome i w Opcjach przestaw stronę startową z Babylon na coś innego, następnie w zarządzaniu wyszukiwarkami zmień domyślną z Search the web (Babylon) na coś innego (np. Google) i po tym Search the web (Babylon) usuń z listy.

 

3. Uruchom AdwCleaner i zastosuj Delete. Z tego działania powstanie log na dysku C.

 

4. Wygeneruj nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log z usuwania OTL z punktu 1 oraz AdwCleaner z punktu 3.

 

 

 

.

[Matkos]

Dzięki piękne za odpowiedź, wszystko wykonane, OTL2 jest po wykonaniu skryptu i resecie kompa, a OTL jest z ostatniego punktu po wykonaniu wszystkich czynności, oto logi -

OTL.Txt

AdwCleanerS2.txt

OTL2.txt

[picasso]

Wymagane poprawki:

 

1. W Google Chrome bez zmian:

 

========== Chrome  ==========
 
CHR - homepage: "http://search.babylon.com/?affID=112560&tt=010712_4&babsrc=HP_ss&mntrId=78bf5f6a0000000000006cf04971503e"
CHR - default_search_provider: Search the web (Babylon) (Enabled)
CHR - default_search_provider: search_url = "http://search.babylon.com/?q={searchTerms}&affID=112560&tt=010712_4&babsrc=SP_ss&mntrId=78bf5f6a0000000000006cf04971503e"
CHR - homepage: "http://search.babylon.com/?affID=112560&tt=010712_4&babsrc=HP_ss&mntrId=78bf5f6a0000000000006cf04971503e"

 

Powtarzaj:

 

Otwórz Google Chrome i w Opcjach przestaw stronę startową z Babylon na coś innego, następnie w zarządzaniu wyszukiwarkami zmień domyślną z Search the web (Babylon) na coś innego (np. Google) i po tym Search the web (Babylon) usuń z listy.

 

2. Zamknij Firefox. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
FF - prefs.js..browser.startup.homepage: "http://search.babylon.com/?babsrc=HP_Prot"
FF - prefs.js..keyword.URL: "http://start.facemoods.com/results.php?f=5&a=ddr&q="
[2011-07-03 00:52:07 | 000,000,000 | ---D | M] (Conduit Engine) -- C:\Documents and Settings\Miłosz\Dane aplikacji\Mozilla\Firefox\Profiles\n8yobcoz.default\extensions\engine@conduit.com
[2012-07-02 20:34:29 | 000,000,972 | ---- | M] () -- C:\user.js
 
:Reg
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]

 

Klik w Wykonaj skrypt. Tym razem nie będzie restartu.

 

3. Wygeneruj nowy log OTL z opcji Skanuj (bez Extras).

 

 

 

.

[Matkos]

Wybacz nie zauważyłem tego... ostatni log ze skanowania -

OTL.Txt

[picasso]

Wykonane. Kończymy:

 

1. Porządki po narzędziach: w OTL uruchom Sprzątanie + w AdwCleaner Uninstall.

 

2. Wyczyść foldery Przywracania systemu: KLIK.

 

3. Wykonaj skanowanie w Malwarebytes Anti-Malware. Jeśli coś wykryje, przedstaw raport.

 

4. Zaktualizuj co należy: KLIK. Z Twojej listy zainstalowanych, krytyczny poziom aktualizacji Windows (brak SP3 i blokada na bieżące aktualizacje) plus widzialne wersje:

 

Windows XP Professional Edition Dodatek Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 6.0.2900.2180)
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83216031FF}" = Java™ 6 Update 31
"{AA59DDE4-B672-4621-A016-4C248204957A}" = Skype™ 5.5
"{AC76BA86-7AD7-1045-7B44-A70000000000}" = Adobe Reader 7.0 - Polish
"Adobe Flash Player Plugin" = Adobe Flash Player 10 Plugin

 

5. Zauważalny brak jakiegokolwiek AV.

 

 

Uwagi poboczne:

- EXPERTool 7.6: sugeruję deinstalację. To przestarzały tweaker jadący na sterownikach z 2007 i sypie błędami w Dzienniku zdarzeń:

 

Error - 2012-07-23 06:54:21 | Computer Name = MATKA-7A3150D9D | Source = Service Control Manager | ID = 7000
Description = Nie można uruchomić usługi Cardex z powodu następującego błędu:   %%183

 

- Nowe Gadu-Gadu: sugeruję obejrzenie alternatywnych programów z obsługą sieci Gadu, które mniej dręczą zasoby. W artykule Darmowe komunikatory poczytaj opisy: WTW, Kadu, Mirada, AQQ.

 

.