Zainfekowanie Ukash'em, błąd CRC przy używaniu OTL

[Mywash]

Standardowy problem - zainfekowanie Ukash'em, W menagerze zadań metodą prób i błędów zidentyfikowałem plik z trojanem i na razie usunąłem go z listy programów uruchamiających się przy przy starcie (msconfig). Wykonałem skanowanie OTL, jednak przy tworzeniu logów wystąpił błąd CRC i posiadam tylko loga OTL.txt.

OTL.Txt

[picasso]

Na dysku nadal pliki infekcji widoczne, lecz zanim przejdę do usuwania zasadniczego:

 

 

W menagerze zadań metodą prób i błędów zidentyfikowałem plik z trojanem i na razie usunąłem go z listy programów uruchamiających się przy przy starcie (msconfig).

 

Domyślnie OTL nie skanuje sekcji msconfig. Podaj skan dodatkowy. Uruchom SystemLook i w oknie wklej:

 

:reg
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig /s

 

Klik w Look.

 

 

 

.

[Mywash]

Skan dodatkowy:

SystemLook.txt

[picasso]

Wpis w msconfig dobrze widoczny, przechodzimy do usuwania:

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Reg
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\hapqsreaonamfbm]
 
:Files
C:\ProgramData\hapqsrea.exe
C:\ProgramData\btnnxbunojqobwb
C:\ProgramData\yxnkecmaouvdmjt
C:\Users\miłosz\ms.exe
C:\Users\miłosz\AppData\Local\Temp*.html
 
:OTL
IE - HKLM\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = "http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT1166542"
IE - HKU\S-1-5-21-2940293867-578583823-1431221202-1003\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = "http://search.conduit.com/ResultsExt.aspx?q={searchTerms}"
IE - HKU\.DEFAULT\..\URLSearchHook: {A3BC75A2-1F87-4686-AA43-5347D756017C} - No CLSID value found
IE - HKU\S-1-5-18\..\URLSearchHook: {A3BC75A2-1F87-4686-AA43-5347D756017C} - No CLSID value found
IE - HKU\S-1-5-21-2940293867-578583823-1431221202-1003\..\URLSearchHook: {A3BC75A2-1F87-4686-AA43-5347D756017C} - No CLSID value found
O3 - HKLM\..\Toolbar: (no name) - {CCC7A320-B3CA-4199-B1A6-9F516DD69829} - No CLSID value found.
O3 - HKU\S-1-5-21-2940293867-578583823-1431221202-1003\..\Toolbar\WebBrowser: (no name) - {CCC7A320-B3CA-4199-B1A6-9F516DD69829} - No CLSID value found.
O3 - HKU\S-1-5-21-2940293867-578583823-1431221202-1003\..\Toolbar\WebBrowser: (no name) - {E7DF6BFF-55A5-4EB7-A673-4ED3E9456D39} - No CLSID value found.
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\ewusbdev.sys -- (hwusbdev)
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany i otworzy się log z wynikami usuwania.

 

2. Na Pulpicie są pliki-duchy, które ze względu na wadliwą nazwę przy próbie usuwania zwrócą błąd "plik nie istnieje":

 

File not found -- C:\Users\miłosz\Desktop\3864829 polne
File not found -- C:\Users\miłosz\Desktop\3864829 łąkowa
File not found -- C:\Users\miłosz\Desktop\3813164fantazja czasu
File not found -- C:\Users\miłosz\Desktop\3807474...kolorowy świat
File not found -- C:\Users\miłosz\Desktop\3807474  ...kolory
File not found -- C:\Users\miłosz\Desktop\3798856 ... zieleń łąk i
File not found -- C:\Users\miłosz\Desktop\3790750.... przemijanie

 

Ten rodzaj plików potrafi usunąć Delete FXP Files.

 

3. W systemie są zainstalowane dwa antywirusy: AVG + McAfee. Jeden z nich z deinstalacji.

 

4. Wygeneruj nowy log OTL z opcji Skanuj. Dołącz log z usuwania OTL z punktu 1.

 

 

 

.

Edytowane 18 Września 2012 przez picasso
18.09.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso