Ukash, blokada komputera

[Kubowski]

Witam, mam problem. Na komputerze znajomej doszło do blokady komputera przez ukash'a.

Załączam logi:

GMER: http://wklej.org/id/828070/

Extras.txt http://wklej.org/id/828077/

Otl.txt http://wklej.org/id/828076/

 

Proszę o szybką pomoc, zalezy mi na czasie

[picasso]

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
FF - prefs.js..browser.search.defaultenginename: "Search the web (Babylon)"
FF - prefs.js..browser.search.defaultthis.engineName: "BS Player Customized Web Search"
FF - prefs.js..browser.search.defaulturl: "http://search.conduit.com/ResultsExt.aspx?ctid=CT1750559&SearchSource=3&q={searchTerms}"
FF - prefs.js..browser.search.order.1: "Search the web (Babylon)"
FF - prefs.js..browser.search.selectedEngine: "Search the web (Babylon)"
FF - prefs.js..browser.startup.homepage: "http://search.babylon.com/?affID=110823&tt=3712_7&babsrc=HP_ss&mntrId=0aa6c6a80000000000000013e81fca27"
FF - prefs.js..keyword.URL: "http://search.conduit.com/ResultsExt.aspx?ctid=CT1750559&q="
IE - HKLM\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = "http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT1750559"
IE - HKU\S-1-5-21-800801477-490246303-4192262334-1000\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = "http://search.babylon.com/?q={searchTerms}&affID=110823&tt=3712_7&babsrc=SP_ss&mntrId=0aa6c6a80000000000000013e81fca27"
IE - HKU\S-1-5-21-800801477-490246303-4192262334-1000\..\SearchScopes\{95B7759C-8C7F-4BF1-B163-73684A933233}: "URL" = "https://isearch.avg.com/search?cid={E464B48C-B88B-407D-BCB0-CA95763BDDB4}&mid=01cbb179e06147d09097d152628c3c31-8f8bd5103bfbb3b27c1f3860356cf03a49c90967&lang=en&ds=ft011&pr=sa&d=2012-06-04 18:32:52&v=12.2.5.32&sap=dsp&q={searchTerms}"
IE - HKU\S-1-5-21-800801477-490246303-4192262334-1000\..\SearchScopes\{A55400F7-4785-478A-97C3-8D2714D453D3}: "URL" = "http://search.softonic.com/MON00005/tb_v1?q={searchTerms}&SearchSource=4&cc=&r=359"
IE - HKU\S-1-5-21-800801477-490246303-4192262334-1000\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = "http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT1750559"
O3 - HKU\S-1-5-21-800801477-490246303-4192262334-1000\..\Toolbar\WebBrowser: (no name) - {E7DF6BFF-55A5-4EB7-A673-4ED3E9456D39} - No CLSID value found.
O4 - HKU\S-1-5-21-800801477-490246303-4192262334-1000..\Run: [nsewvbseufxhive] C:\Windows\nsewvbse.exe (Iball)
[2012-09-10 08:04:40 | 000,000,000 | ---D | C] -- C:\ProgramData\sheehmyquyqixnh
[2012-09-10 08:04:39 | 000,078,020 | ---- | M] () -- C:\ProgramData\zpghutgdirvjkcr
[2012-09-10 08:04:38 | 000,157,184 | ---- | C] (Iball) -- C:\ProgramData\nsewvbse.exe
[2012-09-10 08:04:29 | 000,157,184 | ---- | C] (Iball) -- C:\Users\Ania\ms.exe
[2012-09-11 20:49:27 | 000,000,362 | ---- | M] () -- C:\user.js
[2012-09-11 20:49:39 | 000,002,212 | ---- | M] () -- C:\Users\Ania\AppData\Roaming\Mozilla\Firefox\Profiles\jqkul1pf.default\searchplugins\BabylonMngr.xml
[2011-06-20 14:09:22 | 000,000,921 | ---- | M] () -- C:\Users\Ania\AppData\Roaming\Mozilla\Firefox\Profiles\jqkul1pf.default\searchplugins\conduit.xml
[2012-06-04 18:58:24 | 000,002,060 | ---- | M] () -- C:\Users\Ania\AppData\Roaming\Mozilla\Firefox\Profiles\jqkul1pf.default\searchplugins\softonic.xml
[2012-09-04 21:55:25 | 000,003,771 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\avg-secure-search.xml
[2012-09-11 20:49:08 | 000,002,349 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\babylon.xml
[2012-06-04 18:09:09 | 000,002,415 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\v9.xml
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"BrowserMngr Start Page"=-
"Default_Page_URL"=-
"Start Page"="about:blank"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
"Default_Page_URL"=-
"Start Page"="about:blank"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"BrowserMngrDefaultScope"=-
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany. Windows odblokowany i działasz już w Trybie normalnym:

 

2. Odinstaluj adware:

- W Firefox w Dodatkach odinstaluj: AVG Security Toolbar, Babylon, Browser Manager, BS Player Community Toolbar, I Want This, softonic.com.

- Przez Panel sterowania odinstaluj: AVG Security Toolbar, Babylon toolbar on IE, Browser Manager, BS Player Toolbar, I Want This, Softonic toolbar on IE, V9 HomeTool.

 

3. Uruchom AdwCleaner i zastosuj Delete. Na dysku C powstanie log z usuwania.

 

4. Wygeneruj nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log z usuwania AdwCleaner z punktu 3.

 

 

 

.

[Kubowski]

Log po wykonaniu skryptu: http://wklej.org/id/828180/

AdwCleaner: http://wklej.org/id/828227/

OTL.txt http://wklej.org/id/828241/

[picasso]

Zadanie wykonane.

 

1. Drobna poprawka na szczątki po deinstalacjach. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
IE - HKU\S-1-5-21-800801477-490246303-4192262334-1000\..\URLSearchHook: {fed66dc5-1b74-4a04-8f5c-15c5ace2b9a5} - No CLSID value found
O3 - HKU\S-1-5-21-800801477-490246303-4192262334-1000\..\Toolbar\WebBrowser: (no name) - {FED66DC5-1B74-4A04-8F5C-15C5ACE2B9A5} - No CLSID value found.
O4 - HKLM..\Run: [HF_G_Jul] "C:\Program Files\AVG Secure Search\HF_G_Jul.exe"  /DoAction File not found
O4 - HKLM..\Run: [ROC_ROC_JULY_P1] "C:\Program Files\AVG Secure Search\ROC_ROC_JULY_P1.exe" / /PROMPT /CMPID=ROC_JULY_P1 File not found

 

Klik w Wykonaj skrypt. Tym razem nie będzie restartu.

 

2. Porządki po narzędziach: w AdwCleaner użyj Uninstall, w OTL uruchom Sprzątanie.

 

3. Wyczyść foldery Przywracania systemu: KLIK.

 

4. Na wszelki wypadek zrób jeszcze skan w Malwarebytes Anti-Malware. Jeśli coś wykryje, przedstaw raport.

 

 

 

.

Edytowane 12 Października 2012 przez picasso
12.10.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso