Wirus UKASH - "Twój komputer został zablokowany przez policję"

[foux]

Witam,

Mam problem z wirusem UKASH - Twój komputer został zablokowany przez policję, który żąda 200 zł za odblokowanie komputera.

Wirus jest aktywny tylko, gdy komputer jest podłączony do internetu, w przeciwnym wypadku działa normalnie.

Idąc za poradami znalezionymi w internecie (zanim trafiłem tutaj) próbowałem poradzić sobie z problemem za pomocą trzech różnych płyt ratujących: Rescue CD Kaspersky, Avira i AVG. Nie pomogło, więc spróbowałem ręcznie wyszukać problem uruchamiając "Autoruns.exe" z usb w trybie awaryjnym z wierszem polecenia. Nie znam się na tym, więc odznaczałem pliki, które wydawały mi się podejrzane. To również nie pomogło, więc starałem się z powrotem zaznaczyć odznaczone pliki (ale nie jestem w stanie powiedzieć czy udało mi się odznaczyć wszystkie).

 

Miałem problem także z wyłączaniem antywirusa. Nie mogłem znaleźć w menu Avast'a funkcji wyłączającej działanie, więc odznaczałem kolejno niektóre opcje. Program jednak dalej daje znać, że jest aktywny i komputer jest zabezpieczony, więc sprawdziłem w centrum zabezpieczeń, gdzie napisane jest, że Avast nie działa jak i usługa "windows defender" nie jest dostępna.

 

Dołączam raporty OTL i gmer.

 

Z góry dziękuję za pomoc ; )

gmer.txt

OTL.Txt

Extras.Txt

[picasso]

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\Users\Antek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk
C:\ProgramData\lsass.exe
C:\ProgramData\xoferif.pad
C:\Users\Antek\AppData\Roaming\Babylon
C:\Users\Antek\AppData\Roaming\OpenCandy
C:\Program Files\mozilla firefox\searchplugins\babylon.xml
C:\Program Files\mozilla firefox\searchplugins\SearchResults.xml
C:\Program Files\AVG Secure Search
C:\Program Files\Common Files\AVG Secure Search
C:\ProgramData\AVG Secure Search
 
:OTL
IE - HKLM\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD23}: "URL" = "http://search.shareazaweb.com//web?src=ieb&appid=20&systemid=3&sr=0&q={searchTerms}"
IE - HKU\S-1-5-21-4093477328-746500222-67679578-1000\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = "http://search.babylon.com/?q={searchTerms}&AF=100481&babsrc=SP_ss&mntrId=04b7287e000000000000bcaec5e36f8e"
IE - HKU\S-1-5-21-4093477328-746500222-67679578-1000\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD23}: "URL" = "http://search.shareazaweb.com//web?src=ieb&appid=20&systemid=3&sr=0&q={searchTerms}"
IE - HKU\S-1-5-21-4093477328-746500222-67679578-1000\..\SearchScopes\{CB22B2C9-521A-46C1-B14D-E43804B80A62}: "URL" = "http://websearch.ask.com/redirect?client=ie&tb=DVS2&o=1586&src=crm&q={searchTerms}&locale=en_US&apn_ptnrs=^AAA&apn_dtid=^YYYYYY^YY^PL&apn_uid=bf95fbdc-abc6-48aa-a2aa-d21be159acad&apn_sauid=3EC89ED9-4BA0-4E4F-A266-9A0775AA0DC0"
FF - prefs.js..browser.search.selectedEngine: "AVG Secure Search"
O3 - HKLM\..\Toolbar: (no name) - 10 - No CLSID value found.
O4 - HKLM..\Run: []  File not found
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany. Blokada zniknie.

 

2. Przez Panel sterowania odinstaluj adware Ask Toolbar, Ask Toolbar Updater.

 

3. Uruchom AdwCleaner i zastosuj Delete. Na dysku C powstanie log z usuwania.

 

4. Wygeneruj nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log z usuwania AdwCleaner z punktu 3.

 

 

 

.

[foux]

Udało się ; ) Avast jest w pełni sprawny i mogę dalej go używać bez problemów?

AdwCleanerS1.txt

otl2.txt

[picasso]

Hmmm, wyniki AdwCleaner bardzo dziwne. To wygląda tak jakby wywalił wszystkie preferencje przeglądarki hurtem. Ogólnie to Google Chrome od pierwszego raportu wygląda w skanie dziwnie, tzn. bardzo ubogo. Czy ta przeglądarka była używana / działała i w jakiej wersji była zainstalowana?

[foux]

Była używana przez jakiś czas, po czym zaczęła szwankować, więc przerzuciłem się na inną. Teraz działa w wersji 22.0.1229.94 i zdaję mi się, że w tej wersji była zainstalowana.

[picasso]

1. Jak mówię, skany wyglądają dziwnie. Ja bym odinstalowała aktualne Google Chrome i zainstalowała ponownie.

 

2. Drobna poprawka na ustawienia Internet Explorer. Otwórz Notatnik i wklej w nim:

 

Windows Registry Editor Version 5.00
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}]
@="Bing"
"URL"="http://www.bing.com/search?q={searchTerms}&FORM=IE8SRC"
"DisplayName"="@ieframe.dll,-12512"
 
[-HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes]

 

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.REG > z prawokliku Scal

 

3. Porządki po narzędziach: przez SHIFT+DEL skasuj folder C:\Kaspersky Rescue Disk 10.0, w AdwCleaner użyj Uninstall, w OTL uruchom Sprzątanie.

 

4. Wyczyść foldery Przywracania systemu: KLIK.

 

5. Zaktualizuj Windows i wyliczone poniżej aplikacje: KLIK. Log notuje brak SP1 i IE9 dla Windows 7 oraz wersje programów:

 

Ultimate Edition  (Version = 6.1.7600) - Type = NTWorkstation
Internet Explorer (Version = 8.0.7600.16385)
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83216026FF}" = Java™ 6 Update 26
"{AA59DDE4-B672-4621-A016-4C248204957A}" = Skype™ 5.5
"{AC76BA86-7AD7-1033-7B44-AA1000000001}" = Adobe Reader X (10.1.1)
"Adobe Flash Player ActiveX" = Adobe Flash Player 10 ActiveX (wtyczka dla IE)
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin (wtyczka dla Firefox)
"Adobe Shockwave Player" = Adobe Shockwave Player 11.6
"Mozilla Firefox 10.0 (x86 pl)" = Mozilla Firefox 10.0 (x86 pl)
"Opera 12.01.1532" = Opera 12.01

 

Stare Java i Adobe odinstaluj, po tym nałóż najnowsze wersje.

 

 

.

[foux]

Wszystko działa, ogromne dzięki za pomoc ; )