Cyberprzestępczość

[M3ntoR]

No niestety mój tata złapał tego wirusa. Proszę o pomoc, wklejam LOG z OTL

OTL.Txt

[picasso]

Log z OTL niekompletny, brakuje pliku Extras (opcja "Rejestr - skan dodatkowy" nie została ustawiona na "Użyj filtrowania"). I nie wygląda to na log z prawidłowego konta. OTL został zrobiony z poziomu wbudowanego w system konta Administrator a nie konta użytkownika:

 

Computer Name: SZCZEPAN-7CDECB | User Name: Administrator | Logged in as Administrator.

 

Konta mają inne rejestry i foldery. Infekcja na konkretnym koncie nie jest widziana z poziomu innego konta. Tu widzę tylko pliki na dysku, ale nie ma skrótu startowego infekcji. Na razie mogę doczyścić tylko to co widać:

 

1. Akcja z poziomu konta Administrator (bo dane tego konta używam). Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\Documents and Settings\All Users\Dane aplikacji\lsass.exe
C:\Documents and Settings\All Users\Dane aplikacji\0tbpw.pad
C:\Documents and Settings\All Users\Dane aplikacji\Common Files
 
:OTL
O4 - HKCU..\Run: [cdoosoft] C:\WINDOWS\system32\olhrwef.exe File not found
O16 - DPF: {31435657-9980-0010-8000-00AA00389B71} "http://download.microsoft.com/download/e/2/f/e2fcec4b-6c8b-48b7-adab-ab9c403a978f/wvc1dmo.cab" (Reg Error: Key error.)
 
:Reg
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany.

 

2. Przeloguj się na właściwe konto i zrób nowe logi OTL z opcji Skanuj (przypominam o Extras).

 

 

.

[M3ntoR]

Wrzucam po wykonaniu skryptu. Niestety nadal muszę korzystać z Trybu Awaryjnego. Co prawda "Cyberprzestępczość" zniknęła, ale komputer zawiesza "explorer" i nie można go otworzyć na nowo dodając ręcznie nowy proces.

 

Oto Nowy LOG OTL

OTL.Txt

[picasso]

Nadal nie podany plik Extras. Inne konto i już widać różnice. Na tym koncie nadal widać skrót infekcji oraz jest adware. Trzeba to wyczyścić, ale w pierwszej kolejności:

 

1. Odinstaluj przestrzałe programy:

 

Co prawda "Cyberprzestępczość" zniknęła, ale komputer zawiesza "explorer" i nie można go otworzyć na nowo dodając ręcznie nowy proces.

 

Podejrzani: archaiczny ACE Mega CoDecS Pack (silne związki z exploratorem) oraz stare wspólnie działające w tle Avast + Ad-aware. Wszystko to odinstaluj.

 

2. Następnie uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2]
 
:Files
C:\Documents and Settings\Szczepanek\Menu Start\Programy\Autostart\ctfmon.lnk
C:\Documents and Settings\All Users\Menu Start\Programy\Autostart\DVD Check.lnk
 
:Commands
[emptytemp]

 

Klik w Wykonaj skrypt.

 

3. Wyczyść Firefox z adware: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox.

 

4. Uruchom AdwCleaner i zastosuj Delete. Na dysku C powstanie log z usuwania.

 

5. Zrób nowy log OTL z opcji Skanuj - przypominam o pliku Extras (opcja "Rejestr - skan dodatkowy" ma być ustawiona na "Użyj filtrowania"). Dołącz log utworzony przez AdwCleaner.

 

 

 

.

Edytowane 18 Grudnia 2012 przez picasso
19.12.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso