Hadix Opublikowano 10 Stycznia 2013 Zgłoś Udostępnij Opublikowano 10 Stycznia 2013 Dobry wieczór. Brat złapał wirusa "policyjnego". Usunąłem go za pomocą Malwarebytes ANTI-MALWARE, ale nie potrafię posprzątać po bałaganie, jakiego narobiłem. Proszę o pomoc. OTL to skan przed, OTL2 to skan po usunięciu. Z góry dziekuję. Extras.Txt OTL.Txt OTL2.Txt Odnośnik do komentarza
picasso Opublikowano 11 Stycznia 2013 Zgłoś Udostępnij Opublikowano 11 Stycznia 2013 (edytowane) Przedstaw raport z MBAM co było usuwane. Infekcja nadal jest na dysku, a także adware, i mamy tu jeszcze co robić: 1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej: :Files C:\ProgramData\dsgsdgdsgdsgw.pad C:\ProgramData\dsgsdgdsgdsgw.js C:\ProgramData\dsgsdgdsgdsgw.reg C:\ProgramData\dsgsdgdsgdsgw.bat C:\Users\dom\AppData\Roaming\Babylon C:\Users\dom\AppData\Roaming\Efvo C:\Users\dom\AppData\Roaming\IClaro C:\Users\dom\AppData\Roaming\OpenCandy C:\Users\dom\AppData\Roaming\Vocuot C:\Users\dom\AppData\Roaming\Yfafli C:\Program Files (x86)\mozilla firefox\searchplugins\babylon.xml C:\Program Files (x86)\Common Files\ApnStub.exe netsh advfirewall reset /C :OTL IE - HKLM\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = "http://search.sweetim.com/search.asp?src=6&crg=3.03010003&st=10&q={searchTerms}" IE - HKU\S-1-5-21-2069368038-4120700897-3865020589-1001\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = "http://search.babylon.com/?q={searchTerms}&affID=113480&tt=120812_bandext_3312_3&babsrc=SP_ss&mntrId=9adf1f62000000000000000000000000" IE - HKU\S-1-5-21-2069368038-4120700897-3865020589-1001\..\SearchScopes\{CFF4DB9B-135F-47c0-9269-B4C6572FD61A}: "URL" = "http://mystart.incredibar.com/mb139/?search={searchTerms}&loc=IB_DS&a=6R8D4Ah36e&i=26" IE - HKU\S-1-5-21-2069368038-4120700897-3865020589-1001\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = "http://search.sweetim.com/search.asp?src=6&crg=3.03010003&st=10&q={searchTerms}" FF - HKCU\Software\MozillaPlugins\vitzo.com/VDownloader: C:\Program Files (x86)\VDownloader\Addons\npVDownloader.dll File not found 64bit-FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\{336D0C35-8A85-403a-B9D2-65C292C39087}: C:\PROGRAM FILES\WEB ASSISTANT\FIREFOX FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\support@vdownloader.com: C:\Program Files (x86)\VDownloader\Addons\FireFox FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\{336D0C35-8A85-403a-B9D2-65C292C39087}: C:\Program Files\Web Assistant\Firefox O2 - BHO: (no name) - {2EECD738-5844-4a99-B4B6-146BF802613B} - No CLSID value found. O3 - HKLM\..\Toolbar: (no name) - {98889811-442D-49dd-99D7-DC866BE87DBC} - No CLSID value found. O3 - HKU\S-1-5-21-2069368038-4120700897-3865020589-1001\..\Toolbar\WebBrowser: (no name) - {E7DF6BFF-55A5-4EB7-A673-4ED3E9456D39} - No CLSID value found. O4 - HKLM..\Run: [ROC_ROC_NT] "C:\Program Files (x86)\AVG Secure Search\ROC_ROC_NT.exe" / /PROMPT /CMPID=ROC_NT File not found O20 - AppInit_DLLs: (c:\progra~3\browse~1\23787~1.43\{16cdf~1\browse~1.dll) - File not found O20 - AppInit_DLLs: (c:\progra~3\browse~1\22643~1.41\{16cdf~1\browse~1.dll) - File not found :Reg [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main] "BrowserMngr Start Page"=- [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Main] "Start Page"="about:blank" [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes] "bProtectorDefaultScope"=- "BrowserMngrDefaultScope"=- Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach. Klik w Wykonaj skrypt. 2. Nie restartuj systemu ręcznie, bo nie zalogujesz się do Windows. Trzeba w pierwszej kolejności poprawić wpisy powłoki Shell zmodyfikowane przez trojana. Otwórz Notatnik i wklej w nim: Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] "Shell"="explorer.exe" [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] "Shell"="Explorer.exe" Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.REG Kliknij prawym na plik i z menu wybierz opcję Scal. Potwierdź import do rejestru. Dopiero po imporcie możesz bezpiecznie zresetować system i opuścić Tryb awaryjny. 3. Przez Panel sterowania odinstaluj adware Coolyou, CoolYou Gadget, CoolYou Updater, Optimizer Pro v3.0, OptimizerPro1 Updater, Web Optimizer. 4. Uruchom najnowszy AdwCleaner i zastosuj Usuń. Na dysku C powstanie log z usuwania. Wiem, że używałeś go już, ale nie wygląda mi na to że najnowszą wersję, w logu OTL nie ma widocznych określonych zmian, które miałby miejsce po użyciu najnowszej wersji... 5. Zrób nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log utworzony przez AdwCleaner. . Edytowane 18 Lutego 2013 przez picasso 18.02.2013 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso Odnośnik do komentarza
Rekomendowane odpowiedzi