Wirus Ukash

[prokupek]

Witam,

 

na moim komputerze wczoraj zainstalował się wirus Ukash. Udało mi się go zamknąć poprzez próbę wyłączenia komputera a potem anulowanie całkowitego zamknięcia systemu. Mój antywirus MS Essential poinformował mnie o usunięciu wirusa więc myślałem, że wszystko już gra. Niestety dzisiaj po ponownym odpaleniu systemu znowu pojawiło się to samo okno z wirusem. Próbowałem wykonać logi z poziomu OTLPE tak jak jeden z użytkowników polecił w tym temacie: http://www.fixitpc.p...y-nie-startuje/ niestety po wypaleniu płytki system wyświetla mi niebieski ekran z błędem (zdjecie z błędem w załączniku). Informacja pojawia się zaraz po tym, jak ekran wyświetla logo windows XP.

 

System awaryjny również nie włącza się.

 

 

Bardzo proszę o pomoc ponieważ skończyły mi się pomysły jak mogę zrobić poprawne logi i naprawić komputer.

 

 

EDIT:

 

Jeszcze raz spróbowałem metody z wyłączeniem systemu i udało mi się wykonać logi. Mam nadzieję, że ta metoda nie zniekształciła ich w żaden sposób.

Extras.Txt

gmer.txt

OTL.Txt

[picasso]

System awaryjny również nie włącza się.

 

Powinien włączać się Tryb awaryjny z obsługą Wiersza polecenia. Posiadasz wariant infekcji ładowany przez powłokę graficzną Shell. Ponadto, są tu ślady trojana ZeroAcces uruchamianego z Kosza. Być może to już odpadki, bo np. Zapora nie wygląda na naruszoną.

 

1. Start > w polu szukania wpisz regedit > z prawokliku skasuj klucz:

 

HKEY_CURRENT_USER\Software\Classes\clsid\{fbeb8a05-beee-4442-804e-409d6c4515e9}

 

2. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"=-
 
:Files
C:\Users\Grzegorz\AppData\Roaming\skype.dat
C:\Users\Grzegorz\AppData\Roaming\skype.ini
C:\ProgramData\jm67r2TX.dat
C:\ProgramData\3685l5KB.exe_.b
C:\ProgramData\3685l5KB.exe.b
C:\Users\Grzegorz\Local Settings
C:\Users\Grzegorz\AppData\Roaming\OpenCandy
C:\Users\Grzegorz\AppData\Roaming\wyUpdate AU
C:\Program Files (x86)\mozilla firefox\searchplugins\search.xml
netsh advfirewall reset /C
 
:OTL
IE - HKU\S-1-5-21-1318566701-3717180073-1009213088-1000\..\SearchScopes\{3BD44F0E-0596-4008-AEE0-45D47E3A8F0E}: "URL" = "http://blekko.com/ws/?source=c3348dd4&tbp=rbox&toolbarid=blekkotb_031&u=1092069DF9156B6709B951502E224C3F&q={searchTerms}"
IE - HKU\S-1-5-21-1318566701-3717180073-1009213088-1000\..\URLSearchHook: {ad708c09-d51b-45b3-9d28-4eba2681febf} - No CLSID value found
O4 - HKU\S-1-5-21-1318566701-3717180073-1009213088-1000..\Run: [AdobeBridge]  File not found
O4 - HKU\S-1-5-21-1318566701-3717180073-1009213088-1000..\Run: [HomeMedia Service] C:\Program Files (x86)\Banamalon\HomeMedia\HomeMedia Service.exe File not found
O4 - HKU\S-1-5-21-1318566701-3717180073-1009213088-1000..\Run: [RocketDock] "C:\Program Files (x86)\RocketDock\RocketDock.exe" File not found
O8 - Extra context menu item: Free YouTube Download - C:\Users\Grzegorz\AppData\Roaming\DVDVideoSoftIEHelpers\freeytvdownloader.htm File not found
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. Zatwierdź restart systemu. System zostanie odblokowany.

 

3. Przez Panel sterowania odinstaluj adware blekko search bar i Complitly, wątpliwy program Dll-Files.com Fixer oraz zbędny downloader Akamai NetSession Interface. Jeśli nie instalowałeś celowo Anti-phishing Domain Advisor, to też.

 

4. Wyczyść Firefox z adware: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox.

 

5. Uruchom AdwCleaner i zastosuj Usuń. Na dysku C powstanie log z usuwania.

 

6. Zrób nowy log OTL z opcji Skanuj (już bez Extras) oraz Farbar Service Scanner. Uruchom SystemLook x64 i do okna wklej:

 

:dir

C:\$Recycle.Bin /s
 
:reg
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellServiceObjects /s

 

Klik w Look.

 

Dołącz też log utworzony przez AdwCleaner.

 

 

 

.

Edytowane 7 Marca 2013 przez picasso
7.03.2013 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso