Problem z ukcash - komputer jest zablokowany

[PreliminaryMonty16k]

Witam.

 

Znajomi złapali ukcash. Teraz nie można nic z kompem zrobić. Tryb awaryjny nie działa, menadżer zadań też. Próbowałem skanować komputer Kaspersky Removal Tools, ale zablokował się na 1% i nie ruszył dalej.

Udało mi się zrobić log z OTL bootowanego z płyty.

Jak to usunąć?

Znajomym zależy na czasie bo mają w kompie jakieś ważne pliki...

OTL.Txt

[Anonim8]

Wszystkim się speszy. No niech tam - najwyżej dostane bure od Szefowej

 

Uruchom OTL z płyty i w okno Custom scan fixes (bo to chyba angielskie wydanie) wklej skrypt

 

:OTL

O4 - Startup: C:\Documents and Settings\Administrator\Start Menu\Programs\Startup\runctf.lnk = X:\I386\SYSTEM32\RUNDLL32.EXE (Microsoft Corporation)

O4 - Startup: C:\Documents and Settings\Owner\Start Menu\Programs\Startup\runctf.lnk = X:\I386\SYSTEM32\RUNDLL32.EXE (Microsoft Corporation)

O3 - HKU\Owner_ON_C\..\Toolbar\ShellBrowser: (no name) - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - No CLSID value found.

 

:Files

C:\Documents and Settings\All Users\Application Data\7077065.pad

C:\Documents and Settings\Owner\Start Menu\Programs\Startup\runctf.lnk

C:\Documents and Settings\Owner\5607707.dll

 

:Commands

[emptytemp]

 

 

Kliknij w RunFix

 

Po restarcie zrób nowy skan OTL już z trybu normalnego. Uzupełnij brakujący log Extras.

 

Odbuduj usługę Instrumentacja zarządzania Windows, bo jest uszkodzona w rejestrze

 

SRV - [2013/03/04 20:33:19 | 000,099,328 | ---- | M] () [Auto] -- C:\Documents and Settings\Owner\5607707.dll -- (winmgmt)

 

 

Otwórz notatnik i wklej tekst

 

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\winmgmt]

"Type"=dword:00000020

"Start"=dword:00000002

"ErrorControl"=dword:00000000

"DisplayName"="Windows Management Instrumentation"

"DependOnService"=hex(7):52,00,50,00,43,00,53,00,53,00,00,00,45,00,76,00,65,00,\

6e,00,74,00,6c,00,6f,00,67,00,00,00,00,00

"DependOnGroup"=hex(7):00,00

"ObjectName"="LocalSystem"

"FailureActions"=hex:80,51,01,00,00,00,00,00,00,00,00,00,02,00,00,00,20,00,53,\

00,01,00,00,00,60,ea,00,00,01,00,00,00,60,ea,00,00

"Description"="Provides a common interface and object model to access management information about operating system, devices, applications and services. If this service is stopped, most Windows-based software will not function properly. If this service is disabled, any services that explicitly depend on it will fail to start."

 

 

Z menu plik > zapisz jako > Fix.reg > ustaw rozszerzenie na wszystkie pliki.

 

PPM na Fix.reg > scal > restart systemu.

Edytowane 5 Marca 2013 przez Belfegor

[PreliminaryMonty16k]

Faktycznie, coś się źle wrzuciło. Dodaję jeszcze raz.

Extras.Txt

OTL.Txt

[Anonim8]

Ładnie zeszło wszystko. Jak dodałeś wpis do rejestru i zrobiłeś restart to kontrolnie pobierz systemLook32 bit

http://jpshortstuff....SystemLook.html

 

Uruchom > w puste okno wklej

 

:reg

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\winmgmt]

 

Kliknij w Look > przedstaw raporcik.

[PreliminaryMonty16k]

Oto log z tego programu.

SystemLook.txt

[Anonim8]

1.Uruchom OTL i kliknij Sprzatanie > Clean czy jakoś tak

 

2.Wyczyść foldery Przywracania systemu - instrukcja https://www.fixitpc.pl/topic/5-dezynfekcja-kroki-finalizujace-temat/page__p__42415#entry42415

 

3.Odinstaluj starą jave i pobierz najnowszą.

 

Z mojej strony wszystko. Ale zaglądaj co jakiś czas do tematu, szefowa może mieć jeszcze zalecenia

[PreliminaryMonty16k]

Dzięki za pomoc Belfegor!

[picasso]

Belfegor

 

Słusznie przewidujesz. A skoro usuwasz pliki komendą :OTL, to po co powtarzasz w :Files.

 

 

PreliminaryMonty16k

 

Usługa WMI nie została naprawiona i w systemie z pewnością sypie błędami (np. usługa Centrum zabezpieczeń się nie uruchamia). Belfegor "zapomniał" o takim "szczególe" jak to skąd pobiera OTL dane o ścieżce w usługach = jest to podklucz uługi, czyli Parameters, a w nim wartość ServiceDll. Nie należało tu importować głównego widoku klucza Winmgmt, bo to w ogóle nie jest uszkodzone, tylko podklucz Parameters. Jak widać w temacie: ten podklucz ani nie był importowany (w pliku REG brak takiej definicji), ani nie został sprawdzony (w SystemLook brak rekursywnego przełącznika /s), choć sprawdzanie w SystemLook to było z biegu zbędne:

 

A mówi o tym post numer 5 prezentujący po imporcie rejestru uszkodzoną usługę:

 

========== Services (SafeList) ==========

 

SRV - File not found [Auto | Stopped] -- C:\DOCUME~1\Owner\5607707.dll -- (winmgmt)

 

Import zasadniczy to:

 

Windows Registry Editor Version 5.00
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Winmgmt\Parameters]
"ServiceDll"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,\
  00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\
  77,00,62,00,65,00,6d,00,5c,00,57,00,4d,00,49,00,73,00,76,00,63,00,2e,00,64,\
  00,6c,00,6c,00,00,00

 

 

 

.

[Anonim8]

Słusznie przewidujesz. A skoro usuwasz pliki komendą :OTL, to po co powtarzasz w :Files.

 

Usuwam po swojemu. Nie czekając na hrabine aż się pojawi jasne? Mam prośbę zejdź ze mnie, bo czepiasz się bzdetów

[picasso]

Bzdetów?
- Nie odciągaj uwagi od WMI. To meritum moich zarzutów. Jeśli Twoim zdaniem uszkodzona usługa WMI (skutki są bardzo szerokie, od WMI zależy masa funkcji) "naprawiona" na odpieprz się (w ogóle nie naprawiona, bo żeś obrobił zły klucz i jeszcze sprawdzałeś zły klucz) to "bzdet", to ja nie mam więcej pytań.
- Pozostała uwaga była neutralna i dla formalności. Wynika, że na nic nie można zwrócić uwagi, byś nie powtarzał pewnych niekonsekwencji. Dyrektywa :OTL przetwarza wszystkie obiekty w linii, czyli powtarzanie w :Files identycznego pliku sensowne? Problem w tym, że ja o tym mówię i to się nazywa "bzdet", ale usłyszałbyś to samo na treningach usuwania malware w zachodnich szkołach, zostałbyś skierowany do tutoriala OTL, by nie powtarzać błędu.

W kwestii "hrabiny": jeśli na dyżurce brak kompetentnego, to nie amputują na chybcika innej nogi niż chora, tylko by "zrobić po swojemu". Hrabia też nie siedzi w Hardware 24/7, ale hrabina nie wchodzi tam, by robić jakieś operacje "zastępcze", byle cokolwiek było zrobione na szybko.



.

[PreliminaryMonty16k]

Proszę nie kłócicie się.
Komputer już oddałem wczoraj znajomym bo im naprawdę zależało na czasie. A główne zadanie tego komputera to Word i przeglądanie internetu. Od czasu instalacji (przywrócenia) systemu z Recovery co było... dawno temu nie zainstalowali nic. Nawet nie aktualizowali Javy.
Droga Picasso, bardzo proszę o zamknięcie tego tematu.

[picasso]

Wyślij im gotowy plik REG (uruchomią przez "dwuklik"), bo tak nie może pozostać, usterka jest zbyt duża. Usługa Instrumentacji Windows (KLIK) jest jedną z kluczowych systemu, wszystko co wymaga WMI nie pracuje aktualnie poprawnie, a jest to niestety duża ilość funkcji. I Office też może wywinąć koziołka.

Temat zamykam. Ewentualne "zastrzeżenia" na PW.



.