Laptop wirus policyjny

[atasuke]

Witam

Mam problem z laptopem . Dopadł go ukash. Po wielu perypetiach w końcu udało mi się wejść na pulpit mieszając z wyloguj i alt ctrl delete (i odłączeniu internetu ) udało się zostać na pulpicie i wykonać log z OTL

Po wykonaniu logów nie udało powtórzyć mi się tej operacji dlatego wziąłem uruchomiłem go z pod OTLP i z pulpitu zgrałem wcześniej zrobione pliki z tego konta które zamieszczam:

OTL:

OTL.Txt

Extras:

Extras.Txt

Edytowane 13 Marca 2013 przez Nuriel

[picasso]

Tu na pewno działa Tryb awaryjny z Wierszem polecenia, bo siedzi wariant infekcji uruchamiany przez Shell graficzny bieżącego użytkownika.

 

1. W Notatniku przygotuj plik o zawartości:

 

:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"=-
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"syshost32"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Regedit32"=-
[-HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes]
 
:Files
C:\Users\Renata2\AppData\Roaming\skype.dat
C:\Users\Renata2\AppData\Roaming\skype.ini
C:\Users\Renata2\AppData\Local\{B5392B05-7ED1-0AFC-290F-3A0D08C9D907}
C:\Users\Renata2\AppData\Roaming\Fyeke
C:\Users\Renata2\AppData\Roaming\Piabxa
C:\Users\Renata2\AppData\Roaming\Watasy
C:\Users\Renata2\AppData\Roaming\ArcaVirMicroScan
C:\Users\Renata2\AppData\Roaming\f-secure
netsh advfirewall reset /C
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik uczyń w jakiś sposób dostępnym na chorym komputerze (np. przez pendrive).

 

2. Start w Trybie awaryjnym z Wierszem polecenia i logowanie na konto Renata2. W linii komend wklep notepad i otwórz w Notatniku plik przygotowany w punkcie 1. Następnie C:\Users\Renata2\Desktop\OTL.exe i ENTER. Do okna przeklejasz treść z Notatnika i klik w Wykonaj skrypt.

 

3. System zostanie odblokowany, toteż normalnie się logujesz. Od razu wyczyść Firefox ze starych naleciałości i pustych preferencji: menu Pomoc > Informacje dla pomocy technicznej > Zresetuj program Firefox.

 

4. Robisz nowy log OTL z opcji Skanuj oraz zaległy GMER.

 

 

.

[atasuke]

Wykonałem tylko :

1 Skrypt wykonał się tylko do emptytemp później sie zawiesił i nie było dość długo reakcji. Po restarcie windows sie odblokował i mogłem wykonać skanowanie na koncie renata2:

OTL:

OTL.Txt

2 Firefox wyczyszczony

3 Wykonanie gmera nie jest możliwe ponieważ gdy sie uruchomi przestaje działać mysz i klawiatura i nie moge nawet wyłaczyć laptopa i musze to robić z palca

[picasso]

Wykonanie gmera nie jest możliwe ponieważ gdy sie uruchomi przestaje działać mysz i klawiatura i nie moge nawet wyłaczyć laptopa i musze to robić z palca

 

Nawet w Trybie awaryjnym, nawet po odznaczeniu w skanie sekcji IAT/EAT? Jeśli tak, to zamiennie sprawdź czy widzi coś Kaspersky TDSSKiller.

 

Poprzednie zalecenia wykonane i tu końcówka:

 

1. Porządki po narzędziach: przez SHIFT+DEL skasuj z Pulpitu folder Stare dane programu Firefox, w OTL uruchom Sprzątanie.

 

2. Wyczyść foldery Przywracania systemu: KLIK.

 

3. Zaktualizuj podane poniżej aplikacje: KLIK. Wersje notowane w raportach:

 

========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83217007FF}" = Java 7 Update 7
"{32A3A4F4-B792-11D6-A78A-00B0D0160240}" = Java™ SE Development Kit 6 Update 24
"{32A3A4F4-B792-11D6-A78A-00B0D0170070}" = Java SE Development Kit 7 Update 7
"{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}" = Microsoft Silverlight
"{AC76BA86-7AD7-1045-7B44-AA1000000001}" = Adobe Reader X (10.1.3) - Polish
"Adobe Flash Player ActiveX" = Adobe Flash Player 11 ActiveX (wtyczka dla IE)
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin (wtyczka dla FF)
"Adobe Shockwave Player" = Adobe Shockwave Player 11.5
"Mozilla Firefox 18.0.2 (x86 pl)" = Mozilla Firefox 18.0.2 (x86 pl)
"Mozilla Thunderbird 15.0 (x86 pl)" = Mozilla Thunderbird 15.0 (x86 pl)
 
FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\Windows\system32\Macromed\Flash\NPSWF32_11_4_402_265.dll ()
FF - HKLM\Software\MozillaPlugins\@adobe.com/ShockwavePlayer: C:\Windows\system32\Adobe\Director\np32dsw.dll (Adobe Systems, Inc.)
FF - HKLM\Software\MozillaPlugins\@Microsoft.com/NpCtrl,version=1.0: C:\Program Files\Microsoft Silverlight\4.1.10329.0\npctrl.dll ( Microsoft Corporation)

 

A niepełnosprawny Norton Security Scan można odinstalować. To zresztą mogła być instalacja sponsorowana.

 

 

 

.

[atasuke]

Nawet w Trybie awaryjnym, nawet po odznaczeniu w skanie sekcji IAT/EAT?

 

Pada zaraz po uruchomieniu i nic nie da się zrobić. Dlatego taje log z TSSDkiller :TDSSKiller.2.8.16.0_13.03.2013_13.06.50_log.txt wszystko dałem na opcje skip co wykryło.

 

Zabieram się za następne punkty

[picasso]

W TDSSKiller nic ciekawego: pliki niepodpisane cyfrowo oraz sterownik aktualizacji MSSE jako "forged".

[atasuke]

Wykonałem wszystko oprócz

Norton Security Scan można odinstalować.

Po kliknięciu na ikone by odistalowac to badziewie. Nic sie dzieje nie wyskakuje zadne menu ze cos robi z tym programem dalej pozostaje w dodaj usuń.

 

Pozatym reszte wykonana.

 

W TDSSKiller nic ciekawego

całe szczescie

[picasso]

o kliknięciu na ikone by odistalowac to badziewie. Nic sie dzieje nie wyskakuje zadne menu ze cos robi z tym programem dalej pozostaje w dodaj usuń.

 

1. Start > w polu szukania wpisz regedit > z prawokliku Uruchom jako Administrator > skasuj ten klucz:

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\NSS

 

2. Sprawdź czy masz takie komponenty na dysku:

 

C:\Windows\Tasks\Norton Security Scan for Renata2.job

C:\Windows\System32\drivers\NSS

C:\Program Files\Norton Security Scan

C:\ProgramData\Norton

C:\ProgramData\NortonInstaller

C:\ProgramData\Symantec

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Norton Security Scan

 

 

 

.

[atasuke]

Dzieki wielkie wyczyściłem co trzeba i już Nortona nie ma. Dzieki wielkie

Temat można zamknąć