Wirus "policyjny" - prosba o pomoc

[gr00by]

W załączniku logi.

 

Dziekuje!

OTL.Txt

Extras.Txt

[picasso]

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
IE - HKU\S-1-5-21-1459386345-2676534600-2803410924-1000\..\SearchScopes\{C2973F9D-92F6-4403-8B11-1CB4281CF198}: "URL" = http://websearch.ask.com/redirect?client=ie&tb=ORJ&o=&src=kw&q={searchTerms}&locale=&apn_ptnrs=U3&apn_dtid=OSJ000YYPL&apn_uid=2A5CFF41-E499-4634-B30E-6079DE0388A8&apn_sauid=54B7CD31-A953-4C38-8F64-CC679E7E7164
O4 - HKLM..\Run: [] File not found
O4 - HKU\S-1-5-21-1459386345-2676534600-2803410924-1000..\Run: [ctfmon.exe] C:\ProgramData\glnib.dat ()
[2013-05-03 17:49:11 | 000,044,544 | ---- | C] (Microsoft Corporation) -- C:\ProgramData\rundll32.exe
[2013-05-03 17:49:33 | 000,001,033 | ---- | M] () -- C:\Users\Łagi\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\msconfig.lnk
[2013-05-03 17:49:31 | 000,000,151 | ---- | M] () -- C:\ProgramData\binlg.reg
[2013-05-03 17:49:31 | 000,000,055 | ---- | M] () -- C:\ProgramData\binlg.bat
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. Zatwierdź restart. Opuść Tryb awaryjny. Windows zostanie odblokowany.

 

2. Przez Panel sterowania odinstaluj adware Ask Toolbar, Ask Toolbar Updater.

 

3. Uruchom AdwCleaner i zastosuj Usuń. Na dysku C powstanie log z usuwania.

 

4. Zrób nowy log OTL z opcji Skanuj (już bez Extras). Dołącz log z usuwania OTL z punktu 1 oraz utworzony przez AdwCleaner.

 

 

 

.

[gr00by]

W załączniku:

 

1. Log z usuwania

2. Log z AdwCleaner

3. Log z OTL z punktu 4. - nie byłem o niego proszony, ale wydaje mi się, ze chya będzie potrzebny, jeżeli była prosba o skan :-)

 

PS: Po zaznaczeniu jakiej/jakich opcji tworzy się również Extras.Txt? Nie wiem tego, toteż ostatni skan zrobiłem tak jak pierwszy. Extras się wygenerowal, ale go nie zalaczam.

 

Dziekuje!

05042013_221145.txt

AdwCleanerS1.txt

OTL.Txt

[picasso]

Podsuwam zasady działu: KLIK. Proszę nie podbijaj tematu. "Info jest", gdy jest prowadzący pomoc, przypominanie nic nie daje. Podsuwam także opis tworzenia raportów OTL, wyraźnie w opisie jest powiedziane jaka opcja odpowiada za plik Extras: KLIK.

 

Zadania wykonane, przejdź do zakończenia tematu:

 

1. Przez SHIFT+DEL dokasuj szczątkowy plik infekcji C:\ProgramData\binlg.pad.

 

2. Drobna poprawka na domyślne wyszukiwarki IE nadpisane AdwCleaner. Otwórz Notatnik i wklej w nim:

 

Windows Registry Editor Version 5.00
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{FB8E02D9-8C61-406B-9C2D-529D1AF5F7E7}"
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
[-HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes]
 
[-HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes]

 

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.REG

 

Kliknij prawym na plik i z menu wybierz opcję Scal. Potwierdź import do rejestru.

 

3. Porządki po narzędziach: w AdwCleaner uruchom Odinstaluj, w OTL uruchom Sprzątanie.

 

4. Wyczyść foldery Przywracania systemu: KLIK.

 

5. W Dzienniku zdarzeń masz błąd WMI numer 10. Napraw narzędziem Fix-it: KLIK.

 

6. Odinstaluj wszystkie stare Java i zastąp najnowszymi, o ile potrzebna Java: KLIK. To m.in. luki Java są przyczyną tej infekcji. Wg raportu są zainstalowane stare wersje:

 

========== HKEY_LOCAL_MACHINE Uninstall List ==========
 

64bit: [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]

"{26A24AE4-039D-4CA4-87B4-2F86417009FF}" = Java 7 Update 9 (64-bit)
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]

"{26A24AE4-039D-4CA4-87B4-2F83217013FF}" = Java 7 Update 13

 

 

 

.

[gr00by]

Dziekuje za pomoc!