Wirus Ukash - brak dostępu do trybu awaryjnego

[marchelmx]

Witam, komputer został zablokowany, wyświetla sie białe tło po próbie zalogowanie i dalej nic (za pierwszym razem pojawiła się plansza o blokadzie komp przez policję itd.). Przy próbie wejścia do trybu awaryjnego komputer się uruchamia od nowa.

 

Proszę o pomoc w uruchomieniu maszyny.

 

Udało mi się uruchomić konsolę odzyskiwania systemu i wykonać log FRST:

 

http://wklej.org/id/1063563/

[picasso]

Logi z OTL zupełnie bezużyteczne i je usuwam. Uruchamiałeś OTL, który nie jest zdolny zamontować rejestr Windows w środowisku zewnętrznym = wykonany skan zawartości środowiska WinRE a nie Windows. Tylko FRST ma tu te właściwości. Czy na pewno wypróbowałeś wszystkie Tryby awaryjne? Tu powinien działać Tryb awaryjny z Wierszem polecenia, gdyż działa infekcja startująca przez graficzny Shell bieżącego użytkownika (odpadają wszystkie graficzne tryby).

 

1. Otwórz Notatnik i wklej w nim:

 

HKLM\...\Run: [] [x]
HKU\Kasia\...\Winlogon: [shell] explorer.exe,C:\Users\Kasia\AppData\Roaming\skype.dat 
C:\Users\Kasia\AppData\Roaming\skype.dat
C:\Users\Kasia\AppData\Roaming\skype.ini

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt. Ulokuj obok narzędzia FRST.

 

2. Uruchom FRST i wybierz opcję Fix. Powstanie plik fixlog.txt.

 

3. System zostanie odblokowany. Wejdź normalnie do Windows. Przez Panel sterowania odinstaluj adware Ask Toolbar, Ask Toolbar Updater.

 

4. Uruchom AdwCleaner i zastosuj Usuń. Na dysku C powstanie log z usuwania.

 

5. Zrób klasyczne raporty z OTL. Dołącz fixlog.txt i log utworzony przez AdwCleaner.

 

 

.

[marchelmx]

Tak wypróbowałem wszystkie tryby Awaryjne - żaden nie działał.

 

1. Wykonałem FRST - komp się uruchomił.

 

Przystępuje do dalszych wskazówek. Jak wykonam Log OTL od razu napiszę.

 

Wszystkie powyzsze czynności wykonane, poniżej logi:

 

OTL - http://wklej.org/id/1064503/

Extras - http://wklej.org/id/1064504/

AdwCleaner - http://wklej.org/id/1064505/

Fixlog FRST - http://wklej.org/id/1064507/

[picasso]

Coś wyniki przetwarzania skryptu się nie zgadzają, w ogóle nie został znaleziony wpis Shell ładujący plik skype.dat, choć log FRST go pokazywał, zaś obecny log OTL nie wykazuje infekcji. Tylko drobne poprawki trzeba wprowadzić + usunięcie szczątków Firefox:

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"=-
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]
"{2318C2B1-4965-11D4-9B18-009027A5CD4F}"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{67A2568C-7A0A-4EED-AECC-B5405DE63B64}]
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{67A2568C-7A0A-4EED-AECC-B5405DE63B64}]
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}]
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{E7BDC26C-F654-4489-B739-A05994741BBB}]
[-HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes]
[-HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}]
[-HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{DBC80044-A445-435b-BC74-9C25C1C588A9}]
[-HKEY_CURRENT_USER\Software\Mozilla]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Mozilla]
[-HKEY_LOCAL_MACHINE\SOFTWARE\mozilla.org]
[-HKEY_LOCAL_MACHINE\SOFTWARE\MozillaPlugins]
 
:Files
C:\Users\Kasia\AppData\Roaming\mozilla
C:\Program Files\Mozilla Firefox
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. Zatwierdź restart systemu.

 

2. Zrób nowy log OTL z opcji Skanuj (już bez Extras).

 

 

 

.

[marchelmx]

Skrypt Wykonany.

 

Nowy LOG:

http://wklej.org/id/1064981/

[picasso]

Zadanie wykonane. Usunięty katalog Mozilla się zregenerował, nie będę więc już ponawiać jego usuwania. Przejdź do czynności końcowych:

 

1. Porządki po narzędziach: przez SHIFT+DEL skasuj folder C:\FRST, w AdwCleaner uruchom Odinstaluj, w OTL uruchom Sprzątanie.

 

2. Wyczyść foldery Przywracania systemu: KLIK.

 

 

.

[marchelmx]

Super, czynności końcowe wykonane. Dziękuję Picasso za pomoc