Komputer z dwoma systemami - Blokada Weelsoft

[Toff]

Witam,

 

mam komputer z dwoma systemami. Tzn 3 partycje na pierwszym vista, na drugim xp, a trzeci dysk z danymi. Wczoraj złapałam weelsofa (chyba) tzn godło polskie na XP i pisze, że komputer został zablokowany z powodu złamania prawa polskiego. Chcą oczywiście kodu za 300 PLN.

 

Zablokowany jest tylko XP, Vista działa normalnie.

Aby przelogować się na system, muszę zrestartować komputer i wybrać linijkę białego tekstu na czarnym tle.

 

Czytałam instrukcje innych, ale jestem kompletną nogą z komputerów, więc bardzo bym prosiła o napisanie mi jak dziecku co robić ;((

 

Ściągnęłam program OTL i zrobiłam skanowanie z działającej Visty. Ale nie wiem, czy to coś pomogło.

 

Dodam, że na XP nie działa mi nic. Nie mogę niczego odpalić. W momencie pokazania się pulpitu wyskakuje ekran.

 

Proszę o pomoc!

 

Ewa

Extras.Txt

OTL.Txt

[Landuss]

Ale logi nie mogą być robione z Visty. Przecież ja tej infekcji w logach wtedy nie widzę. Logi mają być zrobione spod systemu na którym występuje problem. I dasz rade to zrobić tylko po prostu uruchom XP w trybie awaryjnym i wtedy wykonaj logi.

[Toff]

Ale na xp nie mam zainstalowanego OTL

[picasso]

Ale na xp nie mam zainstalowanego OTL

 

Ale:

- OTL skanuje tylko system spod którego jest uruchomiony, czyli z poziomu Vista jest widziana tylko Vista. Dane kompletnie nieprzydatne do leczenia XP, bo w ogóle brak danych z XP.

- OTL nie wymaga żadnej instalacji. Jest to bezinstalacyjne pojedyncze EXE.

 

Czyli:

Przekopiować sobie OTL z poziomu Vista na dysk gdzie jest XP, do jakieś charakterystycznej ścieżki. Zastartować do Trybu awaryjnego XP i uruchomić OTL z tejże ścieżki.

 

 

.

[Toff]

Ok, na dysku C: mam vistę, na D zainfekowany XP. Przekopiowałam OTL na dysk D. Czyli jest bezpośrednio obok folderów Programy Files, Downloads itd.

 

I moje pytanie, jak teraz powinna wyglądać ta procedura? Restartuje system, gdy się włącza wybór systemów daję na xp i wtedy F8 i potem ...?

Jak ma wyglądać dalsza procedura i wpisanie tej ścieżki? Przepraszam, ale jestem bardzo słaba z komputera.

[picasso]

I moje pytanie, jak teraz powinna wyglądać ta procedura? Restartuje system, gdy się włącza wybór systemów daję na xp i wtedy F8 i potem ...?

 

Potem po prostu uruchamiasz OTL przez dwuklik i robisz skan, który wygeneruje logi. Logi te masz nam przedstawić, a my na tej podstawie zrobimy skrypt usuwający trojana z XP.

 

 

 

.

[Toff]

Ale u mnie, gdy tylko włącza mi się xp, od razu blokuje mi kompa. Więc ten OTL mogę uruchomić tylko pod trybem awaryjnym.

 

Stąd moje pytanie, jak uruchomić OTL na XP w trybie awaryjnym . Ja w ogóle nie znam się na tym, ale jestem pojętną uczennicą, więc gdy dostanę jasne instrukcje, to dam radę Czyli śćieżka jest D/OTL, ale prosiłabym o komendy, jak już wywołam tryb awaryjny na XP.

[picasso]

Ale u mnie, gdy tylko włącza mi się xp, od razu blokuje mi kompa. Więc ten OTL mogę uruchomić tylko pod trybem awaryjnym.

 

Nie rozumiem, przecież właśnie tak ma być: XP uruchomiony w Trybie awaryjnym. Czy na pewno on jest startowany w awaryjnym? Przy starcie komputera z menu wybierasz XP i natychmiast F8 > z menu wybierasz Tryb awaryjny. Jeśli mimo tego nadal plansza UKASH się pokazuje, to zamiast Trybu awaryjnego wybierz Tryb awaryjny z obsługą Wiersza polecenia i w linii komemd patrzysz na jaką literą się ustawiła ścieżka > wpisujesz X:\OTL.exe i ENTER (X = ta litera, XP spod Vista jest widziany na D:, ale jeśli zbootujesz do XP może siebie widzieć jako C:, dlatego też odnośnikiem ma być litera pokazana w linii komend).

 

 

 

.

[Toff]

Ok, udało mi się w trybie awaryjnym zeskanować Otl-em z systemu XP. Pliki załączone.

 

Proszę tylko w dalszym ciągu o baaaardzo proste tłumaczenie, co dalej.

 

(komputer zainfekowałam bratu, stąd moja panika)

Extras.Txt

OTL.Txt

[picasso]

Ale logowałaś się na nie to konto co należy, właśnie aktywowałaś wbudowane w system konto Administrator:

 

Computer Name: KRZYSZTOF | User Name: Administrator | Logged in as Administrator.

 

Należało się zalogować na konto użytkownika a nie Administratora, rejestry kont są zupełnie inne. W związku z tym wstępnie mogę zadać tylko usuwanie cżęści wspólnej dla obu kont (tak, jest widzialny wpis infekcji), ale potem i tak będzie konieczne zrobienie logów z właściwego konta.

 

1. Z poziomu Trybu awaryjnego uruchamiasz OTL i do okna Własne opcje skanowania / skrypt wklejasz (możesz sobie tę treść zapisać z poziomu Vista w Notatniku i potem otworzyć z poziomu XP w celu wklejenia do okna OTL):

 

:OTL
O4 - HKLM..\Run: [WSDPrintProxy] C:\Documents and Settings\Krzysiek\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\313\WSDPrintProxy.exe ()
O4 - HKLM..\Run: []  File not found
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} "http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab" (Reg Error: Key error.)
 
:Files
C:\Documents and Settings\Krzysiek\Ustawienia lokalne\Dane aplikacji\Microsoft\Windows\313
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System będzie restartował i Windows już będzie odblokowany. Automatycznie otworzy się log z wynikami usuwania. Podczas restartu loguj się na właściwe konto użytkownika.

 

2. Przejdź do Panelu sterowania i odinstaluj adware DAEMON Tools Toolbar. Popraw programem AdwCleaner z opcji Delete. Z tego działania powstanie log.

 

3. Wygeneruj nowy log OTL z opcji Skanuj. Dołącz log z usuwania automatycznie utworzony w punkcie 1 oraz ten z AdwCleaner.

 

 

 

.

[Toff]

Zrobiłam tak jak napisałaś. To znaczy w systemie XP zalogowałam się na Krzysztof, a nie na Administrator (chyba tak miało to być?)

 

System się faktycznie odblokował, odinstalowałam Daemona, zrobiłam delete w tym drugim programie, potem skan OTLEM. Pliki załączyłam, natomiast przy tym pierwszym z rozszerzeniem log wyświetliło mi 'nie masz uprawnień do wysyłania tego typu plików', więc zmieniłam rozszerzenie na txt.

 

ten z cyferkami jest pierwszy (to ten log własnie zmieniony na txt), potem advcleaner, a potem OTL.

 

Czy to już koniec, czy coś muszę jeszcze zrobić?

 

Niezły stres jak dla mnie;)

 

W razie, gdybym musiała zrobić coś jeszcze proszę o bardzo proste komunikaty

AdwCleanerS1.txt

OTL.Txt

07062012_084938.txt

[picasso]

Zadania wykonane. Kolejna porcja:

 

1. Logowanie na konto Krzyśka ujawniło dodatkowy folder infekcji, plus pozostał mini odpadek po pasku DAEMONa. Przez SHIFT+DEL (omija Kosz) skasuj z dysku te dwa:

 

C:\Documents and Settings\Krzysiek\Dane aplikacji\hellomoto

C:\Documents and Settings\Krzysiek\Dane aplikacji\Mozilla\Firefox\Profiles\agaxdtwm.default\searchplugins\daemon-search.xml

 

2. W AdwCleaner uruchom opcję Uninstall. W OTL uruchom Sprzątanie, które samoczynnie skasuje z dysku OTL i jego kwarantannę. Funkcja wymaga restartu.

 

3. Wyczyść foldery Przywracania systemu: KLIK.

 

4. Wykonaj pełne (nie ekspresowe) skanowanie w Malwarebytes Anti-Malware. Przedstaw wynikowy raport, o ile coś zostanie wykryte (jeśli nic = raport zbędny).

 

 

 

.

[Toff]

Zrobiłam, tak jak napisałaś. Chyba było 20 plików podejrzanych. Skasowałam te, co miały zaznaczonego ptaszka. Nie wiem, czy jeszcze coś zostało

 

Czy jeszcze mam coś do zrobienia?

mbam-log-2012-07-08 (03-21-33).txt

[picasso]

Windows XP

 

Nie ma się czym przejmować. Infekcji czynnej już tu nie ma. Te wyniki nie budzą troski, zaś wszystko z katalogu Thinstall to fałszywe alarmy (to katalog pozostawiony po którejś aplikacji "portable" - wg składu folderu Acrobat?). Mówisz, że usunęłaś to już za pomocą programu. Na zakończenie:

 

1. Ponów czyszczenie folderów Przywracania systemu.

 

2. Wykonaj ważne podstawowe aktualizacje: KLIK. Tutaj z Twojej listy zainstalowanych wykaz bieżących wersji:

 

========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83216016FF}" = Java™ 6 Update 17
"{D103C4BA-F905-437A-8049-DB24763BBE36}" = Skype™ 4.1
"Adobe Flash Player ActiveX" = Adobe Flash Player 10 ActiveX
"Adobe Flash Player Plugin" = Adobe Flash Player 10 Plugin
"ENTERPRISE" = Microsoft Office Enterprise 2007 ----> zainstalowany pakiet SP2, uzupełnij SP3
"Google Chrome" = Google Chrome
"Mozilla Firefox (3.6.18)" = Mozilla Firefox (3.6.18)

 

3. Rozważ wymianę antywirusa. Ten ESET NOD32 Antivirus jest starawy.

 

 

Windows Vista

 

Ten system też należy wyczyścić z adware. To co znalazł MBAM w ścieżce D to jest Vista.

 

1. Przez Panel sterowania odinstaluj Babylon toolbar on IE, Bcool, Burn4Free Toolbar, DAEMON Tools Toolbar. Otwórz Firefox i w menedżerze dodatków odinstaluj Ask Toolbar, Babylon, Bcool, Burn4Free Toolbar.

 

2. Uruchom AdwCleaner i wybierz opcję Delete.

 

3. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
C:\Program Files (x86)\FunWebProducts
C:\Users\Krzysiek\AppData\Roaming\Thinstall
C:\Users\Krzysiek\AppData\Local\Temp*.html
rd /s /q C:\FRST /C
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}]
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{B400F956-213A-444C-9246-684A5C856AC4}]
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{F756994E-FC37-29D0-B6B3-004938757426}]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"WMPNSCFG"=-
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany i otworzy się log z wynikami usuwania.

 

4. Wygeneruj do oceny nowy log OTL z opcji Skanuj (bez Extras), ale proszę zaznacz pokazywanie 64-bitowych wpisów. Dołącz logi z usuwania AdwCleaner z punktu 2 + usuwania OTL z punktu 3.

 

 

 

 

.

[Toff]

Zaraz to postaram się zrobić. Bardzo dziękuję za pomoc:)

[picasso]

No dobrze, to gdzie te logi z Vista do oceny?

Edytowane 15 Sierpnia 2012 przez picasso
15.08.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso