Wirus - cyberprzestępczość departament policji

[tarald20]

Witam
Przyplątał się wirus blokujący pulpit "Wirus - cyberprzestępczość departament policji " użyty był program adwcleaner raport poniżej w tej chwili blokada następuje tylko jeżeli jest dostęp do internetu przez chwile po czyszczeniu adwcleanerem nie ma blokady ale jak tylko dostaje dostęp do neta to automatycznie wskakuje blokada.

http://www.sendspace.pl/file/38240637f64300ef821d617

http://www.sendspace.pl/file/ec19e2eca94155f24cf9746

Później zrobiłem raport OTL

http://www.sendspace.pl/file/c4102222c0a726744162999

http://www.sendspace.pl/file/19c0eed41104db0450342d6

[ordynat]

Nasz aż 2 wersje tej infekcji, oraz infekcję pendrivową.
1) Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:OTL
[2011-07-07 06:28:56 | 000,010,256 | -HS- | C] () -- C:\Documents and Settings\All Users\Dane aplikacji\o6v6eg5g62irc5ey32
[2011-07-07 06:28:56 | 000,010,252 | -HS- | C] () -- C:\Documents and Settings\UG\Ustawienia lokalne\Dane aplikacji\o6v6eg5g62irc5ey32
[2012-11-28 10:34:56 | 000,000,778 | ---- | C] () -- C:\Documents and Settings\UG\Menu Start\Programy\Autostart\runctf.lnk
[2012-11-28 10:34:52 | 095,023,320 | ---- | C] () -- C:\Documents and Settings\All Users\Dane aplikacji\dsgsdgdsgdsgw.pad
[2012-08-28 10:50:30 | 000,384,844 | ---- | C] () -- C:\Documents and Settings\UG\Ustawienia lokalne\Dane aplikacji\funmoods-speeddial.crx
[2012-08-28 10:50:29 | 000,031,465 | ---- | C] () -- C:\Documents and Settings\UG\Ustawienia lokalne\Dane aplikacji\funmoods.crx
[2012-11-28 10:34:51 | 000,204,792 | ---- | M] (Microsoft Corporation) -- C:\Documents and Settings\UG\wgsdgsdgdsgsd.exe
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab (Java Plug-in 1.6.0_20)
O16 - DPF: {CAFEEFAC-0015-0000-0012-ABCDEFFEDCBA} http://java.sun.com/update/1.5.0/jinstall-1_5_0_12-windows-i586.cab (Reg Error: Key error.)
O16 - DPF: {CAFEEFAC-0016-0000-0003-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_03-windows-i586.cab (Reg Error: Key error.)
O16 - DPF: {CAFEEFAC-0016-0000-0005-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_05-windows-i586.cab (Reg Error: Key error.)
O16 - DPF: {CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_07-windows-i586.cab (Reg Error: Key error.)
O16 - DPF: {CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab (Java Plug-in 1.6.0_20)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab (Java Plug-in 1.6.0_20)
O3 - HKLM\..\Toolbar: (Funmoods Toolbar) - {A4C272EC-ED9E-4ACE-A6F2-9558C7F29EF3} - C:\PROGRA~1\Funmoods\1.5.23.22\escorTlbr.dll File not found
O2 - BHO: (Funmoods Helper Object) - {75EBB0AA-4214-4CB4-90EC-E3E07ECD04F7} - C:\PROGRA~1\Funmoods\1.5.23.22\bh\escort.dll File not found
[2012-08-28 10:50:44 | 000,002,337 | ---- | M] () -- C:\Documents and Settings\UG\Dane aplikacji\Mozilla\Firefox\Profiles\2e6t3wfi.default\searchplugins\Search.xml
[2012-07-10 11:32:02 | 000,003,948 | ---- | M] () -- C:\Documents and Settings\UG\Dane aplikacji\Mozilla\Firefox\Profiles\2e6t3wfi.default\searchplugins\sweetim.xml
FF - HKLM\Software\MozillaPlugins\yaxmpb@yahoo.com/YahooActiveXPluginBridge;version=1.0.0.1: C:\Program Files\Yahoo!\Common\npyaxmpb.dll File not found
FF - prefs.js..browser.search.selectedEngine: "Search"
FF - prefs.js..backup.old.browser.search.defaultenginename: "SweetIM Search"
FF - prefs.js..backup.old.browser.search.selectedEngine: "SweetIM Search"
FF - prefs.js..browser.startup.homepage: "http://home.sweetim.com/?crg=3.1010000&st=10"
FF - prefs.js..browser.search.defaultenginename: "Search"
IE - HKLM\..\SearchScopes,Backup.Old.DefaultScope = {EEE6C360-6118-11DC-9C72-001320C79847}
IE - HKLM\..\SearchScopes\{6F41FD9C-0FED-880E-D895-5FB6E89A96B4}: "URL" = http://search.sweetim.com/search.asp?src=6&crg=3.1010000&st=10&q={searchTerms}
IE - HKLM\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = http://start.funmoods.com/results.php?f=4&q={searchTerms}&a=iron2&chnl=iron2&cd=2XzuyEtN2Y1L1QzutDtDtC0EyE0CyCyD0B0FtB0CyDyE0F0DtN0D0Tzu0CtByEtDtN1L2XzutBtFtCtFtCtFtAtCtB&cr=964723765
IE - HKCU\..\URLSearchHook: {EF99BD32-C1FB-11D2-892F-0090271D4F88} - No CLSID value found
IE - HKCU\..\SearchScopes,Backup.Old.DefaultScope = {6A1806CD-94D4-4689-BA73-E35EA1EA9990}
IIE - HKCU\..\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}: "URL" = http://start.funmoods.com/results.php?f=4&q={searchTerms}&a=iron2&chnl=iron2&cd=2XzuyEtN2Y1L1QzutDtDtC0EyE0CyCyD0B0FtB0CyDyE0F0DtN0D0Tzu0CtByEtDtN1L2XzutBtFtCtFtCtFtAtCtB&cr=964723765
IE - HKCU\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = http://search.sweetim.com/search.asp?src=6&crg=3.1010000&st=10&q={searchTerms}
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\UIUSYS.SYS -- (UIUSys)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\DOCUME~1\UG\USTAWI~1\Temp\catchme.sys -- (catchme)

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.

2) Użyj >USBFix
Kliknij w nim na:DELETION.
Daj raport z tego usuwania.

3) Zrób nowy log z OTL.

4) Zainstaluj nowszą, bezpieczniejszą wersję Javy:
>http://java.com/pl/download/windows_xpi.jsp?locale=pl
Przy instalacji usuń zaznaczenie przy "Install the AskToolbar ..."

Autor postu otrzymał pochwałę

[tarald20]

Długo sie ten skrypt powinien wykonywać bo jakby wisi na pierwszej lini prefs.js

[ordynat]

Jeśli to będzie trwało dłużej niż 5 minut, to przerwij, i zrób nowy log.
.

[tarald20]

Jeśli to będzie trwało dłużej niż 5 minut, to przerwij, i zrób nowy log.
.

Spróbuje jeszcze raz w awaryjnym a otl wgralem teraz z pena na pulpit

Wisi ale troche dalej też na lini JS zaraz wrzyce link ze skanu

Raport OTL
http://www.sendspace.pl/file/5c8eb38c0b4eb3298106be8

[ordynat]

Nic się nie usunęło.
Skoro Twój System nie nadaje się do usuwania, to to usuwanie rozbijemy na kilkanaście usuwań - może w taki sposób będzie się dało usuwać? Zobaczymy. Długo to będzie trwało, ale ...
Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:Files
C:\Documents and Settings\All Users\Dane aplikacji\o6v6eg5g62irc5ey32
C:\Documents and Settings\UG\Ustawienia lokalne\Dane aplikacji\o6v6eg5g62irc5ey32

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania Skryptem.

[tarald20]

nowy raport skrypt sie wykonal

http://www.sendspace.pl/file/8707c2032472c7cd5362dac

[ordynat]

Następna porcja:
Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:OTL
[2012-08-28 10:50:30 | 000,384,844 | ---- | C] () -- C:\Documents and Settings\UG\Ustawienia lokalne\Dane aplikacji\funmoods-speeddial.crx
[2012-08-28 10:50:29 | 000,031,465 | ---- | C] () -- C:\Documents and Settings\UG\Ustawienia lokalne\Dane aplikacji\funmoods.crx

:Files
C:\Documents and Settings\All Users\Dane aplikacji\dsgsdgdsgdsgw.pad
C:\Documents and Settings\UG\wgsdgsdgdsgsd.exe
C:\Documents and Settings\UG\Menu Start\Programy\Autostart\runctf.lnk

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania Skryptem.

W międzyczasie jeszcze raz użyj Użyj >Adw-cleaner. Kliknij w nim Delete
Pokaż raport z niego C:\AdwCleaner[S1].txt
.

[tarald20]

Olt po usuwaniu

http://www.sendspace.pl/file/7fb1fa0a146b1111ed4b593

ADWcliner po usuwaniu

http://www.sendspace.pl/file/3a8210f1a3fb3cae87826d6

Raport ze skanu olt

http://www.sendspace.pl/file/5b30a3d33dfdf7ee681d8b3

Dodano Dzisiaj, 19:10:
Wykonałem reszte skryptu

:OTL
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jinsta ... s-i586.cab (Java Plug-in 1.6.0_20)
O16 - DPF: {CAFEEFAC-0015-0000-0012-ABCDEFFEDCBA} http://java.sun.com/update/1.5.0/jinsta ... s-i586.cab (Reg Error: Key error.)
O16 - DPF: {CAFEEFAC-0016-0000-0003-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinsta ... s-i586.cab (Reg Error: Key error.)
O16 - DPF: {CAFEEFAC-0016-0000-0005-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinsta ... s-i586.cab (Reg Error: Key error.)
O16 - DPF: {CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinsta ... s-i586.cab (Reg Error: Key error.)
O16 - DPF: {CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinsta ... s-i586.cab (Java Plug-in 1.6.0_20)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinsta ... s-i586.cab (Java Plug-in 1.6.0_20)
O3 - HKLM\..\Toolbar: (Funmoods Toolbar) - {A4C272EC-ED9E-4ACE-A6F2-9558C7F29EF3} - C:\PROGRA~1\Funmoods\1.5.23.22\escorTlbr.dll File not found
O2 - BHO: (Funmoods Helper Object) - {75EBB0AA-4214-4CB4-90EC-E3E07ECD04F7} - C:\PROGRA~1\Funmoods\1.5.23.22\bh\escort.dll File not found
[2012-08-28 10:50:44 | 000,002,337 | ---- | M] () -- C:\Documents and Settings\UG\Dane aplikacji\Mozilla\Firefox\Profiles\2e6t3wfi.default\searchplugins\Search.xml
[2012-07-10 11:32:02 | 000,003,948 | ---- | M] () -- C:\Documents and Settings\UG\Dane aplikacji\Mozilla\Firefox\Profiles\2e6t3wfi.default\searchplugins\sweetim.xml
FF - HKLM\Software\MozillaPlugins\yaxmpb@yahoo.com/YahooActiveXPluginBridge;version=1.0.0.1: C:\Program Files\Yahoo!\Common\npyaxmpb.dll File not found
FF - prefs.js..browser.search.selectedEngine: "Search"
FF - prefs.js..backup.old.browser.search.defaultenginename: "SweetIM Search"
FF - prefs.js..backup.old.browser.search.selectedEngine: "SweetIM Search"
FF - prefs.js..browser.startup.homepage: "http://home.sweetim.com/?crg=3.1010000&st=10"
FF - prefs.js..browser.search.defaultenginename: "Search"
IE - HKLM\..\SearchScopes,Backup.Old.DefaultScope = {EEE6C360-6118-11DC-9C72-001320C79847}
IE - HKLM\..\SearchScopes\{6F41FD9C-0FED-880E-D895-5FB6E89A96B4}: "URL" = http://search.sweetim.com/search.asp?sr ... 0&st=10&q={searchTerms}
IE - HKLM\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = http://start.funmoods.com/results.php?f=4&q={searchTerms}&a=iron2&chnl=iron2&cd=2XzuyEtN2Y1L1QzutDtDtC0EyE0CyCyD0B0FtB0CyDyE0F0DtN0D0Tzu0CtByEtDtN1L2XzutBtFtCtFtCtFtAtCtB&cr=964723765
IE - HKCU\..\URLSearchHook: {EF99BD32-C1FB-11D2-892F-0090271D4F88} - No CLSID value found
IE - HKCU\..\SearchScopes,Backup.Old.DefaultScope = {6A1806CD-94D4-4689-BA73-E35EA1EA9990}
IIE - HKCU\..\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}: "URL" = http://start.funmoods.com/results.php?f=4&q={searchTerms}&a=iron2&chnl=iron2&cd=2XzuyEtN2Y1L1QzutDtDtC0EyE0CyCyD0B0FtB0CyDyE0F0DtN0D0Tzu0CtByEtDtN1L2XzutBtFtCtFtCtFtAtCtB&cr=964723765
IE - HKCU\..\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}: "URL" = http://search.sweetim.com/search.asp?sr ... 0&st=10&q={searchTerms}
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\UIUSYS.SYS -- (UIUSys)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\DOCUME~1\UG\USTAWI~1\Temp\catchme.sys -- (catchme)

:Commands
[emptytemp]





Raport po wykonaniu skryptu

http://www.sendspace.pl/file/dc9a0533a58239398461a5c


raport po uzyciu usbfix

http://www.sendspace.pl/file/31b700f10afb24af739bae7

[ordynat]

Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:OTL
C:\Documents and Settings\UG\Menu Start\Programy\Autostart\runctf.lnk
O16 - DPF: {CAFEEFAC-0015-0000-0012-ABCDEFFEDCBA} http://java.sun.com/update/1.5.0/jinstall-1_5_0_12-windows-i586.cab (Reg Error: Key error.)
O16 - DPF: {CAFEEFAC-0016-0000-0003-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_03-windows-i586.cab (Reg Error: Key error.)
O16 - DPF: {CAFEEFAC-0016-0000-0005-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_05-windows-i586.cab (Reg Error: Key error.)
O16 - DPF: {CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_07-windows-i586.cab (Reg Error: Key error.)
O16 - DPF: {CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab (Java Plug-in 1.6.0_20)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab (Java Plug-in 1.6.0_20)

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania Skryptem.

Użyj USBFix (link podałem w swoim pierwszym poście)
.

[tarald20]

Jak juz napisąlem wykonałem już reszte tego skryptu i uzylem usbfix (post powyżej)

wyrzuca mi teraz blad rundll brakuje pliku wgsdgsdgdsgsd.exe jakis smieć z rejestrów

OK

[ordynat]

wykonaj Skrypt z mojego poprzedniego postu

[tarald20]

raport po usuwaniu otl

http://www.sendspace.pl/file/872d4ba4c63b27100e89fe7

[ordynat]

żle podałem tamten Skrypt, więc:
Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:Files
C:\Documents and Settings\UG\Menu Start\Programy\Autostart\runctf.lnk

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania Skryptem.

blad rundll brakuje pliku wgsdgsdgdsgsd.exe

i napisz, czy po wykonaniu powyższego mojego Skryptu jest to aktualne?

[tarald20]

nie pojawia sie juz błąd

"blad rundll brakuje pliku wgsdgsdgdsgsd.exe"

raport po kasowaniu skryptem otl

http://www.sendspace.pl/file/a6c8f2fbda0219aa154184b

[ordynat]

Wprawdzie nie dałeś nowego logu z OTL, ale powinno już być OK.
Kończymy:
W USBFix kliknij na przycisk UNINSTALL.
W Adw-Cleaner kliknij na przycisk Uninstall
W OTL kliknij na przycisk Sprzątanie - to go usunie razem z jego Kwarantanną.
.

[tarald20]

skan otl

http://www.sendspace.pl/file/341cf0395ea295e5f468212


Dzięki bardzo za pomoc. gdzie takich rzeczy można się nauczyć ??

[ordynat]

Jeśli jeszcze nie usunąłeś OTL, to wykonaj jeszcze to:
Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

Kod: Zaznacz wszystko

:OTL
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Secondary Start Pages = Reg Error: Value error.
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://fr.msn.com/
IE - HKLM\..\SearchScopes,Backup.Old.DefaultScope = {EEE6C360-6118-11DC-9C72-001320C79847}
IE - HKCU\..\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}: "URL" = http://start.funmoods.com/results.php?f=4&q={searchTerms}&a=iron2&chnl=iron2&cd=2XzuyEtN2Y1L1QzutDtDtC0EyE0CyCyD0B0FtB0CyDyE0F0DtN0D0Tzu0CtByEtDtN1L2XzutBtFtCtFtCtFtAtCtB&cr=964723765

:Reg
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
"Start Page"="http://www.google.pl/"

:Commands
[emptytemp]


Kliknij w Wykonaj Skrypt
Raportu z tego już nie dawaj.
.

[tarald20]

OK wykonalem skrypt wszystko działa jak należy . Jeszcze raz dziękuje