Zainfekowany explorer.exe + ukash

**Posty:** 34 · przez **vego** 10 Wrz 2012, 18:00

Witam
Przedstawiam Główne problemy:
1. Wykryta infekcja przez nod 32 pliku i brak możliwości jego wyleczenia.
"Pamięć operacyjna » explorer.exe(972) odmiana zagrożenia Win32/Spy.Zbot.ZR koń trojański nie można wyleczyć"
"Pamięć operacyjna » explorer.exe(3680) odmiana zagrożenia Win32/Spy.Zbot.ZR koń trojański nie można wyleczyć"
"Pamięć operacyjna » explorer.exe(572) odmiana zagrożenia Win32/Spy.Zbot.AAN koń trojański nie można wyleczyć"
Dodam że nie zauważyłem znikania ikon na pulpicie.
2. Spotkanie z ekranem zablokowania kompa przez Policję i jego odblokowania poprzez wpłatę 500zł (Ukash). Tutaj akurat włączyłem restart i okno jak do tej pory się NIE POJAWIŁO, jednak coś w rejestrze może jeszcze z tego spotkania jest.
3. Powolne wyłączanie/ włączanie kompa i spowolniona jego praca.

System: Windows XP 32 bit
Załączam logi z OTL i GMER.
Z góry dziękuję za pomoc.

**Posty:** 18165 · przez **wojtas** 10 Wrz 2012, 18:19

Uruchom OTL i w sekcji własne opcje skanowania / skrypt wklej:

:OTL
SRV - File not found [Auto | Stopped] -- C:\Program Files\Common Files\Nero\Nero BackItUp 4\NBService.exe -- (Nero BackItUp Scheduler 4.0)
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://startsear.ch/?aff=1&cf=30409eaa-4136-11e1-bc86-0026edb68d46
IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = http://startsear.ch/?aff=1&src=sp&cf=30409eaa-4136-11e1-bc86-0026edb68d46&q={searchTerms}
IE - HKU\S-1-5-21-73586283-299502267-682003330-1004\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://startsear.ch/?aff=1&cf=30409eaa-4136-11e1-bc86-0026edb68d46
IE - HKU\S-1-5-21-73586283-299502267-682003330-1004\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = http://startsear.ch/?aff=1&src=sp&cf=30409eaa-4136-11e1-
IE - HKU\S-1-5-21-73586283-299502267-682003330-1004\..\SearchScopes\{F3A57C32-2908-468B-9BA6-D4CD27132051}: "URL" = http://startsear.ch/?aff=2&src=sp&cf=30409eaa-4136-11e1-bc86-0026edb68d46&q={searchTerms}
FF - prefs.js..browser.search.defaultengine: "Web Search"
FF - prefs.js..browser.search.defaultenginename: "Web Search"
FF - prefs.js..browser.search.order.1: "Web Search"
FF - prefs.js..browser.search.selectedEngine: "Web Search"
FF - prefs.js..keyword.URL: "http://startsear.ch/?aff=2&src=sp&cf=30409eaa-4136-11e1-bc86-0026edb68d46&q="
[2012-02-21 19:11:57 | 000,000,792 | ---- | M] () -- C:\Documents and Settings\-\Dane aplikacji\Mozilla\Firefox\Profiles\wd9gteys.default\searchplugins\startsear.xml
O4 - HKLM..\Run: [] File not found
O4 - HKLM..\Run: [adiras] adiras.exe File not found
O4 - HKLM..\Run: [autoclk] autoclk.exe File not found
O4 - HKU\S-1-5-21-73586283-299502267-682003330-1004..\Run: [Citier] "C:\Documents and Settings\-\Dane aplikacji\Ekgoba\ibtyy.exe" File not found
O33 - MountPoints2\{495984ce-b003-11de-a817-00241d605a81}\Shell - "" = AutoRun
O33 - MountPoints2\{495984ce-b003-11de-a817-00241d605a81}\Shell\AutoRun\command - "" = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe FS6519.dll.vbs
O33 - MountPoints2\{58c95e80-6e29-11de-a720-00241d605a81}\Shell\AutoRun\command - "" = F:\p.exe
O33 - MountPoints2\{58c95e80-6e29-11de-a720-00241d605a81}\Shell\open\Command - "" = F:\p.exe
O33 - MountPoints2\{91be9acf-6d94-11de-b80d-806d6172696f}\Shell - "" = AutoRun
O33 - MountPoints2\{91be9acf-6d94-11de-b80d-806d6172696f}\Shell\AutoRun\command - "" = D:\Run.exe
[2012-09-08 22:03:10 | 000,000,000 | ---D | C] -- C:\Documents and Settings\-\Dane aplikacji\Zaveby
[2012-09-08 22:03:10 | 000,000,000 | ---D | C] -- C:\Documents and Settings\-\Dane aplikacji\Mowo
[2012-09-08 22:03:10 | 000,000,000 | ---D | C] -- C:\Documents and Settings\-\Dane aplikacji\Ekgoba

:Commands
[emptytemp]

Kliknij wykonaj skrypt. I potwierdź reset komputera .

Użyj AdwCleaner i kliknij w nim Delete (w przypadku Visty/Windows7 uruchom z prawokliku jako Administrator)
Pokaż raport z niego

Następnie uruchamiasz OTL z opcją skanuj. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia (zawartość notatnika, która otworzyła się po restarcie).

**Posty:** 34 · przez **vego** 10 Wrz 2012, 19:22

Witam

**Posty:** 18165 · przez **wojtas** 10 Wrz 2012, 21:22

Uruchom OTL i w sekcji własne opcje skanowania / skrypt wklej:

:OTL
[2012-08-17 23:56:33 | 000,000,000 | ---D | C] -- C:\Documents and Settings\All Users\Dane aplikacji\ifhezjzixrlrfdf
[2012-08-17 23:56:45 | 000,000,051 | ---- | M] () -- C:\Documents and Settings\All Users\Dane aplikacji\nnjbcehvjeyyqyb

:Commands
[emptytemp]

Kliknij wykonaj skrypt. I potwierdź reset komputera .
*Uruchom OTL z opcji sprzątanie.
* wykonaj optymalizację Windowsa ( instrukcja dla Windowsa XP, lecz w innych systemach jest podobnie )
* zrób pełny skan Malwarebytes Anti-Malware (zaktualizuj, gdy coś znajdzie pokaż raport, i usuń wszystko za pomocą tego programu )
* Skasuj stan przywracania systemu

**Posty:** 34 · przez **vego** 11 Wrz 2012, 00:04

Witam
Malwarebytes Anti-Malware nie wykrył żadnych zagrożeń, jeżeli to wszystko to bardzo dziękuję.
Mam jeszcze 2 pytanka, dlaczego programik OTL, SDFix i Combo fix zostały usunięte z systemu oraz czy mogę ponownie zainstalować alkohol 120% ?

Pozdrawiam

**Posty:** 18165 · przez **wojtas** 11 Wrz 2012, 16:42

OTL wszystko posprzątał

tak miało być

możesz zainstalować

pozdro