[wirus] cyberprzestępczość kara 300 zł problem

**Posty:** 4 · przez **Rays** 25 Gru 2012, 22:05

Witam. Mam pewien problem, gdy uruchamiam komputer, loguję się to wyskakuje mi napis, że muszę zapłacić 300zł. Chyba sporo osób wie o co chodzi bo widzę że problem jest tutaj znany.
tak wygląda log z OTL:
http://wklej.org/id/906035/
http://wklej.org/id/906046/

**Posty:** 4765 · przez **ordynat** 25 Gru 2012, 23:03

Masz aż 3 wersje tej infekcji, zmieszane ze sobą.
1) Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:Files
C:\Documents and Settings\Rays\Menu Start\Programy\Autostart\runctf.lnk
C:\Documents and Settings\All Users\Dane aplikacji\dsgsdgdsgdsgw.js
C:\Documents and Settings\All Users\Dane aplikacji\dsgsdgdsgdsgw.pad
C:\Documents and Settings\All Users\Dane aplikacji\lsass.exe
C:\Documents and Settings\Rays\0.2986444387844318.exe
C:\Documents and Settings\Mario\wgsdgsdgdsgsd.dll

:OTL
O20 - AppInit_DLLs: (c:\docume~1\alluse~1\daneap~1\browse~1\25976~1.107\{c16c1~1\mngr.dll) - c:\Documents and Settings\All Users\Dane aplikacji\Browser Manager\2.5.976.107\{c16c1ccb-7046-4e5c-a2f3-533ad2fec8e8}\mngr.dll ()
O20 - AppInit_DLLs: (c:\docume~1\alluse~1\daneap~1\browse~1\23796~1.11\{16cdf~1\browse~1.dll) - File not found
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jinstall-1_6_0_31-windows-i586.cab (Reg Error: Value error.)
O16 - DPF: {CAFEEFAC-0016-0000-0031-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_31-windows-i586.cab (Java Plug-in 1.6.0_31)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_31-windows-i586.cab (Java Plug-in 1.6.0_31)
O8 - Extra context menu item: Funkcja Google Sidewiki - res://C:\Program Files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_7461B1589E8B4FB7.dll/cmsidewiki.html File not found
O4 - HKLM..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u File not found
O3 - HKLM\..\Toolbar: (no name) - {D0F4A166-B8D4-48b8-9D63-80849FE137CB} - No CLSID value found.
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {D4027C7F-154A-4066-A1AD-4243D8127440} - No CLSID value found.
O2 - BHO: (Babylon toolbar helper) - {2EECD738-5844-4a99-B4B6-146BF802613B} - C:\Program Files\BabylonToolbar\BabylonToolbar\1.8.4.9\bh\BabylonToolbar.dll (Babylon BHO)
[2012-12-07 14:08:01 | 000,000,000 | ---D | M] (Browser Manager) -- C:\DOCUMENTS AND SETTINGS\ALL USERS\DANE APLIKACJI\BROWSER MANAGER\2.5.976.107\{C16C1CCB-7046-4E5C-A2F3-533AD2FEC8E8}\FIREFOXEXTENSION
[2012-03-23 23:20:40 | 000,002,203 | ---- | M] () -- C:\Documents and Settings\Rays\Dane aplikacji\Mozilla\Firefox\Profiles\1gw4zyqi.default\searchplugins\MyStart Search.xml
[2011-07-11 19:04:02 | 000,000,633 | ---- | M] () -- C:\Documents and Settings\Rays\Dane aplikacji\Mozilla\Firefox\Profiles\1gw4zyqi.default\searchplugins\startsear.xml
[2012-11-06 23:42:44 | 000,000,923 | ---- | M] () -- C:\Documents and Settings\Rays\Dane aplikacji\Mozilla\Firefox\Profiles\1gw4zyqi.default\searchplugins\conduit.xml
[2012-07-04 19:44:28 | 000,000,000 | ---D | M] (Yontoo) -- C:\Documents and Settings\Rays\Dane aplikacji\Mozilla\Firefox\Profiles\1gw4zyqi.default\extensions\plugin@yontoo.com
[2012-11-24 23:38:26 | 000,000,000 | ---D | M] (SFT_Polska Community Toolbar) -- C:\Documents and Settings\Rays\Dane aplikacji\Mozilla\Firefox\Profiles\1gw4zyqi.default\extensions\{5c5b9468-d672-4eb7-b52f-b5afabf28c5b}
[2012-03-23 23:20:58 | 000,000,000 | ---D | M] (incredibar.com) -- C:\Documents and Settings\Rays\Dane aplikacji\Mozilla\Firefox\Profiles\1gw4zyqi.default\extensions\ffxtlbr@incredibar.com
FF - HKLM\Software\MozillaPlugins\@real.com/nsJSRealPlayerPlugin;version=: File not found
FF - prefs.js..browser.startup.homepage: "http://search.conduit.com/?ctid=CT3031817&SearchSource=13"
FF - prefs.js..keyword.URL: "http://search.conduit.com/ResultsExt.aspx?ctid=CT3031817&SearchSource=2&q="
FF - prefs.js..browser.search.defaultthis.engineName: "SFT_Polska Customized Web Search"
IE - HKCU\..\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}: "URL" = http://websearch.ask.com/redirect?client=ie&tb=ORJ&o=&src=crm&q={searchTerms}&locale=&apn_ptnrs=&apn_dtid=OSJ000&apn_uid=D357B189-2E8C-4811-B5C1-716EFF11B330&apn_sauid=58E5036E-818F-4057-879D-422BA1162C90
IE - HKCU\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT3031817
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Restore = http://search.babylon.com/?babsrc=HP_ss&affID=100607&mntrId=b897e7f4000000000000001fd002bfbd
IE - HKLM\..\SearchScopes,DefaultScope = {EEE6C360-6118-11DC-9C72-001320C79847}
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\EagleXNt.sys -- (EagleXNt)
MOD - [2012-12-05 18:10:34 | 002,403,352 | ---- | M] () -- C:\Documents and Settings\All Users\Dane aplikacji\Browser Manager\2.5.976.107\{c16c1ccb-7046-4e5c-a2f3-533ad2fec8e8}\mngr.exe
MOD - [2012-12-05 18:09:41 | 002,148,376 | ---- | M] () -- c:\Documents and Settings\All Users\Dane aplikacji\Browser Manager\2.5.976.107\{c16c1ccb-7046-4e5c-a2f3-533ad2fec8e8}\mngr.dll
SRV - [2012-12-05 18:10:34 | 002,403,352 | ---- | M] () [Auto | Running] -- C:\Documents and Settings\All Users\Dane aplikacji\Browser Manager\2.5.976.107\{c16c1ccb-7046-4e5c-a2f3-533ad2fec8e8}\mngr.exe -- (Browser Manager)

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania Skryptem.

2) Użyj >Adw-cleaner (aby pobrać kliknij na dużą zieloną strzałkę po prawej).
Kliknij w nim Usuń
Pokaż raport z niego C:\AdwCleaner[S1].txt

3) Do >SystemLook wklej:

:regfind
wgsdgsdgdsgsd

Naciśnij Look i pokaż raport.
.

**Posty:** 4 · przez **Rays** 26 Gru 2012, 00:33

Niestety nie mam raportu z ADW i z OTL po restarcie ... z ADW nie zapisał się a z OTL po restarcie dalej był ten wirus i nic zrobić nie mogłem, dopiero jak włączyłem i wyłączyłem komputer to pokazał mi się pulpit ;/
OTL.txt
http://wklej.org/id/906123/
i SystemLook
http://wklej.org/id/906150/

**Posty:** 4765 · przez **ordynat** 26 Gru 2012, 07:21

1) Powtórz usuwanie Skryptem, bo nic się nie usunęło.
2) Powtórz usuwanie Adw Cleaner'em, bo nic się nie usunęło.
3) Do Notatnika wklej:

Kod: Zaznacz wszystko: Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\winmgmt\Parameters] "ServiceDll"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,\ 00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\ 77,00,62,00,65,00,6d,00,5c,00,57,00,4d,00,49,00,73,00,76,00,63,00,2e,00,64,\ 00,6c,00,6c,00,00,00 [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\winmgmt\Parameters] "ServiceDll"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,\ 00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\ 77,00,62,00,65,00,6d,00,5c,00,57,00,4d,00,49,00,73,00,76,00,63,00,2e,00,64,\ 00,6c,00,6c,00,00,00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\winmgmt\Parameters] "ServiceDll"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,\ 00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\ 77,00,62,00,65,00,6d,00,5c,00,57,00,4d,00,49,00,73,00,76,00,63,00,2e,00,64,\ 00,6c,00,6c,00,00,00

Z Menu Notatnika >> Plik >> Zapisz jako >> Ustaw rozszerzenie na Wszystkie pliki >> Zapisz jako> FIX.REG >>
plik uruchom (dwuklik i OK).
Zrestartuj komputer.

4) Zrób nowy log z SystemLook na takim samym ustawieniu jak ostatnio

5) Zrób nowy log z OTL
.

**Posty:** 4 · przez **Rays** 26 Gru 2012, 14:00

Adw:
http://wklej.org/id/906358/
SystemLook:
http://wklej.org/id/906359/
OTL:
http://wklej.org/id/906362/

**Posty:** 4765 · przez **ordynat** 26 Gru 2012, 14:35

Infekcja dalej jest.
1) Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

Kod: Zaznacz wszystko: :Files C:\Documents and Settings\All Users\Dane aplikacji\dsgsdgdsgdsgw.pad C:\Documents and Settings\All Users\Dane aplikacji\dsgsdgdsgdsgw.js C:\Documents and Settings\Rays\Menu Start\Programy\Autostart\runctf.lnk c:\Documents and Settings\Mario\wgsdgsdgdsgsd.dll :Reg [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\winmgmt\Parameters] "ServiceDll"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,\ 00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\ 77,00,62,00,65,00,6d,00,5c,00,57,00,4d,00,49,00,73,00,76,00,63,00,2e,00,64,\ 00,6c,00,6c,00,00,00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\winmgmt\Parameters] "ServiceDll"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,\ 00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\ 77,00,62,00,65,00,6d,00,5c,00,57,00,4d,00,49,00,73,00,76,00,63,00,2e,00,64,\ 00,6c,00,6c,00,00,00 :Commands [emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania Skryptem.

2) Zrób nowy log z SystemLook, na poprzednim ustawieniu.
.

**Posty:** 4 · przez **Rays** 26 Gru 2012, 15:01

Log Po Restarcie:
http://wklej.org/id/906412/
i skan z OTL:
http://wklej.org/id/906414/
ii SystemLook:
http://wklej.org/id/906415/

**Posty:** 4765 · przez **ordynat** 26 Gru 2012, 16:23

Widzę, że ta najnowsza wersja tej infekcji nie bardzo chce się usuwać..

Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:Files
c:\Documents and Settings\Mario\wgsdgsdgdsgsd.dll
C:\Documents and Settings\All Users\Dane aplikacji\dsgsdgdsgdsgw.pad
C:\Documents and Settings\Rays\Menu Start\Programy\Autostart\runctf.lnk

:Reg
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\winmgmt\Parameters]
"ServiceDll"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,\
00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\
77,00,62,00,65,00,6d,00,5c,00,57,00,4d,00,49,00,73,00,76,00,63,00,2e,00,64,\
00,6c,00,6c,00,00,00
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\winmgmt\Parameters]
"ServiceDll"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,\
00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\
77,00,62,00,65,00,6d,00,5c,00,57,00,4d,00,49,00,73,00,76,00,63,00,2e,00,64,\
00,6c,00,6c,00,00,00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\winmgmt\Parameters]
"ServiceDll"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,\
00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\
77,00,62,00,65,00,6d,00,5c,00,57,00,4d,00,49,00,73,00,76,00,63,00,2e,00,64,\
00,6c,00,6c,00,00,00

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania Skryptem.

Zrób nowy log z SystemLook, ustawienie jak poprzednio.
.

Kto jest na forum