Dziwny wirus z jakimś kodem ukash (?)

[an]

Witajcie,
na kompie córki najprawdopodobniej podczas instalowania nowej gry wkradł się jakiś dziwny wirus. Pojawia się komunikat, że komputer został zablokowany i mogę go odblokować przez jakiś kod UKASH,który kosztuje 500 zł. To rzecz jasna jakiś przekręt, tyle udało mi się dowiedzieć. W komputerze nie mogę zrobić nic, zaraz po uruchomieniu pojawia się ten komunikat i żadne działanie nie przynosi efektów. Nie mogę rzecz jasna wykonać żadnych logów itp.
Co robić???
Dzięki z góry za pomoc.

[exe98]

coś takiego : http://tech.wp.pl/kat,1009785,title,Blokuja-komputery-i-zadaja-okupu-nowy-rodzaj-wirusa,wid,14468548,wiadomosc.html?ticaid=1eb8e ?

jak usunąć : http://www.cert.pl/news/5483

Autor postu otrzymał pochwałę

[an]

Tak to wygląda. Jutro spróbuję usuwać za pomocą tej strony, Dzięki.

Dodano 03.07.2012 10:05:59:
Dopiero dzisiaj mogłam się tym zająć. Niestety wpisywanie tych kodów zgodnie z zaleceniami nic nie daje. Cały czas pojawia się info nieprawidłowy kod, odłączyłam sieć zgodnie z zaleceniami.
Próbowałam wejść w tryb awaryjny z wierszem poleceń, ale podczas uruchamiania nie działa ani F8 ani żaden inny. Mogę tylko wejść do Bios, a nie wiem jak i czy w ogóle mogę jakoś wejść w tryb awaryjny właśnie stąd.
Komputer jak zaklęty...
Bardzo proszę o jakieś inne pomysły, bo ja już wszystkie swoje (czyli całe dwa) wyczerpałam...
Z góry dzięki...

[balanga]

spróbuj to

http://www.fixitpc.pl/topic/9019-kod-ukash-komputer-zostal-zablokowany/page__gopid__69125#entry69125

[an]

Jasne, tyle, że w opisanym przypadku istniała możliwość jakiejkolwiek ingerencji w komputer. Ten, o którym mowa w moim przypadku dostaje komunikat i zawieszenie mniej więcej po 15 sek., a nie jestem w stanie wejść w tryb awaryjny podczas startowania.
Jak mogę wejść w tryb awaryjny z wierszem poleceń, skoro żaden przycisk funkcyjny nie chce zadziałać? Nie jest to kwestia klawiatury z USB w mojej opinii, ponieważ działa Delete i wchodzę w Bios, jak i F12...
Rzecz jasna spróbowałam każdego klawiszka po kolei...

[exe98]

usun ten wirus z rejestru systemu i dysku
Pobierz hirens boot , wypal na plycie /pendrive , uruchom windowsa xp pe , uzyj "Registry Editor PE 0.9c" i usun z rejestru oraz dysku pliki odpowiedzialne za ten syf

[wojtas]

daj logi z OTL według tego klik

[an]

Dzięki za wskazówki, ale... Exe98, nie mogę wejść w nic.
Wojtas, przeczytałam opis z tamtego forum. Tej osobie włączał się
tryb awaryjny z wierszem poleceń, mnie nie. Próbowałam dziesiątki razy, aż już bałam się, ze spalę to ustrojstwo.
Jeszcze raz opiszę zachowanie kompa:
włączam --- próbuję wszystkich F --- nie działa żaden, więc nie jestem w stanie wejśc w żaden tryb awaryjny -- jedynie mogę wejść w BIOS, ale nie wyczajam tam możliwości włączenia trybu awaryjnego. Mylę się?
A więc system włącza się normalnie, na pulpicie pojawia się uroczy bigiel, próbuję wyścigu z czasem -a nuż uda się poprzez start - uruchom- ale nie ma na to szans, po paru sekundach włącza się ten feralny komunikat z żądaniem kodu UKASH.
Help

[wojtas]

spróbuj dać loga z FRST zgodnie z Twoją wersją systemu:
klik

Autor postu otrzymał pochwałę

[exe98]

Dzięki za wskazówki, ale... Exe98, nie mogę wejść w nic.

Btw co do windowsa xp pe to nie chodziło mi o twojego xp tylko o "wbudowanego " w pakiet Hiren's BootCD 15.1 (przy botowaniu z plyty/pendrive )

[an]

Oczywiście spróbuję wszystkiego, ale proszę o wyrozumiałość...Ja naprawdę nie wszystko z tego co piszecie i czytam rozumiem. Nie moja "branża" i nie to pokolenie
Wieczorem zrobię ostatnie podejście...
Dziękuję.

[b3rno]

Proponuję przywrócić system z trybu awaryjnego, z dnia przed zainfekowaniem

[an]

Szybkie pytanie, bo zabieram się za "naprawę", ilo - bitowy jest system Wind Dt 07? Nie mam pojęcia co to , a taki jest na tamtym kompie i nie wiem, jaką wersję pobrać...

[exe98]

to modyfikacja zwyklego xp czyli x86 (32bity)

[an]

No, niestety...zgrałam wszystko jak trzeba..po odpaleniu kompa są rzecz jasna różnice - przynajmniej coś działa i mogę cokolwiek wybrać, ale niestety każda opcja wyboru - spróbowałam wszystkich, aby odpalić FRST kończy się tym samym czyli czarną stroną z opisem kompa i migającymi DDR2 at Bank(s) z podświetlonym O, 1, 2, 3... nic oczywiście nie działa, ani strzałki, ani nic...komp sie po chwili zawiesza i kaput...
To mnie jednak przerosło...Za dwa dnia jadę na wakacje, wiec sobie odpuszczę i zawiozę do naprawy.
Moje pytanie: czy jedynym wyjściem jest format? Mam tam strasznie dużo zdjęć i chce znać pkt wyjścia do rozmoy w serwisie, bo iem, że najprostszy jest format..

[exe98]

usun ten wirus z rejestru systemu i dysku
Pobierz hirens boot , wypal na plycie /pendrive , uruchom windowsa xp pe , uzyj "Registry Editor PE 0.9c" i usun z rejestru oraz dysku pliki odpowiedzialne za ten syf

i wszystko sobie zgrasz/ skopiujesz
tym programem zainstalujesz/nadpiszesz sobie windowsa http://www.msfn.org/board/topic/149612-winntsetup-v22/

Features:

- Install Windows 2k/XP/2003/Vista/7/8 x86/x64
- Practically runs even on the most minimalistic WinPE
- Choose able drive letter for the new Windows installation
- Install Windows also if nlite/vlite has remove winnt32.exe/setup.exe
- Integrate Drivers: normal PNP and Textmode Drivers also
- patch uxtheme to allow unsigned Themes
- Some tweaks
- Support "Windows to Go" for Windows 7 and later installs


Not Supported:

- No Windows embedded version (this includes WinFLP)
- No Installation onto USB disk *New* only Windows 7 and later

ten program rozwiazuje problemy z 7x64 (brak sterowników cd/dvd)

[an]

Dziękuję "exe" za wszelką pomoc..."Wojtas" tobie również....

Dogadałam się w serwisie i skopiują to za mnie - ja już niestety nie mam na to w tej chwili czasu. Niemniej, raz jeszcze dzięki. Przynajmniej spróbowałam.
Nie wiem, skąd to cholerstwo się wkradło, bo komputer był bardziej zabezpieczony niż mój laptop... siła złego na jednego

Pozdrawiam i życzę wszystkim Państwu miłych wakacji.

[bazia]

Witam,

Właśnie usunęłam to badziewie z komputera.
Plik zgrał się do katalogu User/ Użytkownik i miał nazwę 21312323213123(dużo cyferek).exe (być może nazwa jest różna)
W rejestrach znalazłam go pod nazwą ficuppvw ale nie w LOCAL MACHINE tylko w CURRENT USER
Usunięcie z rejestrów i plików z katalogu wystarczyło.

Pozdrawiam
Basia

Dodano Dzisiaj, 20:49:
Jeszcze jedno - nie trzeba wchodzić w tryb awaryjny.
Wystarczy po uruchomieniu windowsa dać ctrl+alt+del i zamknąć w procesach plik o nazwie ficuppvw.exe
Póżńiej w managerze uruchomić regedit i inny program wyszukujący pliki na kompie
Najlepiej wpisać wyszukiwanie zmodyfikowanych plików o rozszerzeniu exe z datą kiedy zdarzenie miało miejsce

Pozdrawiam
Basia

[marcio13174111]

Wystarczy po uruchomieniu windowsa dać ctrl+alt+del i zamknąć w procesach plik o nazwie ficuppvw.exe

Hmm... Cudowne rozwiązanie Tyle, że wirus jest aktualizowany codziennie i teraz przy nim nie da się otworzyć Menadżera Zadań...


A ten pierwszy sposób jest dobry. Wypróbuję go! U mnie plik nazywał się 0.2543878207302.exe xD I miał ikonkę gniazda z jajkami w środku xD

[jo3]

Cześć,
podzielę się swoimi doświadczeniami w walce z tym wirusem.

Logowanie w normalnym trybie nie daje żadnego efektu. Menedżer zadań jest "zagłuszany" przez wirusa.

Logowanie się w trybie awaryjnym załatwia sprawę. Zwykły tryb awaryjny i jest elo. Wierz polecenia nie był bynajmniej konieczny.

W trybie awaryjnym nie występuje żaden podejrzany proces, o jakim było wspominane. Nie trzeba nic zabijać.

Tyle teorii, teraz działamy:

Jak Koleżanka poleciła, należy wyszukać na całym dysku C plików *.exe z datą modyfikacji, kiedy zaczęły się problemy.
U mnie wynalazło dwa pliki, oba podejrzane:
ibjxokne.exe w folderze C:\Program Data
89742587895....dużocyferek.exe w folderze User\Użytkownik\AppData\Local\Temp
Nazwy głupie, spodziewam się, że unikalne dla każdego przypadku.
Ikonka była zwodnicza, bo miały krzyżyk na zielonym kółku, sprawiał wrażenie jakiegoś "healera". Sprytna ściema.

Potem, po ciągu kilkunastu tych dziwnych cyferek wyszukałem wszystkie pliki zawierających ten ciąg w nazwie i mi znalazło w folderze
C:\Windows\Prefetch plik o nazwie 89742587895....dużocyferek.EXE-7bd7d2e3.pf

Wszystkie te trzy pliki srrru do kosza, a potem
Start > Uruchom > Regedit
I wyszukać wpisy zawierające ciągi znaków, jak w nazwach plików .exe
I całe wpisy (foldery) z nimi ssrrrruu! U mnie były 4.
Restart i działa.

Czyli po usunięciu 3 plików oraz 4 wpisów z rejestru, restarcie, wszystko wróciło do normy.

Mam nadzieję, że komuś to pomoże.

Pozdrawiam, : )
jo3