Ukash - cięższy przypadek

[adashko]

Cześć.

Dostałem laptopa z ww szkodnikiem (policja, wpłać 500zł etc.). Chciałbym prosić o pomoc - nie mogę zrobić logów gdyż nie działa tryb awaryjny, również z wierszem polecenia (następuje zwiecha przy ładowaniu plików Windowsa - konkretnie crcdisk.sys). Z tego co wyczytałem może to być też związane z Sality, ale nie jestem pewien?

Co mogę zrobić w tej sytuacji?

[ordynat]

Jeśli nie działa nawet Tryb Awaryjny z wierszem poleceń, to sytuacja jest raczej beznadziejna.
Możesz spróbować jeszcze wypalić na innym komputerze płytkę z OTLPE http://www.fixitpc.pl/topic/4414-diagnostyka-infekcji-na-niestartujacych-windows/page__p__32551#entry32546
i potem spróbować zrobić z tego logi na swoim komputerze.
.

[adashko]

W podobnym przypadku jak mój, znalazłem radę stworzenia płyty ratunkowej, np. Kaspersky Rescue Disk 10. To nie byłby dobry kierunek?

[ordynat]

Możesz spróbować ...

[adashko]

Poszedłem w pierwszej kolejności za Twoją wcześniejszą radą, udało się zrobić logi z OTL.
Jak to wygląda?

[ordynat]

U Ciebie infekcja udaje ... Skype.

Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:OTL
O20 - HKU\krysia_ON_C Winlogon: Shell - (C:\Users\krysia\AppData\Roaming\skype.dat) - C:\Users\krysia\AppData\Roaming\skype.dat ()

:Files
C:\Users\krysia\AppData\Roaming\skype.ini

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania Skryptem.
.

[adashko]

Wiem tyle, że w momencie logowania, kiedy pulpit zostaje zastąpiony białym tłem, to w tle słychać właśnie uruchamiającego się Skype'a
Niestety nie wiem czy faktycznie był zainstalowany i czy uruchamiał się do tej pory wraz ze startem Windowsa.

Wracając do OTL po restarcie nadal mam go bootować z tej płytki ratunkowej czy już starać się uruchamiać normalnie system?

[ordynat]

próbuj w normalnym Trybie.

Właściwy Skype też jest, ale jego nie ruszamy.
.

[adashko]

Uruchomił się

Nie zapisałem raportu ale była w nim tylko wzmianka o odnalezieniu i usunięciu tego co podałeś powyżej. Zamieszczam nowe logi.

Jak teraz?

[ordynat]

1) Użyj >Adw-cleaner (aby pobrać kliknij na dużą zieloną strzałkę po prawej).
Kliknij w nim Usuń
Pokaż raport z niego C:\AdwCleaner[S1].txt

2) Nie wszystko się usunęło z tej infekcji, a poza tym jest jeszcze druga infekcja, więc:
Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:OTL
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jinstall-1_6_0_26-windows-i586.cab (Java Plug-in 1.6.0_26)
O16 - DPF: {CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_07-windows-i586.cab (Java Plug-in 1.6.0_07)
O16 - DPF: {CAFEEFAC-0016-0000-0026-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_26-windows-i586.cab (Java Plug-in 1.6.0_26)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_26-windows-i586.cab (Java Plug-in 1.6.0_26)
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab (Reg Error: Key error.)
O8 - Extra context menu item: Funkcja Google Sidewiki - res://C:\Program Files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_7461B1589E8B4FB7.dll/cmsidewiki.html File not found
O3 - HKCU\..\Toolbar\WebBrowser: (AOL Toolbar) - {DE9C389F-3316-41A7-809B-AA305ED9D922} - C:\Program Files\AOL\Pasek narzędzi AOL 5.0\aoltb.dll (AOL LLC)
O3 - HKLM\..\Toolbar: (AOL Toolbar) - {DE9C389F-3316-41A7-809B-AA305ED9D922} - C:\Program Files\AOL\Pasek narzędzi AOL 5.0\aoltb.dll (AOL LLC)
O2 - BHO: (AOL Toolbar BHO) - {7C554162-8CB7-45A4-B8F4-8EA1C75885F9} - C:\Program Files\AOL\Pasek narzędzi AOL 5.0\aoltb.dll (AOL LLC)

:Files
C:\Users\krysia\AppData\Roaming\skype.ini
C:\Users\krysia\AppData\Local\erqahkmz.exe
C:\found.000

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania Skryptem.

3) Zainstaluj nowszą, bezpieczniejszą wersję Javy:
>http://www.oracle.com/technetwork/java/javase/downloads/jre7-downloads-1880261.html (wybierz: Windows x86 Offline)


(dziś już nie będzie mnie na Forum - przejrzę to dopiero jutro).
.

[adashko]

Punkt 1 i 3 wykonane, ale jest problem z wykonaniem skryptu, OTL łapie zawieszkę, co prawda chyba już po usunięciu wszystkiego, bo w okienku na dole zostaje tylko '[emptytemp]', aczkolwiek dolny pasek postępu w kółko się zapełnia i aplikacja tak jakby zostaje bez odpowiedzi...no ale nic, zamieszczam logi.

[ordynat]

Jest OK.
W Adw-Cleaner kliknij na przycisk Odinstaluj
W OTL kliknij na przycisk Sprzątanie - to go usunie razem z jego Kwarantanną.
To wszystko.
.

Autor postu otrzymał pochwałę

[adashko]

Dzięki wielkie ordynat