Ukash problem ponownie.

**Posty:** 8 · przez **niemir** 18 Paź 2012, 14:18

Witam, kolejna prosba o pomoc z Ukash. Jezeli ktoś ma chwilke czasu to prosze po pomoc bo jestem w tym zielony:]

Wrzucam moje logi.

Z góry dziekuje.

pozdrawiam maciek

**Posty:** 4765 · przez **ordynat** 18 Paź 2012, 17:03

1) Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:OTL
O4 - Startup: C:\Users\Dom\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk = C:\ProgramData\lsass.exe (Microsoft Corporation)
[2012-10-18 13:37:07 | 083,023,306 | ---- | M] () -- C:\ProgramData\0tbpw.pad
MOD - [2012-10-16 16:07:25 | 000,129,536 | ---- | M] () -- C:\Users\Dom\AppData\Local\Temp\wpbt0.dll
MOD - [2012-04-26 12:24:34 | 001,997,312 | ---- | M] () -- C:\Windows\System32\397cdb06.dll
MOD - [2012-02-15 18:56:52 | 000,147,784 | ---- | M] () -- C:\Program Files\Browsers Protector\regmon32.exe
SRV - File not found [Auto | Stopped] -- C:\Users\ADMINI~1\AppData\Local\Temp\DX9\SessionLauncher.exe -- (SessionLauncher)
SRV - File not found [Auto | Stopped] -- C:\Program Files\Common Files\Roxio Shared\10.0\SharedCOM\RoxLiveShare10.exe -- (RoxLiveShare10)
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://startsear.ch/?aff=1&cf=bcfd891a-3940-11e1-aa6a-90e6ba5fdb96
IE - HKLM\..\URLSearchHook: {57BCA5FA-5DBB-45a2-B558-1755C3F6253B} - C:\Program Files\Winamp Toolbar\winamptb.dll (AOL LLC.)
IE - HKLM\..\SearchScopes,DefaultScope = {EEE7E0A3-AE64-4dc8-84D1-F5D7BAF2DB0C}
IE - HKLM\..\SearchScopes\{EEE7E0A3-AE64-4dc8-84D1-F5D7BAF2DB0C}: "URL" = http://slirsredirect.search.aol.com/slirs_http/sredir?sredir=2685&query={searchTerms}&invocationType=tb50winampie7
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://startsear.ch/?aff=1&cf=bcfd891a-3940-11e1-aa6a-90e6ba5fdb96
IE - HKCU\..\URLSearchHook: {00000000-6E41-4FD3-8538-502F5495E5FC} - C:\Program Files\Ask.com\GenericAskToolbar.dll (Ask)
IE - HKCU\..\URLSearchHook: {57BCA5FA-5DBB-45a2-B558-1755C3F6253B} - C:\Program Files\Winamp Toolbar\winamptb.dll (AOL LLC.)
IE - HKCU\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = http://startsear.ch/?aff=1&src=sp&cf=bcfd891a-3940-11e1-aa6a-90e6ba5fdb96&q={searchTerms}
IE - HKCU\..\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}: "URL" = http://websearch.ask.com/redirect?client=ie&tb=BT5&o=15443&src=kw&q={searchTerms}&locale=en_US&apn_ptnrs=GX&apn_dtid=YYYYYYB3PL&apn_uid=056A8CA0-1B8F-48E2-9E27-4CF8A6123994&apn_sauid=2501BA66-2A69-48B6-9C16-E2DECE8B5AFE
FF - prefs.js..browser.startup.homepage: "http://startsear.ch/?aff=1&cf=bcfd891a-3940-11e1-aa6a-90e6ba5fdb96"
[2012-10-14 23:03:44 | 000,000,000 | ---D | M] (z) -- C:\Program Files\Mozilla Firefox\extensions\{813220c5-d6ca-d983-09c0-fd658a20c4cb}
[2011-10-03 11:14:54 | 000,083,456 | ---- | M] (vShare.tv ) -- C:\Program Files\mozilla firefox\plugins\npvsharetvplg.dll
O2 - BHO: (Winamp Toolbar Loader) - {25CEE8EC-5730-41bc-8B58-22DDC8AB8C20} - C:\Program Files\Winamp Toolbar\winamptb.dll (AOL LLC.)
O2 - BHO: (IE5BarLauncherBHO Class) - {78F3A323-798E-4AEA-9A57-88F4B05FD5DD} - C:\Program Files\vShare.tv plugin\BarLcher.dll (VShare Inc.)
O2 - BHO: (extrafind) - {90d0f00b-ef42-316c-b752-863a1fce43e0} - C:\Windows\System32\397cdb06.dll ()
O2 - BHO: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll (Ask)
O3 - HKLM\..\Toolbar: (DAEMON Tools Toolbar) - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll ()
O3 - HKLM\..\Toolbar: (VShareToolBar) - {7AC3E13B-3BCA-4158-B330-F66DBB03C1B5} - C:\Program Files\vShare.tv plugin\BarLcher.dll (VShare Inc.)
O3 - HKLM\..\Toolbar: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll (Ask)
O3 - HKLM\..\Toolbar: (Winamp Toolbar) - {EBF2BA02-9094-4c5a-858B-BB198F3D8DE2} - C:\Program Files\Winamp Toolbar\winamptb.dll (AOL LLC.)
O3 - HKCU\..\Toolbar\WebBrowser: (DAEMON Tools Toolbar) - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll ()
O3 - HKCU\..\Toolbar\WebBrowser: (VShareToolBar) - {7AC3E13B-3BCA-4158-B330-F66DBB03C1B5} - C:\Program Files\vShare.tv plugin\BarLcher.dll (VShare Inc.)
O3 - HKCU\..\Toolbar\WebBrowser: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll (Ask)
O3 - HKCU\..\Toolbar\WebBrowser: (Winamp Toolbar) - {EBF2BA02-9094-4C5A-858B-BB198F3D8DE2} - C:\Program Files\Winamp Toolbar\winamptb.dll (AOL LLC.)
O20 - HKCU Winlogon: Shell - (C:\RECYCLER\S-1-5-21-8287426021-9754367352-013113792-1136\windll.exe) - File not found
[2012-10-16 16:07:31 | 000,000,762 | ---- | M] () -- C:\Users\Dom\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk

:Files
whjj.cmd /alldrives

:Reg
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania Skryptem.

2) Użyj >Adw-cleaner. Kliknij w nim Delete
Pokaż raport z niego C:\AdwCleaner[S1].txt

3) Użyj >USBFix
Kliknij w nim na:DELETION.
Daj raport z tego usuwania.

**Posty:** 8 · przez **niemir** 18 Paź 2012, 17:21

Dziękuje za skrypt i reszte wskazówek. Jestem teraz w pracy i działam na innym sprzęcie.
Jak tylko wróce to pochwalę się tym co wyszło i podrzuce raporty.

Dzięki wielkie

maciek

Dodano Dzisiaj, 22:04:
Witam.

Przesyłam raporty. Niestety z AdwCleanera przesyłam drugi raport bo pierwszy niestety zamknąłem.
Ogólnie komp działa i jest w miare ok na pierwszy rzut oka:].

Dzięki wielkie.

maciek

**Posty:** 4765 · przez **ordynat** 18 Paź 2012, 22:32

Deleted ! C:\MUZYKA

Chyba nie zwróciłeś uwagi na ostrzeżenie w opisie USBFix'a - w efekcie USBFix usunął Twój folder z muzyką.
Teraz musisz wyciągać swoje pliki muzyczne z Kwarantanny, postępując wg punktu 4c opisu USBFix
Do masowego usuwania przyrostka .vir z nazw przywracanych plików muzycznych możesz użyć
>Renamer >http://www.searchengines.pl/Masowa-zmiana-nazw-plikow-i-folderow-t35767.html
Ale nie wiem, jak się go obsługuje - nie miałem okazji wypróbować.

W nowym logu OTL nie widzę już infekcji.
Widać jeszcze kilka "rzeczy" do usunięcia, ale tylko dlatego, że log OTL był robiony przed użyciem Adw-Cleaner'a; a ten powinien usunąć te "rzeczy".

Możemy kończyć:
W Adw-Cleaner kliknij na przycisk Uninstall
W OTL kliknij na przycisk Sprzątanie - to go usunie razem z jego Kwarantanną.

Po wyciągnięciu swoich plików muzycznych z Kwarantanny USBFix'a, zrobisz to:
W USBFix klikniesz na przycisk UNINSTALL.
.

**Posty:** 8 · przez **niemir** 19 Paź 2012, 15:55

Witam ponownie.

Niestety infekcja powróciła i musze jeszcze raz poprosić o pomoc.Przesyłam moje logi.
I jeszcze pytanko: jakie oprogramowanie mam zainstalowac zeby chronic sie przed takim infekcjami??

z góry dzięki

maciek

**Posty:** 4765 · przez **ordynat** 19 Paź 2012, 16:52

Przed tą konkretną infekcją nie ochroni Cię żaden Antivirus.
Infekcja przedostaje się na komputer wykorzystując luki w nieaktualizowanych programach i wtyczkach, zwłaszcza Javy i Adobe Flash Player.
Ale zachodzi pytanie, dlaczego u niektórych, mimo nieaktualizowanych programach i dodatkach, nie ma tej infekcji?
Najwidoczniej ci użytkownicy nie wchodzą na strony te same, co ci użytkownicy zarażani.
Tak więc musiałbyś całkowicie zrezygnować z wchodzenia na strony, na które dotychczas wchodziłeś. Żeby było jasne: mowa tu o stronach, które nie są powszechnie uznawane za podejrzane, mowa tu o stronach normalnych.

Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:OTL
O4 - Startup: C:\Users\Dom\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk = C:\ProgramData\lsass.exe (Microsoft Corporation)
[2012-10-19 12:52:56 | 083,023,306 | ---- | M] () -- C:\ProgramData\0tbpw.pad
[2012-10-19 12:39:02 | 000,000,762 | ---- | M] () -- C:\Users\Dom\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Secondary Start Pages = Reg Error: Value error.

:Reg
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
"Start Page"="http://www.google.pl/"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="http://www.google.pl/"

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania Skryptem.

.

**Posty:** 8 · przez **niemir** 19 Paź 2012, 21:34

Ponowne wielkie dzieki bo znow wydaje sie byc wszystko ok.

Wklejam log i raport.

pozdrawiam

maciek

**Posty:** 4765 · przez **ordynat** 19 Paź 2012, 21:41

W nowym logu nie widzę już niczego szkodliwego, więc powinno być OK.

W OTL kliknij na przycisk Sprzątanie - to go usunie razem z jego Kwarantanną.

.

**Posty:** 8 · przez **niemir** 26 Sty 2013, 17:22

Witam. Po raz kolejny to ustrojstwo mnie dopadlo. Przesyłam logi, z góry dziękuje za pomoc.

pozdrawiam maciek

**Posty:** 4765 · przez **ordynat** 26 Sty 2013, 17:25

Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:Files
C:\ProgramData\94353a51-4b01-46d0-9675-cb6dccc87b5c
C:\ProgramData\9cf1702f-19f6-4d6f-88bc-49b63c6b1daf
C:\Users\Dom\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk
C:\ProgramData\lsass.exe
C:\ProgramData\0tbpw.pad

:OTL
O4 - Startup: C:\Users\Dom\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk = C:\ProgramData\lsass.exe (Microsoft Corporation)
SRV - File not found [Auto | Stopped] -- C:\Users\ADMINI~1\AppData\Local\Temp\{4D63BA58-65E7-4BD0-B8A7-968C0286F09C}\{061A431C-86E7-4DB4-92B8-36DE783865CF}\STK2135\Win2KXP\stk2135bsrv.exe -- (XYNTService)

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania Skryptem.
.

**Posty:** 8 · przez **niemir** 26 Sty 2013, 18:57

Przesyłam raport i log z OTL.

pozdrawiam maciek

**Posty:** 4765 · przez **ordynat** 26 Sty 2013, 19:08

Wg mnie - jest OK.
W OTL kliknij na przycisk Sprzątanie - to go usunie razem z jego Kwarantanną.

Zainstaluj nowszą, bezpieczniejszą wersję Javy:
>http://www.oracle.com/technetwork/java/javase/downloads/jre7-downloads-1880261.html (wybierz: Windows x86 Offline)
.

**Posty:** 8 · przez **niemir** 27 Sty 2013, 15:52

dzięki wielkie za pomoc, poki co jest ok.

Mozilla troche muli i nie bardzo wiem dlaczego.

Chciałem zapytać jeszcze o jakieś oprogramowanie do wykrywania oprogramowania szpiegującego, robaków itd. Co polecasz?

Jeszce raz dzieki wielkie za pomoc.

pozdrawiam maciek

**Posty:** 4765 · przez **ordynat** 27 Sty 2013, 16:28

Chciałem zapytać jeszcze o jakieś oprogramowanie do wykrywania oprogramowania szpiegującego, robaków itd. Co polecasz?

W tej chwili najlepszym skanerem na żądanie jest MBAM >http://www.programosy.pl/program,malwarebytes-anti-malware.html
Wersja bezpłatna nie ma ochrony w czasie rzeczywistym, ale ochronę taką ma Twój Antywirus (jaki, bo ja w logach żadnego nie widzę?).
.

**Posty:** 8 · przez **niemir** 27 Sty 2013, 16:44

W tym momencie nie mam zadnego, który skanował by system w czasie rzeczywistym bo nie wiem co instalować. Miałem Nortona kiedyś ale wywalilem.

pozdrawiam maciek

Kto jest na forum