Wajrus ukash

[leoto]

Wiadomo. Proszę o pomoc:)

otl: http://wklej.to/vFunG
extras: http://wklej.to/aHH9J

[ordynat]

Dałeś 2 logi Extras.txt, a żadnego OTL.txt.

[leoto]

True

Proszę:

http://wklej.to/aJUzO

[ordynat]

Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:OTL
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktopChanges = 1
O16:64bit: - DPF: {CAFEEFAC-0016-0000-0017-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_17-windows-i586.cab (Java Plug-in 1.6.0_17)
O16:64bit: - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_17-windows-i586.cab (Java Plug-in 1.6.0_17)
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jinstall-1_6_0_31-windows-i586.cab (Java Plug-in 1.6.0_31)
O16 - DPF: {CAFEEFAC-0016-0000-0031-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_31-windows-i586.cab (Java Plug-in 1.6.0_31)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_31-windows-i586.cab (Java Plug-in 1.6.0_31)
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {E7DF6BFF-55A5-4EB7-A673-4ED3E9456D39} - No CLSID value found.
O2 - BHO: (AVG Security Toolbar) - {95B7759C-8C7F-4BF1-B163-73684A933233} - C:\Program Files (x86)\AVG Secure Search\12.2.5.32\AVG Secure Search_toolbar.dll ()
O3:64bit: - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O3 - HKLM\..\Toolbar: (AVG Security Toolbar) - {95B7759C-8C7F-4BF1-B163-73684A933233} - C:\Program Files (x86)\AVG Secure Search\12.2.5.32\AVG Secure Search_toolbar.dll ()
O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
FF - HKLM\Software\MozillaPlugins\@avg.com/AVG SiteSafety plugin,version=11.0.0.1,application/x-avg-sitesafety-plugin: C:\Program Files (x86)\Common Files\AVG Secure Search\SiteSafetyInstaller\12.2.6\\npsitesafety.dll ()
IE - HKCU\..\SearchScopes,DefaultScope = {95B7759C-8C7F-4BF1-B163-73684A933233}
IE - HKCU\..\SearchScopes\{95B7759C-8C7F-4BF1-B163-73684A933233}: "URL" = https://isearch.avg.com/search?cid={63699BD4-014D-4F3D-A79C-DE26C6352D46}&mid=54c1aac8f77f47d081abd16c229d83ba-a5f4a5e3a0e0c8c5aa6e9e1a2889601b35c60e53&lang=en&ds=bm013&pr=sa&d=2012-06-28 23:05:53&v=12.2.5.32&sap=dsp&q={searchTerms}

:Files
C:\ProgramData\dsgsdgdsgdsgw.pad
C:\Users\dell\AppData\Roaming\hellomoto
C:\Users\dell\AppData\Local\Microsoft\Windows\2961\taskschd.exe
C:\Users\dell\AppData\Local\Microsoft\Windows\2961

:Reg
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"taskschd"=-
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RESTART_STICKY_NOTES"=-

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania Skryptem.

Użyj >Adw-cleaner. Kliknij w nim Delete
Pokaż raport z niego C:\AdwCleaner[S1].txt

Zainstaluj nowszą, bezpieczniejszą wersję Javy:
>http://java.com/pl/download/windows_xpi.jsp?locale=pl
Przy instalacji usuń zaznaczenie przy "Install the AskToolbar ..."
Być może trzeba też zainstalować nowszą wersję Javy 64 bit >http://java.com/pl/download/faq/java_win64bit.xml

[leoto]

raport po restarcie http://wklej.to/zxeKI
nowy otl: http://wklej.to/ttSzk
advcleaner: http://wklej.to/L7gYK

[ordynat]

Boot Mode: SafeMode with Networking

Czyżby dalej nie dało się używać Trybu Normalnego?
Wg mnie - jest już OK.
Jeśli tak jest, to zrobisz tylko to:
W Adw-Cleaner kliknij na przycisk Uninstall
W OTL kliknij na przycisk Sprzątanie - to go usunie razem z jego Kwarantanną.

.

[leoto]

Nie, szafa gra:) Po prostu po restarcie uruchomiłem w awaryjnym jeszcze. Ale już widzę, że jest ok.

Dzięki!

acha, java już nie ma - przynajmniej u mnie - pytania o asktoolbar.

A jeszcze zapytam dla mojej wiedzy: co robi ten skrypt, który zaproponowałeś?

[ordynat]

Skrypt usuwa infekcję oraz niepotrzebne śmieci, a także opróżnia wszystkie foldery TEMP.

Autor postu otrzymał pochwałę

[leoto]

Cześć, znowu mam ten sam (lub podobny) syf na kompie, przy czym tym razem nie mogę komputera odpalić nawet z trybu awaryjnego. Po odpaleniu awaryjnego, komputer samodzielnie się restartuje, a co za tym idzie nie mogę podać żadnych logów. Jakieś pomysły jak to obejść?

[Edit]: dobra, dostałem się przez wiersz poleceń:

OTL
http://wklej.to/AICN5

Extras:
http://wklej.to/OOdqS

Pozdrawiam,
Tomek

[ordynat]

Masz dwie wersje tej infekcji: jedna tradycyjna, druga udaje ... Skype.
1) Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:Files
C:\Users\dell\AppData\Roaming\skype.ini
C:\Users\dell\AppData\Roaming\skype.dat
C:\Users\dell\wgsdgsdgdsgsd.exe

:OTL
O20 - HKCU Winlogon: Shell - (C:\Users\dell\AppData\Roaming\skype.dat) - C:\Users\dell\AppData\Roaming\skype.dat ()
O4 - HKCU..\Run: [RESTART_STICKY_NOTES] C:\Windows\System32\StikyNot.exe File not found
O4 - HKLM..\Run: [ROC_ROC_JULY_P1] "C:\Program Files (x86)\AVG Secure Search\ROC_ROC_JULY_P1.exe" / /PROMPT /CMPID=ROC_JULY_P1 File not found
O4 - HKLM..\Run: [vProt] "C:\Program Files (x86)\AVG Secure Search\vprot.exe" File not found
O4 - HKLM..\Run: [HF_G_Jul] "C:\Program Files (x86)\AVG Secure Search\HF_G_Jul.exe" /DoAction File not found

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania Skryptem.

2) Zainstaluj nowszą, bezpieczniejszą wersję Javy:
>http://www.oracle.com/technetwork/java/javase/downloads/jre7-downloads-1880261.html (wybierz: Windows x86 Offline)
Być może trzeba też zainstalować nowszą wersję Javy 64 bit >http://java.com/pl/download/faq/java_win64bit.xml
.

[leoto]

Wirus udający skype. Nieźle:)
Pomogło.

Załączam:

raport po skanowaniu:
http://wklej.to/5ZOOT

otl:
http://wklej.to/2PGdr

[ordynat]

W nowym logu już nie widzę infekcji, więc powinno być OK.
W OTL kliknij na przycisk Sprzątanie - to go usunie razem z jego Kwarantanną.
.

Autor postu otrzymał pochwałę