Weelosf, czyli blokada kodem ukasch

**Posty:** 9 · przez **Arto** 25 Lip 2012, 23:35

Witam, kumpel przyniósł mi lapka z tym czymś.
Temat dość znany.
Dodam że rano przed wyjściem do pracy na szybko znalazłem niby rozwiązanie które mówiło że Combofix wszystko załatwi, a więcej czasu ie było... (życie).
Mam nadzieję że nic nie namieszalem.

Aha, kolega używał IE8 (nie zaktualizowanego), Chrome ja tylko.
Proszę o pomoc, Artur

PS prosze o w miarę łopatologiczne rozwiązanie, bo zrobienie powyższych zaleceń zajęło mi trochę czasu

**Posty:** 18165 · przez **wojtas** 26 Lip 2012, 17:36

odinstaluj : DAEMON Tools Toolbar , Winamp Toolbar oraz vShare.tv plugin 1.3

Uruchom OTL i w sekcji własne opcje skanowania / skrypt wklej:

:OTL
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://startsear.ch/?aff=1&cf=99b85aea-2349-11e1-9fe7-0016d44e1802
IE - HKLM\..\URLSearchHook: {57BCA5FA-5DBB-45a2-B558-1755C3F6253B} - C:\Program Files\Winamp Toolbar\winamptb.dll (AOL Inc.)
IE - HKLM\..\SearchScopes\{EEE7E0A3-AE64-4dc8-84D1-F5D7BAF2DB0C}: "URL" = http://slirsredirect.search.aol.com/redirector/sredir?sredir=2685&query={searchTerms}&invocationType=tb50-ie-winamp-chromesbox-en-us&tb_uuid=20120109192940843&tb_oid=09-01-2012&tb_mrud=09-01-2012
IE - HKLM\..\SearchScopes\{F1865321-5C05-4466-B76A-BAE037C59CD7}: "URL" = http://startsear.ch/?aff=1&src=sp&cf=99b85aea-2349-11e1-9fe7-0016d44e1802&q={searchTerms}

:Commands
[emptytemp]

Kliknij wykonaj skrypt. I potwierdź reset komputera .

Użyj AdwCleaner i kliknij w nim Delete (w przypadku Visty/Windows7 uruchom z prawokliku jako Administrator)
Pokaż raport z niego

Następnie uruchamiasz OTL z opcją skanuj. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia (zawartość notatnika, która otworzy się po restarcie). czy nadal masz problem z blokadą?

**Posty:** 9 · przez **Arto** 26 Lip 2012, 21:31

Po wykonaniu skryptu komputer uruchomił się w trybie normalnym, blokada dalej była więc uruchomiłem w trybie awaryjnym, użyłem AdwCleaner i OTL z czyszczeniem.
Dodatkowo OTL musialem znowu ściągnąć, bo zniknął z pobranych
Problem nadal jest.

Dodano Dzisiaj, 22:08:
Widzę że wczesniej zrobiłem błąd, nie zaznaczyłem odpowiednich opcji w OTL...
pośpiech i brak czasu, przepraszam za problem i jednocześnie przestrzegam innych przed popełnieniem takiego błędu.

Oto właściewe wyniki skanowania.

**Posty:** 18165 · przez **wojtas** 29 Lip 2012, 11:03

Wejdz do trybu awaryjnego Windows i daj loga z Combofixa, zaś na koniec daj nowy log z OTL już z normalnego trybu.

**Posty:** 9 · przez **Arto** 29 Lip 2012, 18:39

Nic nie dało, zaraz po "muzyczce" powitalnej windowsa wszystko się blokuje

Combofix zatrzymuje się na kasowaniu folderów, nie mogę znaleźć raportu, próbowałem 3x

OTL zrobiony w trybie awaryjnym

**Posty:** 18165 · przez **wojtas** 30 Lip 2012, 23:41

w logach nic nie widać . nie masz innego konta na którym infekcja może mieć miejsce ?

**Posty:** 9 · przez **Arto** 31 Lip 2012, 16:45

Wcześniej robiłem wszstko jako administrator, jest jeszcze jedno konto na którym system chodzi autoatycznie, podaję z niego wyniki skanowania.

Jak uruchomilem kompa normalnie, ale bez sieci blokada była, ale nie pelna, tzn jakby błąd przeglądarki która nie mogła wyświetliś strony, chyba IE ale nic nie dało się zrobić.

**Posty:** 9 · przez **Arto** 07 Sie 2012, 21:33

czy zrobić dodatkowe raporty?

**Posty:** 18165 · przez **wojtas** 08 Sie 2012, 16:04

napisz jak dokładnie wygląda sytuacja , i daj nowe raporty

**Posty:** 9 · przez **Arto** 09 Sie 2012, 09:13

Komputer jest zablokowany przez UKASH. Po uruchomieniu przy wyłączonym dostępie do internetu IE informuje że jest błąd z połączeniem, ale dalej jest blokada i nic nie da się zrobić (wyświetla się biała stoona na pełnym ekranie).

Wcześniej robiłem wszystko w trybie awaryjnym z obsługą sieci jako administrator. Domyślnie komputer pracuje na innym koncie. Wstawiam aktualny raport OTL z drugirgo konta.
Dodaję też raport z Gmer

**Posty:** 18165 · przez **wojtas** 09 Sie 2012, 09:46

Ukash charakteryzuje się tym że nie włącza się komputer a trybie normalnym, wyskakują okienka o blokadzie

Uruchom OTL i w sekcji własne opcje skanowania / skrypt wklej:

:OTL
DRV - File not found [Kernel | On_Demand | Unknown] -- C:\DOCUME~1\Damian\USTAWI~1\Temp\kwxcifob.sys -- (kwxcifob)
DRV - File not found [Kernel | System | Stopped] -- system32\drivers\InCDRm.sys -- (InCDRm)
DRV - File not found [Kernel | System | Stopped] -- system32\drivers\InCDPass.sys -- (InCDPass)
DRV - File not found [File_System | Disabled | Stopped] -- system32\drivers\InCDFs.sys -- (InCDFs)
IE - HKU\S-1-5-21-631708448-1524708121-3614623730-1006\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://startsear.ch/?aff=1&cf=99b85aea-2349-11e1-9fe7-0016d44e1802
IE - HKU\S-1-5-21-631708448-1524708121-3614623730-1006\..\URLSearchHook: {57BCA5FA-5DBB-45a2-B558-1755C3F6253B} - No CLSID value found
IE - HKU\S-1-5-21-631708448-1524708121-3614623730-1006\..\URLSearchHook: {EF99BD32-C1FB-11D2-892F-0090271D4F88} - No CLSID value found
IE - HKU\S-1-5-21-631708448-1524708121-3614623730-1006\..\SearchScopes\{AD22EBAF-0D18-4fc7-90CC-5EA0ABBE9EB8}: "URL" = http://www.daemon-search.com/search?q={searchTerms}
IE - HKU\S-1-5-21-631708448-1524708121-3614623730-1006\..\SearchScopes\{AD22EBAF-0D18-4fc7-90CC-5EA0ABBE9EB9}: "URL" = http://www.daemon-search.com/search?q={searchTerms}
IE - HKU\S-1-5-21-631708448-1524708121-3614623730-1006\..\SearchScopes\{EEE7E0A3-AE64-4dc8-84D1-F5D7BAF2DB0C}: "URL" = http://slirsredirect.search.aol.com/redirector/sredir?sredir=2685&query={searchTerms}&invocationType=tb50-ie-winamp-chromesbox-en-us&tb_uuid=20120109192940843&tb_oid=09-01-2012&tb_mrud=09-01-2012
IE - HKU\S-1-5-21-631708448-1524708121-3614623730-1006\..\SearchScopes\{F1865321-5C05-4466-B76A-BAE037C59CD7}: "URL" = http://startsear.ch/?aff=1&src=sp&cf=99b85aea-2349-11e1-9fe7-0016d44e1802&q={searchTerms}
O3 - HKU\S-1-5-21-631708448-1524708121-3614623730-1006\..\Toolbar\ShellBrowser: (no name) - {C4069E3A-68F1-403E-B40E-20066696354B} - No CLSID value found.
O3 - HKU\S-1-5-21-631708448-1524708121-3614623730-1006\..\Toolbar\WebBrowser: (no name) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No CLSID value found.
O3 - HKU\S-1-5-21-631708448-1524708121-3614623730-1006\..\Toolbar\WebBrowser: (no name) - {32099AAC-C132-4136-9E9A-4E364A424E17} - No CLSID value found.
O3 - HKU\S-1-5-21-631708448-1524708121-3614623730-1006\..\Toolbar\WebBrowser: (no name) - {7AC3E13B-3BCA-4158-B330-F66DBB03C1B5} - No CLSID value found.
O3 - HKU\S-1-5-21-631708448-1524708121-3614623730-1006\..\Toolbar\WebBrowser: (no name) - {EBF2BA02-9094-4C5A-858B-BB198F3D8DE2} - No CLSID value found.
O3 - HKU\S-1-5-21-631708448-1524708121-3614623730-1006\..\Toolbar\WebBrowser: (no name) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - No CLSID value found.
O4 - HKU\S-1-5-21-631708448-1524708121-3614623730-1006..\Run: [BOS] C:\BOS\bos.exe ()
O4 - HKU\S-1-5-21-631708448-1524708121-3614623730-1006..\Run: [EXPLORER.EXE] C:\WINDOWS\explorer.exe (Microsoft Corporation)
O4 - HKU\S-1-5-21-631708448-1524708121-3614623730-1006..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe File not found
O4 - HKU\S-1-5-21-631708448-1524708121-3614623730-1006..\Run: [wsctf.exe] wsctf.exe File not found

:Files
C:\BOS

:Commands
[emptytemp]

Kliknij wykonaj skrypt. I potwierdź reset komputera .

Następnie uruchamiasz OTL z opcją skanuj. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia (zawartość notatnika, która otworzy się po restarcie).

**Posty:** 9 · przez **Arto** 09 Sie 2012, 09:59

jeszcze pytanko: po restarcie dalej w trybie awaryjnym, czy już normalnym? bo nigdzie nie jest to powiedziane

Dodano Dzisiaj, 10:17:
Ponownie uruchomił się w normalnie (nie w trybie awaryjnym.
Była blokada, albo i nie, uruchomił sie pulpit z tapetą tylko, nic nie było widać, nie uruchamiają się programy które zawsze startowały. Działają klawisze ALT+CTRL+DEL ale nie dało się uruchomić "START" ani menu z prawego przycisku.

W trybie awaryjnym to samo, czarny pulpit i nic więcej, nie uruchamia się menu START, nie widać paska narzędzi, dalej pracuję w awaryjnym.
Poprzez ALT+CRTL+DEL uruchomiłem Menedżera zadań i ręcznie OTL.
Pokazał się raport.
08092012_095739.log
Dołączam nowy skan OTL.

Dołączam jescze raporty z OTL z trybu normalnego. Działa tak jak tryb awaryjny, czyli nic nie ma jedynie ręcznie da się wszystko uruchomić z nenedżera zadań.

**Posty:** 205 · przez **defacto19** 09 Sie 2012, 12:52

Uruchom OTL i w sekcji (Własne opcje skanowania/Skrypt) wklej:

:OTL
DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\usbohci.sys -- (usbohci)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\DOCUME~1\Damian\USTAWI~1\Temp\sony_ssm.sys -- (sony_ssm.sys)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\DOCUME~1\Damian\USTAWI~1\Temp\catchme.sys -- (catchme)
IE - HKU\S-1-5-21-631708448-1524708121-3614623730-1006\SOFTWARE\Microsoft\Internet Explorer\Main,Search Page = http://uk.rd.yahoo.com/customize/ycomp/defaults/sp/*http://uk.yahoo.com
IE - HKU\S-1-5-21-631708448-1524708121-3614623730-1006\SOFTWARE\Microsoft\Internet Explorer\Main,Secondary Start Pages = [Binary data over 100 bytes]
IE - HKU\S-1-5-21-631708448-1524708121-3614623730-1006\..\SearchScopes\{77967146-E30F-4064-A59D-52F128D3AA87}: "URL" = http://search.yahoo.com/search?p={searchTerms}&ei=utf-8&fr=b1ie7
O4 - HKU\S-1-5-21-631708448-1524708121-3614623730-1006..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\DTLite.exe" -autorun File not found
O8 - Extra context menu item: Funkcja Google Sidewiki - res://C:\Program Files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_60D6097707281E79.dll/cmsidewiki.html File not found

:Files
C:\WINDOWS\tasks\User_Feed_Synchronization-{26AF33E9-272E-40F9-BE7E-AA150E8C03BC}.job
C:\WINDOWS\tasks\GoogleUpdateTaskMachineCore.job
C:\WINDOWS\tasks\GoogleUpdateTaskMachineUA.job
C:\WINDOWS\bthservsdp.dat
C:\FOUND.011
C:\FOUND.010
C:\FOUND.009
C:\FOUND.008
C:\FOUND.007
C:\FOUND.006
C:\FOUND.005

:Reg
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"="explorer.exe"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"

:Commands
[emptytemp]

Kliknij wykonaj skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie. Następnie uruchom OTL ponownie, i wygeneruj nowy raport OTL z opcji Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania.

**Posty:** 9 · przez **Arto** 09 Sie 2012, 22:03

Dalej goły pulpit, wszystko uruchamiam ręcznie z menedżera zadań wywołanego poprzez ALT+CTRL+DEL. Pracuję w tyybie normalnym tak jak się komp automtycznie uruchamia.

raport ze startu( OTL otwarty ręcznie)
08092012_214253.log

**Posty:** 18165 · przez **wojtas** 10 Sie 2012, 15:25

tu jest problem :

O20 - HKLM Winlogon: Shell - (explorer.exe) - File not found

Pobierz:
http://www.sendspace.com/file/07zrqe
Wrzuć go do C:\WINDOWS

reset kompa i sprawdź czy pomogło

**Posty:** 9 · przez **Arto** 10 Sie 2012, 19:05

działa wszystko. BRAWO

Kto jest na forum