Wirus ukash prośba o pomoc

**Posty:** 2 · przez **nitro1987** 24 Paź 2012, 17:28

Witam wszystkich,

Proszę o pomoc w pozbyciu się tego dziadostwa, które nie pozwala nic zrobić.
Wklejam logi i dziękuję z góry za pomoc.

**Posty:** 4765 · przez **ordynat** 24 Paź 2012, 17:58

Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:OTL
MOD - [2012/10/24 08:45:11 | 000,186,880 | ---- | M] () -- C:\Users\OLIMPIA\AppData\Roaming\322C4\0FB9C.exe
MOD - [2012/09/12 08:32:17 | 000,322,048 | ---- | M] () -- C:\Users\OLIMPIA\AppData\Roaming\Microsoft\8433\BCB.exe
MOD - [2012/07/21 07:26:46 | 000,204,800 | ---- | M] () -- C:\Users\OLIMPIA\AppData\Roaming\C4932\lvvm.exe
MOD - [2011/11/18 00:34:54 | 000,144,896 | ---- | M] () -- C:\Users\OLIMPIA\AppData\Roaming\Here\tilia.exe
IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 1
IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = http=127.0.0.1:49313
IE - HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 1
IE - HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = http=127.0.0.1:49313
IE - HKU\S-1-5-21-1910119851-4200616409-343687219-1000\..\SearchScopes\{569AAB49-443E-4D41-B75A-70E6171D666E}: "URL" = http://uk.shopping.com/?linkin_id=8056359
IE - HKU\S-1-5-21-1910119851-4200616409-343687219-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 1
IE - HKU\S-1-5-21-1910119851-4200616409-343687219-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = http=127.0.0.1:49313
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - No CLSID value found.
O4 - HKLM..\Run: [249.exe] C:\Program Files (x86)\LP\9CB3\249.exe ()
O4 - HKLM..\Run: [BCB.exe] C:\Program Files (x86)\LP\8433\BCB.exe ()
O4 - HKU\S-1-5-21-1910119851-4200616409-343687219-1000..\Run: [249.exe] C:\Users\OLIMPIA\AppData\Roaming\Microsoft\9CB3\249.exe ()
O4 - HKU\S-1-5-21-1910119851-4200616409-343687219-1000..\Run: [BCB.exe] C:\Users\OLIMPIA\AppData\Roaming\Microsoft\8433\BCB.exe ()
O4 - HKU\S-1-5-21-1910119851-4200616409-343687219-1000..\Run: [Opbilyru] C:\Users\OLIMPIA\AppData\Roaming\Here\tilia.exe ()
O4 - Startup: C:\Users\OLIMPIA\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk = C:\ProgramData\lsass.exe (Microsoft Corporation)
F3:64bit: - HKU\S-1-5-21-1910119851-4200616409-343687219-1000 WinNT: Load - (C:\Users\OLIMPIA\AppData\Roaming\C4932\lvvm.exe) - C:\Users\OLIMPIA\AppData\Roaming\C4932\lvvm.exe ()
F3 - HKU\S-1-5-21-1910119851-4200616409-343687219-1000 WinNT: Load - (C:\Users\OLIMPIA\AppData\Roaming\C4932\lvvm.exe) - C:\Users\OLIMPIA\AppData\Roaming\C4932\lvvm.exe ()
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktopChanges = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HideSCAHealth = 1
O16:64bit: - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jinstall-1_6_0_16-windows-i586.cab (Java Plug-in 1.6.0_16)
O16:64bit: - DPF: {CAFEEFAC-0016-0000-0016-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_16-windows-i586.cab (Java Plug-in 1.6.0_16)
O16:64bit: - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_16-windows-i586.cab (Reg Error: Key error.)
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jinstall-1_6_0_16-windows-i586.cab (Java Plug-in 1.6.0_16)
O16 - DPF: {CAFEEFAC-0016-0000-0016-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_16-windows-i586.cab (Java Plug-in 1.6.0_16)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_16-windows-i586.cab (Java Plug-in 1.6.0_16)
[2012/10/23 22:58:59 | 000,044,544 | ---- | M] (Microsoft Corporation) -- C:\ProgramData\lsass.exe
[2012/10/23 22:59:04 | 000,000,824 | ---- | C] () -- C:\Users\OLIMPIA\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk
[2012/10/23 22:59:00 | 083,023,306 | ---- | C] () -- C:\ProgramData\dsgsdgdsgdsgw.pad
[2012/07/27 00:06:36 | 000,321,024 | ---- | C] () -- C:\Users\OLIMPIA\AppData\Roaming\wmplayer.exe
[2012/07/22 12:50:00 | 000,321,024 | ---- | C] () -- C:\Users\OLIMPIA\AppData\Roaming\chrome.exe
[2012/07/13 22:27:02 | 000,356,352 | ---- | C] () -- C:\Users\OLIMPIA\AppData\Local\ifoqilbl.exe
[2012/07/08 21:59:27 | 000,314,880 | ---- | C] () -- C:\Users\OLIMPIA\AppData\Local\vencji.exe
[2012/07/07 21:47:20 | 000,314,880 | ---- | C] () -- C:\Users\OLIMPIA\AppData\Local\zfuphynk.exe
[2012/02/21 09:28:25 | 000,322,048 | ---- | C] () -- C:\Users\OLIMPIA\AppData\Roaming\iexplore.exe
[2011/10/12 01:21:32 | 000,322,048 | ---- | C] () -- C:\Users\OLIMPIA\AppData\Roaming\java.exe

:Files
C:\Users\OLIMPIA\AppData\Local\Temp*.html
C:\Users\OLIMPIA\AppData\Roaming\C4932
C:\Users\OLIMPIA\AppData\Roaming\Here
C:\Users\OLIMPIA\AppData\Roaming\Microsoft\8433
C:\Users\OLIMPIA\AppData\Roaming\Microsoft\9CB3
C:\Program Files (x86)\LP
C:\Program Files (x86)\LP\9CB3

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania Skryptem.

Zainstaluj nowszą, bezpieczniejszą wersję Javy:
>http://java.com/pl/download/windows_xpi.jsp?locale=pl
Przy instalacji usuń zaznaczenie przy "Install the AskToolbar ..."
Być może trzeba też zainstalować nowszą wersję Javy 64 bit >http://java.com/pl/download/faq/java_win64bit.xml

Autor postu otrzymał pochwałę

**Posty:** 2 · przez **nitro1987** 26 Paź 2012, 15:26

Wielkie podziękowania. Wirusa już nie ma. Ponowny skan wykonany (log załączony, niestety FXSAPIDebugLogFile.txt jest pusty). Java w wersji 32 aktualna. Czy 64bit wersja lubi się z 32bit? Czy nie potrafią żyć obok siebie i albo jedna albo druga?

**Posty:** 4765 · przez **ordynat** 26 Paź 2012, 16:36

Można mieć zarówno Javę 332 bit, jak i 64 bit - nie pożrą się.

UKASH'a wpawdzie już nie masz, ale Keylogger dalej jest.
Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:OTL
MOD - [2012/10/24 18:05:07 | 000,186,880 | ---- | M] () -- C:\Users\OLIMPIA\AppData\Roaming\322C4\CA984.exe
O20 - HKCU Winlogon: Shell - (C:\Users\OLIMPIA\AppData\Roaming\322C4\CA984.exe) - C:\Users\OLIMPIA\AppData\Roaming\322C4\CA984.exe ()
[2012/10/24 18:05:39 | 000,000,000 | ---D | C] -- C:\Users\OLIMPIA\AppData\Roaming\C4932

:Files
C:\Users\OLIMPIA\AppData\Roaming\322C4

:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
Następnie uruchom OTL ponownie, tym razem kliknij Skanuj.
Pokaż nowy log OTL.txt oraz raport z usuwania Skryptem.
*