Wirus z żądaniem zapłaty, jak go usunąć?

[amaltea.elara]

Witam, od wczoraj mam zainfekowany komputer (wyskoczylo zadanie zaplaty za odblokowanie komputera przy ladowaniu sie pulpitu) calkiem prawdopodobne ze sciagnelam tego wirusa z aktualizacja javy 7, bo od wtedy zaczal sie komputer wieszac, bedac, a bynajmniej starajac sie byc osoba samodzielna postaralam sie na wlasna reke zajac tym problemem, wygooglowalam problem i przeczytalam ze nalezy usunac konto uzytkownika i zalozyc nowe administratora, tak tez uczynilam, oprocz tego ze znikly mi wszystkie rzeczy z pulpitu( na szczescie sa na dysku) wszystkie, ale to wszystkie pliki sa oznaczone jako "Plik BLOCK" do tego znalazlam gdzies w folderze ostrzezenie od wirusa, zapewne wcale nie zostal on usuniety, na trybie awaryjnym jakos smiga, aczkolwiek nie moge otwierac plikow poblokowanych, w zalaczniku pliki z OTLa i ostrzezenie od wirusa, bede bardzo wdzieczna za pomoc, pozdrawiam

[ordynat]

Nie widzę tu wcale infekcji "Wirus z żądaniem zapłaty".
Zrób log z OTL na tym niby zarażonym koncie oraz drugi log na ustawieniu "wszyscy użytkownicy".

W logu widać ślady po infekcji ZeroAcces/Sirefef.
1) Użyj >>RogueKiller (aby pobrać kliknij na obrazek po Lien de téléchargement :)
Kliknij w nim SCAN, a po wyszukaniu szkodliwych rzeczy kliknij DELETE.
Daj z tego raport.
2) Zrób log z Farbar Service Scanner >http://download.bleepingcomputer.com/farbar/FSS.exe (do skanowania zaznacz wszystko).
3) Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej to:

:OTL
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.v9.com/?utm_source=b&utm_medium=vlt2&from=vlt2&uid=ST320LM000_HM321HI_S26VJ9BC414084&ts=1350494224
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://www.v9.com/?utm_source=b&utm_medium=vlt2&from=vlt2&uid=ST320LM000_HM321HI_S26VJ9BC414084&ts=1350494224
DRV:64bit: - [2012/10/24 12:42:51 | 000,030,568 | ---- | M] (AVG Technologies) [Kernel | System | Running] -- C:\Windows\SysNative\drivers\avgtpx64.sys -- (avgtp)
FF - HKLM\Software\MozillaPlugins\@avg.com/AVG SiteSafety plugin,version=11.0.0.1,application/x-avg-sitesafety-plugin: C:\Program Files (x86)\Common Files\AVG Secure Search\SiteSafetyInstaller\13.2.0\\npsitesafety.dll ()
FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\avg@toolbar: C:\ProgramData\AVG Secure Search\FireFoxExt\13.2.0.5 [2012/11/08 16:39:29 | 000,000,000 | ---D | M]
[2012/11/08 16:39:27 | 000,003,573 | ---- | M] () -- C:\Program Files (x86)\mozilla firefox\searchplugins\avg-secure-search.xml
[2012/07/05 21:05:54 | 000,002,351 | ---- | M] () -- C:\Program Files (x86)\mozilla firefox\searchplugins\babylon.xml
[2012/10/17 18:17:10 | 000,000,402 | ---- | M] () -- C:\Program Files (x86)\mozilla firefox\searchplugins\v9.xml
O2 - BHO: (AVG Security Toolbar) - {95B7759C-8C7F-4BF1-B163-73684A933233} - C:\Program Files (x86)\AVG Secure Search\13.2.0.5\AVG Secure Search_toolbar.dll ()
O3:64bit: - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O3 - HKLM\..\Toolbar: (AVG Security Toolbar) - {95B7759C-8C7F-4BF1-B163-73684A933233} - C:\Program Files (x86)\AVG Secure Search\13.2.0.5\AVG Secure Search_toolbar.dll ()
O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O4 - HKLM..\Run: [ROC_roc_ssl_v12] C:\Program Files (x86)\AVG Secure Search\ROC_roc_ssl_v12.exe ()
O4 - HKLM..\Run: [vProt] C:\Program Files (x86)\AVG Secure Search\vprot.exe ()
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktopChanges = 1
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jinstall-1_6_0-windows-i586.cab (Reg Error: Value error.)
O16 - DPF: {CAFEEFAC-0016-0000-0000-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0-windows-i586.cab (Java Plug-in 1.6.0)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0-windows-i586.cab (Java Plug-in 10.9.2)
[2012/12/05 22:49:13 | 000,000,000 | ---D | C] -- C:\windows\SysNative\%LOCALAPPDATA%
[2012/12/05 20:25:14 | 000,000,000 | ---D | C] -- C:\windows\%LocalAppData%
:Files
C:\$Recycle.Bin\S-1-5-18\$dc4d5743e05607f84fac5f2629c16dda
:Commands
[emptytemp]

Kliknij w Wykonaj Skrypt. Zatwierdź restart komputera. Zapisz raport, który pokaże się po restarcie.
4) Użyj >Adw-cleaner (aby pobrać kliknij na dużą zieloną strzałkę po prawej).
Kliknij w nim Usuń
Pokaż raport z niego C:\AdwCleaner[S1].txt
5) Użyj FileViewPro->http://www.fileviewpro.com/pl/file-extension-block
6) Zrób nowy log z OTL.
7) Do >SystemLook-64 wklej:

:reg
HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
HKEY_CURRENT_USER\Software\Classes\CLSID\{fbeb8a05-beee-4442-804e-409d6c4515e9} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{5839FCA9-774D-42A1-ACDA-D6A79037F57F} /s

:filefind
services.exe

:dir
C:\$Recycle.Bin /s

Naciśnij Look i pokaż raport.

[amaltea.elara]

postapie zgodnie z instrukcja, mam jeszcze pytanie, jesli nie widac infekcji czemu nie da sie otwierac zadnych plikow w Typ pliku jest to "Plik BLOCK" czy da sie to jakos odblokowac? naprawic?

Dodano Dzisiaj, 12:59:
postąpilam zgodnie z instrukcjami, w zalaczniku wszystkie raporty. Jak juz wczesniej napisalam usunelam zarazone konto, a to na ktorym teraz robie wszystko zostalo stworzone prze zemnie. Pliki w kolejności odwrotnej niz w instrukcji. wszystkie pliki dlajej maja BLOCK, przy probie otworzenia pliku w FileViewPro wyskakuje blad, załączam Prt Sc. czy pliki ulegly uszkodzeniu? da sie to jakos naprawic?

[ordynat]

Zarówno z logu SystemLook, jak i nowego logu OTL, wynika, że ZeroAcces/Sirefef jest dalej, pomimo usunięcia go przez RogueKiller.
Ale zastanawiam się, czy jest sens próbować go usunąć, skoro piszesz, że "Plik BLOCK" dalej blokuje plik, a u Ciebie nie da się użyć "FileViewPro".
Skonsultuję się z @Wojtas poprzez PW, czy może zna jakiś inny sposób na odblokowanie tych plików.
Jeśli nie będzie znał, to i tak trzeba będzie sformatować dysk, więc nie będzie potrzeby usuwania ZeroAcces/Sirefef.

EDIT:
Skonsultowałem to z @Wojtas - znalazł podobny problem >http://www.fixitpc.pl/topic/14756-komputer-zostal-zablokowany-pliki-z-rozszerzeniem-block/
Albo śledź tamten temat, albo nawet załóż tam własny temat - jeśli @Picasso coś wymyśli na to, to i Tobie udzieli pomocy.

.

[amaltea.elara]

dziekuje bardzo za pomoc, jeśli znajdzie się jakieś rozwiązanie bede wdzieczna za info, jeśli ja coś znajde, oczywiście podziele się na forum, pozdrawiam
mój wątek:
http://www.fixitpc.pl/topic/14785-wirus-z-zadaniem-zaplaty-komputer-zablokowany-pliki-block/