Trojan-ransom, podszywa się pod brytyjską policję

[ashelos]

Witam,
Przez przypadek wszedłem na jakąś stronę, laptop sam się zresetował a po ponownym uruchomieniu zamiast dostępu do pulpitu wyświetla się logo brytyjskiego Scotland Yardu oraz nakaz zapłaty 100 funtów w zamian za odblokowanie; nie można zrobić dosłownie nic oprócz wpisania kodu zapłaty...Nadmieniam, iż system mogę uruchomić w trybie awaryjnym z obslugą sieci, wtedy wszystko działa ok i nie ma niechcianej "tapety" . Jestem całkowicie bezradny, proszę o pomoc...poniżej zamieszczam logi z OTL:
http://www.wklej.eu/index.php?id=e0287f00c2
Dziękuje za odpowiedź.

[mateo8898]

Brak drugiego logu z OTL. Brak także logu z Gmer otl-gmer-silent-runners-sdfix-i-inne-poradnik-t13967.html#p88736 - do uzupełnienia.

Odinstaluj Foxit PDF Creator Toolbar, Akamai NetSession Interface. Następnie:

Uruchom OTL w oknie Własne opcje skanowania/skrypt wklej:

Kod: Zaznacz wszystko

:OTL
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Windows\xhunter1.sys -- (xhunter1)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Windows\system32\XDva391.sys -- (XDva391)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Windows\system32\XDva379.sys -- (XDva379)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Windows\system32\XDva377.sys -- (XDva377)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Windows\system32\XDva375.sys -- (XDva375)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Windows\system32\XDva374.sys -- (XDva374)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Windows\system32\XDva359.sys -- (XDva359)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Windows\system32\XDva356.sys -- (XDva356)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Windows\system32\XDva321.sys -- (XDva321)
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Windows\vtany.sys -- (vtany)
DRV - File not found [Kernel | On_Demand | Stopped] -- d:\Softnyx\RakionIS\Bin\apf001.sys -- (apf001)
IE - HKU\S-1-5-21-1759772117-3928197486-3044164475-1000\..\SearchScopes\{2DFA72C3-271B-47DB-9D6A-8B3AA9DEF6D5}: "URL" = http://websearch.ask.com/redirect?client=ie&tb=FXTV5&o=101699&src=crm&q={searchTerms}&locale=en_US&apn_ptnrs=F4&apn_dtid=YYYYYYYYPL&apn_uid=fb118b28-3478-4d08-84bf-8ff5300f7460&apn_sauid=AA1BEE20-FFD7-467F-A46D-E4BDB90FFFB9
IE - HKU\S-1-5-21-1759772117-3928197486-3044164475-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = 127.0.0.1:9421;<local>
FF - HKLM\Software\MozillaPlugins\@pandonetworks.com/PandoWebPlugin: C:\Program Files\Pando Networks\Media Booster\npPandoWebPlugin.dll File not found
O2 - BHO: (no name) - {F5CC7F02-6F4E-4462-B5B1-394A57FD3E0D} - No CLSID value found.
O4 - HKLM..\Run: []  File not found
O4 - Startup: C:\Users\M\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\YOUTUBE.PLAYER.exe (Microsoft Corporation)
[2012-05-06 21:19:48 | 000,000,000 | ---D | C] -- C:\Users\M\AppData\Roaming\xbz3hrdkb3xrwliayptyjgubdrzkwfcc2
[2012-05-06 21:19:36 | 000,273,536 | -HS- | C] (Microsoft Corporation) -- C:\ProgramData\ms0022C3FA.dat
[2012-05-06 21:19:31 | 000,000,000 | ---D | C] -- C:\Users\M\AppData\Roaming\x2y2rdug1uqpdxxhthocqzaqyxsy13au2
[2012-05-06 21:19:36 | 000,000,826 | ---- | M] () -- C:\Users\M\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ms0022C3FA.dat.lnk

:Files
C:\Users\M\AppData\Local\Temp*.html

:Commands
[clearallrestorepoints]
[emptytemp]

Klikasz Wykonaj skrypt. Dajesz log z usuwania + nowe logi z OTL.

[ashelos]

Otóż użyłem programu Trojan Remover 6.8.2.2599 (http://www.instalki.pl/programy/downloa ... mover.html) i włączyłem skanowanie. Wykrył i usunął wirusa. Włączyłem normalnie komputer i jak na razie działa. Wrzucę logi abyście mogli sprawdzić.
http://www.wklej.eu/index.php?id=ad9aed390c - OTL
http://www.wklej.eu/index.php?id=7befc866c5 - OTL
http://www.wklej.eu/index.php?id=140a333583 - GMER

[mateo8898]

Ale czemu nie wykonałeś podanego skryptu??? Część infekcji nadal pozostała. Wykonaj to i podaj nowe logi. To samo z odinstalowaniem programów.

[ashelos]

Zrobiłem tak jak kazałeś, czyli odinstalowałem: Foxit PDF Creator Toolbar, Akamai NetSession Interface i wykonałem skrypt.
A tutaj jest log z usuwania : http://www.wklej.eu/index.php?id=4e85555df4 - OTL
A tutaj nowe logi:
http://www.wklej.eu/index.php?id=cd361815be
http://www.wklej.eu/index.php?id=229f9f23c5

[mateo8898]

W OTL wklej:

Kod: Zaznacz wszystko

:OTL
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Users\M\AppData\Local\Temp\xspirit.sys -- (xspirit)
DRV - File not found [Kernel | Boot | Stopped] -- System32\drivers\bkibpcyk.sys -- (psxotwi)
O4 - HKU\S-1-5-21-1759772117-3928197486-3044164475-1000..\Run: [Akamai NetSession Interface] "C:\Users\M\AppData\Local\Akamai\netsession_win.exe" File not found

Klikasz Wykonaj skrypt, później Sprzątanie

Przeczyść dysk oraz rejestr CCleaner

Wykonaj pełne skanowanie Malwarebytes' Anti-Malware - jeśli coś znajdzie usuń i daj raport (po uruchomieniu odrzuć okres testowy)

Zainstaluj SP2 http://www.instalki.pl/programy/downloa ... 4_bit.html

Zaktualizuj IE do najnowszej wersji (nawet jeśli go nie używasz) http://www.instalki.pl/programy/downloa ... rer_9.html

Odinstaluj starą wersję Javy:

Java(TM) 6 Update 29

i zainstaluj najnowszą http://www.instalki.pl/programy/downloa ... /Java.html

Odinstaluj starą wersję czytnika .PDF:

Adobe Reader 9.5.0 - Polish

i zainstaluj najnowszą http://www.instalki.pl/programy/downloa ... eader.html