Jak se zbavit viru? Ransomware (*VYŘEŠENO*)

ZecK, 26 Prosinec, 2012

Ahoj,

mám v pc vir, kde se po spuštění plochy zobrazí zpráva o zaplacení 3000 jinak že se pc neodblokuje. Podařilo se mi to nějak obejít, proto sem můžu napsat, ale nic víc, je mi jasné že jsem se toho nezbavil. Tahle havěť se mi přes nějaký Exploit dostala do pc a nemůžu se toho zbavit. Mám Avast (exploit to zachytilo ale asi už bylo pozdě), legální Win7. Zkoušel jsem body obnovy, ale vir to asi blokuje, protože to hlásí že žádné nejsou. Pravděpodobně se to spouští přes IE9, protože můžu dát restart a pak je vidět spuštěný IE9 (tedy jak se to uzavírá). Normálně ho nepoužívám, ale potřeboval jsem rychle něco najít na googlu, ani nevím přes jakou stránku se to do pc dostalo. Avast žádný vir nenašel, ani Search&Destroy. Aktualizace mám nastavené defaultně, stahují se a aktualizují samy.

Jak se toho prosím zbavit?

‹ teplota procesoru Automatické mazání spamu ›
Obrázek uživatele Jiří Molnár
[78507] Jak se zbavit viru? Ransomware (*VYŘEŠENO*)
Dne 26 Prosinec, 2012 Jiří Molnár komentuje:

Zdravíčko...

Kdybyste znal název, určitě by se dal najít přímý nástroj na odstranění. Ale nejvíce jako universální nástroj na tyto problémy pomáhá toto, určitě zkuste: http://download.cnet.com/Malwarebytes-Anti-Malware/3000-8022_4-10804572....

Obrázek uživatele ZecK
[78508] Jak se zbavit viru? Ransomware (*VYŘEŠENO*)
Dne 26 Prosinec, 2012 ZecK komentuje:

název viru neznám, akorát vím že je tam nahoře fake logo Policie ČR a pak nějaké šílené výpisy zákonů nebo něco podobného.... a pak odkaz na poslání kódu a zaplacení (samozřejmě nic platit nehodlám).

Obrázek uživatele Michal Čížek
[78509] Jak se zbavit viru? Ransomware (*VYŘEŠENO*)
Dne 26 Prosinec, 2012 Michal Čížek komentuje:

prožen to ESET scener http://www.eset.cz/cz/domacnosti/produkty/online-scanner/
a dej sem výpis z hijackthis

Obrázek uživatele Jiří Molnár
[78510] Jak se zbavit viru? Ransomware (*VYŘEŠENO*)
Dne 26 Prosinec, 2012 Jiří Molnár komentuje:

Není tohle ono?
Odkaz: http://www.windroid.cz/wp-content/uploads/policie.jpg

Kolega o tom na CDR kdysi psal, mělo by se to jmenovat Ransomware: http://cdr.cz/diskuze/80883/thread

Určitě zkuste ten Malwarebytes Anti-Malware. ;)

Obrázek uživatele ZecK
[78511] Jak se zbavit viru? Ransomware (*VYŘEŠENO*)
Dne 26 Prosinec, 2012 ZecK komentuje:

no úplně přesně to tak nevypadalo, ale políčko pro platbu je stejné i způsob, takže to bude nějaká mutace. Antimalware zatím běží, dal jsem plný test a cosi to našlo, ale zatím nevím co, dokud to nedojede do konce. Další testy budou následovat hned jak tamto dojede...

Obrázek uživatele ZecK
[78512] Jak se zbavit viru? Ransomware (*VYŘEŠENO*)
Dne 26 Prosinec, 2012 ZecK komentuje:

Malwarebytes Anti-Malware 1.65.1.1000
www.malwarebytes.org

Verze databáze: v2012.12.26.11

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
Michal :: MICHAL-PC [administrátor]

26.12.2012 19:39:42
mbam-log-2012-12-26 (19-39-42).txt

Typ: Úplná kontrola (C:\|D:\|E:\|)
Nastavení kontroly povoleno: Paměť | Po spuštění | Registr | Systémové soubory | Heuristická analýza Extra | Heuristická analýza Shuriken | PUP | PUM
Nastavení kontroly zakázáno: P2P
Kontrolované objekty: 525841
Uplynulý čas: 1 hodin, 11 sekund

Nalezené procesy v paměti: 0
(Žádné škodlivé položky nebyly zjištěny)

Nalezené moduly v paměti: 1
C:\Users\Michal\wgsdgsdgdsgsd.exe (Exploit.Drop.GS) -> Bude smazán při restartu.

Nalezené klíče v registru: 0
(Žádné škodlivé položky nebyly zjištěny)

Nalezené hodnoty v registru: 0
(Žádné škodlivé položky nebyly zjištěny)

Nalezené datové položky v registru: 0
(Žádné škodlivé položky nebyly zjištěny)

Nalezené složky: 0
(Žádné škodlivé položky nebyly zjištěny)

Nalezené soubory: 7
C:\Hry\AOE2\w7ddpatcher.exe (HackTool.Patch) -> Umístnění do karantény a smazání se zdařilo.
C:\Windows\Installer\MSIE390.tmp (HackTool.Hiderun) -> Umístnění do karantény a smazání se zdařilo.
D:\Stažené soubory - prohlížeče\Chrome\aoc-1.0e-patch\w7ddpatcher.exe (HackTool.Patch) -> Umístnění do karantény a smazání se zdařilo.
D:\Stažené soubory - prohlížeče\sam.broadcaster.v.4.2.2 + crack\crack.and.sn.sam.broadcaster.v.4.2.2-rt\sam.broadcaster.v.4.2.2.crack.rt.exe (RiskWare.Tool.HCK) -> Umístnění do karantény a smazání se zdařilo.
C:\Users\Michal\wgsdgsdgdsgsd.exe (Exploit.Drop.GS) -> Bude smazán při restartu.
C:\ProgramData\dsgsdgdsgdsgw.pad (Exploit.Drop.GSA) -> Umístnění do karantény a smazání se zdařilo.
C:\Users\Michal\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runctf.lnk (Trojan.Ransom.SUGen) -> Umístnění do karantény a smazání se zdařilo.

Výpis z toho Antimalware. dám restart a uvidím.

Obrázek uživatele Jiří Molnár
[78513] Jak se zbavit viru? Ransomware (*VYŘEŠENO*)
Dne 26 Prosinec, 2012 Jiří Molnár komentuje:

Určitě, super. Jak je vidět, je to náš Ransom, dle očekávání... ;)

Obrázek uživatele ZecK
[78514] Jak se zbavit viru? Ransomware (*VYŘEŠENO*)
Dne 26 Prosinec, 2012 ZecK komentuje:

Po restartu se to už nespustilo, takže je pryč. Díky. Nicméně když už jsem v tom, tak projedu pc i tím esetem a dodám log z hijackthis. :)

Obrázek uživatele Jiří Molnár
[78515] Jak se zbavit viru? Ransomware (*VYŘEŠENO*)
Dne 26 Prosinec, 2012 Jiří Molnár komentuje:

Jasně, zkontrolujeme vám to. Ať to máte kompletní...
Super, jsem rád, že to pomohlo.

Obrázek uživatele ZecK
[78516] Jak se zbavit viru? Ransomware (*VYŘEŠENO*)
Dne 26 Prosinec, 2012 ZecK komentuje:

Omlouvám se za zpoždění, kontrola Esetem trvala víc než hodinu. Nic nenalezla.

Výpis z hijackthis:

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 21:58:21, on 26.12.2012
Platform: Windows 7 SP1 (WinNT 6.00.3505)
MSIE: Internet Explorer v9.00 (9.00.8112.16457)
Boot mode: Normal

Running processes:
C:\Windows\SysWOW64\HsMgr.exe
C:\Programy\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\ASUS Xonar DX Audio\Customapp\ASUSAUDIOCENTER.EXE
C:\Program Files\AVAST Software\Avast\AvastUI.exe
C:\Programy\totalcmd\TOTALCMD.EXE
C:\Users\Michal\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\Michal\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\Michal\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\Michal\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\Michal\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\ATI Technologies\HydraVision\HydraDM.exe
C:\Users\Michal\AppData\Local\Google\Chrome\Application\chrome.exe
C:\QIP Infium JadrisPack\qip.exe
C:\Users\Michal\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\Michal\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\Michal\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\Michal\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\Michal\AppData\Local\Google\Chrome\Application\chrome.exe
D:\Stažené soubory - prohlížeče\Chrome\hijackthis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.tsbohemia.cz
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.cz/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
F2 - REG:system.ini: UserInit=userinit.exe,
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programy\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Program Files (x86)\Microsoft Office\Office12\GrooveShellExtensions.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files (x86)\Java\jre6\bin\ssv.dll
O2 - BHO: avast! WebRep - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - C:\Program Files\AVAST Software\Avast\aswWebRepIE.dll
O2 - BHO: Windows Live ID Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files (x86)\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files (x86)\Java\jre6\bin\jp2ssv.dll
O3 - Toolbar: DAEMON Tools Toolbar - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files (x86)\DAEMON Tools Toolbar\DTToolbar.dll
O3 - Toolbar: avast! WebRep - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - C:\Program Files\AVAST Software\Avast\aswWebRepIE.dll
O4 - HKLM\..\Run: [HDAudDeck] C:\Program Files (x86)\VIA\VIAudioi\VDeck\VDeck.exe -r
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files (x86)\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [avast] "C:\Program Files\AVAST Software\Avast\avastUI.exe" /nogui
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files (x86)\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programy\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [HydraVisionDesktopManager] "C:\Program Files (x86)\ATI Technologies\HydraVision\HydraDM.exe"
O8 - Extra context menu item: E&xportovat do aplikace Microsoft Excel - res://C:\PROGRA~2\MICROS~3\Office12\EXCEL.EXE/3000
O9 - Extra button: Přidat na blog - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files (x86)\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Přidat na blog Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files (x86)\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Odeslat do aplikace OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~2\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: Od&eslat do aplikace OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~2\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~2\MICROS~3\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programy\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programy\Spybot - Search & Destroy\SDHelper.dll
O10 - Unknown file in Winsock LSP: c:\program files (x86)\common files\microsoft shared\windows live\wlidnsp.dll
O10 - Unknown file in Winsock LSP: c:\program files (x86)\common files\microsoft shared\windows live\wlidnsp.dll
O11 - Options group: [ACCELERATED_GRAPHICS] Accelerated graphics
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Program Files (x86)\Microsoft Office\Office12\GrooveSystemServices.dll
O23 - Service: Adobe Flash Player Update Service (AdobeFlashPlayerUpdateSvc) - Adobe Systems Incorporated - C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)
O23 - Service: AMD External Events Utility - Unknown owner - C:\Windows\system32\atiesrxx.exe (file missing)
O23 - Service: AMD FUEL Service - Advanced Micro Devices, Inc. - C:\Program Files\ATI Technologies\ATI.ACE\Fuel\Fuel.Service.exe
O23 - Service: avast! Antivirus - AVAST Software - C:\Program Files\AVAST Software\Avast\AvastSvc.exe
O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\Windows\System32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing)
O23 - Service: Firebird Guardian - DefaultInstance (FirebirdGuardianDefaultInstance) - Firebird Project - C:\Program Files (x86)\Firebird\Firebird_2_5\bin\fbguard.exe
O23 - Service: Firebird Server - DefaultInstance (FirebirdServerDefaultInstance) - Firebird Project - C:\Program Files (x86)\Firebird\Firebird_2_5\bin\fbserver.exe
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - C:\Windows\system32\sppsvc.exe (file missing)
O23 - Service: TuneUp Utilities Service (TuneUp.UtilitiesSvc) - TuneUp Software - C:\Program Files (x86)\TuneUp Utilities 2012\TuneUpUtilitiesService64.exe
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\Wat\WatUX.exe,-601 (WatAdminSvc) - Unknown owner - C:\Windows\system32\Wat\WatAdminSvc.exe (file missing)
O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)
O23 - Service: @%PROGRAMFILES%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - C:\Program Files (x86)\Windows Media Player\wmpnetwk.exe (file missing)

--
End of file - 9577 bytes

Obrázek uživatele Jiří Molnár
[78517] Jak se zbavit viru? Ransomware (*VYŘEŠENO*)
Dne 26 Prosinec, 2012 Jiří Molnár komentuje:

V pořádku, nic se přeci neděje. ;)
Kód se mi zdá čistý, kosmeticky bych možná jen vyčistil řádky končící závorkou (file missing). Jinak za mě ok.

Obrázek uživatele ZecK
[78518] Jak se zbavit viru? Ransomware (*VYŘEŠENO*)
Dne 26 Prosinec, 2012 ZecK komentuje:

Tak ještě jednou děkuji za pomoc. :)

PS: snažím se si v pc udržovat pořádek :)

Obrázek uživatele Jiří Molnár
[78519] Jak se zbavit viru? Ransomware (*VYŘEŠENO*)
Dne 26 Prosinec, 2012 Jiří Molnár komentuje:

Nemáte zač, budeme se těšit na vaši další návštěvu. ;)

PS: to vás jen šlechtí! Jen tak dál...

LOCK