Guide: Hur man blir av med "Polisen har blockerat din dator!"

2013-07-03 03:01

Medlem

Plats: Sundbyberg
Registrerad: Dec 2008

●

Skrivet av AnimalScribax:

Ja men det blir ju så tragikomiskt när alla "intresserade sweclockers" kommer in i tråden UTAN att i huvudtaget läsa och uppdatera sin begränsade kunskap alls. med överlägsen attityd och hånar folk som försöker på riktigt förstå och bli av med skadlig kod

Vart 7e inlägg i den här tråden är av den nivån "varför håller ni på o grejjjjar, det är bara ta bort 4939583986.exe i aktivitetshanteraren. VIPPS"

dessutom av skribenter som uppenbarligen fått viruset flera gånger.
All heder åt Cecilia som har sånt tålamod att upprepa allting åt alla självutnämnda experter som inte kan annat än skryta om sin hårdvara men inte ens har systemtänk som en 10 åring.

Gå till inlägget

Sa aldrig att de flesta på forumet är intresserade av "skadlig kod". Alla är inte intresserad av allt, och då vill de flesta ha en "easy fix".
Hur många tror du här läst tråden och inte skrivit?
Om man på riktigt försöker förstå skadlig kod. Borde man inte analysera koden och ta reda på vad den gör och hur trojanen skickar information och vart i en virtuell maskin?

Varför du ens citerade mig?

Jag håller med, heder till medlemmar som hjälper andra.

Keep up the good work

Skickades från m.sweclockers.com

Rapportera Redigera

Citera flera Citera

2013-07-05 16:07

Permalänk

upr0426

Medlem

Registrerad: Maj 2012

●

Skrivet av jorgen69:

Är det någon som vet vilka sidor som sprider den här skiten?

Gå till inlägget

Porr
Vissa torrents från the pirate bay
Om man googlar efter ett avsnitt av en tv serie

Rapportera Redigera

Citera flera Citera

2013-07-08 20:08

Permalänk

AnimalScribax

Medlem

Plats: harddeck
Registrerad: Sep 2011

●

Skrivet av CeciliaB:

Windows-registret ligger på hårddisken och är en av de saker som återställs vid en systemåterställning. Sådant som ligger i RAM-minnet försvinner när datorn stängs av.

Gå till inlägget

Tolkningsfråga (Formulering) Jag läste nämligen motsatsen på en betrodd källa men kan ha fel, för :

Är det inte så att registret existerar i RAMminnet medans själva datan nycklar>härledda nycklar finns på hårddisken?

HKEY_CURRENT_CONFIG (HKCC) är exempel på profil-data som uppstår vid systemstart.

sedan finns det ju uppenbarligen massvis av data som aldrig är gjort för usermode" dvs hive-filer och annat
forensiker utvinner med specialprogram som kan analysera den data som aldrig är tänkt att man ska ha läsrätt till.

Javisst RAM-minnet äro ju ointressant såvida datorn inte är på...

Jag kan tänka mig att många "hackers" som närmast religiöst påtalar styrkan med Truecrypt och paranoida fildelare som tjattrar om hur säääkra deras datorer är med fastlimmade RAM-minnen osv inte tänker på hur många säkerhetskopior av just deras egna register som skapas när man kör med CCleaner osv....(standardprocedur före städning) för att inte tala om windowsregistret egna uppsättning-säkerhetskopiering "RestorePoint" som sparas i 90dagar !

Visa signatur

Akvatisk Biodiversitet. --2013 Jag lämnar Sweclockers forum. Det är tamejfan högre nivå på Flashback. Verkar hänga mest kids här som inte kan läsa utan bara svamlar. --

Rapportera Redigera

Citera flera Citera

2013-07-08 23:41

Permalänk

CeciliaB

Medlem

Plats: Stockholm
Registrerad: Nov 2011

●

Skrivet av AnimalScribax:

Tolkningsfråga (Formulering) Jag läste nämligen motsatsen på en betrodd källa men kan ha fel, för :

Är det inte så att registret existerar i RAMminnet medans själva datan nycklar>härledda nycklar finns på hårddisken?

HKEY_CURRENT_CONFIG (HKCC) är exempel på profil-data som uppstår vid systemstart.

sedan finns det ju uppenbarligen massvis av data som aldrig är gjort för usermode" dvs hive-filer och annat
forensiker utvinner med specialprogram som kan analysera den data som aldrig är tänkt att man ska ha läsrätt till.

Javisst RAM-minnet äro ju ointressant såvida datorn inte är på...

Jag kan tänka mig att många "hackers" som närmast religiöst påtalar styrkan med Truecrypt och paranoida fildelare som tjattrar om hur säääkra deras datorer är med fastlimmade RAM-minnen osv inte tänker på hur många säkerhetskopior av just deras egna register som skapas när man kör med CCleaner osv....(standardprocedur före städning) för att inte tala om windowsregistret egna uppsättning-säkerhetskopiering "RestorePoint" som sparas i 90dagar !

Gå till inlägget

Beror väl på vad man menar med registret då. Som jag ser det består registret av ett antal filer (hives) på hårddisken som t ex presenteras i registereditorn. När man ändrar något i registereditorn finns det kvar efter att strömmen har varit bruten och därmed har ändringen blivit skriven på hårddisken.

Fast HKCC uppstår ju inte från tomma intet utan hämtas från från en viss del av HKLM. HKLM\Hardware finns däremot inte på hårddisken eftersom den skapas utifrån den hårdvara som upptäcks vid boot.
https://en.wikipedia.org/wiki/Windows_registry

Hur många återställningspunkter som lagras beror på hur många GB man reserverar för den funktionen. Jag har sett datorer som bara har några stycken återställningspunkter och därmed endast för den senaste veckan. Det är det nog sällan det framgår i registret vad man har fildelat för något.

Rapportera Redigera

Citera flera Citera

2013-07-29 22:45

Permalänk

drypod

Medlem

Registrerad: Jun 2012

●

Fick Detta virus för fem minuter sen i loading screen på en lol match konstigt nog.

Jag kom till steget när man skulle starta om datorn efter man har sökt efter virus, men ingenting har hänt efter det,
Hjälp

Visa signatur

i5 3570k, Asus 280 r9, MSI Z77A, Antec 550W, Intel 520 240gb SSD, 1tb HDD 7,2k.

Rapportera Redigera

Citera flera Citera

2013-07-30 01:16

Permalänk

CeciliaB

Medlem

Plats: Stockholm
Registrerad: Nov 2011

●

Skrivet av drypod:

Fick Detta virus för fem minuter sen i loading screen på en lol match konstigt nog.

Jag kom till steget när man skulle starta om datorn efter man har sökt efter virus, men ingenting har hänt efter det,
Hjälp

Gå till inlägget

Det är många skadliga program som inte märks på en gång utan de kan t ex ligga och vänta i en halvtimme innan de blir aktiva eller vänta tills datorn startas om. Det är för att göra det svårare för antivirusföretagens analysprogram att upptäcka att det är något skadligt på gång.

Om du vill ha hjälp av mig med att få bort polistrojanen är det FRST-loggen som jag behöver, se inlägg 14.

Rapportera Redigera

Citera flera Citera

2013-07-31 19:13

Permalänk

Twister86

Medlem

Plats: Malmö
Registrerad: Jun 2010

●

Har fått det här jävla skit viruset när jag var inne på Facebook och kan inte göra ett skit. Startar man om datorn så kommer samma skit upp, den vägrar starta i felsäkert läge, vad fan gör man?!

Visa signatur

Rapportera Redigera

Citera flera Citera

2013-07-31 20:00

Permalänk

CeciliaB

Medlem

Plats: Stockholm
Registrerad: Nov 2011

●

Skrivet av Twister86:

Har fått det här jävla skit viruset när jag var inne på Facebook och kan inte göra ett skit. Startar man om datorn så kommer samma skit upp, den vägrar starta i felsäkert läge, vad fan gör man?!

Gå till inlägget

Inlägg 14 är början på min metod.

Rapportera Redigera

Citera flera Citera

2013-08-01 00:28

Permalänk

Twister86

Medlem

Plats: Malmö
Registrerad: Jun 2010

●

Skrivet av CeciliaB:

Inlägg 14 är början på min metod.

Gå till inlägget

Har lyckats få bort skiten själv.

Kan säga såhär att,

Starta om datorn --> kommer man direkt till en helskärm läge med det äckliga Polisen enheten för databrott rutan upp igen, att betala.
[Ctrl+alt+del funkar ej]

Inget annat kommando funkar heller, såsom Windows knappen eller Alt+tab.

Starta om datorn i Felsäkert läge, provat alla 3, normalt, med nätverk, med kommandotolken, funkar ej heller. Datorn stängs av automatiskt o startar om sig då.

Gick inte heller stänga av datorn genom att hålla inne Power on/off knappen, då stängs bara datorn av "på naturligt vis" och sen får man Error i drivrutiner / Diskenheter när man startar om datorn. Och massa error i BIOS.

Fick koppla ur alla hårddiskar , starta datorn, trycka på Del så jag kom in i Boot BIOS, stoppa in min Windows 7 skiva, koppla in endast min C:\ hårddisk, ändra ordningen i vilken som ska köras när jag startar datorn, till CD-läsaren först, boota om, trycka på valfri tangent (fort som möjligt) så datorn inte hoppa vidare till hårddisken igen, ladda in filer från skivan, välja Installera windows 7 / reperera windows 7, göra en systemåterställning från en windows update fil, datorn återställs (kan ta 30-60 minuter), datorn startas om, tryck Del igen, välj så att Hårddisken startas först, kommer in i windows i normalt läge, gör en update på ALLA anti virus program du har och SKAFFAR alla nyaste versioner och laddar hem ALLA bra som om du inte redan har. Hittade viruset, det heter Trojan.Agent.TPL och filen heter 2433f433 , och skapades i samband med som virus-rutan kom upp först förut idag. Tog bort viruset med hjälp av Malware-Bytes, håller just nu på att scannar mina andra hårddiskar också, ifall dem med blivit infekterade, startat om datorn några gånger, behövde tillochmed göra en inkonsekvenskontroll på min C: hårddisk pga det här, får upp felmeddelande också att visa filer ej kan hittas, deras "destination" saknas. Kan inte logga in på mina samtliga epost konton, lösenordet är fel, betalade över internet igår också, är rädd mina pengar ska bli stulna. Min webbläsar session går ej återställas, har blivit ett "fel" eller "error" i filen när man försöker återställa en session.

Fruktansvärt hemskt virus!!

Visa signatur

Rapportera Redigera

Citera flera Citera

2013-08-01 01:37

Permalänk

CeciliaB

Medlem

Plats: Stockholm
Registrerad: Nov 2011

●

Skrivet av Twister86:

Har lyckats få bort skiten själv.

Kan säga såhär att,

Starta om datorn --> kommer man direkt till en helskärm läge med det äckliga Polisen enheten för databrott rutan upp igen, att betala.
[Ctrl+alt+del funkar ej]

Inget annat kommando funkar heller, såsom Windows knappen eller Alt+tab.

Starta om datorn i Felsäkert läge, provat alla 3, normalt, med nätverk, med kommandotolken, funkar ej heller. Datorn stängs av automatiskt o startar om sig då.

Gick inte heller stänga av datorn genom att hålla inne Power on/off knappen, då stängs bara datorn av "på naturligt vis" och sen får man Error i drivrutiner / Diskenheter när man startar om datorn. Och massa error i BIOS.

Fick koppla ur alla hårddiskar , starta datorn, trycka på Del så jag kom in i Boot BIOS, stoppa in min Windows 7 skiva, koppla in endast min C:\ hårddisk, ändra ordningen i vilken som ska köras när jag startar datorn, till CD-läsaren först, boota om, trycka på valfri tangent (fort som möjligt) så datorn inte hoppa vidare till hårddisken igen, ladda in filer från skivan, välja Installera windows 7 / reperera windows 7, göra en systemåterställning från en windows update fil, datorn återställs (kan ta 30-60 minuter), datorn startas om, tryck Del igen, välj så att Hårddisken startas först, kommer in i windows i normalt läge, gör en update på ALLA anti virus program du har och SKAFFAR alla nyaste versioner och laddar hem ALLA bra som om du inte redan har. Hittade viruset, det heter Trojan.Agent.TPL och filen heter 2433f433 , och skapades i samband med som virus-rutan kom upp först förut idag. Tog bort viruset med hjälp av Malware-Bytes, håller just nu på att scannar mina andra hårddiskar också, ifall dem med blivit infekterade, startat om datorn några gånger, behövde tillochmed göra en inkonsekvenskontroll på min C: hårddisk pga det här, får upp felmeddelande också att visa filer ej kan hittas, deras "destination" saknas. Kan inte logga in på mina samtliga epost konton, lösenordet är fel, betalade över internet igår också, är rädd mina pengar ska bli stulna. Min webbläsar session går ej återställas, har blivit ett "fel" eller "error" i filen när man försöker återställa en session.

Fruktansvärt hemskt virus!!

Gå till inlägget

Ojoj, vad du har hittat på. Det finns ju flera bra förslag i den här tråden att följa för att få datorn ren utan att förstöra hela Windows-installationen.

Polistrojanen bryr sig inte om några bankkonton utan det är bara ute efter att skrämma folk till att betala.

Rapportera Redigera

Citera flera Citera

2013-08-01 01:44

Permalänk

Twister86

Medlem

Plats: Malmö
Registrerad: Jun 2010

●

Skrivet av CeciliaB:

Ojoj, vad du har hittat på. Det finns ju flera bra förslag i den här tråden att följa för att få datorn ren utan att förstöra hela Windows-installationen.

Polistrojanen bryr sig inte om några bankkonton utan det är bara ute efter att skrämma folk till att betala.

Gå till inlägget

Nä, det är inte vad jag läst. Den tar även dina lösenord och säkerhetsinformation på datorn.

Vad jag hittat på? Jag har inte gjort något, mer än återställt min dator från en säkerhetsåterställning punkt, som var det enda lösningen och ta bort skiten.

Det här kom i samband med det här, jag har återställt mina epost konton nu.

Har även lyckats återställa mina webbläsar sessioner efter jag hade en gammal sparad backup fil, är bara destination saknas men det är säkert för jag pluggat ur alla mina hårddiskar och det blev knas när jag "rensa" datorn från viruset. Eller så är det för den där insekonsekvenskontrollen datorn gjorde på min C: hårddisk.

Kan ju läsa om skiten här:
http://blog.perhellqvist.se/blog/2012/03/14/ny-elaking-laser-...

"Om det är en ny variant av en äldre trojan (vilket jag misstänker) så handlar det om trojanen Ransomlock som nu alltså kommit i en svensk variant. Den är som du märker väldigt jobbig när man fått in den. Inte nog med att datorn är låst tills man betalar lösensumman – den stjäl information också! I tidigare varianter har den stulit lösenord till e-posten, pokersajter, FTP-konton, certifikat etc. Om man råkar ut för denna så är det viktigt att man byter samtliga lösenord efteråt."

Visa signatur

Rapportera Redigera

Citera flera Citera

2013-08-07 16:01

Permalänk

Theposjo

Medlem

Registrerad: Dec 2011

●

Min bror fick nyss detta viruset och jag löste det genom att:
1: Kopplade ur internet
2: Startade om datorn och polis rutan visas
3: Höll inne power knapp nån sekund, polis rutan läggs ner och jag kan avbryta avstängningen av Windows och då är polis rutan borta.
4: Brorsan visste vilken fil han laddade ner och fick polis viruset ifrån så vi slängde den.
5: Kopplade tillbaks internet
6: Laddade ner Norton power eraser och körde programmet
7: Efter programmet har gjort sitt och startat om Windows så var viruset borta och datorn funkade som vanligt igen

Det är inte säkert att det funkar för alla med det funkade för oss så jag tänkte att jag skulle dela med mig om detta

Visa signatur

Chassi: Silverstone Raven RV02-E Moderkort: Asrock Z68 Extreme3 Gen3 CPU: i5 2500k @ 4.2 GHz Ram: Corsair Vengeance 8GB LP GPU: GTX 660 DirectCUII OC PH SLI PSU: Fractal Design Newton R3 600W Kylning: CM hyper 212+

Rapportera Redigera

Citera flera Citera

2013-08-12 21:42

Permalänk

Tinardirith

Medlem

Plats: Tamriel
Registrerad: Jul 2011

●

Skrivet av CeciliaB:

Om du har Vista eller Windows 7 kan det här vara en bra början:

Ladda ner Farbar Recovery Scan Tool (FRST) och spara på ett USB-minne.
För 64-bitars Windows:http://download.bleepingcomputer.com/farbar/FRST64.exe
För 32-bitars Windows: http://download.bleepingcomputer.com/farbar/FRST.exe

Sedan ska du starta om datorn och utan att starta hela Windows få igång en Kommandotolk. Det finns två alternativ att göra detta. Vilket du ska använda beror på om du har en installationsskiva för Vista/Windows 7.

Alternativ 1 utan Windows-skiva

När datorn startar börjar du trycka på F8-tangenten upprepade gånger till sidan "Advanced Boot Options" visas (kan även vara något på svenska) med en meny.
I menyn använder du piltangenterna för att välja "Repair your computer" (Reparera datorn på svenska kanske).
Välj rätt tangentbord och klicka på "Next"/"Nästa".
Välj vilket operativsystem du vill reparera. Om där finns flera så ska du välja det som är det infekterade Windows. Klicka på "Next"/"Nästa".
Välj ditt användarkonto och klicka på "Next"/"Nästa".

För båda alternativen
Nu visas menyn "System Recovery Options" (kanske Systemåterställningsalternativ på svenska).
Den börjar med "Startup Repair" och avslutas med "Command Prompt" (Kommandotolken).

Välj Kommandotolken.
Skriv in:
notepad
Tryck på Enter-tangenten.

Programmet Anteckningar startas.
Välj: Arkiv - Öppna
Välj: Dator
Leta upp ditt USB-minne och skriv upp vilken enhetsbokstav det har, t ex g:.
Stäng Anteckningar.

I Kommandotolken skriver du in:
32-bitars Windows: g:\frst.exe
64-bitars Windows: g:\frst64.exe
men ersätt g med enhetsbokstaven USB-minnet har.

Programmet FRST börjar köra.
Läs villkoren för programmet.
Klicka på Yes för att acceptera.
Klicka på Scan-knappen.
När det är klart kommer det att ha skapats en log FRST.txt på USB-minnet.
Kopiera innehållet i loggen och klistra in i ditt svar.

Jag kommer då att gå igenom loggen som visar vad som hänt i datorn och kan ge vidare rekommendationer om vad som bör göras. Men det är inte alltid som det går att få datorn ren utan det behövs en ominstallation av Windows.

Dold text

Gå till inlägget

Jag håller på och försöker bli av med det här på svärfars dator just nu som fick det för någon dag sen. Det är en äldre Packard Bell laptop.

Endast felsäkert läge med kommandotolk fungerar att boota till. Har fixat FRST på ett usb-minne enligt guiden men när jag ska köra filen i kommandotolken så får jag "Det undersystem som behövs för att stödja avbildningstypen finns inte." som svar och inget händer. Bokstav/beteckning stämmer när jag kollar det genom notepad. Vad ska jag prova här näst? :S

Edit: Har provat med två olika stickor, båda FAT32, och det blir samma sak.

Edit 2: Gjorde en återställning till en tidigare punkt och datorn startar som vanligt utan några problem nu. "Din licens gick ut för 38 dagar sen." (virusskyddet), inte konstigt att det kom in skit. Ska åtgärda det och köra malwarebytes osv, så får vi se.. Den sjunger nog ändå på sina sista verser

Senast redigerat 2013-08-12 22:40

Visa signatur

Stationär: Meshify C Vit TG || ROG B550-F || 5800X+NH-D15 || 4070ti || Vengeance LPX 32GB || KC3000 M.2 || FD Newton R3 600W Ljud: RX-V781, Dynavoice LCR-5, FX-4, Velodyne SPL-1000 Ultra || DacPort Slim || Tennmak IEM

Rapportera Redigera

Citera flera Citera

2013-08-13 00:56

Permalänk

CeciliaB

Medlem

Plats: Stockholm
Registrerad: Nov 2011

●

Skrivet av Tinardirith:

Jag håller på och försöker bli av med det här på svärfars dator just nu som fick det för någon dag sen. Det är en äldre Packard Bell laptop.

Endast felsäkert läge med kommandotolk fungerar att boota till. Har fixat FRST på ett usb-minne enligt guiden men när jag ska köra filen i kommandotolken så får jag "Det undersystem som behövs för att stödja avbildningstypen finns inte." som svar och inget händer. Bokstav/beteckning stämmer när jag kollar det genom notepad. Vad ska jag prova här näst? :S

Edit: Har provat med två olika stickor, båda FAT32, och det blir samma sak.

Edit 2: Gjorde en återställning till en tidigare punkt och datorn startar som vanligt utan några problem nu. "Din licens gick ut för 38 dagar sen." (virusskyddet), inte konstigt att det kom in skit. Ska åtgärda det och köra malwarebytes osv, så får vi se.. Den sjunger nog ändå på sina sista verser

Gå till inlägget

Det är inte meningen att FRST ska köras från felsäkert läge med kommandotolk eftersom Windows då är igång utan den ska köras från den kommandotolk som finns via den avancerade menyn som jag skrev.

Det är många antivirusprogram som är dåliga på att stoppa polistrojanen, så den kunde mycket väl ha kommit in även om antivirusprogrammet hade varit uppdaterad.

Oftast kommer polistrojanen in i datorn via ett säkerhetshål i en gammal programversion. Det är därför viktigt att gå igenom vad för program som är installerade och se till att de är uppdaterade. Secunias Software Inspector är bra på att kolla upp programversioner så kör det och fixa de problem som den rapporterar. Den engelska sidan http://www.bleepingcomputer.com/tutorials/detect-vulnerable-p... beskriver hur man installerar och använder programmet.

Rapportera Redigera

Citera flera Citera

2013-08-13 06:17

Permalänk

Tinardirith

Medlem

Plats: Tamriel
Registrerad: Jul 2011

●

Skrivet av CeciliaB:

Det är inte meningen att FRST ska köras från felsäkert läge med kommandotolk eftersom Windows då är igång utan den ska köras från den kommandotolk som finns via den avancerade menyn som jag skrev.

Det är många antivirusprogram som är dåliga på att stoppa polistrojanen, så den kunde mycket väl ha kommit in även om antivirusprogrammet hade varit uppdaterad.

Oftast kommer polistrojanen in i datorn via ett säkerhetshål i en gammal programversion. Det är därför viktigt att gå igenom vad för program som är installerade och se till att de är uppdaterade. Secunias Software Inspector är bra på att kolla upp programversioner så kör det och fixa de problem som den rapporterar. Den engelska sidan http://www.bleepingcomputer.com/tutorials/detect-vulnerable-p... beskriver hur man installerar och använder programmet.

Gå till inlägget

Oops, skrivit lite fel ser jag. Jo jag körde det genom avancerade menyn, inte felsäkert. Det verkar ha löst sig nu, till synes iaf. Återstår att se om det kommer tillbaka. Tack för guiden och hjälpen!

Visa signatur

Stationär: Meshify C Vit TG || ROG B550-F || 5800X+NH-D15 || 4070ti || Vengeance LPX 32GB || KC3000 M.2 || FD Newton R3 600W Ljud: RX-V781, Dynavoice LCR-5, FX-4, Velodyne SPL-1000 Ultra || DacPort Slim || Tennmak IEM

Rapportera Redigera

Citera flera Citera

2013-08-16 11:36

Permalänk

Tymatt

Medlem

Registrerad: Sep 2003

●

Skrivet av CeciliaB:

Hej Ellinor!

Om du har Vista, Windows 7 eller 8 bör följande vara en framkomlig väg.

Ladda ner Farbar Recovery Scan Tool (FRST) och spara på ett USB-minne.
För 64-bitars Windows: http://download.bleepingcomputer.com/farbar/FRST64.exe
För 32-bitars Windows: http://download.bleepingcomputer.com/farbar/FRST.exe

Sedan ska du starta om datorn och utan att starta hela Windows få igång en Kommandotolk. Det finns två alternativ att göra detta. Vilket du ska använda beror på om du har en installationsskiva för Windows 7 resp. Vista.

Alternativ 1 utan Windows-skiva

När datorn startar börjar du trycka på F8-tangenten upprepade gånger till sidan "Avancerade startalternativ" visas med en meny.
I menyn använder du piltangenterna för att välja "Reparera datorn".

Alternativ 2 med Windows-skiva

Stoppa i installationsskivan.
Starta datorn.
När det kommer upp en fråga om du vill starta datorn från installationsskivan så tryck på någon tangent.
Om frågan inte kommer upp utan datorn startas från hårddisken som vanligt, behöver du ändra en BIOS-inställning för att starta från skivan.
När menyn på installationsskivan kommer upp klicka på "Reparera datorn".

För båda alternativen
Välj rätt tangentbord och klicka på "Nästa".
Välj vilket operativsystem du vill reparera. Om där finns flera så ska du välja det som är det infekterade Windows. Klicka på "Nästa".
Välj ditt användarkonto och klicka på "Nästa".
Nu visas menyn "Alternativ för systemåterställning".
Den börjar med "Startreparation" och avslutas med "Kommandotolk".

Välj "Kommandotolk".
Skriv in:
notepad
Tryck på Enter-tangenten.

Programmet Anteckningar startas.
Välj: Arkiv - Öppna
Välj: Dator
Leta upp ditt USB-minne och skriv upp vilken enhetsbokstav det har, t ex g:.
Stäng Anteckningar.

I Kommandotolken skriver du in:
32-bitars Windows: g:\frst.exe
64-bitars Windows: g:\frst64.exe
men ersätt g med enhetsbokstaven USB-minnet har.

Programmet FRST börjar köra.
Läs villkoren för programmet.
Klicka på Yes för att acceptera.
Klicka på Scan-knappen.
När det är klart kommer det att ha skapats en log FRST.txt på USB-minnet.
Kopiera innehållet i loggen och klistra in i ditt svar.

Gå till inlägget

Fått fram en logg genom din beskrivning. Försöker hjälpa en vän och få ut bilder. Det började med att webkameran tog en bild sedan kom det upp någon sida med bilden och något krav på och betala inom 48h. Nu när den startas blir det bara en vit skärm går ej och starta i felsäkert läge. Tacksam för hjälp.

Scan result of Farbar Recovery Scan Tool (FRST) (x86) Version: 16-08-2013
Ran by SYSTEM on 16-08-2013 11:17:35
Running from G:\
Windows Vista (TM) Home Basic Service Pack 1 (X86) OS Language: English(US)
Internet Explorer Version 9
Boot Mode: Recovery

The current controlset is ControlSet001
ATTENTION!:=====> FRST is updated to run from normal or Safe mode to produce a full FRST.txt log and Addition.txt log.

==================== Registry (Whitelisted) ==================

HKLM\...\Run: [SynTPEnh] - C:\Program Files\Synaptics\SynTP\SynTPEnh.exe [1049896 2008-04-17] (Synaptics, Inc.)
HKLM\...\Run: [QPService] - C:\Program Files\HP\QuickPlay\QPService.exe [468264 2008-09-23] (CyberLink Corp.)
HKLM\...\Run: [UpdateLBPShortCut] - C:\Program Files\CyberLink\LabelPrint\MUITransfer\MUIStartMenu.exe [210216 2008-06-13] (CyberLink Corp.)
HKLM\...\Run: [UpdatePSTShortCut] - C:\Program Files\CyberLink\DVD Suite\MUITransfer\MUIStartMenu.exe [210216 2008-10-06] (CyberLink Corp.)
HKLM\...\Run: [UCam_Menu] - C:\Program Files\CyberLink\YouCam\MUITransfer\MUIStartMenu.exe [222504 2007-12-24] (CyberLink Corp.)
HKLM\...\Run: [Windows Defender] - C:\Program Files\Windows Defender\MSASCui.exe [1008184 2008-01-20] (Microsoft Corporation)
HKLM\...\Run: [QlbCtrl.exe] - C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe [202032 2008-08-01] ( Hewlett-Packard Development Company, L.P.)
HKLM\...\Run: [UpdateP2GoShortCut] - C:\Program Files\CyberLink\Power2Go\MUITransfer\MUIStartMenu.exe [210216 2008-06-13] (CyberLink Corp.)
HKLM\...\Run: [UpdatePDIRShortCut] - C:\Program Files\CyberLink\PowerDirector\MUITransfer\MUIStartMenu.exe [210216 2008-06-13] (CyberLink Corp.)
HKLM\...\Run: [HP Health Check Scheduler] - c:\Program Files\Hewlett-Packard\HP Health Check\HPHC_Scheduler.exe [75008 2008-10-09] (Hewlett-Packard)
HKLM\...\Run: [HP Software Update] - C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe [54840 2007-05-08] (Hewlett-Packard)
HKLM\...\Run: [hpWirelessAssistant] - C:\Program Files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe [488752 2008-04-15] (Hewlett-Packard Development Company, L.P.)
HKLM\...\Run: [My Web Search Bar Scope Monitor] - C:\PROGRA~1\MYWEBS~1\bar\1.bin\m3SrchMn.exe [28783 2010-11-14] (MyWebSearch.com)
HKLM\...\Run: [MyWebSearch Email Plugin] - C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe [32849 2010-11-14] (MyWebSearch.com)
HKLM\...\Run: [QuickTime Task] - C:\Program Files\QuickTime\QTTask.exe [421888 2010-11-29] (Apple Inc.)
HKLM\...\Run: [Adobe Reader Speed Launcher] - C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe [37296 2011-09-07] (Adobe Systems Incorporated)
HKLM\...\Run: [Adobe ARM] - C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe [937920 2011-03-29] (Adobe Systems Incorporated)
HKLM\...\Run: [iTunesHelper] - C:\Program Files\iTunes\iTunesHelper.exe [421160 2011-03-07] (Apple Inc.)
HKLM\...\Run: [SunJavaUpdateSched] - C:\Program Files\Common Files\Java\Java Update\jusched.exe [249064 2010-10-29] (Sun Microsystems, Inc.)
HKLM\...\Run: [NWEReboot] - [x]
HKLM\...\Run: [NeroFilterCheck] - C:\Windows\system32\NeroCheck.exe [155648 2001-07-09] (Ahead Software Gmbh)
HKLM\...\Run: [SweetIM] - C:\Program Files\SweetIM\Messenger\SweetIM.exe [115032 2012-05-29] (SweetIM Technologies Ltd.)
HKLM\...\Run: [Sweetpacks Communicator] - C:\Program Files\SweetIM\Communicator\SweetPacksUpdateManager.exe [231768 2012-08-15] (SweetIM Technologies Ltd.)
HKLM\...\Winlogon: [Userinit] C:\Windows\system32\ezShellStart.exe
HKU\Gäst\...\Run: [LightScribe Control Panel] - C:\Program Files\Common Files\LightScribe\LightScribeControlPanel.exe [ 2008-06-09] (Hewlett-Packard Company)
HKU\Tessan\...\Run: [MsnMsgr] - C:\Program Files\Windows Live\Messenger\msnmsgr.exe [ 2012-03-08] (Microsoft Corporation)
HKU\Tessan\...\Run: [LightScribe Control Panel] - C:\Program Files\Common Files\LightScribe\LightScribeControlPanel.exe [ 2008-06-09] (Hewlett-Packard Company)
HKU\Tessan\...\Run: [MyWebSearch Email Plugin] - C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe [ 2010-11-14] (MyWebSearch.com)
HKU\Tessan\...\Run: [EA Core] - C:\Program Files\Electronic Arts\EADM\Core.exe [ 2009-03-28] (Electronic Arts)
HKU\Tessan\...\Run: [Spotify Web Helper] - C:\Users\Tessan\AppData\Roaming\Spotify\Data\SpotifyWebHelper.exe [ 2013-05-06] (Spotify Ltd)
HKU\Tessan\...\Run: [GameXN GO] - C:\ProgramData\GameXN\GameXNGO.exe [ 2011-08-31] (EasyBits Software AS)
HKU\Tessan\...\Run: [Ifeftu] - C:\Users\Tessan\AppData\Roaming\Ybrepe\suexl.exe [x]
HKU\Tessan\...\Run: [Spotify] - C:\Users\Tessan\AppData\Roaming\Spotify\Spotify.exe [ 2013-05-06] (Spotify Ltd)
HKU\Tessan\...\Run: [WMPNSCFG] - C:\Program Files\Windows Media Player\WMPNSCFG.exe [ 2008-01-20] (Microsoft Corporation)
HKU\Tessan\...\Policies\system: [DisableLockWorkstation] 0
HKU\Tessan\...\Policies\system: [DisableChangePassword] 0
HKU\Tessan\...\Winlogon: [Shell] C:\Users\Tessan\AppData\Roaming\icq.dat,explorer.exe <==== ATTENTION

========================== Services (Whitelisted) =================

S2 dlcc_device; C:\Windows\system32\dlcccoms.exe [538096 2007-02-14] ( )
S2 HP Health Check Service; c:\Program Files\Hewlett-Packard\HP Health Check\hphc_service.exe [94208 2008-10-09] (Hewlett-Packard)
S2 MyWebSearchService; C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwssvc.exe [28762 2010-11-14] (MyWebSearch.com)
S2 NIS; C:\Program Files\Norton Internet Security\Engine\17.9.0.12\diMaster.dll [135032 2010-04-29] (Symantec Corporation)
S2 Recovery Service for Windows; C:\Program Files\SMINST\BLService.exe [365952 2008-10-06] ()
S2 RichVideo; C:\Program Files\CyberLink\Shared files\RichVideo.exe [241734 2008-09-15] ()

==================== Drivers (Whitelisted) ====================

S1 BHDrvx86; C:\ProgramData\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\NIS_17.0.0.136\Definitions\BASHDefs\20110309.001\BHDrvx86.sys [800376 2011-02-25] (Symantec Corporation)
S1 ccHP; C:\Windows\system32\drivers\NIS\1109000.00C\ccHPx86.sys [485512 2011-08-03] (Symantec Corporation)
S1 eeCtrl; C:\Program Files\Common Files\Symantec Shared\EENGINE\eeCtrl.sys [371248 2010-09-08] (Symantec Corporation)
S3 EraserUtilRebootDrv; C:\Program Files\Common Files\Symantec Shared\EENGINE\EraserUtilRebootDrv.sys [102448 2010-05-29] (Symantec Corporation)
S3 hwusbdev; C:\Windows\System32\DRIVERS\ewusbdev.sys [101248 2009-09-28] (Huawei Technologies Co., Ltd.)
S1 IDSVix86; C:\ProgramData\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\NIS_17.0.0.136\Definitions\IPSDefs\20110317.003\IDSvix86.sys [353912 2011-03-14] (Symantec Corporation)
S3 NAVENG; C:\ProgramData\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\NIS_17.0.0.136\Definitions\VirusDefs\20110321.002\NAVENG.SYS [86008 2010-12-16] (Symantec Corporation)
S3 NAVEX15; C:\ProgramData\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\NIS_17.0.0.136\Definitions\VirusDefs\20110321.002\NAVEX15.SYS [1360760 2010-12-16] (Symantec Corporation)
S3 SRTSP; C:\Windows\System32\Drivers\NIS\1109000.00C\SRTSP.SYS [325680 2010-04-21] (Symantec Corporation)
S1 SRTSPX; C:\Windows\system32\drivers\NIS\1109000.00C\SRTSPX.SYS [43696 2010-04-21] (Symantec Corporation)
S0 SymDS; C:\Windows\System32\drivers\NIS\1109000.00C\SYMDS.SYS [328752 2009-08-29] (Symantec Corporation)
S0 SymEFA; C:\Windows\System32\drivers\NIS\1109000.00C\SYMEFA.SYS [173176 2011-08-21] (Symantec Corporation)
S3 SymEvent; C:\Windows\system32\Drivers\SYMEVENT.SYS [124976 2010-05-29] (Symantec Corporation)
S1 SymIRON; C:\Windows\system32\drivers\NIS\1109000.00C\Ironx86.SYS [116784 2010-04-28] (Symantec Corporation)
S1 SYMTDIv; C:\Windows\System32\Drivers\NIS\1109000.00C\SYMTDIV.SYS [340088 2011-08-21] (Symantec Corporation)
S3 IpInIp; system32\DRIVERS\ipinip.sys [x]
S3 NwlnkFlt; system32\DRIVERS\nwlnkflt.sys [x]
S3 NwlnkFwd; system32\DRIVERS\nwlnkfwd.sys [x]

==================== NetSvcs (Whitelisted) ===================

==================== One Month Created Files and Folders ========

==================== One Month Modified Files and Folders =======

2013-08-15 11:06 - 2011-05-28 21:38 - 00000000 ____D C:\Users\Tessan\AppData\Roaming\go
2013-08-15 11:06 - 2010-11-19 14:41 - 00000000 ____D C:\Users\Tessan\AppData\Roaming\Spotify
2013-08-15 11:06 - 2009-08-02 14:59 - 00000000 ____D C:\Users\Tessan\Tracing
2013-08-15 11:05 - 2009-11-07 22:39 - 00007808 _____ C:\Users\Tessan\Local Settings\Application Data\d3d9caps.dat
2013-08-15 11:05 - 2009-11-07 22:39 - 00007808 _____ C:\Users\Tessan\AppData\Local\d3d9caps.dat
2013-08-15 11:05 - 2009-04-07 11:04 - 00000248 _____ C:\ProgramData\hpqp.ini
2013-08-15 11:04 - 2009-07-23 08:34 - 00048158 _____ C:\ProgramData\nvModes.dat
2013-08-15 11:04 - 2009-07-23 08:34 - 00048158 _____ C:\ProgramData\nvModes.001
2013-08-15 11:04 - 2006-11-02 04:45 - 00003216 ____H C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-2P-1.C7483456-A289-439d-8115-601632D005A0
2013-08-15 11:04 - 2006-11-02 04:45 - 00003216 ____H C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-2P-0.C7483456-A289-439d-8115-601632D005A0
2013-08-15 11:03 - 2008-01-20 19:02 - 00291646 _____ C:\Windows\PFRO.log

Files to move or delete:
====================
C:\ProgramData\nvModes.dat

==================== Known DLLs (Whitelisted) ============

==================== Bamital & volsnap Check =================

C:\Windows\explorer.exe => MD5 is legit
C:\Windows\System32\winlogon.exe => MD5 is legit
C:\Windows\System32\wininit.exe => MD5 is legit
C:\Windows\System32\svchost.exe => MD5 is legit
C:\Windows\System32\services.exe => MD5 is legit
C:\Windows\System32\User32.dll => MD5 is legit
C:\Windows\System32\userinit.exe => MD5 is legit
C:\Windows\System32\Drivers\volsnap.sys => MD5 is legit

==================== EXE ASSOCIATION =====================

HKLM\...\.exe: exefile => OK
HKLM\...\exefile\DefaultIcon: %1 => OK
HKLM\...\exefile\open\command: "%1" %* => OK

==================== Restore Points =========================

Restore point made on: 2013-02-06 18:01:25
Restore point made on: 2013-02-06 19:19:22
Restore point made on: 2013-02-09 09:25:48
Restore point made on: 2013-02-10 13:50:33
Restore point made on: 2013-02-13 08:59:44
Restore point made on: 2013-02-21 16:10:31
Restore point made on: 2013-02-21 16:39:49
Restore point made on: 2013-02-21 18:01:14
Restore point made on: 2013-02-21 18:42:58
Restore point made on: 2013-02-23 02:49:24
Restore point made on: 2013-03-18 14:21:42
Restore point made on: 2013-03-21 18:01:20
Restore point made on: 2013-03-21 18:50:03
Restore point made on: 2013-03-22 04:57:04
Restore point made on: 2013-03-24 13:59:43
Restore point made on: 2013-04-15 17:02:00
Restore point made on: 2013-04-15 17:50:51
Restore point made on: 2013-04-18 11:40:26
Restore point made on: 2013-04-23 00:58:39
Restore point made on: 2013-04-23 11:18:29
Restore point made on: 2013-04-24 09:22:56
Restore point made on: 2013-04-24 17:02:29
Restore point made on: 2013-04-24 17:39:53
Restore point made on: 2013-04-26 04:57:37
Restore point made on: 2013-05-06 06:47:31
Restore point made on: 2013-05-13 10:19:21
Restore point made on: 2013-05-28 09:23:37
Restore point made on: 2013-05-28 10:39:31

==================== Memory info ===========================

Percentage of memory in use: 26%
Total physical RAM: 1789.69 MB
Available physical RAM: 1314.64 MB
Total Pagefile: 1554.56 MB
Available Pagefile: 1384.18 MB
Total Virtual: 2047.88 MB
Available Virtual: 1953.29 MB

==================== Drives ================================

Drive c: () (Fixed) (Total:222.11 GB) (Free:71.95 GB) NTFS ==>[Drive with boot components (obtained from BCD)]
Drive d: (RECOVERY) (Fixed) (Total:10.77 GB) (Free:1.82 GB) NTFS ==>[System with boot components (obtained from reading drive)]
Drive g: (LEXAR) (Removable) (Total:7.47 GB) (Free:7.39 GB) NTFS
Drive x: (Boot) (Fixed) (Total:0.03 GB) (Free:0.03 GB) NTFS

==================== MBR & Partition Table ==================

========================================================
Disk: 0 (Size: 233 GB) (Disk ID: 0C2CB3FC)
Partition 1: (Active) - (Size=222 GB) - (Type=07 NTFS)
Partition 2: (Not Active) - (Size=11 GB) - (Type=07 NTFS)

========================================================
Disk: 2 (MBR Code: Windows XP) (Size: 7 GB) (Disk ID: C3072E18)
Partition 1: (Active) - (Size=7 GB) - (Type=07 NTFS)

LastRegBack: 2013-08-15 11:02

==================== End Of Log ============================

Dold text

Rapportera Redigera

Citera flera Citera

2013-08-16 12:10

Permalänk

CeciliaB

Medlem

Plats: Stockholm
Registrerad: Nov 2011

●

Skrivet av Tinardirith:

Oops, skrivit lite fel ser jag. Jo jag körde det genom avancerade menyn, inte felsäkert. Det verkar ha löst sig nu, till synes iaf. Återstår att se om det kommer tillbaka. Tack för guiden och hjälpen!

Gå till inlägget

Då kanske du använde fel FRST, dvs 32-bitars FRST i 64-bitars Windows eller tvärtom.

Systemåterställning är känt för att vara mycket dåligt på att ta bort skadliga filer. Du kanske inte märker något men det finns troligen skadliga filer kvar i datorn.

Rapportera Redigera

Citera flera Citera

2013-08-16 12:18

Permalänk

CeciliaB

Medlem

Plats: Stockholm
Registrerad: Nov 2011

●

Skrivet av Tymatt: