Live security platinum - problem jak u pozostałych użytkowników

budar · 26 Lipca 2012

-Nazwa problemu jak w tytule, nie działa praktycznie nic ani internet, ani nie można uruchomić żadnych aplikacji, w panelu sterowania także praktycznie nic nie działa.

-Niczym nie skanowałem, nic nie mogłem uruchomić nic ani z profilu użytkownika, ani z jako administrator. Dopiero cokolwiek działa po "bezpiecznym uruchomieniu"

-OTL:

http://wklej.org/id/797830/

-GMER:

http://wklej.org/id/798098/

Przepraszam z góry jeśli coś mieszam, jestem w temacie zielony. Z góry dziekuję bardzo za każdą pomoc.

Landuss · 26 Lipca 2012

Z Live Security Platinum chodzi często infekcja ZeroAccess i u ciebie właśnie tak jest. Potrzebny log dodatkowy. Uruchom SystemLook, w oknie wklej:

:reg
HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
 
:filefind
services.exe

Klik w Look. Przedstaw wynikowy raport.

budar · 26 Lipca 2012

SystemLook 30.07.11 by jpshortstuff

Log created at 16:26 on 26/07/2012 by Damon

Administrator - Elevation successful

========== reg ==========

[HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}]

(No values found)

[HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InprocServer32]

"ThreadingModel"="Both"

@="C:\Users\Damon\AppData\Local\{15f78bb6-436f-e39b-8142-28de3f6757e5}\n."

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}]

@="Microsoft WBEM New Event Subsystem"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32]

@="%systemroot%\system32\wbem\wbemess.dll"

"ThreadingModel"="Both"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}]

@="MruPidlList"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32]

@="%SystemRoot%\system32\shell32.dll"

"ThreadingModel"="Apartment"

========== filefind ==========

Searching for "services.exe"

C:\Windows\System32\services.exe --a---- 279552 bytes [07:43 24/09/2009] [06:27 11/04/2009] 8737764F4FD36D6808EE80578409C843

C:\Windows\winsxs\x86_microsoft-windows-s..s-servicecontroller_31bf3856ad364e35_6.0.6000.16386_none_cd28fe6bd05df036\services.exe --a---- 279552 bytes [08:35 02/11/2006] [09:45 02/11/2006] 329CF3C97CE4C19375C8ABCABAE258B0

C:\Windows\winsxs\x86_microsoft-windows-s..s-servicecontroller_31bf3856ad364e35_6.0.6001.18000_none_cf5fc067cd49010a\services.exe --a---- 279040 bytes [20:05 20/06/2008] [07:33 19/01/2008] 2B336AB6286D6C81FA02CBAB914E3C6C

C:\Windows\winsxs\x86_microsoft-windows-s..s-servicecontroller_31bf3856ad364e35_6.0.6002.18005_none_d14b3973ca6acc56\services.exe --a---- 279552 bytes [07:43 24/09/2009] [06:27 11/04/2009] D4E6D91C1349B7BFB3599A6ADA56851B

-= EOF =-

Czekam na dalsze instrukcje, mam nadzieję, że o to chodziło.

Landuss · 26 Lipca 2012

1. Start > w polu szukania wpisz cmd > z prawokliku uruchom jako Administrator i wklep:

reg delete HKCU\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /f

2. Uruchom OTL i w oknie Własne opcje skanowania/Skrypt wklej następujący tekst:

:OTL
IE - HKU\S-1-5-21-3068887249-2125986151-909192035-1000\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = "http://search.babylon.com/?q={searchTerms}&AF=100480&babsrc=SP_ss&mntrId=d4de85410000000000000016d3e812e0"
[2011-12-29 11:57:34 | 000,002,310 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\babylon.xml
O4 - HKLM..\Run: [] File not found
O4 - HKU\S-1-5-21-3068887249-2125986151-909192035-1000..\RunOnce: [6F638BC80048584715C01D472F3B6FDA] C:\ProgramData\6F638BC80048584715C01D472F3B6FDA\6F638BC80048584715C01D472F3B6FDA.exe ()
 
:Files
C:\Users\Damon\AppData\Local\Temp*.html
C:\Windows\Installer\{15f78bb6-436f-e39b-8142-28de3f6757e5}
C:\Users\Damon\AppData\Local\{15f78bb6-436f-e39b-8142-28de3f6757e5}
C:\Users\Damon\Desktop\Live Security Platinum.lnk
C:\Windows\System32\%APPDATA%
C:\Users\Damon\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Live Security Platinum
C:\ProgramData\6F638BC80048584715C01D472F3B6FDA
 
:Services
BLKWGU(Belkin)
 
:Reg
[HKEY_USERS\S-1-5-21-3068887249-2125986151-909192035-1000\Software\Microsoft\Internet Explorer\SearchScopes]
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
 
:Commands
[emptytemp]

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

Kliknij w Wykonaj skrypt. Zatwierdź restart komputera.

Uruchamiasz OTL ponownie, tym razem wywołujesz opcję Skanuj. Pokazujesz nowy log z OTL, z SystemLook i z Farbar Service Scanner (zaznacz wszystko do skanowania)

budar · 26 Lipca 2012

1. Zrobiłem pierwszy punkt zatwierdziłem poprzez "Yes"

2. Drugi także.

Scany:

OTL:

http://wklej.org/id/798202/

System look:

http://wklej.org/id/798205/

FSS:

http://wklej.org/id/798206/

Czekam na dalsze instrukcje.

Landuss · 26 Lipca 2012

Punkt 1 nie wykonany. Powtórka i nowy log z SystemLook do oceny.

budar · 26 Lipca 2012

w cmd mam juz :"The operation coplited succesfully." Mam znów robic punkt 2 czy tylko log?

Przepraszam, że dwa razy, ale nie umiem usunąć tego drugiego ;/

budar · 26 Lipca 2012

W cmd mam juz "The operation complited successfully." Teraz mam znów robić punkt 2 czy tylko logi juz ?

Landuss · 26 Lipca 2012

Pokaż tylko nowy log z SystemLook

budar · 26 Lipca 2012

SystemLook 30.07.11 by jpshortstuff

Log created at 20:02 on 26/07/2012 by Damon

Administrator - Elevation successful

========== reg ==========

[HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}]

(Unable to open key - key not found)

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}]

@="Microsoft WBEM New Event Subsystem"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32]

@="%systemroot%\system32\wbem\wbemess.dll"

"ThreadingModel"="Both"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}]

@="MruPidlList"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32]

@="%SystemRoot%\system32\shell32.dll"

"ThreadingModel"="Apartment"

========== filefind ==========

Searching for "services.exe"

C:\Windows\System32\services.exe --a---- 279552 bytes [07:43 24/09/2009] [06:27 11/04/2009] 8737764F4FD36D6808EE80578409C843

C:\Windows\winsxs\x86_microsoft-windows-s..s-servicecontroller_31bf3856ad364e35_6.0.6000.16386_none_cd28fe6bd05df036\services.exe --a---- 279552 bytes [08:35 02/11/2006] [09:45 02/11/2006] 329CF3C97CE4C19375C8ABCABAE258B0

C:\Windows\winsxs\x86_microsoft-windows-s..s-servicecontroller_31bf3856ad364e35_6.0.6001.18000_none_cf5fc067cd49010a\services.exe --a---- 279040 bytes [20:05 20/06/2008] [07:33 19/01/2008] 2B336AB6286D6C81FA02CBAB914E3C6C

C:\Windows\winsxs\x86_microsoft-windows-s..s-servicecontroller_31bf3856ad364e35_6.0.6002.18005_none_d14b3973ca6acc56\services.exe --a---- 279552 bytes [07:43 24/09/2009] [06:27 11/04/2009] D4E6D91C1349B7BFB3599A6ADA56851B

-= EOF =-

Landuss · 26 Lipca 2012

Teraz możesz przejść dalej bo jeszcze jest co robić.

1. Odbuduj skasowane usługi (w instrukcjach omiń sfc /scannow):

Rekonstrukcja usług Zapory systemu Windows (MpSvc + Bfe + SharedAccess): KLIK.
Rekonstrukcja usługi Centrum zabezpieczeń: KLIK.
Rekonstrukcja usługi Windows Defender: KLIK.
Rekonstrukcja usługi Aktualizacje automatyczne (wuauserv + BITS + EventSystem): Pobierz fixa i zaimportuj: KLIK

2. Po wykonaniu wszystkiego pokaż nowy log z FSS.

budar · 26 Lipca 2012

Jak na razie udało mi się wywalczyć tyle ...

Farbar Service Scanner Version: 22-07-2012

Ran by Damon (administrator) on 26-07-2012 at 22:05:57

Running from "D:\Pobrane"

Microsoft® Windows Vista™ Business Service Pack 2 (X86)

Boot Mode: Normal

****************************************************************

Internet Services:

============

Connection Status:

==============

Localhost is accessible.

LAN connected.

Google IP is accessible.

Google.com is accessible.

Yahoo IP is accessible.

Yahoo.com is accessible.

Windows Firewall:

=============

MpsSvc Service is not running. Checking service configuration:

The start type of MpsSvc service is OK.

The ImagePath of MpsSvc service is OK.

The ServiceDll of MpsSvc service is OK.

bfe Service is not running. Checking service configuration:

The start type of bfe service is OK.

The ImagePath of bfe service is OK.

The ServiceDll of bfe service is OK.

Firewall Disabled Policy:

==================

System Restore:

============

System Restore Disabled Policy:

========================

Security Center:

============

Windows Update:

============

Windows Autoupdate Disabled Policy:

============================

Windows Defender:

==============

Other Services:

==============

sharedaccess Service is not running. Checking service configuration:

The start type of sharedaccess service is set to Disabled

The ImagePath of sharedaccess service is OK.

The ServiceDll of sharedaccess service is OK.

File Check:

========

C:\Windows\system32\nsisvc.dll => MD5 is legit

C:\Windows\system32\Drivers\nsiproxy.sys => MD5 is legit

C:\Windows\system32\dhcpcsvc.dll => MD5 is legit

C:\Windows\system32\Drivers\afd.sys => MD5 is legit

C:\Windows\system32\Drivers\tdx.sys => MD5 is legit

C:\Windows\system32\Drivers\tcpip.sys

[2012-05-12 20:10] - [2012-03-30 14:39] - 0905600 ____A (Microsoft Corporation) 27D470DABC77BC60D0A3B0E4DEB6CB91

C:\Windows\system32\dnsrslvr.dll => MD5 is legit

C:\Windows\system32\mpssvc.dll => MD5 is legit

C:\Windows\system32\bfe.dll => MD5 is legit

C:\Windows\system32\Drivers\mpsdrv.sys => MD5 is legit

C:\Windows\system32\SDRSVC.dll => MD5 is legit

C:\Windows\system32\vssvc.exe => MD5 is legit

C:\Windows\system32\wscsvc.dll => MD5 is legit

C:\Windows\system32\wbem\WMIsvc.dll => MD5 is legit

C:\Windows\system32\wuaueng.dll => MD5 is legit

C:\Windows\system32\qmgr.dll => MD5 is legit

C:\Windows\system32\es.dll => MD5 is legit

C:\Windows\system32\cryptsvc.dll => MD5 is legit

C:\Program Files\Windows Defender\MpSvc.dll => MD5 is legit

C:\Windows\system32\ipnathlp.dll

[2008-06-20 22:04] - [2008-01-19 09:34] - 0288256 ____A (Microsoft Corporation) E1499BD0FF76B1B2FBBF1AF339D91165

C:\Windows\system32\svchost.exe => MD5 is legit

C:\Windows\system32\rpcss.dll => MD5 is legit

**** End of log ****

Landuss · 26 Lipca 2012

To podstawowe pytanie - czy działa teraz Zapora systemu Windows?

budar · 26 Lipca 2012

Windows Cannot start the windows firewall serwice.

Landuss · 26 Lipca 2012

Więc coś poszło nie tak. Wykonaj raz jeszcze przywracanie uprawnień przez SetACL uważnie dla tych trzech (MpSvc + bfe + SharedAccess)

budar · 26 Lipca 2012

(MpSvc + bfe + SharedAccess) - wszystko zakńczone sukcesem

log z FSS

Farbar Service Scanner Version: 22-07-2012

Ran by Damon (administrator) on 26-07-2012 at 23:21:17

Running from "D:\Pobrane"

Microsoft® Windows Vista™ Business Service Pack 2 (X86)

Boot Mode: Normal

****************************************************************

Internet Services:

============

Connection Status:

==============

Localhost is accessible.

LAN connected.

Google IP is accessible.

Google.com is accessible.

Yahoo IP is accessible.

Yahoo.com is accessible.

Windows Firewall:

=============

MpsSvc Service is not running. Checking service configuration:

The start type of MpsSvc service is OK.

The ImagePath of MpsSvc service is OK.

The ServiceDll of MpsSvc service is OK.

bfe Service is not running. Checking service configuration:

The start type of bfe service is OK.

The ImagePath of bfe service is OK.

The ServiceDll of bfe service is OK.

Firewall Disabled Policy:

==================

System Restore:

============

System Restore Disabled Policy:

========================

Security Center:

============

Windows Update:

============

Windows Autoupdate Disabled Policy:

============================

Windows Defender:

==============

Other Services:

==============

sharedaccess Service is not running. Checking service configuration:

The start type of sharedaccess service is set to Disabled

The ImagePath of sharedaccess service is OK.

The ServiceDll of sharedaccess service is OK.

File Check:

========

C:\Windows\system32\nsisvc.dll => MD5 is legit

C:\Windows\system32\Drivers\nsiproxy.sys => MD5 is legit

C:\Windows\system32\dhcpcsvc.dll => MD5 is legit

C:\Windows\system32\Drivers\afd.sys

[2011-06-16 12:22] - [2011-04-21 15:58] - 0273408 ____A (Microsoft Corporation)

C:\Windows\system32\Drivers\tdx.sys => MD5 is legit

C:\Windows\system32\Drivers\tcpip.sys

[2012-05-12 20:10] - [2012-03-30 14:39] - 0905600 ____A (Microsoft Corporation) 27D470DABC77BC60D0A3B0E4DEB6CB91

C:\Windows\system32\dnsrslvr.dll => MD5 is legit

C:\Windows\system32\mpssvc.dll => MD5 is legit

C:\Windows\system32\bfe.dll => MD5 is legit

C:\Windows\system32\Drivers\mpsdrv.sys => MD5 is legit

C:\Windows\system32\SDRSVC.dll => MD5 is legit

C:\Windows\system32\vssvc.exe

[2009-09-24 09:43] - [2009-04-11 08:28] - 1055232 ____A (Microsoft Corporation)

C:\Windows\system32\wscsvc.dll => MD5 is legit

C:\Windows\system32\wbem\WMIsvc.dll => MD5 is legit

C:\Windows\system32\wuaueng.dll => MD5 is legit

C:\Windows\system32\qmgr.dll => MD5 is legit

C:\Windows\system32\es.dll => MD5 is legit

C:\Windows\system32\cryptsvc.dll => MD5 is legit

C:\Program Files\Windows Defender\MpSvc.dll => MD5 is legit

C:\Windows\system32\ipnathlp.dll

[2008-06-20 22:04] - [2008-01-19 09:34] - 0288256 ____A (Microsoft Corporation) E1499BD0FF76B1B2FBBF1AF339D91165

C:\Windows\system32\svchost.exe => MD5 is legit

C:\Windows\system32\rpcss.dll => MD5 is legit

**** End of log ****

Jeszcze zrobie restart i zobacze czy działa juz zapora

wygląda to tak

wiec chyba dobrze

Landuss · 26 Lipca 2012

To by było wszystko bo wygląda dobrze tym razem. Przejdź do finalizacji tematu:

1. Użyj opcji Sprzątanie z OTL.

2. Opróżnij przywracanie systemu: KLIK

3. Zaktualizuj IE do najnowszej wersji 9. Szczegóły aktualizacyjne: KLIK

4. Dla bezpieczeństwa zmień hasła logowania do serwisów w sieci.

budar · 26 Lipca 2012

Wszystko zrobionem proszę mi teraz powiedzieć jeszcze, jak mogę się odwdzięczyć. Tzn gdzie was mozna dofinansowac

picasso · 27 Lipca 2012

proszę mi teraz powiedzieć jeszcze, jak mogę się odwdzięczyć. Tzn gdzie was mozna dofinansowac

To miłe. Temat poświęcony tej sprawie: KLIK

Temat rozwiązany. Zamykam.

.

Zaloguj się

Live security platinum - problem jak u pozostałych użytkowników

Rekomendowane odpowiedzi

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Odnośnik do komentarza

Ostatnio przeglądający 0 użytkowników