Przywracanie systemu wyłączone przez zasady grupy

[Grigory]

Czy jest coś niepokojącego w tym zwrocie w zakładce przywracania systemu (XP) ? Odnalazłem przyczynę tego

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT

Ucharatać cały klucz "SystemRestore" bo tego domyślnie tam nie ma.

.

Ponoć może to powodować trojany, choć skanowanie pokazuje że nie ma zagrożeń.

[picasso]

Zapytałeś w dziale Malware, w którym się przedstawia raporty systemu pozwalające wysunąć konkluzję. Drugi moderator teraz przeniósł temat do innego działu, co też nie zwalnia z pokazania raportów.

 

Odpowiadając na pytanie: polisa jak polisa, coś ją musiało wprowadzić, ale przy zupełnym braku danych nie jestem w stanie odpowiedzieć na to pytanie. Mógł to zrobić: trojan, jakiś tweaker. Operacje z gpedit.msc chyba byś pamiętał...

[Grigory]

Dziękuje za zrozumienie, załączam logi

ps. dlaczego pojawia się takie coś ?

Wgrywanie przerwane (Błąd IO)

Użyłeś 300.1K z 4.88MB dostępnej dla Ciebie przestrzeni. (Maks. rozmiar pojedynczego pliku wynosi: 4.59MB)

[picasso]

Nic tu z zakresu nieproszonych gości nie widzę (nawiasem: GMER robiony w złym środowisku, podczas czynnej emulacji SPTD). Drobnostki:

 

[ System Events ]
Error - 2010-11-10 04:50:50 | Computer Name = ADMINISTRATOR | Source = Service Control Manager | ID = 7000
Description = Nie można uruchomić usługi Norton Ghost z powodu następującego błędu:
   %%3
 
Error - 2010-11-10 04:50:50 | Computer Name = ADMINISTRATOR | Source = Service Control Manager | ID = 7000
Description = Nie można uruchomić usługi Centrum zabezpieczeń z powodu następującego
 błędu:   %%1083
 
Error - 2010-11-10 04:50:50 | Computer Name = ADMINISTRATOR | Source = Service Control Manager | ID = 7026
Description = Nie można załadować następujących sterowników startu rozruchowego 
lub systemowego:   Inspect
 
Error - 2010-11-10 04:50:50 | Computer Name = ADMINISTRATOR | Source = Service Control Manager | ID = 7000
Description = Nie można uruchomić usługi Usługa bramy warstwy aplikacji z powodu
 następującego błędu:   %%3
 
Error - 2010-11-10 04:50:50 | Computer Name = ADMINISTRATOR | Source = Service Control Manager | ID = 7001
Description = Usługa Usługa udostępniania w sieci programu Windows Media Player 
zależy od usługi Host uniwersalnego urządzenia Plug and Play, której nie można uruchomić
 z powodu następującego błędu:   %%1058

 

1. Posprzątaj sobie via Autoruns.

 

Karta Drivers:

 

DRV - File not found [Kernel | Boot | Stopped] -- D:\WINDOWS\System32\drivers\Combo-Fix.sys -- (vkquwexg)
DRV - File not found [Kernel | On_Demand | Stopped] -- D:\WINDOWS\System32\DRIVERS\usbser_lowerflt.sys -- (upperdev)
DRV - File not found [Kernel | On_Demand | Stopped] -- D:\WINDOWS\System32\NSNDIS5.SYS -- (NSNDIS5)
DRV - File not found [Kernel | Boot | Stopped] -- D:\WINDOWS\System32\DRIVERS\inspect.sys -- (Inspect)
DRV - File not found [Kernel | On_Demand | Stopped] -- E:\Spolszczenie\DEKODERY\moretv353pl[www.instalki.pl]\HWIONT.sys -- (HWIONT)
DRV - File not found [Kernel | On_Demand | Stopped] -- D:\PROGRA~1\K!TV\Plugins\S_Bt8x8\DSDrv4.sys -- (DSDrv4)
DRV - File not found [Kernel | On_Demand | Stopped] -- D:\DOCUME~1\SysOp\USTAWI~1\Temp\catchme.sys -- (catchme)

Karta Services:

 

SRV - File not found [Auto | Stopped] --  -- (PLFlash DeviceIoControl Service)
SRV - File not found [On_Demand | Stopped] --  -- (Norton Ghost)
SRV - File not found [On_Demand | Stopped] --  -- (NMIndexingService)
SRV - File not found [Auto | Stopped] --  -- (JavaQuickStarterService)
SRV - File not found [Auto | Stopped] --  -- (GEARSecurity)

Dodatkowo wyszukaj te usługi, które są poszkodowane, a ustawione by startowały i je wyłącz ze startu: alg, wscsvc i WMPNetworkSvc.

 

2. Zaś te:

 

O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {32099AAC-C132-4136-9E9A-4E364A424E17} - No CLSID value found.
O9 - Extra Button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - Reg Error: Value error. File not found
O9 - Extra 'Tools' menuitem : Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - Reg Error: Value error. File not found

Załatwisz importem do rejestru o następującej zawartości:

 

Windows Registry Editor Version 5.00
 
[-HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Extensions\{FB5F1910-F110-11d2-BB9E-00C04F795683}]
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]
"{32099AAC-C132-4136-9E9A-4E364A424E17}"=-

 

3. Skasuj z dysku folder tego adware-śmiecia:

 

[2010-08-22 21:09:10 | 000,000,000 | ---D | M] -- D:\Documents and Settings\SysOp\Dane aplikacji\OpenCandy

 

Wgrywanie przerwane (Błąd IO)

 

Hmmm, a to wystąpienie jednorazowe? Sprawdziłam Załączniki i nie mam żadnego problemu z ich wgrywaniem. Nie wszedł może w interferencję NIS?

 

 

 

.

[Grigory]

Extra, dziękuję

pozdro

Edytowane 16 Lutego 2011 przez picasso
Temat wygląda na ukończony, zamykam. //picasso