Skocz do zawartości
Ten temat
WAŻNE - Zakładanie tematu: obowiązkowe logi

Trojan: Win32/Sirefef.P, Win32/CoinMiner

Alfik91

Przez Alfik91
w Dział pomocy doraźnej

Rekomendowane odpowiedzi

Pomoc jest darmowa, ale proszę rozważ przekazanie dotacji na utrzymanie serwisu: klik.
picasso

picasso

Opublikowano
Opublikowano
  Cytat
Na internecie jest napisane, że lepiej nie usuwać DirectX'a bo mogą pojawić się sporego rodzaju problemy.

 

Oni mają zapewne na myśli wbudowany w system DirectX (na Windows 7 jest to DirectX 11), wyrywanie zintegrowanych komponentów to jest bardzo trudna i ryzykowna sprawa. Ja zaś mówię o wtórnie doinstalowanej niższej wersji, gdyż takie dane podaje mi OTL:

 

1. OTL twierdzi, że na liście zainstalowanych w gąłęzi 32-bit jest taka pozycja:

 

========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{AF9E97C1-7431-426D-A8D5-ABE40995C0B1}" = DirectX 9 Runtime
"{E09C4DB7-630C-4F06-A631-8EA7239923AF}" = D3DX10

 

2. Ponadto, w Twoim logu stoi taki oto katalog:

 

[2011-10-16 22:02:49 | 000,000,000 | ---D | C] -- C:\Windows\SysWow64\directx

 

To wszystko jest nieobecne na czystej instalacji Windows 7 x64. DX w niższej wersji został tu doinstalowany z osobna. A podałam trop z deinstalacją, ponieważ wg loga z OTL takie wejście jest na liście zainstalowanych (normalnie DirectX w ogóle nie występuje w tym kluczu Uninstall).

 

 

  Cytat
Poza tym jak wspomniałem nie wiem nawet jak tego fizycznie dokonać, bo przecież nie ma żadnego deinstalatora w "Dodaj/Usuń programy". Co robić ?

 

Czyli nie widzisz "DirectX 9 Runtime" na liście? Pokaż mi co jest w tym kluczu deinstalacji. Start > w polu szukania wpisz regedit > wyszukaj klucz:

 

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{AF9E97C1-7431-426D-A8D5-ABE40995C0B1}

 

Z prawokliku wyeksportuj go do formatu TXT (a nie REG) i przedstaw tu.

 

 

PS. A że tak zapytam: próbowałeś najprostszego testu, czyli reinstalacji całej gry?

 

 

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

To wejście DirectX utworzył instalator Roxio i wejście to jest modyfikowane na świeżo 12 listopada 2011 (temat założyłeś 11 listopada). Pozycja nie jest widoczna na liście Dodaj / Usuń, gdyż ma ustawioną wartość SystemComponent na 1, odkrycie wejścia to przestawienie tej liczby. Ostatecznie, można byłoby zrobić ten eksperyment z odblokowaniem tego i próbą normalnej deinstalacji, ale może przedstaw w ogóle jakie wersje plików DirectX są aktualnie w systemie.

 

1. Uruchom OTL, wszystko ustaw na Brak+Żadne i w sekcji Własne opcje skanowania / skrypt wklej:

 

/md5start
d3*.dll
/md5stop

 

Klik w Skanuj.

 

2. I jeszcze mi pokaż dokładnie co to za instalator w folderze Fifa.

 

 

 

.

Odnośnik do komentarza
Alfik91

Alfik91

Opublikowano
  • Autor
Opublikowano

Ten na środku: DXSETUP-aplikacja-506kb. Na razie błędu nie przekleję, bo póki co mam problemy w ogóle z całą platformą, bo nie wykrywa mi żadnej gry... ;/ Ale to już oczywiście inna sprawa dotycząca samej platformy i napisałem już stosowną informację do pomocy technicznej. Jak odzyskam dostęp do gry i będę ją uruchamiał, a błąd nadal będzie (w co nie wątpię), to w tedy umieszczę całą notkę z błędem. Na ten moment sam mam związane ręce, więc proponuję zająć się końcowymi sprawami dotyczącymi tematu głównego. No chyba, że już wszystko co miało zostać, zostało wykonane ?

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano
  Cytat
Na ten moment sam mam związane ręce, więc proponuję zająć się końcowymi sprawami dotyczącymi tematu głównego. No chyba, że już wszystko co miało zostać, zostało wykonane ?

 

Do partii relatywnej do zamknięcia aspektów infekcji należy:

 

1. Czyszczenie folderów Przywracania systemu (ponownie, gdyż zaszły kolejne zmiany konfiguracyjne np. naprawa BITS): INSTRUKCJE.

 

2. Dla bezpieczeństwa wymiana wszystkich haseł logowania w serwisach.

 

3. Instalacja oprogramowania zabezpieczającego: był tu zarówno ESET, jak i Avast. Oba te programy nadal można polecić do ponownej instalacji (wybierz podług uznania), a dysponują osłoną Web. Alternatywnie, możesz wypróbować całkiem inny typ antywirusa (darmowego), który chodzi w technologii chmury: Panda Cloud Antivirus. Cechy: małe obciążenie (przeniesienie na stronę serwerową), minimalna konfiguracja, ale jednocześnie zależność od aktywnego połączenia sieciowego. Jako uzupełnienie arsenału, można rozważyć wirtualizację / piaskownicę, czyli uruchamianie przeglądarki w środowisku izolowanym, a program do tego celu to np.: SandBoxie (w sumie za darmo się da używać, tylko po 30 dniach zacznie się "przypominanie o zakupach").

 

Na temat ponownego wyboru "antywirusa który zawiódł": Ich jakości nie można oceniać przez pryzmat zaistniałych zdarzeń, nie wynaleziono doskonałości i 100% skuteczności (to tylko marketing). Jest do teraz niewiadome co tak naprawdę doprowadziło do infekcji (czy odwiedziłeś / kliknąłeś jakiś szczególny link, czy może uruchomiłeś lewy pobrany plik z dysku) i dlaczego nie została zatrzymana przez rezydenta ESET. Aczkolwiek, przynajmniej jedna z posiadanych przez Ciebie infekcji ma w zamiarze neutralizować oprogramowanie zabezpieczające, widziałam ją na forum w kombinacji z różnymi AV i żaden nie zdał egzaminu. Zaś Avast był instalowany już w trakcie i tak nie dałby rady, bo infekcja już była czynna.

 

 

PS. A spoza tematu, widzę u Ciebie Gadu-Gadu 10. No cóż, głodny stwór, a reklam więcej niż funkcji komunikatora. Proponuję wymianę na program alternatywny z obsługą sieci Gadu. W moim artykule Darmowe komunikatory poczytasz opisy takowych: AQQ, Kadu, WTW i Miranda. Szczególnie polecam WTW: zero reklam, dobrze zgrany z x64, lekki, portable, obsługa wszystkich ważnych cech protokołu GG10, funkcjonalność poszerzalna przez wtyczki.

 

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Obrazka po raz drugi nie musiałeś załączać, to już znamy, usuwam. Widzę, że ten błąd ma całkiem inną formułę niż przypuszczana:

 

System.IO.FileLoadException: Nie można załadować pliku lub zestawu 'Microsoft.DirectX.Direct3D, Version=1.0.2902.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35' lub jednej z jego zależności. Odmowa dostępu.
Nazwa pliku: 'Microsoft.DirectX.Direct3D, Version=1.0.2902.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35'

 

Odmowa dostępu. Zrób poglądowe zestawienie z assembly, co tam jest. Uruchom SystemLook x64, W oknie wklej:

 

:dir
C:\Windows\assembly /s

 

Klik w Look.

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Hola hola, tu mamy w assembly ciągle składniki infekcji ZeroAccess, loader.tlb i {1B372133-BFFA-4dba-9CCF-5474BED6A9F6}:

 

C:\Windows\assembly\tmp	d------	[04:55 14/07/2009]
loader.tlb	--ahs-- 2632 bytes	[21:15 08/11/2011]	[13:40 12/11/2011]
{1B372133-BFFA-4dba-9CCF-5474BED6A9F6}	--a---- 2048 bytes	[21:14 08/11/2011]	[21:14 08/11/2011]

 

Przypuszczalnie i ten plik desktop.ini (utworzony na świeżo) to także od ZeroAccess (ja takiego desktop.ini nie posiadam w GAC_64):

 

C:\Windows\assembly\GAC_64	dr-----	[03:20 14/07/2009]
Desktop.ini	--ahs-- 39424 bytes	[21:15 08/11/2011]	[13:40 12/11/2011]

 

Zadawałam skan Kasperskym, punktując by zaznaczyć w nim wszystkie obszary. Skan nic nie wykrył, to ja mam wątpliwości czy było do skanu zaznaczone wszystko. Na pewno?

 

 

 

1. Na początek usunięcie szczątków infekcji. Uruchom GrantPerms x64 (przez prawoklikowe Uruchom jako Administrator), w oknie wklej co poniżej i klik w Unlock.

 

C:\Windows\assembly\tmp\loader.tlb
C:\Windows\assembly\tmp\{1B372133-BFFA-4dba-9CCF-5474BED6A9F6}
C:\Windows\assembly\GAC_64\Desktop.ini

 

Następnie uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej co poniżej i klik w Wykonaj skrypt.

 

:Files


C:\Windows\assembly\tmp\loader.tlb


C:\Windows\assembly\tmp\{1B372133-BFFA-4dba-9CCF-5474BED6A9F6}


C:\Windows\assembly\GAC_64\Desktop.ini

 

Przedstaw log wynikowy z usuwania. Log króciutki, to i wklej jego zawartość bezpośrednio do posta.

 

2. Jeśli powyższa operacja nie będzie mieć żadnego wpływu na start Fifa (a tak sądzę), uruchom GrantPerms x64 ponownie jako Administrator, w oknie wklej to co w spoilerze:

 

 

  Pokaż ukrytą zawartość

 

 

Klik w List Permissions. Przedstaw log wynikowy. Jego analiza pochłonie więcej czasu, gdyż muszę porównać uprawnienia ze swoją wirtualną maszyną x64, na której zainstalowałam biblioteki DirectX 9, w celu pozyskania plików zbliżonych do Twoich w assembly.

 

 

 

.

Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

Nie podałeś mi loga z wynikami usuwania OTL. W kwestii zestawu uprawnień, są notowalne problemy, można wyróżnić dwa rodzaje:

 

1. Kompletnie wyzerowana lista DACL dla tmp, gdzie siedział ZeroAccess (niewątpliwie infekcja uprawnienia katalogu zmieniła):

 

\\?\C:\Windows\assembly\tmp
 
   Owner: ZARZĄDZANIE NT\SYSTEM
 
   DACL(protected):
   [NULL]

 

W normalnych okolicznościach uprawnienia powinny być takie (nazwy kont systemowych u mnie EN, ale to tylko kwestia aspektów językowych):

 

\\?\C:\Windows\assembly\tmp
 
   Owner: NT AUTHORITY\SYSTEM
 
   DACL(NP)(AI):
   NT SERVICE\TrustedInstaller   FULL   ALLOW   (I)
   NT SERVICE\TrustedInstaller   FULL   ALLOW   (CI)(IO)(I)
   NT AUTHORITY\SYSTEM   FULL   ALLOW   (I)
   NT AUTHORITY\SYSTEM   FULL   ALLOW   (CI)(OI)(IO)(I)
   BUILTIN\Administrators   FULL   ALLOW   (I)
   BUILTIN\Administrators   FULL   ALLOW   (CI)(OI)(IO)(I)
   BUILTIN\Users   READ/EXECUTE   ALLOW   (I)
   BUILTIN\Users   READ/EXECUTE   ALLOW   (CI)(OI)(IO)(I)
   CREATOR OWNER   FULL   ALLOW   (CI)(OI)(IO)(I)

 

2. Przy komponentach DirectX także są różnice między Twoim systemem a moim, wiele folderów ma usunięte prawa dostępowe określonych grup. Przykład na wybranym folderze co jest u Ciebie:

 

\\?\C:\Windows\assembly\GAC\Microsoft.DirectX\1.0.2902.0__31bf3856ad364e35
 
   Owner: BUILTIN\Administratorzy
 
   DACL((NP)):
	  ZARZĄDZANIE	S-1-5-5-0-248145   READ/EXECUTE   ALLOW   (NI)

 

... a co u mnie:

 

\\?\C:\Windows\assembly\GAC\Microsoft.DirectX\1.0.2902.0__31bf3856ad364e35
 
   Owner: BUILTIN\Administrators
 
   DACL(NP)(AI):
   NT SERVICE\TrustedInstaller   FULL   ALLOW   (I)
   NT SERVICE\TrustedInstaller   FULL   ALLOW   (CI)(IO)(I)
   NT AUTHORITY\SYSTEM   FULL   ALLOW   (I)
   NT AUTHORITY\SYSTEM   FULL   ALLOW   (CI)(OI)(IO)(I)
   BUILTIN\Administrators   FULL   ALLOW   (I)
   BUILTIN\Administrators   FULL   ALLOW   (CI)(OI)(IO)(I)
   BUILTIN\Users   READ/EXECUTE   ALLOW   (I)
   BUILTIN\Users   READ/EXECUTE   ALLOW   (CI)(OI)(IO)(I)
   CREATOR OWNER   FULL   ALLOW   (CI)(OI)(IO)(I)

 

 

W takim układzie należy przetasować uprawnienia. GrantPerms da dostęp, ale raczej nie zrekonstruuje wiernie uprawnień i być może będzie wymagane ładowanie uprawnień 1:1 z mojej kopii zapasowej. Zobaczymy jednak jakie wyniki osiągniemy w pierwszym podejściu. Na teraz:

 

1. Uruchom GrantPerms x64 jako Administrator, w oknie wklej:

 

C:\Windows\assembly\tmp
C:\Windows\assembly\GAC\Microsoft.DirectX\1.0.2902.0__31bf3856ad364e35
C:\Windows\assembly\GAC\Microsoft.DirectX.AudioVideoPlayback\1.0.2902.0__31bf3856ad364e35
C:\Windows\assembly\GAC\Microsoft.DirectX.Diagnostics\1.0.2902.0__31bf3856ad364e35
C:\Windows\assembly\GAC\Microsoft.DirectX.Direct3D\1.0.2902.0__31bf3856ad364e35
C:\Windows\assembly\GAC\Microsoft.DirectX.Direct3DX\1.0.2902.0__31bf3856ad364e35
C:\Windows\assembly\GAC\Microsoft.DirectX.Direct3DX\1.0.2903.0__31bf3856ad364e35
C:\Windows\assembly\GAC\Microsoft.DirectX.Direct3DX\1.0.2904.0__31bf3856ad364e35
C:\Windows\assembly\GAC\Microsoft.DirectX.Direct3DX\1.0.2905.0__31bf3856ad364e35
C:\Windows\assembly\GAC\Microsoft.DirectX.Direct3DX\1.0.2906.0__31bf3856ad364e35
C:\Windows\assembly\GAC\Microsoft.DirectX.Direct3DX\1.0.2907.0__31bf3856ad364e35
C:\Windows\assembly\GAC\Microsoft.DirectX.Direct3DX\1.0.2908.0__31bf3856ad364e35
C:\Windows\assembly\GAC\Microsoft.DirectX.Direct3DX\1.0.2909.0__31bf3856ad364e35
C:\Windows\assembly\GAC\Microsoft.DirectX.Direct3DX\1.0.2910.0__31bf3856ad364e35
C:\Windows\assembly\GAC\Microsoft.DirectX.Direct3DX\1.0.2911.0__31bf3856ad364e35
C:\Windows\assembly\GAC\Microsoft.DirectX.DirectDraw\1.0.2902.0__31bf3856ad364e35
C:\Windows\assembly\GAC\Microsoft.DirectX.DirectInput\1.0.2902.0__31bf3856ad364e35
C:\Windows\assembly\GAC\Microsoft.DirectX.DirectPlay\1.0.2902.0__31bf3856ad364e35
C:\Windows\assembly\GAC\Microsoft.DirectX.DirectSound\1.0.2902.0__31bf3856ad364e35

 

Klik w Unlock. Następnie wklej to samo co wyżej i klik w List Permisssions, zaprezentuj log wynikowy tej akcji.

 

2. Od razu sprawdź czy coś się zmieniło przy starcie Fifa.

 

 

 

 

.

Odnośnik do komentarza
Alfik91

Alfik91

Opublikowano
  • Autor
Opublikowano (edytowane)

Rzeczywiście zapomniałem dać wcześniej log z OTL, poprawka i log wynikowy z drugiej operacji z GrantPerms - FIFA już włącza się normalnie..! Nie wiem jak to możliwe ;O !!!

 

========== FILES ==========
C:\Windows\assembly\tmp\loader.tlb moved successfully.
C:\Windows\assembly\tmp\{1B372133-BFFA-4dba-9CCF-5474BED6A9F6} moved successfully.
C:\Windows\assembly\GAC_64\Desktop.ini moved successfully.

Perms.txtPobieranie informacji ...

Edytowane przez Alfik91
Odnośnik do komentarza
picasso

picasso

Opublikowano
Opublikowano

GrantPerms przejechał po wszystkim prawie jak należy, czego znakiem jest sprawne działanie gry. Niemniej występują nadal nieznaczne różnice, tzn. ów katalog tmp nie otrzymał identycznych uprawnień jakie występują na fabrycznym systemie (inny właściciel folderu, niekompletna lista kont mających dostęp).

 

1. Korekta ostateczna powyższego. Pobierz SetACL, w paczce w folderze Command line version > x64 jest plik dopasowany pod Twój system, umieść ten plik tymczasowo w folderze C:\Windows. Poniższą zawartość wklej do Notatnika i zapisz jako backup.txt na C:\.

 

"\\?\C:\Windows\assembly\tmp",1,"O:SYD:AI"

 

Start > w polu szukania wpisz cmd > z prawokliku Uruchom jako Administrator i wklej komendę:

 

SetACL -on C:\Windows\assembly\tmp -ot file -actn restore -bckp C:\backup.txt

 

2. By ukończyć po ostatnich operacjach: w OTL uruchom Sprzątanie. Po raz kolejny wyczyść foldery Przywracania systemu, by usunąć punkty, które mają nagraną sytuację sprzed usuwania i resetu uprawnień w assembly.

 

Wszystko w temacie rozwiązałam, przypominam o krokach podanych jako finalizacja czyszczenia po infekcji, możemy się żegnać.

 

 

 

.

Odnośnik do komentarza
Alfik91

Alfik91

Opublikowano
  • Autor
Opublikowano

Tak więc wszystkie kroki finalizujące całą operację zostały wykonane. Problemy z którymi borykał się mój notebook, począwszy od wirusów, aż po błędy w rejestrze etc. zostały całkowicie zażegnane. Chcę za to podziękować administratorowi Picasso i życzyć nadal wielu sukcesów w pomaganiu innym użytkownikom komputerów, a osobom mającym problemy tego typu, nie wpadania w panikę, cierpliwości i dokładności. Pozdrawiam cały zespół forum "fixitpc". Temat do zamknięcia.

Odnośnik do komentarza
Gość
Ten temat został zamknięty. Brak możliwości dodania odpowiedzi.
Tematy

  • Ostatnio przeglądający   0 użytkowników

    • Brak zarejestrowanych użytkowników przeglądających tę stronę.
×
×
  • Dodaj nową pozycję...