Jakiś niemiły backdoor

[picasso]

wyskakuje mi, że 'netsh' nie jest prawidłową komendą podobnie jak winsock i w zasadzie nic się nie dzieje

 

To może system jest pozbawiony pliku netsh.exe. Uruchom OTL, zaznacz wszystkie opcje na Brak+Żadne, w polu Własne opcje skanowania / skrypt wklej:

 

/md5start
netsh.exe
/md5stop

 

Klikw Skanuj (a nie Wykonaj skrypt!). Przedstaw log wynikowy.

 

 

 

Jestem tylko prymitywnym człwiekiem, ale jeżeli chodzi o wynik to poprzednio wykazywał tds killer winsocka, prawda?

 

Wynik "TDSS File System" pomyślnie zlikwidowany.

 

.

[Problem]

Załączam raport

OTL.Txt

[picasso]

Tak, brak pliku w katalogu system32, ale jest kopia pliku na dysku.

 

1. Przekopiuj plik C:\WINDOWS\ServicePackFiles\i386\netsh.exe do C:\Windows\system32.

 

2. Start > Uruchom > cmd i wpisz netsh winsock reset. Zresetuj system.

 

3. (Mam nadzieję) ostatni ogólny log OTL opcją Skanuj do oceny.

[Problem]

Niemożna załadować następującego pomocnika DLL: IPV6MON.DLL. Nieznaleziono następującego polecenia winsock reset. to mi wyskoczyło po wpisaniu komendy. Teraz robie restarta i loga

[picasso]

Wstrzymaj się z logiem, on pokaże to samo co wcześniej. Z jakiegoś powodu nie spełniasz żadnych warunków dla wykonania resetu metodami wbudowanymi. To może być niestety skutek tego:

 

Wpadłem teraz na pomysł, że to może przez wersje wndowsa? Windows xp speed hacked by saper1972 z 2008roku.

 

Jest tu prawdopodobne, że ten Windows robiony sztucznie ma wycięty system netsh i niestety tylko odbudowa komponentu umożliwi użycie tego. Podaj mi kolejny skan w OTL potwierdzający brak/istnienie komponentu. Uruchom OTL, zaznacz wszystkie opcje na Brak+Żadne, w polu Własne opcje skanowania / skrypt wklej:

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\NetSh
/md5start
ipv6mon.dll
ipmontr.dll
ifmon.dll
ippromon.dll
rasmontr.dll
ipxmontr.dll
ipxpromn.dll
dgnet.dll
hnetmon.dll
fwcfg.dll
napmontr.dll
dot3cfg.dll
/md5stop

 

Klikw Skanuj (a nie Wykonaj skrypt!). Przedstaw log wynikowy.

 

 

 

.

[Problem]

ok, zadanie wykonane

OTL.Txt

[picasso]

No tak, skan daje do zrozumienia, że była jakaś manipulacja w komponentach i jest tu łysina. Niestety to jest moim zdaniem ewidentny skutek uboczny zabaw w tweakowany Windows. Na przyszłość to radzę Ci zmienić system na normalny Windows, bez udziwnień. Mogę spróbować "doinstalować" ten fragment i zobaczymy czy pójdzie.

 

EDIT: Drobna poprawka. Nie zauważyłam brakujących plików. Dosłałam na PW korektę, tzn. owe pliki.

 

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:Files
copy C:\WINDOWS\ServicePackFiles\i386\dgnet.dll C:\Windows\system32 /C
copy C:\WINDOWS\ServicePackFiles\i386\ifmon.dll C:\Windows\system32 /C
copy C:\WINDOWS\ServicePackFiles\i386\ipmontr.dll C:\Windows\system32 /C
copy C:\WINDOWS\ServicePackFiles\i386\ippromon.dll C:\Windows\system32 /C
copy C:\WINDOWS\ServicePackFiles\i386\ipv6mon.dll C:\Windows\system32 /C
regsvr32 /s dgnet.dll /C
regsvr32 /s dot3cfg.dll /C
regsvr32 /s hnetmon.dll /C
regsvr32 /s fwcfg.dll /C
regsvr32 /s ifmon.dll /C
regsvr32 /s ipmontr.dll /C
regsvr32 /s ippromon.dll /C
regsvr32 /s ipv6mon.dll /C
regsvr32 /s napmontr.dll /C
regsvr32 /s ipxmontr.dll /C
regsvr32 /s ipxpromn.dll /C
regsvr32 /s rasmontr.dll /C
 
:Reg
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\NetSh]
"ipv6mon"="ipv6mon.dll"
"1"="ipmontr.dll"
"2"="ifmon.dll"
"3"="ippromon.dll"
"4"="rasmontr.dll"
"5"="ipxmontr.dll"
"6"="ipxpromn.dll"
"dgnet"="dgnet.dll"
"hnetmon"="hnetmon.dll"
"FWCFG"="fwcfg.dll"
"napmontr"="napmontr.dll"
"dot3cfg"="dot3cfg.dll"

 

Klik w Wykonaj skrypt. Zresetuj system.

 

2. Start > Uruchom > cmd i wpisz netsh winsock reset. Zresetuj system.

 

3. Tylko w przypadku, gdy komenda w punkcie 2 wykona się poprawnie, zrób log z OTL opcją Skanuj. Jeśli jednak będzie znów jakiś błąd, loga nie rób i opisz co się dzieje....

 

 

 

.

[Problem]

ok, zrobione.

punkt dwa zdrobił się chyba dobrze? Chyba, bo pisało, że pomyślnie zresetowane ale wczesniej jakaś informacj abyła o 4 plikach.

OTL.Txt

[picasso]

Nareszcie. Winsock zresetowany poprawnie i ostatnie widoczne w logu z OTL szkody po rootkicie ZeroAccess zostały wyeliminowane. Teraz możemy przejść do tej partii zadań:

 

1. W OTL uruchom Sprzątanie, co zlikwiduje bezśladowo z dysku OTL wraz z jego kwarantanną.

 

2. Odinstaluj AD-Remover. Możesz usunąć też ręcznie wszystkie inne używane narzędzia.

 

3. Wykonaj pełny skan swoim antywirusem AVG. Przedstaw wykryte zaggrożenia, o ile takowe będą.

 

Nie zadaję czyszczenia folderów Przywracania systemu, bo wedle znaków OTL Extras ów "XP Speed" ma wyciętą funkcję, brak odczytu na temat parametrów usług Przywracania.

 

 

 

.

Edytowane 7 Stycznia 2012 przez picasso
7.01.2012 - Temat zostaje zamknięty z powodu braku odpowiedzi. //picasso