Live Security Platinum

krystian92 · 3 Lipca 2012

Witam

Niestety nie miałem możliwości napisania wcześniej jak dziś -

Przedwczoraj wkradł się Live Security Platinum. Eset nod32 antyvirus go usunał:

"Pamięć operacyjna » services.exe(676) - odmiana zagrożenia Win32/Sirefef.EV koń trojański - nie można wyleczyć"
"Pamięć operacyjna » C:\Documents and Settings\All Users\Dane aplikacji\529C53690027DECF000420720CDF108C\529C53690027DECF000420720CDF108C.exe -odmiana zagrożenia Win32/Adware.SystemSecurity.AL aplikacja - wyleczony przez usunięcie - poddany kwarantannie [1]"

"C:\WINDOWS\Installer\{db7362de-2ba2-a1dd-a562-426981373a95}\U\80000000.@ - odmiana zagrożenia Win32/Sirefef.FA koń trojański - wyleczony przez usunięcie - poddany kwarantannie [1]"

jednak chce być pewnien że nic po nim nie pozostało. Zaraz po tym posłużyłem się znalezionym w google tutorialem do usunięcia LSP: http://www.pcrisk.co...curity-platinum

Wykonałem kroki manualnie, zauwazyłem że i tak nie były wpisane serwery proxy. Usunąłem w HijackThis podany wpis. W pliku hosts nic nie było dopisane. Usunąłem też podane wpisy w rejestrze i foldery na dysku.

Security Check:

Results of screen317's Security Check version 0.99.42
Windows XP Service Pack 3 x86

Internet Explorer 8

``````````````Antivirus/Firewall Check:``````````````

Windows Security Center service is not running! This report may not be accurate!

ESET NOD32 Antivirus 5.0

Antivirus up to date!

`````````Anti-malware/Other Utilities Check:`````````

Java™ 6 Update 31

Java version out of Date!

Adobe Flash Player 11.3.300.262

Mozilla Firefox (13.0.1)

````````Process Check: objlist.exe by Laurent````````

`````````````````System Health check`````````````````

Total Fragmentation on Drive C::

````````````````````End of Log``````````````````````

Extras.Txt

GMER.txt

OTL.Txt

picasso · 3 Lipca 2012

Infekcja definitywnie nie jest usunięta. Live Platinum chodzi w parze z trojanem ZeroAccess, którego Twój ESET ledwie liznął i kompletnie mu nie podołał. W logu z GMER ukryty moduł "n" rootkita załadowany, w logu z OTL widać nadal foldery tego trojana i niewątpliwie w rejestrze musi być utajony punkt ładowania. Proszę o skan potwierdzający. Uruchom SystemLook i w oknie wklej:

:reg
HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
 
:filefind
services.exe

Klik w Look. Przedstaw wynikowy raport.

.

krystian92 · 3 Lipca 2012

SystemLook 30.07.11 by jpshortstuff

Log created at 23:42 on 03/07/2012 by Krystian

Administrator - Elevation successful

========== reg ==========

[HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}]

(No values found)

[HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InprocServer32]

"ThreadingModel"="Both"

@="C:\Documents and Settings\Krystian\Ustawienia lokalne\Dane aplikacji\{db7362de-2ba2-a1dd-a562-426981373a95}\n."

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}]

@="Microsoft WBEM New Event Subsystem"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32]

@="\\.\globalroot\systemroot\Installer\{db7362de-2ba2-a1dd-a562-426981373a95}\n."

"ThreadingModel"="Both"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}]

@="MruPidlList"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32]

@="%SystemRoot%\system32\shdocvw.dll"

"ThreadingModel"="Apartment"

========== filefind ==========

Searching for "services.exe"

C:\WINDOWS\system32\services.exe --a---- 109056 bytes [12:00 15/04/2008] [12:00 15/04/2008] 3E3AE424E27C4CEFE4CAB368C7B570EA

C:\WINDOWS\system32\dllcache\services.exe --a--c- 109056 bytes [12:00 15/04/2008] [12:00 15/04/2008] 3E3AE424E27C4CEFE4CAB368C7B570EA

-= EOF =-

picasso · 3 Lipca 2012

1. Otwórz Notatnik i wklej w nim:

reg delete HKCU\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /f
reg add HKLM\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /ve /t REG_SZ /d C:\WINDOWS\system32\wbem\wbemess.dll /f

Adnotacja dla innych czytających: batch unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.BAT

Plik umieść wprost na C:\.

2. Uruchom BlitzBlank i w karcie Script wklej:

DeleteFolder:

"C:\Documents and Settings\Krystian\Ustawienia lokalne\Dane aplikacji\{db7362de-2ba2-a1dd-a562-426981373a95}"

C:\Windows\Installer\{db7362de-2ba2-a1dd-a562-426981373a95}

Execute:

C:\fix.bat

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

Klik w Execute Now. Zatwierdź restart komputera. Przed ekranem z logo Windows powinien pojawić się ekran z działaniami BlitzBlank. Finalnie BlitzBlank wygeneruje na dysku C log.

3. Wklej do posta zawartość raportu BlitzBlank. Zrób nowy log z SystemLook na warunki:

:reg
HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1} /s
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s
 
:folderfind
{db7362de-2ba2-a1dd-a562-426981373a95}

Jak i również log z Farbar Service Scanner z wszystkimi opcjami zaznaczonymi.

.

krystian92 · 4 Lipca 2012

BlitzBlank:

BlitzBlank 1.0.0.32

File/Registry Modification Engine native application

MoveDirectoryOnReboot: sourceDirectory = "\??\c:\documents and settings\krystian\ustawienia lokalne\dane aplikacji\{db7362de-2ba2-a1dd-a562-426981373a95}", destinationDirectory = "(null)", replaceWithDummy = 0

MoveFileOnReboot: sourceFile = "\??\c:\documents and settings\krystian\ustawienia lokalne\dane aplikacji\{db7362de-2ba2-a1dd-a562-426981373a95}\@", destinationFile = "(null)", replaceWithDummy = 0

MoveDirectoryOnReboot: sourceDirectory = "\??\c:\documents and settings\krystian\ustawienia lokalne\dane aplikacji\{db7362de-2ba2-a1dd-a562-426981373a95}\L", destinationDirectory = "(null)", replaceWithDummy = 0

MoveDirectoryOnReboot: sourceDirectory = "\??\c:\documents and settings\krystian\ustawienia lokalne\dane aplikacji\{db7362de-2ba2-a1dd-a562-426981373a95}\U", destinationDirectory = "(null)", replaceWithDummy = 0

MoveDirectoryOnReboot: sourceDirectory = "\??\c:\windows\installer\{db7362de-2ba2-a1dd-a562-426981373a95}", destinationDirectory = "(null)", replaceWithDummy = 0

MoveFileOnReboot: sourceFile = "\??\c:\windows\installer\{db7362de-2ba2-a1dd-a562-426981373a95}\@", destinationFile = "(null)", replaceWithDummy = 0

MoveDirectoryOnReboot: sourceDirectory = "\??\c:\windows\installer\{db7362de-2ba2-a1dd-a562-426981373a95}\L", destinationDirectory = "(null)", replaceWithDummy = 0

MoveFileOnReboot: sourceFile = "\??\c:\windows\installer\{db7362de-2ba2-a1dd-a562-426981373a95}\n", destinationFile = "(null)", replaceWithDummy = 0

MoveDirectoryOnReboot: sourceDirectory = "\??\c:\windows\installer\{db7362de-2ba2-a1dd-a562-426981373a95}\U", destinationDirectory = "(null)", replaceWithDummy = 0

MoveFileOnReboot: sourceFile = "\??\c:\windows\installer\{db7362de-2ba2-a1dd-a562-426981373a95}\U\00000001.@", destinationFile = "(null)", replaceWithDummy = 0

MoveFileOnReboot: sourceFile = "\??\c:\windows\installer\{db7362de-2ba2-a1dd-a562-426981373a95}\U\80000000.@", destinationFile = "(null)", replaceWithDummy = 0

MoveFileOnReboot: sourceFile = "\??\c:\windows\installer\{db7362de-2ba2-a1dd-a562-426981373a95}\U\800000cb.@", destinationFile = "(null)", replaceWithDummy = 0

LaunchOnReboot: launchName = "\fix.bat", commandLine = "c:\fix.bat"

SystemLook:

SystemLook 30.07.11 by jpshortstuff

Log created at 11:21 on 04/07/2012 by Krystian

Administrator - Elevation successful

========== reg ==========

[HKEY_CURRENT_USER\Software\Classes\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}]

(Unable to open key - key not found)

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}]

@="Microsoft WBEM New Event Subsystem"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32]

@="C:\WINDOWS\system32\wbem\wbemess.dll"

"ThreadingModel"="Both"

========== folderfind ==========

Searching for "{db7362de-2ba2-a1dd-a562-426981373a95}"

No folders found.

-= EOF =-

Farbar Service Scanner:

Farbar Service Scanner Version: 02-07-2012

Ran by Krystian (administrator) on 04-07-2012 at 11:23:27

Running from "C:\Documents and Settings\Krystian\Pulpit\logi"

Microsoft Windows XP Professional Dodatek Service Pack 3 (X86)

Boot Mode: Normal

****************************************************************

Internet Services:

============

Connection Status:

==============

Localhost is accessible.

LAN connected.

Google IP is accessible.

Google.com is accessible.

Yahoo IP is accessible.

Yahoo.com is accessible.

Windows Firewall:

=============

sharedaccess Service is not running. Checking service configuration:

Checking Start type: ATTENTION!=====> Unable to retrieve start type of sharedaccess. The value does not exist.

Checking ImagePath: ATTENTION!=====> Unable to retrieve ImagePath of sharedaccess. The value does not exist.

Unable to retrieve ServiceDll of sharedaccess. The value does not exist.

Firewall Disabled Policy:

==================

System Restore:

============

Srservice Service is not running. Checking service configuration:

The start type of Srservice service is set to Disabled. The default start type is Auto.

The ImagePath of Srservice service is OK.

The ServiceDll of Srservice: "C:\WINDOWS\system32\srsvc.dll".

sr Service is not running. Checking service configuration:

The start type of sr service is set to Disabled. The default start type is Boot.

The ImagePath of sr: "\SystemRoot\system32\DRIVERS\sr.sys".

System Restore Disabled Policy:

========================

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore]

"DisableSR"=DWORD:1

Security Center:

============

wscsvc Service is not running. Checking service configuration:

Checking Start type: ATTENTION!=====> Unable to open wscsvc registry key. The service key does not exist.

Checking ImagePath: ATTENTION!=====> Unable to open wscsvc registry key. The service key does not exist.

Checking ServiceDll: ATTENTION!=====> Unable to open wscsvc registry key. The service key does not exist.

Windows Update:

============

wuauserv Service is not running. Checking service configuration:

Checking Start type: ATTENTION!=====> Unable to open wuauserv registry key. The service key does not exist.

Checking ImagePath: ATTENTION!=====> Unable to open wuauserv registry key. The service key does not exist.

Checking ServiceDll: ATTENTION!=====> Unable to open wuauserv registry key. The service key does not exist.

BITS Service is not running. Checking service configuration:

Checking Start type: ATTENTION!=====> Unable to open BITS registry key. The service key does not exist.

Checking ImagePath: ATTENTION!=====> Unable to open BITS registry key. The service key does not exist.

Checking ServiceDll: ATTENTION!=====> Unable to open BITS registry key. The service key does not exist.

Windows Autoupdate Disabled Policy:

============================

File Check:

========

C:\WINDOWS\system32\dhcpcsvc.dll

[2008-04-15 14:00] - [2008-04-15 14:00] - 0126464 ____A (Microsoft Corporation) 6B4AFE7C676CFF3EFF2DC06A4EE945F7

C:\WINDOWS\system32\Drivers\afd.sys => MD5 is legit

C:\WINDOWS\system32\Drivers\netbt.sys => MD5 is legit

C:\WINDOWS\system32\Drivers\tcpip.sys => MD5 is legit

C:\WINDOWS\system32\Drivers\ipsec.sys => MD5 is legit

C:\WINDOWS\system32\dnsrslvr.dll

[2008-04-15 14:00] - [2008-04-15 14:00] - 0045568 ____A (Microsoft Corporation) 4F7E82841ED3CF026BD8D5CE7C7379DB

C:\WINDOWS\system32\ipnathlp.dll

[2008-04-15 14:00] - [2008-04-15 14:00] - 0330752 ____A (Microsoft Corporation) DA5C015911F68F22ED821E9EE49AB233

C:\WINDOWS\system32\netman.dll

[2008-04-15 14:00] - [2008-04-15 14:00] - 0198144 ____A (Microsoft Corporation) 4FE97D0B1B182DF2A9BDD4C02155EF5E

C:\WINDOWS\system32\wbem\WMIsvc.dll

[2012-02-29 18:42] - [2008-04-15 14:00] - 0145408 ____A (Microsoft Corporation) 70C22297534A88B0AD0568900AB5A6D9

C:\WINDOWS\system32\srsvc.dll

[2012-02-29 18:44] - [2008-04-15 14:00] - 0171520 ____A (Microsoft Corporation) 316D0E66074AE4CDE641C50D3A1C5148

C:\WINDOWS\system32\Drivers\sr.sys

[2012-02-29 18:44] - [2008-04-15 14:00] - 0073472 ____A (Microsoft Corporation) EB032822BE406EF220D546DDFFCF0002

C:\WINDOWS\system32\wscsvc.dll

[2008-04-15 14:00] - [2008-04-15 14:00] - 0080896 ____A (Microsoft Corporation) B6669F49D42E09BC0F9889FAA0F3336D

C:\WINDOWS\system32\wbem\WMIsvc.dll

[2012-02-29 18:42] - [2008-04-15 14:00] - 0145408 ____A (Microsoft Corporation) 70C22297534A88B0AD0568900AB5A6D9

C:\WINDOWS\system32\wuauserv.dll

[2012-02-29 18:44] - [2008-04-15 14:00] - 0006656 ____A (Microsoft Corporation) 04550D5EB7EE82C115DB547C01DF09FD

C:\WINDOWS\system32\qmgr.dll

[2012-02-29 18:44] - [2008-04-15 14:00] - 0409088 ____A (Microsoft Corporation) 78200FAA6FD9C69394134C238C87FB7F

C:\WINDOWS\system32\es.dll

[2008-04-15 14:00] - [2008-04-15 14:00] - 0246272 ____A (Microsoft Corporation) BE1B1412A3D488C50B8F67F792196108

C:\WINDOWS\system32\cryptsvc.dll

[2008-04-15 14:00] - [2008-04-15 14:00] - 0062464 ____A (Microsoft Corporation) 6B105FE95F2E9F0B6346044BA59D41C9

C:\WINDOWS\system32\svchost.exe

[2008-04-15 14:00] - [2008-04-15 14:00] - 0014336 ____A (Microsoft Corporation) 8607D35D92528E2DF386F19A960D23CE

C:\WINDOWS\system32\rpcss.dll

[2008-04-15 14:00] - [2008-04-15 14:00] - 0399360 ____A (Microsoft Corporation) 02396DAB9DD407B06539981F477F3FEC

C:\WINDOWS\system32\services.exe

[2008-04-15 14:00] - [2008-04-15 14:00] - 0109056 ____A (Microsoft Corporation) 3E3AE424E27C4CEFE4CAB368C7B570EA

Extra List:

=======

epfwtdir(8) Gpc(3) IPSec(5) NetBT(6) PSched(7) Tcpip(4) Tcpip6(9)

0x09000000050000000100000002000000030000000400000006000000070000000800000009000000

IpSec Tag value is correct.

**** End of log ****

EDIT:

Tak przypadkowo w sumie odpaliłem Windows Worms Doors Cleaner i niezabezpieczone były opcje: "DCOM" i "LOCATOR", które pomyślnie wyłączyłem.

Malwarebytes Anti-Malware wykrył i usunął:

Wykryte wpisy rejestru systemowego: 1

HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Złe: (1) Dobre: (0) -> Nie wykonano akcji.

Edytowane 4 Lipca 2012 przez krystian92

picasso · 5 Lipca 2012

Trojan pomyślnie usunięty, ale to nie koniec działań. Kolejny etap to naprawa szkód wyrządzonych przez trojana, czyli rekonstrukcja skasowanych przez niego usług.

1. Otwórz Notatnik i wklej w nim:

Windows Registry Editor Version 5.00
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BITS]
"Type"=dword:00000020
"Start"=dword:00000003
"ErrorControl"=dword:00000001
"ImagePath"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\
  74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\
  00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\
  6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00
"DisplayName"="Usługa inteligentnego transferu w tle"
"DependOnService"=hex(7):52,00,70,00,63,00,53,00,73,00,00,00,00,00
"DependOnGroup"=hex(7):00,00
"ObjectName"="LocalSystem"
"Description"="Używa przepustowości bezczynnej sieci do transferu danych. Jeżeli BITS zostanie wyłączone, funkcje takie jak Windows Update przestaną działać."
"FailureActions"=hex:00,00,00,00,00,00,00,00,00,00,00,00,03,00,00,00,68,e3,0c,\
  00,01,00,00,00,60,ea,00,00,01,00,00,00,60,ea,00,00,01,00,00,00,60,ea,00,00
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BITS\Parameters]
"ServiceDll"=hex(2):25,00,73,00,79,00,73,00,74,00,65,00,6d,00,72,00,6f,00,6f,\
  00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\
  71,00,6d,00,67,00,72,00,2e,00,64,00,6c,00,6c,00,00,00
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BITS\Security]
"Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,\
  00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,\
  00,00,02,00,60,00,04,00,00,00,00,00,14,00,fd,01,02,00,01,01,00,00,00,00,00,\
  05,12,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,\
  20,02,00,00,00,00,14,00,8d,01,02,00,01,01,00,00,00,00,00,05,0b,00,00,00,00,\
  00,18,00,fd,01,02,00,01,02,00,00,00,00,00,05,20,00,00,00,23,02,00,00,01,01,\
  00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BITS\Enum]
"0"="Root\\LEGACY_BITS\\0000"
"Count"=dword:00000001
"NextInstance"=dword:00000001
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc]
"Type"=dword:00000020
"Start"=dword:00000002
"ErrorControl"=dword:00000001
"ImagePath"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\
  74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\
  00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\
  6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00
"DisplayName"="Centrum zabezpieczeń"
"DependOnService"=hex(7):52,00,70,00,63,00,53,00,73,00,00,00,77,00,69,00,6e,00,\
  6d,00,67,00,6d,00,74,00,00,00,00,00
"ObjectName"="LocalSystem"
"Description"="Monitoruje ustawienia zabezpieczeń i konfiguracje systemu."
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Parameters]
"ServiceDll"=hex(2):25,00,53,00,59,00,53,00,54,00,45,00,4d,00,52,00,4f,00,4f,\
  00,54,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\
  77,00,73,00,63,00,73,00,76,00,63,00,2e,00,64,00,6c,00,6c,00,00,00
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Security]
"Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,\
  00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,\
  00,00,02,00,60,00,04,00,00,00,00,00,14,00,fd,01,02,00,01,01,00,00,00,00,00,\
  05,12,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,\
  20,02,00,00,00,00,14,00,8d,01,02,00,01,01,00,00,00,00,00,05,0b,00,00,00,00,\
  00,18,00,fd,01,02,00,01,02,00,00,00,00,00,05,20,00,00,00,23,02,00,00,01,01,\
  00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Enum]
"0"="Root\\LEGACY_WSCSVC\\0000"
"Count"=dword:00000001
"NextInstance"=dword:00000001
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv]
"Type"=dword:00000020
"Start"=dword:00000002
"ErrorControl"=dword:00000001
"ImagePath"=hex(2):25,00,73,00,79,00,73,00,74,00,65,00,6d,00,72,00,6f,00,6f,00,\
  74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\
  00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\
  6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00
"DisplayName"="Aktualizacje automatyczne"
"ObjectName"="LocalSystem"
"Description"="Umożliwia pobieranie i instalowanie ważnych aktualizacji systemu Windows. Jeśli ta usługa zostanie wyłączona, komputer nie będzie umożliwiał korzystania z funkcji Automatyczne aktualizacje lub strony Windows Update."
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv\Parameters]
"ServiceDll"=hex(2):43,00,3a,00,5c,00,57,00,49,00,4e,00,44,00,4f,00,57,00,53,\
  00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,77,00,75,00,\
  61,00,75,00,73,00,65,00,72,00,76,00,2e,00,64,00,6c,00,6c,00,00,00
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv\Security]
"Security"=hex:01,00,14,80,78,00,00,00,84,00,00,00,14,00,00,00,30,00,00,00,02,\
  00,1c,00,01,00,00,00,02,80,14,00,ff,00,0f,00,01,01,00,00,00,00,00,01,00,00,\
  00,00,02,00,48,00,03,00,00,00,00,00,14,00,9d,00,02,00,01,01,00,00,00,00,00,\
  05,0b,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,\
  20,02,00,00,00,00,14,00,ff,01,0f,00,01,01,00,00,00,00,00,05,12,00,00,00,01,\
  01,00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv\Enum]
"0"="Root\\LEGACY_WUAUSERV\\0000"
"Count"=dword:00000001
"NextInstance"=dword:00000001
 
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess]
"Type"=dword:00000020
"Start"=dword:00000002
"ErrorControl"=dword:00000001
"ImagePath"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\
  74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\
  00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\
  6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00
"DisplayName"="Zapora systemu Windows/Udostępnianie połączenia internetowego"
"DependOnService"=hex(7):4e,00,65,00,74,00,6d,00,61,00,6e,00,00,00,57,00,69,00,\
  6e,00,4d,00,67,00,6d,00,74,00,00,00,00,00
"DependOnGroup"=hex(7):00,00
"ObjectName"="LocalSystem"
"Description"="Zapewnia usługi translacji adresów sieciowych, adresowania, rozpoznawania nazw i/lub blokowania dostępu intruzów wszystkim komputerom w sieci domowej lub biurowej."
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Epoch]
"Epoch"=dword:0000042e
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters]
"ServiceDll"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,\
  00,74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\
  69,00,70,00,6e,00,61,00,74,00,68,00,6c,00,70,00,2e,00,64,00,6c,00,6c,00,00,\
  00
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"EnableFirewall"=dword:00000001
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Security]
"Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,\
  00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,\
  00,00,02,00,60,00,04,00,00,00,00,00,14,00,fd,01,02,00,01,01,00,00,00,00,00,\
  05,12,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,\
  20,02,00,00,00,00,14,00,8d,01,02,00,01,01,00,00,00,00,00,05,0b,00,00,00,00,\
  00,18,00,fd,01,02,00,01,02,00,00,00,00,00,05,20,00,00,00,23,02,00,00,01,01,\
  00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Setup]
"ServiceUpgrade"=dword:00000001
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Setup\InterfacesUnfirewalledAtUpdate]
"All"=dword:00000001
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Enum]
"0"="Root\\LEGACY_SHAREDACCESS\\0000"
"Count"=dword:00000001
"NextInstance"=dword:00000001

Z menu Notatnika > Plik > Zapisz jako > Ustaw rozszerzenie na Wszystkie pliki > Zapisz jako FIX.REG > Uruchom ten plik

2. Zresetuj system i wygeneruj nowy log z Farbar Service Scanner.

.

krystian92 · 5 Lipca 2012

Poprawnie wprowadzono do rejestru.

Farbar Service Scanner:

Farbar Service Scanner Version: 02-07-2012

Ran by Krystian (administrator) on 05-07-2012 at 22:55:26

Running from "C:\Documents and Settings\Krystian\Pulpit\logi"

Microsoft Windows XP Professional Dodatek Service Pack 3 (X86)

Boot Mode: Normal

****************************************************************

Internet Services:

============

Connection Status:

==============

Localhost is accessible.

LAN connected.

Google IP is accessible.

Google.com is accessible.

Yahoo IP is accessible.

Yahoo.com is accessible.

Windows Firewall:

=============

Firewall Disabled Policy:

==================

System Restore:

============

Srservice Service is not running. Checking service configuration:

The start type of Srservice service is set to Disabled. The default start type is Auto.

The ImagePath of Srservice service is OK.

The ServiceDll of Srservice: "C:\WINDOWS\system32\srsvc.dll".

sr Service is not running. Checking service configuration:

The start type of sr service is set to Disabled. The default start type is Boot.

The ImagePath of sr: "\SystemRoot\system32\DRIVERS\sr.sys".

System Restore Disabled Policy:

========================

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore]

"DisableSR"=DWORD:1

Security Center:

============

Windows Update:

============

Windows Autoupdate Disabled Policy:

============================

File Check:

========

C:\WINDOWS\system32\dhcpcsvc.dll

[2008-04-15 14:00] - [2008-04-15 14:00] - 0126464 ____A (Microsoft Corporation) 6B4AFE7C676CFF3EFF2DC06A4EE945F7

C:\WINDOWS\system32\Drivers\afd.sys => MD5 is legit

C:\WINDOWS\system32\Drivers\netbt.sys => MD5 is legit

C:\WINDOWS\system32\Drivers\tcpip.sys => MD5 is legit

C:\WINDOWS\system32\Drivers\ipsec.sys => MD5 is legit

C:\WINDOWS\system32\dnsrslvr.dll

[2008-04-15 14:00] - [2008-04-15 14:00] - 0045568 ____A (Microsoft Corporation) 4F7E82841ED3CF026BD8D5CE7C7379DB

C:\WINDOWS\system32\ipnathlp.dll

[2008-04-15 14:00] - [2008-04-15 14:00] - 0330752 ____A (Microsoft Corporation) DA5C015911F68F22ED821E9EE49AB233

C:\WINDOWS\system32\netman.dll

[2008-04-15 14:00] - [2008-04-15 14:00] - 0198144 ____A (Microsoft Corporation) 4FE97D0B1B182DF2A9BDD4C02155EF5E

C:\WINDOWS\system32\wbem\WMIsvc.dll

[2012-02-29 18:42] - [2008-04-15 14:00] - 0145408 ____A (Microsoft Corporation) 70C22297534A88B0AD0568900AB5A6D9

C:\WINDOWS\system32\srsvc.dll

[2012-02-29 18:44] - [2008-04-15 14:00] - 0171520 ____A (Microsoft Corporation) 316D0E66074AE4CDE641C50D3A1C5148

C:\WINDOWS\system32\Drivers\sr.sys

[2012-02-29 18:44] - [2008-04-15 14:00] - 0073472 ____A (Microsoft Corporation) EB032822BE406EF220D546DDFFCF0002

C:\WINDOWS\system32\wscsvc.dll

[2008-04-15 14:00] - [2008-04-15 14:00] - 0080896 ____A (Microsoft Corporation) B6669F49D42E09BC0F9889FAA0F3336D

C:\WINDOWS\system32\wbem\WMIsvc.dll

[2012-02-29 18:42] - [2008-04-15 14:00] - 0145408 ____A (Microsoft Corporation) 70C22297534A88B0AD0568900AB5A6D9

C:\WINDOWS\system32\wuauserv.dll

[2012-02-29 18:44] - [2008-04-15 14:00] - 0006656 ____A (Microsoft Corporation) 04550D5EB7EE82C115DB547C01DF09FD

C:\WINDOWS\system32\qmgr.dll

[2012-02-29 18:44] - [2008-04-15 14:00] - 0409088 ____A (Microsoft Corporation) 78200FAA6FD9C69394134C238C87FB7F

C:\WINDOWS\system32\es.dll

[2008-04-15 14:00] - [2008-04-15 14:00] - 0246272 ____A (Microsoft Corporation) BE1B1412A3D488C50B8F67F792196108

C:\WINDOWS\system32\cryptsvc.dll

[2008-04-15 14:00] - [2008-04-15 14:00] - 0062464 ____A (Microsoft Corporation) 6B105FE95F2E9F0B6346044BA59D41C9

C:\WINDOWS\system32\svchost.exe

[2008-04-15 14:00] - [2008-04-15 14:00] - 0014336 ____A (Microsoft Corporation) 8607D35D92528E2DF386F19A960D23CE

C:\WINDOWS\system32\rpcss.dll

[2008-04-15 14:00] - [2008-04-15 14:00] - 0399360 ____A (Microsoft Corporation) 02396DAB9DD407B06539981F477F3FEC

C:\WINDOWS\system32\services.exe

[2008-04-15 14:00] - [2008-04-15 14:00] - 0109056 ____A (Microsoft Corporation) 3E3AE424E27C4CEFE4CAB368C7B570EA

Extra List:

=======

epfwtdir(8) Gpc(3) IPSec(5) NetBT(6) PSched(7) Tcpip(4) Tcpip6(9)

0x09000000050000000100000002000000030000000400000006000000070000000800000009000000

IpSec Tag value is correct.

**** End of log ****

picasso · 5 Lipca 2012

Wszystko zdaje się być poprawnie przeprowadzone. Skany w MBAM już prowadziłeś. Przechodzimy do wykończeń:

1. Skasuj używane narzędzia (już niepotrzebne) oraz wątpliwy reputacją skaner STOPZilla, tu przemianowany na iexplore.exe:

[2012-07-01 11:10:09 | 000,603,648 | ---- | M] (iS3, Inc.) -- C:\Documents and Settings\Krystian\Pulpit\iexplore.exe

2. Wyczyść lokalizacje tymczasowe za pomocą TFC - Temp Cleaner.

3. Wykonaj aktualizacje: KLIK. Z Twojej listy zainstalowanych:

========== HKEY_LOCAL_MACHINE Uninstall List ========== 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{26A24AE4-039D-4CA4-87B4-2F83216031FF}" = Java 6 Update 31
"{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}" = Microsoft Silverlight
"{D103C4BA-F905-437A-8049-DB24763BBE36}" = Skype™ 4.2
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin
"ENTERPRISE" = Microsoft Office Enterprise 2007 ----> brak pakietu SP3
"Foxit Reader_is1" = Foxit Reader 5.1
"Gadu-Gadu" = Gadu-Gadu 7.7
"Konnekt" = Konnekt
 
========== HKEY_USERS Uninstall List ==========
 
[HKEY_USERS\S-1-5-21-1085031214-1767777339-1547161642-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"Google Chrome" = Google Chrome ----> wg głównego OTL wersja 17.0.963.56

Zakreślam także GG7 (wersja kaleka bez szyfrowania i obsługi cech nowego protokołu GG) oraz Konnekt (tragedia w obsłudze sieci, na dzień dzisiejszy prawie nic nie działa jak należy). Poczytaj mój artykuł Darmowe komunikatory i opis jedynych aplikacji, które na dziś mają pożądaną obsługę protokołu Gadu: WTW (polecany przeze mnie), Miranda, Kadu, AQQ.

4. Prewencyjnie zmień hasła logowania w serwisach.

.

krystian92 · 5 Lipca 2012

STOPZilla (iexplore.exe) - Racja, pobrałem to przy okazji czytania tamtego znalezionego tutorialu, jednak coś mi się nie spodobał to nie zainstalowałem go nawet

TFC - Temp File Cleaner by OldTimer -z nim jest problem: Po kliknięciu START, zostaje samo okno programu na tapecie i pojawia się: Getting user folders. Stopping running processes. I na tym się kończy. Tak 20 minut i żadnej zmiany, w dodatku nie mogłem uruchomić ani menedżera zadań, ani nic kliknąć. A został uruchomiony po starcie i nic nie było robione w trakcie jego działania.

Który z tych komunikatorów wydaje się najmniej zasobożernym ? Nie potrzebuje żadnych wodotrysków itp. i wystarczy nawet tylko protokół GG.

picasso · 5 Lipca 2012

Temp File Cleaner by OldTimer -z nim jest problem: Po kliknięciu START, zostaje samo okno programu na tapecie i pojawia się: Getting user folders. Stopping running processes. I na tym się kończy. Tak 20 minut i żadnej zmiany, w dodatku nie mogłem uruchomić ani menedżera zadań, ani nic kliknąć. A został uruchomiony po starcie i nic nie było robione w trakcie jego działania.

Ponów próbę z poziomu Trybu awaryjnego Windows. Przetwarzanie tych lokalizacji wcale nie musi być szybkie.

Który z tych komunikatorów wydaje się najmniej zasobożernym ? Nie potrzebuje żadnych wodotrysków itp. i wystarczy nawet tylko protokół GG.

WTW lub Miranda. Szczerze polecam ten pierwszy, ja go stosuję. Można wywalić przy instalacji montaż dodatkowych protokołów (Tlen i XMPP) i tak przekonfigurować program, że "wodotrysków" niet (w standardzie zresztą ich już nie ma, ale można wyłączyć dodatkowe rzeczy jak np. avatary na liście kontaktów).

.

Zaloguj się

Live Security Platinum

Rekomendowane odpowiedzi

krystian92

Odnośnik do komentarza

picasso

Odnośnik do komentarza

krystian92

Odnośnik do komentarza

picasso

Odnośnik do komentarza

krystian92

Odnośnik do komentarza

picasso

Odnośnik do komentarza

krystian92

Odnośnik do komentarza

picasso

Odnośnik do komentarza

krystian92

Odnośnik do komentarza

picasso

Odnośnik do komentarza

Ostatnio przeglądający 0 użytkowników

Przeglądaj

Cała aktywność