Infekcja systemu - dwa rootkity, proszę o pomoc !

[manitu]

Jeśli nie ufasz moim analizą, zgłoś się do kogoś innego. To proste.To co zawarłem w skrypcie to usuwanie autoaktualizacji Google, tymczasowe foldery danych niektórych oprogramowań i harmonogram zadań.

To nie jest w ogóle kwestia zaufania, a raczej subiektywnej i konkretnej tu wiedzy. Gdybym nie ufał - nie miałbym tu czego szukać.
Mam przy tym świadomość, że wykonywanie poleceń zdalnie jest w pewnym sensie na pewno utrudnione.

Zostawmy to na razie wobec tego, pomyślę jeszcze o tym.
Gdybyś jednak napisał konkretnie, o jakie to obiekty w skrypcie chodzi bo co prawda tak okiem laika to widzę, ale nie jestem pewien czy rozumiem o co tu dokładnie chodzi ?
Powtarzam zaufanie nie ma tu nic do rzeczy, chodzi o minimum informacji merytorycznych w tej kwestii.

Yhym. Bug.

No dobrze skoro tak twierdzisz to widocznie tak jest - wszystko na to wskazuje.
Jednak troszeczkę dziwi mnie to, z conajmniej dwóch powodów:
- o ile pamiętam nigdy mi się to nie zdarzało
- jeśli w antywirusach występują tak spektakularne błędy jak ten, to w jakim to stawia świetle reputację tego oprogramowania ?
Chociaż błąd ten żadnej szkody nie czyni, jednak fakt jest faktem - wprowadza w błąd.

Co do tego bieżącego wątku z PW, to napisz tutaj czy i co mogę zrobić, jakie logi wraz z opcjami do sprawdzenia ?
Na tym mi zależy, w tej chwili to jest priorytet.

[kominekl]

Gdybyś jednak napisał konkretnie, o jakie to obiekty w skrypcie chodzi bo co prawda tak okiem laika to widzę, ale nie jestem pewien czy rozumiem o co tu dokładnie chodzi ?

Są nazwy w folderach. Bez przesady.

Zostawmy to na razie wobec tego, pomyślę jeszcze o tym.

Nie zostawmy to, bo ten dział służy głównie logom.

- jeśli w antywirusach występują tak spektakularne błędy jak ten, to w jakim to stawia świetle reputację tego oprogramowania ?

W takim, jak i resztę. Antywirusy to podstawowa forma zabezpieczenia dla zwykłego użytkownika.

Co do tego bieżącego wątku z PW, to napisz tutaj czy i co mogę zrobić, jakie logi wraz z opcjami do sprawdzenia ?

Opisz go tu.

[manitu]

Są nazwy w folderach. Bez przesady.

Chodzi mi o to:

Kod: Zaznacz cały

IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = http://search.live.com/results.aspx?q={searchTerms}&src={referrer:source?}
FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=3: C:\Program Files\Google\Update\1.3.21.135\npGoogleUpdate3.dll (Google Inc.)
FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=9: C:\Program Files\Google\Update\1.3.21.135\npGoogleUpdate3.dll (Google Inc.)
[2013-01-31 10:50:02 | 000,010,043 | ---- | M] () (No name found) -- C:\Documents and Settings\test\Dane aplikacji\Mozilla\Firefox\Profiles\7g703lx7.default-1349812525234\extensions\IplextoALL@ALLPlayer.org.xpi
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} http://www.update.microsoft.com/microso ... 8240577296 (MUWebControl Class)
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.7.0/jinsta ... s-i586.cab (Java Plug-in 10.21.2)
O16 - DPF: {CAFEEFAC-0017-0000-0010-ABCDEFFEDCBA} http://java.sun.com/update/1.7.0/jinsta ... s-i586.cab (Reg Error: Key error.)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.7.0/jinsta ... s-i586.cab (Java Plug-in 10.21.2)

Czyli usuwamy search.live`a - to pewnie zaaprobuję,
Google Update - tego nie,
IplextoALLPlayer - jeśli dobrze zrozumiałem chodzi o usunięcie tego dodatku do FF w całości, jeśli tak to nie,
kontrolkę MU od IE - nie mam pewności, raczej nie,
, jakieś zapewne aktualizacje od Javy v. 7 up. 21. Nie jestem pewien co to jest, ale raczej tak.

Pozostałe foldery pochodzą z różnych programów wśród nich także tych których obecnie używam. Ale w większości chyba są przestarzałe no i ukryte, nie jestem pewien ale raczej też.
Choć uzysk z ich usunięcia niewielki - sprawdzałem.

Opisz go tu.

Chodzi o to, że ja deinstalowałem poprzez Panel Sterowania taki program AVI ReComp i jeden z jego składników - Xvid Video Codec (on sam zawierał jeszcze wiele elementów) i tenże Xvid dość problematycznie się odinstalowywał.
Proponował deinstalację WinRAR-a zamiast siebie co też później uczyniłem.

I to o tego Xvida właśnie chodzi, a także przy okazji o WinRAR-a - chciałbym żebyś sprawdził w logach jaka jest teraz sytuacja. Podejrzewam, że coś tam jeszcze mogło pozostać po tym.

Próbowałem też Revo Uninstallerem w trybie zaawansowanym i z nowym punktem przywracania, ale też chciał deinstalować WinRAR a jak kliknąłem Nie, to znalazł bardzo dużo bo ponad 5 tys. powiązanych wpisów oraz dodatkowo długą listę programów do usunięcia.
Tego nie zrobiłem bo nie miałem tej pewności.

Napisz proszę czy i jakie mogę dać tutaj logi i jakich opcji użyć by te logi były jak najdokładniejsze i najbardziej miarodajne pod kątem tych dwóch aplikacji zwłaszcza Xvida i tylko tych ?
Mam na myśli wszelkie opcje nie tylko te z generatorów logów tzn. czy odznaczyć ukryte pliki itp.
Zamierzam zreinstalować kodeki główne, a wcześniej wyczyścić wszelkie pozostałości po ww. programach.
Tak wiem niby to proste jest, no ale jednak okazuje się że niekoniecznie ma to jakieś liczne powiązania z innymi programami i plikami.
Potem mam jeszcze inne związane z tym kwestie.

[kominekl]

Czyli usuwamy search.live`a - to pewnie zaaprobuję,
Google Update - tego nie,
IplextoALLPlayer - jeśli dobrze zrozumiałem chodzi o usunięcie tego dodatku do FF w całości, jeśli tak to nie,
kontrolkę MU od IE - nie mam pewności, raczej nie,
, jakieś zapewne aktualizacje od Javy v. 7 up. 21. Nie jestem pewien co to jest, ale raczej tak.

Pozostałe foldery pochodzą z różnych programów wśród nich także tych których obecnie używam. Ale w większości chyba są przestarzałe no i ukryte, nie jestem pewien ale raczej też.
Choć uzysk z ich usunięcia niewielki - sprawdzałem.

O tym informację znajdziesz na moim blogu.

Próbowałem też Revo Uninstallerem w trybie zaawansowanym i z nowym punktem przywracania, ale też chciał deinstalować WinRAR a jak kliknąłem Nie, to znalazł bardzo dużo bo ponad 5 tys. powiązanych wpisów oraz dodatkowo długą listę programów do usunięcia.

Sprawdź to (usuń).

Zamierzam zreinstalować kodeki główne, a wcześniej wyczyścić wszelkie pozostałości po ww. programach.

Wykonaj to. Wszelkie sterowniki i ich części do wyrzucenia poprzez Revo.

[manitu]

O tym informację znajdziesz na moim blogu.

Przepraszam bardzo, ale gdzie to dokładnie jest bo szukałem i nic nie znalazłem ?

Próbowałem też Revo Uninstallerem w trybie zaawansowanym i z nowym punktem przywracania, ale też chciał deinstalować WinRAR a jak kliknąłem Nie, to znalazł bardzo dużo bo ponad 5 tys. powiązanych wpisów oraz dodatkowo długą listę programów do usunięcia.

Sprawdź to (usuń).

W Revo teraz to już teraz nieistotne nie pokazuje on już ich na liście, usunąłem zarówno WinRAR jak i Xvid Video Codec normalnie przez Panel, z tym że wcześniej WinRAR bo jak wiesz Xvid wywalał monit Czy kontynuować deinstalację WinRAR-a ?, a pozostałe jeszcze resztki normalnie ręcznie. Następnie przeczyściłem komputer programami czyszczącymi i restart.
Ale wciąż nie mam pewności czy wszystko po tych obiektach zostało usunięte, przypuszczam że chociażby w %SystemRoot%\system32 są jeszcze jakieś elementy tego kodeka.
Dlatego chciałbym, żebyś to sprawdził poprzez logi i zerknął na to pod kątem tych dwóch programów, a wcześniej napisał z czego i jak właściwie wykonać i podać te logi ?

Z samym Revo to było tak, że ja tak naprawdę spróbowałem wcześniej usunąć to co on znalazł od Xvid-a, a wcześniej utworzyłem p.p. Tam post wyżej nieprecyzyjnie się wyraziłem - wtedy niewykonałem tylko tego usunięcia listy programów na końcu (była bardzo długa). Jeśli wiesz jak działa Revo - na pewno domyślasz się o co chodzi ?
Ale i tak przywróciłem wszystko do owego p.p., który utworzyłem bo okazało się i od początku miałem z tym wątpliwość, że usunął mi on też inne elementy np. autoaktualizację ALLPlayera, co zaskutkowało odpowiednim komunikatem.
Tak więc widać, że były tam i to liczne powiązania i współdzielności.

Swoją drogą te ponad 5,5 tys. znalezionych wpisów tylko od Xvid-a rzekomo wydawało mi się coś dużo jak na jeden program. Tam musiało być wiele różnych powiązań z innymi programami, może kodekami. Nie znam się specjalnie na tym.
Nadto - zupełnie nie zrozumiałem dlaczego Revo chce usunąć na końcu aż tak długą listę różnych aplikacji i programów ?
Tutaj to już się mocno zawahałem - czy nie zostałoby tam usunięte też nie to co potrzeba.

Wykonaj to. Wszelkie sterowniki i ich części do wyrzucenia poprzez Revo.

Tak to na pewno wykonam - ale jak już będzie po wszystkim tzn. będę miał pewność że wszystko po ww. oprogramowaniu i pozostałościach usunięte i jest w tym względzie czystość.
Tak naprawdę mam jeszcze inne problemy, których objawy zdają się sugerować na wspólną przyczynę. Tzn. tutaj głównie chodzi o kodeki lub ich niewłaściwą konfigurację.
Tutaj na pewno trzeba będzie się zastanowić później co zrobić i co ewentualnie odinstalować czy usunąć o ile taka potrzeba, tak aby kodeki główne które chcę na nowo instalować czyli K-Lite v. Mega dla XP 32-bit (teraz mam v. Full) mogły działać bez wszelkich zakłóceń ?
Wcale nie wykluczam, że będę musiał wywalić też jeszcze jakieś inne programy bo może kolidują w jakiś sposób ze sobą. Ale ... to dla porządku już w dalszej kolejności dobrze. Najpierw uporajmy się z tym.

Sterowniki do usunięcia i to wszystkie jak piszesz, ale... od czego to te sterowniki ? Tutaj nie bardzo to zrozumiałem - uściślij swoją wypowiedź.

[kominekl]

Przepraszam bardzo, ale gdzie to dokładnie jest bo szukałem i nic nie znalazłem ?

Blog.

Dlatego chciałbym, żebyś to sprawdził poprzez logi i zerknął na to pod kątem tych dwóch programów, a wcześniej napisał z czego i jak właściwie wykonać i podać te logi ?

Najpierw wykonamy ten skrypt to weźmiemy się za kolejny.

Tutaj na pewno trzeba będzie się zastanowić później co zrobić i co ewentualnie odinstalować czy usunąć o ile taka potrzeba, tak aby kodeki główne które chcę na nowo instalować czyli K-Lite v. Mega dla XP 32-bit (teraz mam v. Full) mogły działać bez wszelkich zakłóceń ?

Tak.

Sterowniki do usunięcia i to wszystkie jak piszesz, ale... od czego to te sterowniki ? Tutaj nie bardzo to zrozumiałem - uściślij swoją wypowiedź.

Kodeki miałem na myśli.

[manitu]

Blog.

No tak, ale to jest wykładnia Twojego autorstwa z którego dla mnie niestety, żaden wniosek nie płynie i na którego interpretacji ja się w ogóle i zdecydowanie nie znam. Żeby było jasne ja nie jestem programistą tylko zwykłym użytkownikiem. Jeśli już to musi być to wyłożone językiem prostym i zrozumiałym (nie programistycznym) jakie są dobre i mniej dobre strony tego co jest nominowane do usunięcia.
Poza tym to jest ogólne, chyba nie ma tam nic konkretnego, w każdym razie ja tego nie widzę.

Najpierw wykonamy ten skrypt to weźmiemy się za kolejny.

Niczego na razie nie wykonamy.
Jeżeli chodzi o tamten pierwszy to nie ma potrzeby, to co on zawiera nie stanowi żadnego teraz zagrożenia.
Także proponuję jednak to zostawić.

Co do drugiego, to nie chodzi na razie o skrypt, a o wygenerowanie i przesłanie logów celem ich analizy pod kątem tych dwóch oprogramowań.
Napisz czym i jak wykonać logi ? Znaczy chodzi o to żeby to co trzeba było tam widoczne.
Chodzi tylko o sprawdzenie, czy będzie potrzebny skrypt to zobaczymy.

No chyba, że jest inny na to lepszy sposób ?

Tak.

To później będziemy się zastanawiać. Teraz na celowniku Xvid i WinRAR.
Niewykluczone, że trzeba będzie też przejrzeć całość oprogramowania i w ogóle danych u mnie by wydać jakiś generalniejszy wniosek gdyż ostatnio mam pewne objawy problemów chyba z tym związanych ?
Ale to może w dalszej kolejności, najpierw skupmy się na tych dwóch.

A tamten niewykonany skrypt nr 1 to zostawmy, bo nie ma on chyba z tym nic wspólnego ?

Kodeki miałem na myśli.

Aha kodeki, no widzisz kodeki a sterowniki to wielka różnica.
Znaczy te K-Lite v. Full obecne - jeśli tak to oczywiście zreinstaluję je na rzecz Mega. Nie wiem tylko czy koniecznie w Revo ? Kodeki mają swój deinstalator.

I jeszcze chciałbym do czegoś wrócić bo nie zrozumiałem:

Tak, ale Skype odinstalowuje i zastępuje MSN-a, czyż nie ? Wiem bo mam już ten instalator.

Tak.

W takim razie z jakiej okazji widzę masz zarówno Skype jak i MSN ?

[kominekl]

Poza tym to jest ogólne, chyba nie ma tam nic konkretnego, w każdym razie ja tego nie widzę.

A jednak masz napisane, czym są między innymi elementy w O16.

Chodzi tylko o sprawdzenie, czy będzie potrzebny skrypt to zobaczymy.

Nie mam zamiaru. Tu działamy, a nie gdybamy. Skoro Ty jako znawca logów nie widzisz potrzeby wykonywania takiego skryptu to ja nie widzę potrzeby jego sprawdzania. Ja widzę potrzebę, ty jej nie widzisz. Więc kończymy temat.

Znaczy te K-Lite v. Full obecne - jeśli tak to oczywiście zreinstaluję je na rzecz Mega. Nie wiem tylko czy koniecznie w Revo ? Kodeki mają swój deinstalator.

Mimo to użyj Revo Uninstaller - jest dokładniejszy.

W takim razie z jakiej okazji widzę masz zarówno Skype jak i MSN ?

Ponownie. to, że mam to nie znaczy, że używam. Kiedyś zakładałem.

[manitu]

Nie mam zamiaru. Tu działamy, a nie gdybamy. Skoro Ty jako znawca logów nie widzisz potrzeby wykonywania takiego skryptu to ja nie widzę potrzeby jego sprawdzania. Ja widzę potrzebę, ty jej nie widzisz. Więc kończymy temat.

Rozumiem, że wciąż pijesz do tego pierwszego skryptu.
Przepraszam bardzo, ale kto tutaj podejmuje decyzję ostateczną Ty, czy ja ? Bo wydaje mi się, że tutaj troszeczkę się zapędziliśmy. Nawet jeśli jest taka potrzeba to ja o tym zdecyduję.

Ale co tamten pierwszy skrypt ma wspólnego z tym drugim problemem
Jeśli nic to zostawmy go na później.
Dlaczego tak się uparłeś z tym ? Czy to stanowi jakieś realne zagrożenie u mnie ? Wykaż mi to konkretnie, że tak jest oraz wyjaśnij całą tę potrzebę wykasowania tego, a się zastanowię.
Ja nie twierdzę, że nie widzę potrzeby, pytam więc Ciebie o proste wyjaśnienie mi znaczenia tego i co to w ogóle jest a Ty nie chcesz mi odpowiedzieć.
Jak ma być coś wykonane jeżeli nie możemy się dogadać ?

Ale kto tu gdyba ? No to działajmy więc , teraz zależy mi na Xvidzie, a Ty wciąż wracasz do tamtego - napisz wreszcie co mam zrobić by to sprawdzić bo chciałbym wreszcie ruszyć z tą instalacją ? To ja się Ciebie grzecznie pytam, a sam nie jestem żadnym tam znawcą, nie wiem nawet czy to chodzi o logi ?
Sprawdzisz to, a jeżeli coś będzie i będzie potrzebny skrypt ws. Xvida tudzież WinRAR-a to go wykonam.
Na tę chwilę nie wiem jeszcze czy tak będzie. Nawet nie sprawdziłeś, a już wyprzedzasz fakty.
Ale jeśli nie chcesz, no to co - ja Cię nie będę zmuszał i poszukam sobie czegoś innego ? I może w takim razie lepiej to skończyć.

Mimo to użyj Revo Uninstaller - jest dokładniejszy..

Dokładniejszy tak, ale czy bezpieczniejszy ? Zwłaszcza w trybie zaawansowanym.

Ponownie. to, że mam to nie znaczy, że używam. Kiedyś zakładałem.

Tak, ale nie o użycie chodzi, powinien zostać odinstalowany bo został wycofany.

[kominekl]

Rozumiem, że wciąż pijesz do tego pierwszego skryptu.
Przepraszam bardzo, ale kto tutaj podejmuje decyzję ostateczną Ty, czy ja ? Bo wydaje mi się, że tutaj troszeczkę się zapędziliśmy. Nawet jeśli jest taka potrzeba to ja o tym zdecyduję.

Ty podejmujesz decyzję, ale skoro znasz się lepiej na logach i wiesz, czy jest potrzeba wykonywania skryptu, czy też nie to nie widzę tu potrzeby mojej pracy i czasu.

Ja nie twierdzę, że nie widzę potrzeby, pytam więc Ciebie o proste wyjaśnienie mi znaczenia tego i co to w ogóle jest a Ty nie chcesz mi odpowiedzieć.

Powiedziałem Ci. Masz wszystko w artykule (masz napisane co oznacza część O16). Znaczenie folderów również wyjaśniłem, tak więc cały skrypt objaśniłem.

tę potrzebę wykasowania tego, a się zastanowię

Uważasz, że robisz mi łaskę wykonując skrypt? Nie to nie. Temat kończę i zgłaszam w ciągu doby moderacji.

Ale jeśli nie chcesz, no to co - ja Cię nie będę zmuszał i poszukam sobie czegoś innego ? I może w takim razie lepiej to skończyć.

Już podałem. Kazałem wywalić wszelkie kodeki i zainstalować K-Lite.

Dokładniejszy tak, ale czy bezpieczniejszy ? Zwłaszcza w trybie zaawansowanym.

Jest bezpieczny.

[manitu]

Temat do zamknięcia.

[kominekl]

Temat do zamknięcia.

Zamykamy.