NELZE SPUSTIT EXE SOUBORY ve Windows XP

[AznohII]

pozor
podařilo se mi udělat log z hijacku v DOSu

To by nám mohlo pomoci.


Logfile of HijackThis v1.99.1
Scan saved at 21:30:01, on 14.12.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\cmd.exe
C:\Program Files\hijack\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.seznam.cz/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
O2 - BHO: (no name) - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
O3 - Toolbar: (no name) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [VGAUtil] C:\WINDOWS\System32\G-VGA.exe
O4 - HKLM\..\Run: [HydraVisionDesktopManager] C:\Program Files\ATI Technologies\ATI HydraVision\HydraDM.exe
O4 - HKLM\..\Run: [HydraVisionViewport] C:\Program Files\ATI Technologies\ATI HydraVision\HydraMD.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [NewsUpd] C:\Program Files\Creative\News\NewsUpd.EXE /q
O4 - HKLM\..\Run: [Disc Detector] C:\Program Files\Creative\ShareDLL\CtNotify.exe
O4 - HKLM\..\Run: [CreativeMixer] C:\Program Files\Creative\Audio2K\PROGRAM\CTMIX32.EXE /t
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [PCLEPCI] C:\PROGRA~1\Pinnacle\PPE\PPE.EXE
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - Startup: Údržba databáze BUILDpower.LNK = D:\RTSStavitel\BPStartUp.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Akcelerátor spuštění AutoCADu.lnk = C:\Program Files\Common Files\Autodesk Shared\acstart16.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Norton System Doctor.lnk = C:\Program Files\Norton Utilities\SYSDOC32.EXE
O4 - Global Startup: RAMASST.lnk = C:\WINDOWS\system32\RAMASST.exe
O4 - Global Startup: Skype.lnk = C:\Program Files\Skype\Phone\Skype.exe
O4 - Global Startup: VIA RAID TOOL.lnk = C:\Program Files\VIA\RAID\raid_tool.exe
O8 - Extra context menu item: E&xportovat do aplikace Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Zobrazit originál - C:\Program Files\VOLNY\akcelerator\original.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=48835
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTSvcCDA.exe
O23 - Service: DVD-RAM_Service - Matsushita Electric Industrial Co., Ltd. - C:\WINDOWS\system32\DVDRAMSV.exe
O23 - Service: GEARSecurity - GEAR Software - C:\WINDOWS\system32\gearsec.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\Program Files\Norton Utilities\NPROTECT.EXE
O23 - Service: Speed Disk service - Symantec Corporation - C:\Program Files\Speed Disk\nopdb.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

[lodus]

stáhněte si tento soubor:
http://download.lodusweb.net/makra/oprava_exe.reg

a spustťe jej, teoreticky mohlo dojít k přeasociování exe extension, po aplikaci tohoto souboru zkuste spustit jakýkoliv exe soubor.

[AznohII]

jakmile kliknu na odkaz otevře se mi zase to staré známé okno od arconu.
Prostě nemohu nic spustit...

[lodus]

zkuste exe přejmenovat na com a spustit. možná se pak pohneme

[Martinnnnn]

lodus: sorry, ze se ti do toho montuju, ale toto bude jednodussi

stahni http://securityresponse.symantec.com/av ... okExec.inf
klikni pravym a dej instalovat -> potom restartuj

[lodus]

Martinnnnn: jo np, já jen logicky uvažuju, ty utility neznám. spouštění se dá háknout různě, uvidíme

[AznohII]

omlouvám se že jsem se tak dlouho neozval, ale zkoušel jsem spustit avast v DOSu ale bohužel mi spadnul systém a restartoval se počítač.
Co se týče toho odkazu. Když dám pravou myš a instalovat tak se mi opět spustí to okno arconu...

dále jsem to projel adawarem v DOSu.

A v DOSu můžu spustit všechno normálně (pokud to funguje v nouzovém režimu)

Děkuji každému za pomoc...

[AznohII]

lodus: když si ten soubor uložím na disk tak se mi uloží jako "oprava_exe.mp3" a když ho chci spustit tak mi hlásí že soubor nelze přehrát...

[AznohII]

myslím že se mi podařilo spustit "oprava_exe.reg" ale nepomohlo to.

[Ryusei]

narazil sem na podobny problem akorat ze me se nespusti vubec nic , udelal sem co tu bylo napsano ale nic nepomohlo

[AznohII]

mě taky nejdou spustit další věci jako např: přidat odebrat programy, příkazový řádek, atd..

[lodus]

a nepomohl ani ten soubor, co posílal Martinnnn?
http://securityresponse.symantec.com/av ... okExec.inf ?

ten soubor se po stažení přejmenoval z .reg na .mp3? zkuste si jen tak vytvořit soubor x.reg, jestli se hned přejmenuje na mp3. Zkoušel jste přejmenovat ty exe na .com? Bude to rootkit..

[Ryusei]

nn nepomohl, no nic lidi du format disku uz me to nebavi

[Martinnnnn]

a nepomohl ani ten soubor, co posílal Martinnnn?
http://securityresponse.symantec.com/av ... okExec.inf ?

ten soubor se po stažení přejmenoval z .reg na .mp3? zkuste si jen tak vytvořit soubor x.reg, jestli se hned přejmenuje na mp3. Zkoušel jste přejmenovat ty exe na .com? Bude to rootkit..

mne se to taky chce ukladat jako .mp3, mas asi neco "zajimave" nastavene na serveru

Ryusei: prosim pokud chces dal resit svuj problem, zaloz si vlastni tema, delas tady zmatek

AznohII: prejmenuj ten soubor od loduse na .reg a poklepej na neho -> mel by se zeptat, jestli ho chces pridat do registru, dej ano

[lodus]

lol fakt, wtf? )))) nechápu s tím mp3 ))))

Martinnnn, pak by se dal použít ještě ten trik s asociací txt souboru k exe jak jsi mi včera říkal, pak to zkusíme, kdyby to stále nešlo