VIRY.CZ

Zdravim, taktez jsem nekde pochytil tuhle nemilou utilitku (podle toho co jsem slysel. tak se do pocitace dostava dirou pres Java) Ja ji chytil na sve domovske strance trainsim.ru ale nas tym adminu, uz tento parazit znicil (pouzil se backup)

Docela zajimave je ze ji nedetekuji antivirove programy (konkretne avast) ale napriklad ESET Smart Security ji nevidel taky.

Podarilo se mi "havet" zablokovat, nasel jsem dll soubor s velice divnym jmenem, a prostrednictvym vedlejsiho systemu jsem ho smazal.
Samotna aplikace pravdepodobne bezi dal, ale nemuze delat nic.

Prostrednictvim rougeKilleru jsem ji sice detekoval, ale ten ji nebyl schopen odstranit, musel jsem rucne...


Mam otazku, jestli by jste mi nemohli poradit, kampak se mrska schovala? Abych ji mohl vycistit kompletne. Nasel jsem na ni odkaz v Registrech, ale smazani dodatecneho prikazu k souboru runddl32.dll mi nepomohlo.

Vim ze bude potreba log, ale tady bych porusil pravidla fora. Jelikoz jsem z Moskvy, tak mam (jak jinak) ruske win7, ktere ale nejsou legalni.

Pokud budete mit nejaky navrh. Predem dekuji za odpoved.

Také zdravím!
Restartujte do nouz. režimu a nejprve dejte log RSIT: http://forum.viry.cz/viewtopic.php?f=13&t=105895 .

Porusil bych ale pravidla fora, jelikoz mam nelegalni win7 z ruska.

Presto se pokusim. mam jen dotaz. Jsem uzivatel te verze biosu ktera se pri F8 prejde do boot setupu.

Je nejaky zpusob vyhnout se boot menu?

Pokud máte nelegální Win, pak není řešení. Toto fórum nepodporuje softwarové pirátství. Žádný jiný legální způsob neexistuje, než si zakoupit licenci.

Jedna se o ruskou Licenci, zde uznana nebudem i kdyz jsem si ji radne zakoupil.

Jinak prave proto jsem se ptal, kam se obvykle tahle potvora zasije.


Pokud prece jen je zde nejaka rada. rad si ji poslechnu.
Diki.

Proč myslíš, že zde nebude uznána cizojazyčná licence (podle tebe řádně zakoupená a Win7 autorizovány originálním klíčem)
Už jsme tu řešili různé italské, španělské, francouzské a německé verze OS

Dej sem Rudymu požadovaný RSIT - on už si poradí a s ruštinou se taky popere (určitě z ní maturoval)

Ano, dejte log RSIT z nouz. režimu. To jsme si nerozuměli. Pokud je licence zakoupena v Rusku (ale třeba i v Antarktidě ), je celosvětově platná. Licencí stvrzujete, že jste za operační systém zaplatil a že ho nepoužíváte načerno. To je to, o co Microsoftu jde.

cernohous13 píše: Dej sem Rudymu požadovaný RSIT - on už si poradí a s ruštinou se taky popere (určitě z ní maturoval)

No sup-sup, aj ja som maturoval z rustiny, pomozem

No tak ja si myslim ze se s jazykovou barierou poradim

Tak to pak vytahuju, tu otazku ktera byla vyse.

Pri spusteni biosu, pres f8 se dostanu do boot menu biosu (del - bios setup, F8 - boot menu) a bohuzel se mi nedari win donutit ke spolupraci a k ukazani toho potrebneho menu k vyberu nouz rezimu.

Nejsem nejaky extra lamer, takze pokud je potreba se prohrabnout v registrech, podle navodu se do toho klidne pustim

Shimanski píše: Pri spusteni biosu, pres f8 se dostanu do boot menu biosu (del - bios setup, F8 - boot menu) a bohuzel se mi nedari win donutit ke spolupraci a k ukazani toho potrebneho menu k vyberu nouz rezimu.

a co se ukáže když znovu zvolíš F8?
Win k ničemu nedonutíš, v té chvíli jsou ještě out

Zadna Reakce. Reaguje pouze na sipky a enter. to si vyberu boot disk, a nabehne bud winXP nebo Win7 podle toho co si vyberu. Pokud vyberu jednu z moznosti (3 disky, vyber disku 3, kde neni system, pouze hodi eror ze neni systemovy disk, a po enteru se zase ozivi win7 a na f8 nereaguje

Takže po výběru (šipkami) systémového disku -> Enter a okamžitě F8

Budu zkouset.

Momentalne mame v praci trocha pilno. (Tramvajak) vseci chco dovoleny na novy rok a hledaj se lidi kdo nema rodinu... takze ke kompu se moc ndeostanu tedka...

Nevadí, až bude čas tak se ozveš

Tak jsem se k tomu bohudik dopracoval.
Ale bude tam vice otazek...

Takze, Logi z Ristu vam poskytu, ale pozor na cyrilici... docela hojne se tam vyskytuje. (log bude na konci prizpevku)

Druha vec je ze mi posledni dobou dela neplechu cely pc.

Prestal mi pracovat skype. (program se spusti ale nedokaze se pripojit k servrum) a taktez se mi nedari nacist ani hlavni stranku (http://www.skype.cz)
Zajimave je ze kdyz ji dam pingovat pres cmd, tak odpoved prijde. a dokonce, pribehne i odpoved prostrednictvim aplikace telnet pres port 80
Prosim o pomoc. Dekuji!

Zde davam logy z info -
info.txt - лог утилиты random's system information tool 1.09 2013-02-21 04:32:47

======Список установленных программ======

-->MsiExec /X{8B922CF8-8A6C-41CE-A858-F1755D7F5D29}
-->MsiExec.exe /I{9A346205-EA92-4406-B1AB-50379DA3F057}
«XCOM Enemy Unknown» 1.0-->"C:\Games\XCOM Enemy Unknown\uninstall\unins000.exe"
µTorrent-->"C:\Program Files\uTorrent\uTorrent.exe" /UNINSTALL
3dsmax ancillary install-->MsiExec.exe /I{7C8B5E63-821A-4DFB-BDFA-19854D88EC5C}
7-Zip 4.14 beta-->"C:\Program Files\7-Zip\Uninstall.exe"
ACDSee 8-->MsiExec.exe /I{AE80641A-0C8D-4670-A518-B4EC154B1027}
AceIt v1.3.1-->"C:\Program Files\AceIt\unins000.exe"
Adobe Flash Player 11 Plugin-->C:\Windows\system32\Macromed\Flash\FlashUtil32_11_6_602_168_Plugin.exe -maintain plugin
Adobe Reader XI (11.0.01)-->MsiExec.exe /I{AC76BA86-7AD7-1033-7B44-AB0000000001}
Ask Toolbar-->MsiExec.exe /X{86D4B82A-ABED-442A-BE86-96357B70F4FE}
Auslogics BoostSpeed-->"C:\Program Files\Auslogics\Auslogics BoostSpeed\unins000.exe"
Autodesk DWF Viewer 7-->MsiExec.exe /I{9A346205-EA92-4406-B1AB-50379DA3F057}
avast! Free Antivirus-->C:\Program Files\AVAST Software\Avast\aswRunDll.exe "C:\Program Files\AVAST Software\Avast\Setup\setiface.dll" RunSetup
Axesstel Manager-->C:\PROGRA~1\COMMON~1\INSTAL~1\Driver\9\INTEL3~1\IDriver.exe /M{E2B8BC2B-DA7A-423C-9E3E-DC68835099E6}
Backburner-->MsiExec.exe /I{3D347E6D-5A03-4342-B5BA-6A771885F379}
Bing Bar-->MsiExec.exe /X{1AE46C09-2AB8-4EE5-88FB-08CD0FF7F2DF}
Counter-Strike Source-->MsiExec.exe /X{3E91F44F-6FCC-428A-9BAD-D01F72E6EB34}
FBX Plugin 2006.08 for Max 9.0-->C:\Program Files\Autodesk\FBX\FbxPlugins\2006.08\Max90\Uninstall.exe
Fraps (remove only)-->"C:\Fraps\uninstall.exe"
Google Chrome-->"C:\Program Files\Google\Chrome\Application\24.0.1312.57\Installer\setup.exe" --uninstall --multi-install --chrome --system-level --verbose-logging
Google Update Helper-->MsiExec.exe /I{A92DAB39-4E2C-4304-9AB6-BC44E68B55E2}
Homeworld2 Map Editor v1.2-->MsiExec.exe /I{6EEB8DD7-CD49-4C04-9593-26D54F68A896}
Java 7 Update 15-->MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83217015FF}
Java SE Development Kit 7 Update 7-->MsiExec.exe /I{32A3A4F4-B792-11D6-A78A-00B0D0170070}
Media Key-->RunDll32 C:\PROGRA~1\COMMON~1\INSTAL~1\PROFES~1\RunTime\0701\Intel32\Ctor.dll,LaunchSetup "C:\Program Files\InstallShield Installation Information\{9D14BEA3-9115-42C2-870A-5CDC14309F68}\Setup.exe" -l0x9
Microsoft .NET Framework 4.5 RUS Language Pack-->MsiExec.exe /X{876B6870-FAFF-3071-9319-5EB75DDE5A86}
Microsoft .NET Framework 4.5-->C:\Windows\Microsoft.NET\Framework\v4.0.30319\SetupCache\\Setup.exe /repair /x86
Microsoft .NET Framework 4.5-->MsiExec.exe /X{9F612429-4A00-3D44-88CF-146DA2EE1F92}
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.4148-->MsiExec.exe /X{1F1C2DFC-2D24-3E06-BCB8-725134ADF989}
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.6161-->MsiExec.exe /X{9BE518E6-ECC6-35A9-88E4-87755C07200F}
Microsoft Visual C++ 2010 x86 Redistributable - 10.0.40219-->MsiExec.exe /X{F0C3E5D1-1ADE-321E-8167-68EF0DE699A5}
Mozilla Firefox 19.0 (x86 ru)-->C:\Program Files\Mozilla Firefox\uninstall\helper.exe
Mozilla Maintenance Service-->"C:\Program Files\Mozilla Maintenance Service\uninstall.exe"
NVIDIA PhysX-->MsiExec.exe /I{8B922CF8-8A6C-41CE-A858-F1755D7F5D29}
NVIDIA Stereoscopic 3D Driver-->"C:\Program Files\NVIDIA Corporation\3D Vision\nvStInst.exe" /uninstall /ask
NVIDIA Аудиодрайвер HD 1.3.18.0-->"C:\Windows\system32\RunDll32.EXE" "C:\Program Files\NVIDIA Corporation\Installer2\installer.{A8367A6E-077C-414E-81A8-07BE29511145}\NVI2.DLL",UninstallPackage HDAudio.Driver
NVIDIA Графический драйвер 310.90-->"C:\Windows\system32\RunDll32.EXE" "C:\Program Files\NVIDIA Corporation\Installer2\installer.{A8367A6E-077C-414E-81A8-07BE29511145}\NVI2.DLL",UninstallPackage Display.Driver
NVIDIA Драйвер 3D Vision 310.90-->"C:\Windows\system32\RunDll32.EXE" "C:\Program Files\NVIDIA Corporation\Installer2\installer.{A8367A6E-077C-414E-81A8-07BE29511145}\NVI2.DLL",UninstallPackage Display.3DVision
NVIDIA Драйвер контроллера 3D Vision 310.90-->"C:\Windows\system32\RunDll32.EXE" "C:\Program Files\NVIDIA Corporation\Installer2\installer.{A8367A6E-077C-414E-81A8-07BE29511145}\NVI2.DLL",UninstallPackage Display.NVIRUSB
NVIDIA Системное программное обеспечение PhysX 9.12.1031-->"C:\Windows\system32\RunDll32.EXE" "C:\Program Files\NVIDIA Corporation\Installer2\installer.{A8367A6E-077C-414E-81A8-07BE29511145}\NVI2.DLL",UninstallPackage Display.PhysX
OMSI - Der Omnibussimulator-->"C:\Program Files\InstallShield Installation Information\{9AE850A4-B89D-4875-A159-B1B64D717EFB}\setup.exe" -runfromtemp -l0x0409 -removeonly
OpenAL-->"C:\Program Files\OpenAL\OpenAL.exe" /U
OpenOffice.org 3.4.1-->MsiExec.exe /I{0E18CD78-6B42-4068-A51D-C5A85A9B32D2}
PlanetSide 2-->"E:\Games\Steam\steam.exe" steam://uninstall/218230
PowerISO-->"C:\Program Files\PowerISO\uninstall.exe"
Race Driver GRID-->"C:\Games\Race Driver GRID\unins000.exe"
Razer StarCraft II-->MsiExec.exe /X{CA050D8C-770A-41A7-B966-0056456EA27E}
Realtek High Definition Audio Driver-->RunDll32 C:\PROGRA~1\COMMON~1\INSTAL~1\PROFES~1\RunTime\11\50\Intel32\Ctor.dll,LaunchSetup "C:\Program Files\InstallShield Installation Information\{F132AF7F-7BCA-4EDE-8A7C-958108FE7DBC}\Setup.exe" -removeonly
Shape Viewer-->MsiExec.exe /I{88DA244E-4CEA-49E4-AD6A-301B65131E25}
Skype™ 6.1-->MsiExec.exe /X{4E76FF7E-AEBA-4C87-B788-CD47E5425B9D}
TGATool2A version 4.00.34-->"C:\Program Files\MW\TGATool2\unins000.exe"
The Sims™ 2: Коллекция 16 в 1-->"C:\Games\The Sims 2\unins000.exe"
Trainz: Engineer's Edition-->"C:\Games\TS2010\unins000.exe"
Trojan Killer-->C:\Program Files\GridinSoft Trojan Killer\uninst.exe
VLC media player 1.0.3-->C:\Program Files\VideoLAN\VLC\uninstall.exe
ZTE Драйвер телефона-->"C:\Program Files\ZTE Handset USB Driver\unins000.exe"
Обновления NVIDIA 1.11.3-->"C:\Windows\system32\RunDll32.EXE" "C:\Program Files\NVIDIA Corporation\Installer2\installer.{A8367A6E-077C-414E-81A8-07BE29511145}\NVI2.DLL",UninstallPackage Display.Update
Языковой пакет Microsoft .NET Framework 4.5 - RUS-->C:\Windows\Microsoft.NET\Framework\v4.0.30319\SetupCache\RUS\\Setup.exe /repair /x86 /lcid 1049

======Файл Hosts======

127.0.0.1 localhost

======Журнал событий "Система"======

Имя компьютера: 37L4247F27-08
Код события: 7036
Сообщение: Служба "Plug and Play" перешла в состояние stopped.
Номер записи: 5
Источник: Service Control Manager
Время записи: 20101120215742.697406-000
Тип события: Сведения
Пользователь:

Имя компьютера: 37L4247F27-08
Код события: 20010
Сообщение: Изменилось состояние подсистем службы самонастройки (Plug and Play).

Включена подсистема установки PlugPlay: "false"
Включена подсистема кэширования PlugPlay: "false"

Номер записи: 4
Источник: Microsoft-Windows-UserPnp
Время записи: 20101120215742.697406-000
Тип события: Сведения
Пользователь: NT AUTHORITY\система

Имя компьютера: 37L4247F27-08
Код события: 7036
Сообщение: Служба "Software Protection" перешла в состояние stopped.
Номер записи: 3
Источник: Service Control Manager
Время записи: 20101120215742.479005-000
Тип события: Сведения
Пользователь:

Имя компьютера: 37L4247F27-08
Код события: 7036
Сообщение: Служба "Windows Event Log" перешла в состояние stopped.
Номер записи: 2
Источник: Service Control Manager
Время записи: 20101120215742.338605-000
Тип события: Сведения
Пользователь:

Имя компьютера: 37L4247F27-08
Код события: 7036
Сообщение: Служба "Volume Shadow Copy" перешла в состояние stopped.
Номер записи: 1
Источник: Service Control Manager
Время записи: 20101120215742.323005-000
Тип события: Сведения
Пользователь:

=====Журнал событий "Приложения"=====

Имя компьютера: 37L4247F27-08
Код события: 1001
Сообщение: Контейнер ошибки , тип 0
Имя события: PnPDriverNotFound
Ответ: Нет данных
Идентификатор CAB: 0

Сигнатура проблемы:
P1: x86
P2: ACPI\ATK0110
P3:
P4:
P5:
P6:
P7:
P8:
P9:
P10:

Вложенные файлы:
C:\Windows\Temp\DMI530E.tmp.log.xml

Эти файлы можно найти здесь:
C:\ProgramData\Microsoft\Windows\WER\ReportQueue\NonCritical_x86_93856eefc23cb6f60c4f9525ca72dec1a9d7155_cab_02b2535c

Символ анализа:
Повторный поиск решения: 0
Идентификатор отчета: 50402fc0-15f9-11e2-8f14-e0cb4ede2f1e
Состояние отчета: 4
Номер записи: 5
Источник: Windows Error Reporting
Время записи: 20121014121852.000000-000
Тип события: Сведения
Пользователь:

Имя компьютера: 37L4247F27-08
Код события: 5617
Сообщение: Windows Management Instrumentation Service subsystems initialized successfully
Номер записи: 4
Источник: Microsoft-Windows-WMI
Время записи: 20121014121734.000000-000
Тип события: Сведения
Пользователь:

Имя компьютера: 37L4247F27-08
Код события: 5615
Сообщение: Windows Management Instrumentation Service started sucessfully
Номер записи: 3
Источник: Microsoft-Windows-WMI
Время записи: 20121014121732.000000-000
Тип события: Сведения
Пользователь:

Имя компьютера: 37L4247F27-08
Код события: 1531
Сообщение: Служба профилей пользователей успешно запущена.


Номер записи: 2
Источник: Microsoft-Windows-User Profiles Service
Время записи: 20121014121729.032400-000
Тип события: Сведения
Пользователь: NT AUTHORITY\система

Имя компьютера: 37L4247F27-08
Код события: 4625
Сообщение: Подсистема EventSystem подавляет повторяющиеся элементы журнала событий в течение 86400 сек. Таймаут подавления управляется значением REG_DWORD с именем SuppressDuplicateDuration в следующем разделе реестра: HKLM\Software\Microsoft\EventSystem\EventLog.
Номер записи: 1
Источник: Microsoft-Windows-EventSystem
Время записи: 20121014121729.000000-000
Тип события: Сведения
Пользователь:

=====Журнал событий "Безопасность"=====

Имя компьютера: 37L4247F27-08
Код события: 4735
Сообщение: Изменена локальная группа с включенной безопасностью.

Субъект:
Идентификатор безопасности: S-1-5-18
Имя учетной записи: 37L4247F27-08$
Домен учетной записи: WORKGROUP
Идентификатор входа: 0x3e7

Группа:
Идентификатор безопасности: S-1-5-32-551
Имя группы: Операторы архива
Домен группы: Builtin

Измененные атрибуты:
Имя учетной записи SAM: -
Журнал SID: -

Дополнительные сведения:
Привилегии: -
Номер записи: 5
Источник: Microsoft-Windows-Security-Auditing
Время записи: 20121014121709.204800-000
Тип события: Аудит успеха
Пользователь:

Имя компьютера: 37L4247F27-08
Код события: 4731
Сообщение: Создана локальная группа с включенной безопасностью.

Субъект:
Идентификатор безопасности: S-1-5-18
Имя учетной записи: 37L4247F27-08$
Домен учетной записи: WORKGROUP
Идентификатор входа: 0x3e7

Новая группа:
Идентификатор безопасности: S-1-5-32-551
Имя группы: Операторы архива
Домен группы: Builtin

Атрибуты:
Имя учетной записи SAM: Операторы архива
Журнал SID: -

Дополнительные сведения:
Привилегии: -
Номер записи: 4
Источник: Microsoft-Windows-Security-Auditing
Время записи: 20121014121709.189200-000
Тип события: Аудит успеха
Пользователь:

Имя компьютера: 37L4247F27-08
Код события: 4902
Сообщение: Создана таблица политики аудита по пользователям.

Число элементов: 0
Идентификатор политики: 0x26015
Номер записи: 3
Источник: Microsoft-Windows-Security-Auditing
Время записи: 20121014121708.970800-000
Тип события: Аудит успеха
Пользователь:

Имя компьютера: 37L4247F27-08
Код события: 4624
Сообщение: Вход с учетной записью выполнен успешно.

Субъект:
ИД безопасности: S-1-0-0
Имя учетной записи: -
Домен учетной записи: -
Код входа: 0x0

Тип входа: 0

Новый вход:
ИД безопасности: S-1-5-18
Имя учетной записи: система
Домен учетной записи: NT AUTHORITY
Код входа: 0x3e7
GUID входа: {00000000-0000-0000-0000-000000000000}

Сведения о процессе:
Идентификатор процесса: 0x4
Имя процесса:

Сведения о сети:
Имя рабочей станции: -
Сетевой адрес источника: -
Порт источника: -

Сведения о проверке подлинности:
Процесс входа: -
Пакет проверки подлинности: -
Промежуточные службы: -
Имя пакета (только NTLM): -
Длина ключа: 0

Данное событие возникает при создании сеанса входа. Оно создается в системе, вход в которую выполнен.

Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например, служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe.

В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой).

Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, с которой выполнен вход.

В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным.

Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход.
- GUID входа - это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC.
- В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход.
- Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM.
- Поле "Длина ключа" содержит длину созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
Номер записи: 2
Источник: Microsoft-Windows-Security-Auditing
Время записи: 20121014121707.473200-000
Тип события: Аудит успеха
Пользователь:

Имя компьютера: 37L4247F27-08
Код события: 4608
Сообщение: Выполняется запуск Windows.

Это событие записывается в журнал при запуске LSASS.EXE и инициализации подсистемы аудита.
Номер записи: 1
Источник: Microsoft-Windows-Security-Auditing
Время записи: 20121014121707.426400-000
Тип события: Аудит успеха
Пользователь:

======переменные среды======

"ComSpec"=%SystemRoot%\system32\cmd.exe
"FP_NO_HOST_CHECK"=NO
"OS"=Windows_NT
"Path"=C:\Program Files\NVIDIA Corporation\PhysX\Common;%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\System32\Wbem;%SYSTEMROOT%\System32\WindowsPowerShell\v1.0\;C:\Program Files\Autodesk\Backburner\;C:\Program Files\Common Files\Autodesk Shared\
"PATHEXT"=.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH;.MSC
"PROCESSOR_ARCHITECTURE"=x86
"TEMP"=%SystemRoot%\TEMP
"TMP"=%SystemRoot%\TEMP
"USERNAME"=SYSTEM
"windir"=%SystemRoot%
"PSModulePath"=%SystemRoot%\system32\WindowsPowerShell\v1.0\Modules\
"NUMBER_OF_PROCESSORS"=4
"PROCESSOR_LEVEL"=16
"PROCESSOR_IDENTIFIER"=x86 Family 16 Model 2 Stepping 3, AuthenticAMD
"PROCESSOR_REVISION"=0203
"windows_tracing_logfile"=C:\BVTBin\Tests\installpackage\csilogfile.log
"windows_tracing_flags"=3
"SAFEBOOT_OPTION"=MINIMAL

-----------------EOF-----------------