После атаки: брандмауэр и сетевые платы не включаются

Привет докторам!

Вот только "видимые" последствия атаки:

Сообщения при запуске Брандмауэр Windows:

1) "Не удается отобразить параметры Windows, потому что связанная служба не запущена. Запустить службу "Брандмауэр Windows/общий доступ к Интернету (ICS)"

"Запускается..."

"Не удается запустить службу не удается отобразить параметры Windows, потому что связанная служба не запущена. Запустить службу "Брандмауэр Windows/общий доступ к Интернету (ICS)"
--------------------------------------

2) Не удается инициализировать следующие сетевые платы:

Broadcom 440x 10/100 Integrated contraller - минипорт планировщика пакетов
Не удалось инициализировать драйвер этого устройства. (Код 37)
файлы драйверов:
C:\WINDOWS\SYSTEM32\DRIVERS\psched.sys
ROOT\MS_PSCHEDMP\0000
----------
Intel(R) PRO/Wireless 3945ABG Network Conntction - минипорт планировщика пакетов

Не удалось инициализировать драйвер этого устройства. (Код 37)
C:\WINDOWS\SYSTEM32\DRIVERS\psched.sys
ROOT\MS_PSCHEDMP\0001
----
ИК-порт
Не удалось загрузить драйвер этого устройства. Возможно, драйвер поврежден или отсутствует. (Код 39)
C:\WINDOWS\SYSTEM32\DRIVERS\rasirda.sys
ROOT\MS_IRDAMINIPORT\0000
---------------------------
Миниорт WAN (IP) - минипорт планировщика пакетов
Не удалось инициализировать драйвер этого устройства. (Код 37)
C:\WINDOWS\SYSTEM32\DRIVERS\psched.sys
ROOT\MS_PSCHEDMP\0002

Миниорт WAN (PPTP)


При попытки удаления драйверов сетевых плат:

"Не удалось удалить устройство. Возможно, это устройство необходимо для выполнения загрузки компьютера"

----
Ну, а также, насколько я понял из сканирования AVZ, мой компьютер открыт для управления извне словно проходной двор...

Прошу помочь, буду признателен за ваши советы.

Заранее спасибо,

Олег

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('G:\autorun.inf','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\autorun.inf','');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile('G:\autorun.inf');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
[url]http://support.microsoft.com/kb/920074/ru[/url]
повторите логи...

Dear Mr Bond,

Спасибо вам большое!

Скрипт выполнил, логи и карантин вышлю при первой возможности.

Использовал оба способа для реанимации брaндмауэра, получил следующие ошибки:
При способе 1:

Rundll32 setupapi,InstallHinfSection Ndi-Steelhead 132 %windir%\inf\netrass.inf

Ошибка -Установка не выполнена

При способе 2:
После создания Sharedaccess.reg и внесения его содержимого в реестр...

Netsh firewall reset

-команда неуместна для данной службы.


firewall.cpl

- Вследствие неопределенной ошибки не удается отобразить параметры брандмауэра Windows.

(Это же НОВОЕ сообшение появляется сейчас и при попытке открытия брандмауэра из панели управления)

Дополнительно сообщаю, в списке Диспетчера служб Служба "Брандмауэр Windows/Общий доступ к Интернету (ICS)" отсутствует (туда заглянул, посмотрев эту страницу: [url]http://support.microsoft.com/kb/892199/[/url] )

Возможно ли предпринять что-то еще для восстановления брандмауэра?

Спасибо.

Олег
P.S. Моя OS - Windows XP Home Edition

[QUOTE=Gelok;263716]
Возможно ли предпринять что-то еще для восстановления брандмауэра?
[/QUOTE]
Сначала - логи в студию, потом все остальное.

[url]http://support.microsoft.com/kb/892199/[/url] - применялось ?

Доброе утро!

Высылаю логи. Отправил также карантин от 2008-08-04 (Результат загрузки: Файл сохранён как 080806_023015_virus_48995307eecfe.zip).

Есть также карантин от 2008-08-03 :
C:\WINDOWS\system32\ckvo0.dll Подозрение на Кеylogger или троянскую DLL размер 83456 (при необходимости, готов выслать).

Спасибо.

выполните скрипт ....
[code]
begin
QuarantineFile('C:\WINDOWS\C:\WINDOWS\system32\svchost.exe','');
end.
[/code]
пришлите карантин согласно приложения 3 правил ...

отправил карантин от 2008-08-03 (Результат загрузки: Файл сохранён как 080806_030204_virus_48995a7c81679.zip)

C:\WINDOWS\C:\WINDOWS\system32\svchost.exe - попробуйте поискать ... и прислать с паролем virus (обратите внимание на путь )

[quote=V_Bond;264100]выполните скрипт ....
[code]
begin
QuarantineFile('C:\WINDOWS\C:\WINDOWS\system32\svchost.exe','');
end.
[/code]
пришлите карантин согласно приложения 3 правил ...[/quote]

Скрипт выполнен успешно, однако:

Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\C:\WINDOWS\system32\svchost.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\C:\WINDOWS\system32\svchost.exe)
Карантин с использованием прямого чтения - ошибка

Вот такой скрипт выполнте:
[code]begin
QuarantineFile('C:\WINDOWS\system32\svchost.exe','');
end.[/code]
И пришлите карантин, если файл туда попадёт.

[quote=V_Bond;264111]C:\WINDOWS\C:\WINDOWS\system32\svchost.exe - попробуйте поискать ... и прислать с паролем virus (обратите внимание на путь )[/quote]

svchost.exe обнаружен здесь: C:\WINDOWS\system32

Отправлен, результат загрузки:
Файл сохранён как080806_035746_svchost_4899678a43240.zip

[size="1"][color="#666686"][B][I]Добавлено через 12 минут[/I][/B][/color][/size]

[quote=pig;264140]Вот такой скрипт выполнте:
[code]begin
QuarantineFile('C:\WINDOWS\system32\svchost.exe','');
end.[/code]
И пришлите карантин, если файл туда попадёт.[/quote]

Дальновидное замечание, попасть туда не желает...

Скрипт выполен успешно.

Протокол: Выполнен карантин файла C:\WINDOWS\system32\svchost.exe

Однако папка карантина пуста...

присланный файл по Вирустотал чист.

сохраните в блокноте как 1.reg запустите , перегрузитесь ...
[code]
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess]
"DependOnGroup"=hex(7):00,00
"DependOnService"=hex(7):4e,00,65,00,74,00,6d,00,61,00,6e,00,00,00,57,00,69,00,\
6e,00,4d,00,67,00,6d,00,74,00,00,00,00,00
"Description"="Обеспечивает поддержку служб трансляции адресов, адресации и разрешения имен или предотвращает вторжение служб в домашней сети или сети небольшого офиса."
"DisplayName"="Брандмауэр Windows/Общий доступ к Интернету (ICS)"
"ErrorControl"=dword:00000001
"ImagePath"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\
74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\
00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\
6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00
"ObjectName"="LocalSystem"
"Start"=dword:00000002
"Type"=dword:00000020

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess]
"DependOnGroup"=hex(7):00,00
"DependOnService"=hex(7):4e,00,65,00,74,00,6d,00,61,00,6e,00,00,00,57,00,69,00,\
6e,00,4d,00,67,00,6d,00,74,00,00,00,00,00
"Description"="Обеспечивает поддержку служб трансляции адресов, адресации и разрешения имен или предотвращает вторжение служб в домашней сети или сети небольшого офиса."
"DisplayName"="Брандмауэр Windows/Общий доступ к Интернету (ICS)"
"ErrorControl"=dword:00000001
"ImagePath"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\
74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\
00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\
6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00
"ObjectName"="LocalSystem"
"Start"=dword:00000002
"Type"=dword:00000020

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\SharedAccess]
"DependOnGroup"=hex(7):00,00
"DependOnService"=hex(7):4e,00,65,00,74,00,6d,00,61,00,6e,00,00,00,57,00,69,00,\
6e,00,4d,00,67,00,6d,00,74,00,00,00,00,00
"Description"="Обеспечивает поддержку служб трансляции адресов, адресации и разрешения имен или предотвращает вторжение служб в домашней сети или сети небольшого офиса."
"DisplayName"="Брандмауэр Windows/Общий доступ к Интернету (ICS)"
"ErrorControl"=dword:00000001
"ImagePath"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\
74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\
00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\
6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00
"ObjectName"="LocalSystem"
"Start"=dword:00000002
"Type"=dword:00000020
[/code]

[quote=V_Bond;263729][URL]http://support.microsoft.com/kb/892199/[/URL] - применялось ?[/quote]

Выполнение...

Microsoft Windows XP [Версия 5.1.2600]
(С) Корпорация Майкрософт, 1985-2001.
C:\Documents and Settings\ион>cd ..
C:\Documents and Settings>cd ..
C:\>sc query sharedaccess SERVICE_NAME: sharedaccess TYPE : 20 WIN32_SHARE_PROCE
SS STATE
ERROR, Invalid Option
DESCRIPTION:
SC is a command line program used for communicating with the
NT Service Controller and services.
USAGE:
sc <server> [command] [service name] <option1> <option2>...
The option <server> has the form "[URL="file://\\ServerName"]\\ServerName[/URL]"
Further help on commands can be obtained by typing: "sc [command]"
Commands: (пропускаю - gelok)

C:\>net start sharedaccess
Системная ошибка 3.
Системе не удается найти указанный путь.

C:\>SC sdshow SharedAccess
D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCR
RC;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;PU)
C:\>

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

[quote=V_Bond;264193]сохраните в блокноте как 1.reg запустите , перегрузитесь ...
[code]
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess]
"DependOnGroup"=hex(7):00,00
"DependOnService"=hex(7):4e,00,65,00,74,00,6d,00,61,00,6e,00,00,00,57,00,69,00,\
6e,00,4d,00,67,00,6d,00,74,00,00,00,00,00
"Description"="Обеспечивает поддержку служб трансляции адресов, адресации и разрешения имен или предотвращает вторжение служб в домашней сети или сети небольшого офиса."
"DisplayName"="Брандмауэр Windows/Общий доступ к Интернету (ICS)"
"ErrorControl"=dword:00000001
"ImagePath"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\
74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\
00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\
6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00
"ObjectName"="LocalSystem"
"Start"=dword:00000002
"Type"=dword:00000020

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess]
"DependOnGroup"=hex(7):00,00
"DependOnService"=hex(7):4e,00,65,00,74,00,6d,00,61,00,6e,00,00,00,57,00,69,00,\
6e,00,4d,00,67,00,6d,00,74,00,00,00,00,00
"Description"="Обеспечивает поддержку служб трансляции адресов, адресации и разрешения имен или предотвращает вторжение служб в домашней сети или сети небольшого офиса."
"DisplayName"="Брандмауэр Windows/Общий доступ к Интернету (ICS)"
"ErrorControl"=dword:00000001
"ImagePath"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\
74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\
00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\
6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00
"ObjectName"="LocalSystem"
"Start"=dword:00000002
"Type"=dword:00000020

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\SharedAccess]
"DependOnGroup"=hex(7):00,00
"DependOnService"=hex(7):4e,00,65,00,74,00,6d,00,61,00,6e,00,00,00,57,00,69,00,\
6e,00,4d,00,67,00,6d,00,74,00,00,00,00,00
"Description"="Обеспечивает поддержку служб трансляции адресов, адресации и разрешения имен или предотвращает вторжение служб в домашней сети или сети небольшого офиса."
"DisplayName"="Брандмауэр Windows/Общий доступ к Интернету (ICS)"
"ErrorControl"=dword:00000001
"ImagePath"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\
74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\
00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\
6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00
"ObjectName"="LocalSystem"
"Start"=dword:00000002
"Type"=dword:00000020
[/code][/quote]

Выполнен. После перегрузки:

Невозможно отобразить параметры брандмауэра Windows, поскольку соответствующая служба не запущена. Запустить службу брандмауэра Windows и общего доступа к Интернету?

Да -

Не удается запустить службу брандмауэра Windows и общего доступа к Интернету.

[size="1"][color="#666686"][B][I]Добавлено через 14 минут[/I][/B][/color][/size]

[quote=Rene-gad;264158]присланный файл по Вирустотал чист.[/quote]

На всякий случай:

svchost.exe указан в реестре:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess]

ImagePath REG_EXPAND_SZ %SystemRoot%\svchost.exe -k netsvcs

[QUOTE=Gelok;264203]
Не удается запустить службу брандмауэра Windows и общего доступа к Интернету.
[/QUOTE]
с этого места подробнее ...

[quote=V_Bond;264259]с этого места подробнее ...[/quote]

Это я привел текст сообщений об ошибке при попытке открытия брандмаура из панели управления. Та же ошибка, что указал и в самом первом своем сообщении в этой теме.

Исходя из логов, которые послал вам сегодня, есть ли malware в системе?

зловредного ничего нет .... но в реестре бардак есть ....

есть ли шанс навести порядок? Спасибо.

[size="1"][color="#666686"][B][I]Добавлено через 1 час 33 минуты[/I][/B][/color][/size]

[quote=V_Bond;264378]зловредного ничего нет .... но в реестре бардак есть ....[/quote]

В книге Николай Головко Безопасный Интернет Универсальная защита для Windows ME – Vista дается совет как отключить автозапуск для сменных дисков и компакт-
дисководов:
"В XP Home оснастка управления групповыми политиками отсутствует,
однако тот же эффект может быть достигнут ручной правкой реестра:
1) Пуск - Выполнить – ввод ‘regedit’ – OK.
2) Открыть
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies.
3) Создать новый раздел
4) Переименовать созданный раздел в Explorer
5) В этом разделе создать ключ NoDriveTypeAutoRun"
Однако, в моем реестре нет раздела Policies. СОЗДАТЬ?
P.S.Помимо брандмаура, сохранившейся проблемы сетевыми платами, описанной в 1-м сообщении темы, при запуске следующих трех программ:
Acer eLock Management
Acer ePerformance Management
Acter eSettings Management
Сообщение об ошибке следующее:
Service stopped
Can not connect to service. Application will be terminated
Следующее сообщения при запуске Acer eNet Management:
Acer eNet Managemеnt can not start up!
No wireless adapter installed or unsupported wireless adapter.

Спасибо!

авз - диспетчер служб и драйверов - сделайте лог активных служб ...