[es] - Restrikovani svi useri na Windows XP, Virtumundo muka...

apesic
Aleksandar Pesic
Aleksinac

Član broj: 85283
Poruke: 4
79.101.169.*

Profil

Restrikovani svi useri na Windows XP, Virtumundo muka...

^{29.03.2008. u 09:37}

Napecao sam Virtumundo prekjuce.

NOD32 ga je detektovao (baze od tog dana), ali je nekako prosao, VundoFIX ga nije ni detektovao (poslednja verzija sa sajta proizvodjaca), a SpyBOT S&S ga je i detektovao i odradio ciscenje (promenio mu je extenziju na JKHHF.DLL_OLD i ocetkao ga je na sledeci reboot, s tim sto je pre i posle reboota sve vreme nesto i dalje upisivalo hidden fajlove sa imenom FHHKJ.INI i FHHKJ.INI2 u System32). E, sad sam se ja napravio pametan i resio da ocistim i registry od upisa vezanim za ovaj fajl (JKHHF.DLL) da ne bi i sledeci put kad se pojavi ponovo krenuo da mi pravi probleme, medjutim tu sam napravio glupost. Kljuc HKLM\SYSTEM\CONTROL\LSA je imao polje "Authentication Packages" (drugo trece sa vrha) cija vrednost mi je bila sumnjiva, odnosno umesto da pise samo "msv1_0" na tom mestu je stajalo msv1_0 i neka redirekcija u fajl JKHHF.DLL. Pretpostavljam da na ovom mestu Virtumundo salje passworde usera u sebe samog, te sam obrisao citavo polje "Authentication Packages" sa sve tim Value koji je tu stajao. Mislim da mi je ovo presudilo, jer na sledeci reboot samo sam dobio poruku na svim userima (i Admin naravno) da ne mogu da se logujem "due to account restrictions"?! Uzeo sam Hiren i probao sam da blankiram passworde, pa da upisem novi pass za usere, pa da se logujem na Last Good Known Configuration, ali nista nije pomoglo. Otkacio sam hard i polako instaliram novi sistem na drugom hardu, ali nikako da mi dopre do mozga da je security prso i da ne postoji nacin da ovo ispravim. Generalno razmisljam da mozda postoji neka kombinacija da pristupim tom polju registrija i upisem rucno ovu vrednost, ali nisam uspeo. Sada, iako mi je Win ceo i uslovno receno funkcionalan, ne mogu da mu pristupim.

Jel' neko imao slican problem ili ima resenje za ovu situaciju?

^{29.03.2008. u 09:37}

Danijel Krmar
Danijel Krmar
Novi Sad

Član broj: 158660
Poruke: 253
*.eunet.yu.

Profil

Re: Restrikovani svi useri na Windows XP, Virtumundo muka...

^{29.03.2008. u 10:57}

Vidi da li ti moze pomoci ovo http://support.microsoft.com/kb/307545. Bitno je da tacno pratis uputstva, mozda i uspes da vratis sistem.

^{29.03.2008. u 10:57}

Binary Mind
11040

Član broj: 28245
Poruke: 6132
*.adsl-a-1.sezampro.yu.

Profil

Re: Restrikovani svi useri na Windows XP, Virtumundo muka...

^{29.03.2008. u 12:10}

Hm... Ovde smo resavali Virtumonde zaraze bez ikakvih problema, uz neka mala pravila kao sto je iskljucivanje system Restore-a itd. a ti si isao onom logikom "Sto jednostavno kad moze komplikovano." Sto si prckao po registima. Multi-String vrednosti se ne brisu. Obicno se otvore se i edituju. Prvo putanja HKLM\SYSTEM\CONTROL\LSA ne postoji jer fali neki ControlSet (pretpostavljam CurrentControlSet). Tu Multi-string vrednost koju si obrisao bi po logici trebalo da dadas i sve bi radilo kao pre. Znaci desni klik > New > Multi-String Value koju bi posle preimenovao u Authentication Packages > i u Value Data upisao samo msv1_0 restartovao racunar i to bi onda po nekoj logici trebalo ponovo da radi.

Open-mindedness is considered a virtue, and true open-mindedness is, but don’t be so open minded that your brains fall out...

...It's not enough to simply not be so open minded that your brains fall out. It is equally important to have adequate bullshit deflectors in place so that the unscrupulous don't just fill your wide open mind with lies and nonsense.

^{29.03.2008. u 12:10}

apesic
Aleksandar Pesic
Aleksinac

Član broj: 85283
Poruke: 4
79.101.169.*

Profil

Re: Restrikovani svi useri na Windows XP, Virtumundo muka...

^{29.03.2008. u 12:27}

@Binary Mind

Citat:

...Prvo putanja HKLM\SYSTEM\CONTROL\LSA ne postoji...

Da, u pitanju je putanja "HKLM\SYSTEM\ControlSet001\Control\Lsa" kao i putanja "HKLM\SYSTEM\CurrentControlSet\Control\Lsa". Omaskom sam ispustio deo putanje. Ja sam ih nazalost obe obrisao.

Citat:

...Tu Multi-string vrednost koju si obrisao bi po logici trebalo da dadas i sve bi radilo kao pre...

Citat:

...i u Value Data upisao samo msv1_0 restartovao racunar i to bi onda po nekoj logici trebalo ponovo da radi...

Upravo to, toliko je i meni jasno, samo sto mi ne pada na pamet kako da to izvedem i kojom alatkom, kada ne mogu vise ni na koji nacin da pristupim Windowsu...

^{29.03.2008. u 12:27}

Danijel Krmar
Danijel Krmar
Novi Sad

Član broj: 158660
Poruke: 253
*.eunet.yu.

Profil

Re: Restrikovani svi useri na Windows XP, Virtumundo muka...

^{29.03.2008. u 13:16}

Izgleda da ne postoji nacin da se iz Recovery Console-a pristupi registru, barem ja jos nisam nasao nacin.

Jesi probao onaj link sto sam ti dao? Naime, tamo je napisano upustvo kako vratiti registry iz System Restore-a, tj. prvo se vrati defaultni registry kako bi uopste mogao pristupiti Windowsu, samo su onda naravno sve postavke i setapovi koje si ti izvrsio nakon instalacije windowsa izbrisane. Ali kad jednom dodjes do windowsa, postoji nacin da se iz System Restore-a vrati neki prijasnji registry sa kojim je sistem jos funkcionisao. To sve naravno ide ako ti je System Restore bio ukljucen.

Evo jos jednog slicnog clanka sa mozda jednim jednostavnijim nacinom za vracanje registrya http://searchwincomputing.tech...89483,sid68_gci1167895,00.html

^{29.03.2008. u 13:16}

Binary Mind
11040

Član broj: 28245
Poruke: 6132
*.adsl-1.sezampro.yu.

Profil

Re: Restrikovani svi useri na Windows XP, Virtumundo muka...

^{29.03.2008. u 17:14}

Nacin postoji preko live Windows XP verzija (Windows PE) koje se mogu skinuti s' neta ili mogu da se naprave po zelji. Na vec napravljenim verzijama postoji program koji se zove Registry Editor PE i preko njega sam nekoliko puta uspeo da popravim registry na palim Windows XP sistemima. Ima jos alata ali ovaj mi je prvi pao na pamet.

^{29.03.2008. u 17:14}

apesic
Aleksandar Pesic
Aleksinac

Član broj: 85283
Poruke: 4
79.101.169.*

Profil

Re: Restrikovani svi useri na Windows XP, Virtumundo muka...

^{31.03.2008. u 12:57}

Posteno imao sam i ja Live Windows XP (Bart PE), ali sa njime nisam umeo da importujem posrnuli Registry Editor sa harda, a alatke iz Hirena mi nisu davale nikakve rezultate. Do juce, kada sam dobio malo stariji, ali isto tako dobar Winternals CRD Commander 2005, koji je na sebi imao Registry editor, a koji je iz taka ucitao zlikovacki Registry i resio stvar

Hvala na pomoci anyway

^{31.03.2008. u 12:57}

Binary Mind
11040

Član broj: 28245
Poruke: 6132
*.adsl-1.sezampro.yu.

Profil

Re: Restrikovani svi useri na Windows XP, Virtumundo muka...

^{31.03.2008. u 13:18}

Valjda se zove Winternals ERD Commander 2005. I on je dobar za te stvari

E sad skini ComboFix i skeniraj racunar njime i naravno posle okachi log da vidimo da li jenesto ostalo od malware-a... Dok Combofix skenira nista ne radi sa racunarom. Takodje skini i HiJackThis, skeniraj i okachi njegov log.

^{31.03.2008. u 13:18}