Restrikovani svi useri na Windows XP, Virtumundo muka...
Napecao sam Virtumundo prekjuce.
NOD32 ga je detektovao (baze od tog dana), ali je nekako prosao, VundoFIX ga nije ni detektovao (poslednja verzija sa sajta proizvodjaca), a SpyBOT S&S ga je i detektovao i odradio ciscenje (promenio mu je extenziju na JKHHF.DLL_OLD i ocetkao ga je na sledeci reboot, s tim sto je pre i posle reboota sve vreme nesto i dalje upisivalo hidden fajlove sa imenom FHHKJ.INI i FHHKJ.INI2 u System32). E, sad sam se ja napravio pametan i resio da ocistim i registry od upisa vezanim za ovaj fajl (JKHHF.DLL) da ne bi i sledeci put kad se pojavi ponovo krenuo da mi pravi probleme, medjutim tu sam napravio glupost. Kljuc HKLM\SYSTEM\CONTROL\LSA je imao polje "Authentication Packages" (drugo trece sa vrha) cija vrednost mi je bila sumnjiva, odnosno umesto da pise samo "msv1_0" na tom mestu je stajalo msv1_0 i neka redirekcija u fajl JKHHF.DLL. Pretpostavljam da na ovom mestu Virtumundo salje passworde usera u sebe samog, te sam obrisao citavo polje "Authentication Packages" sa sve tim Value koji je tu stajao. Mislim da mi je ovo presudilo, jer na sledeci reboot samo sam dobio poruku na svim userima (i Admin naravno) da ne mogu da se logujem "due to account restrictions"?! Uzeo sam Hiren i probao sam da blankiram passworde, pa da upisem novi pass za usere, pa da se logujem na Last Good Known Configuration, ali nista nije pomoglo. Otkacio sam hard i polako instaliram novi sistem na drugom hardu, ali nikako da mi dopre do mozga da je security prso i da ne postoji nacin da ovo ispravim. Generalno razmisljam da mozda postoji neka kombinacija da pristupim tom polju registrija i upisem rucno ovu vrednost, ali nisam uspeo. Sada, iako mi je Win ceo i uslovno receno funkcionalan, ne mogu da mu pristupim.
Jel' neko imao slican problem ili ima resenje za ovu situaciju?
 |  |
 |
E sad skini ComboFix i skeniraj racunar njime i naravno posle okachi log da vidimo da li jenesto ostalo od malware-a... Dok Combofix skenira nista ne radi sa racunarom. Takodje skini i HiJackThis, skeniraj i okachi njegov log.
