8 odpowiedzi w tym temacie

[tucoramirez]

Komp z XP SP3 obecnie bez dostępu do sieci. Zainstalowałem avasta 5 wraz z przeniesioną na pendrivie aktualizacją bazy wirusów. Po bezproblemowej instalacji program wyświetlił komunikat usługa avast została zatrzymana. Uruchom ponownie program. Klikanie na taka opcję nic nie daje, podobnie nie można włączyć żadnego typu ochrony, ani skanu. Jendyne co udało mi się uzyskać to uruchomić skan przy starcie systemu który wykrył sporo dziadostwa w tym atapidrv.sys z którym miałem problem na laptopie mojej żony. Wybrałem opcję przeniesienia do kwarantanny. System uruchomił się bezproblemowo, teraz jednak powtórnego skanu przy starcie nie wykonuje (po zaznaczeniu tej opcji).
Na kompie tym uzywany był swego czasu usbfix z powodu infekcji na penach. Deamon tools było odinstalowywane. Dodatkowy problem to nagle wyłączanie się programów typu regcleaner i jv16 powertools i niemożnośc dokonczenia instalacji sterownika adaptera wifi - stad brak dostepu do sieci.

Uprzejmie proszę o pomoc

załączam logi z otl i gmera
 OTL.Txt   49,57 KB   47 Ilość pobrań
 Extras.Txt   37,79 KB   17 Ilość pobrań
 raport gmera.txt   7,03 KB   17 Ilość pobrań

[picasso]

Infekcji w stanie czynnym tu nie widzę w sposób bezpośredni, ale:

1. Sterownik systemowy Beep uruchamia się z przedziwnej kopii:

DRV - [2008-04-15 13:00:00 | 000,004,224 | ---- | M] (Microsoft Corporation) [Kernel | System | Running] -- C:\WINDOWS\System32\drivers\beep.backup -- (Beep)

2. W Dzienniku zdarzeń jest grupa błędów usług sieciowych, punktująca niemożność startu sterownika IPSEC (w konsekwencji grupa zależności także nie startuje):

Error - 2011-01-22 10:05:15 | Computer Name = LIPOWICZ-30C97F | Source = Service Control Manager | ID = 7000
Description = Nie można uruchomić usługi Sterownik IPSEC z powodu następującego 
błędu:   %%2
 
Error - 2011-01-22 10:05:15 | Computer Name = LIPOWICZ-30C97F | Source = Service Control Manager | ID = 7001
Description = Usługa Sterownik protokołu TCP/IP zależy od usługi Sterownik IPSEC,
 której nie można uruchomić z powodu następującego błędu:   %%2
 
Error - 2011-01-22 10:05:15 | Computer Name = LIPOWICZ-30C97F | Source = Service Control Manager | ID = 7000
Description = Nie można uruchomić usługi AFD z powodu następującego błędu:   %%2
 
Error - 2011-01-22 10:05:15 | Computer Name = LIPOWICZ-30C97F | Source = Service Control Manager | ID = 7001
Description = Usługa Rozpoznawanie lokalizacji w sieci (NLA) zależy od usługi AFD,
 której nie można uruchomić z powodu następującego błędu:   %%2

W pierwszej kolejności podaj dokładną formułę błędu tyczącego IPSEC i AFD z Dziennika zdarzeń. Potem zajmę się Beep oraz drobnym sprzątaniem szczątków "not found" widzialnych w OTL.

Start > Uruchom > eventvwr.msc i z prawokliku na gałąź SYSTEM zapisz ją do nowego pliku EVT, plik zzipuj i rzuć na jakiś hosting do wglądu.



.

[tucoramirez]

oto dziennik zdarzeń

http://rapidshare.co...02/dziennik.zip

[picasso]

Sterowniki Avast nie startują, ponieważ są w zależności od sterownika TCP/IP (który nie uruchamia się). Błędy w Dzienniku są tak skomasowane, że się zastanawiam czy tu nie ma poważnego uszkodzenia stacku TCP/IP. Większość błędów zgłasza "cannot find file specified". OTL nie widzi naruszeń w sterowniku IPSEC, a to nie wróży dobrze, to znaczy problem może być bardziej złożony niż "brak pliku". Podaj dodatkowe dane, może coś się jeszcze nasunie:


1. Dostarcz pełną "surową" kopię rejestru gałęzi sprzętowej. To mi się będzie szybciej i bardziej kompleksowo przeglądało niż jakieś framentaryczne eksporty REG robione na ślepo. Za pomocą ERUNT stwórz kopię rejestru, z tej kopii wyekstraktuj plik o nazwie SYSTEM, zapakuj do ZIP i na hosting.

2. W OTL ustaw wszystkie opcje na Brak / Żadne, zaś w oknie Własne opcje skanowania / skrypt wklej:

/md5start
afd.sys
beep.sys
ipsec.sys
mrxdav.sys
mrxsmb.sys
ndisuio.sys
netbt.sys
srv.sys
tcpip.sys
/md5stop

Klik w Skanuj, pokaż wynikowy raport.


.

[tucoramirez]

Problem z TCP/IP był własnie na drugim komputerze, po kilku próbach naprawy z zewnetrzna pomocą skończylo się reinstalacją.

log z otl poniżej, plik system się mozolnie uplouduje

OTL logfile created on: 2011-01-22 17:32:48 - Run 3
OTL by OldTimer - Version 3.2.10.0 Folder = C:\Documents and Settings\Lipowicz Łukasz\Pulpit
Windows XP Home Edition Dodatek Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 6.0.2900.5512)
Locale: 00000415 | Country: Polska | Language: PLK | Date Format: yyyy-MM-dd

2,00 Gb Total Physical Memory | 2,00 Gb Available Physical Memory | 80,00% Memory free
4,00 Gb Paging File | 4,00 Gb Available in Paging File | 95,00% Paging File free
Paging file location(s): C:\pagefile.sys 2046 4092 [binary data]

%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Program Files
Drive C: | 97,65 Gb Total Space | 53,34 Gb Free Space | 54,62% Space Free | Partition Type: NTFS
D: Drive not present or media not loaded
Drive E: | 185,55 Gb Total Space | 113,17 Gb Free Space | 60,99% Space Free | Partition Type: NTFS
Drive F: | 182,55 Gb Total Space | 182,08 Gb Free Space | 99,74% Space Free | Partition Type: NTFS
Drive G: | 965,72 Mb Total Space | 491,91 Mb Free Space | 50,94% Space Free | Partition Type: FAT
H: Drive not present or media not loaded
I: Drive not present or media not loaded

Computer Name: LIPOWICZ-30C97F
Current User Name: Lipowicz Łukasz
Logged in as Administrator.

Current Boot Mode: Normal
Scan Mode: Current user
Company Name Whitelist: Off
Skip Microsoft Files: Off
File Age = 30 Days
Output = Standard

========== Custom Scans ==========



< MD5 for: AFD.SYS >
[2008-04-15 13:00:00 | 000,138,112 | ---- | M] (Microsoft Corporation) MD5=322D0E36693D6E24A2398BEE62A268CD -- C:\WINDOWS\$NtUninstallKB951748$\afd.sys
[2008-08-14 11:34:26 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=4D43E74F2A1239D53929B82600F1971C -- C:\WINDOWS\$hf_mig$\KB956803\SP3QFE\afd.sys
[2008-08-14 11:34:26 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=4D43E74F2A1239D53929B82600F1971C -- C:\WINDOWS\SoftwareDistribution\Download\a61906ddaafa82eea6fdc6e5c835808d\SP3QFE\afd.sys
[2008-08-14 10:51:43 | 000,138,368 | ---- | M] (Microsoft Corporation) MD5=55E6E1C51B6D30E54335750955453702 -- C:\WINDOWS\SoftwareDistribution\Download\a61906ddaafa82eea6fdc6e5c835808d\SP2GDR\afd.sys
[2008-08-14 10:48:52 | 000,138,368 | ---- | M] (Microsoft Corporation) MD5=6A0397376853E604DE8E1E7A87FC08AC -- C:\WINDOWS\SoftwareDistribution\Download\a61906ddaafa82eea6fdc6e5c835808d\SP2QFE\afd.sys
[2008-08-14 11:04:36 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=7E775010EF291DA96AD17CA4B17137D7 -- C:\WINDOWS\SoftwareDistribution\Download\a61906ddaafa82eea6fdc6e5c835808d\SP3GDR\afd.sys
[2008-08-14 11:04:36 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=7E775010EF291DA96AD17CA4B17137D7 -- C:\WINDOWS\system32\dllcache\afd.sys
[2008-08-14 11:04:36 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=7E775010EF291DA96AD17CA4B17137D7 -- C:\WINDOWS\system32\drivers\afd.sys
[2008-06-20 12:48:03 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=D6EE6014241D034E63C49A50CB2B442A -- C:\WINDOWS\$hf_mig$\KB951748\SP3QFE\afd.sys
[2008-06-20 12:48:03 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=D6EE6014241D034E63C49A50CB2B442A -- C:\WINDOWS\SoftwareDistribution\Download\5cb56d26ae277f6fc62b86faa15488d1\sp3qfe\afd.sys
[2008-06-20 12:40:08 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=E3049B90FE06F3F740B7CFDA44995E2C -- C:\WINDOWS\$NtUninstallKB956803$\afd.sys
[2008-06-20 12:40:08 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=E3049B90FE06F3F740B7CFDA44995E2C -- C:\WINDOWS\SoftwareDistribution\Download\5cb56d26ae277f6fc62b86faa15488d1\sp3gdr\afd.sys

< MD5 for: BEEP.SYS >
[2008-04-15 13:00:00 | 000,004,224 | ---- | M] (Microsoft Corporation) MD5=DA1F27D85E0D1525F6621372E7B685E9 -- C:\WINDOWS\ERDNT\cache\beep.sys
[2008-04-15 13:00:00 | 000,004,224 | ---- | M] (Microsoft Corporation) MD5=DA1F27D85E0D1525F6621372E7B685E9 -- C:\WINDOWS\system32\dllcache\beep.sys
[2008-04-15 13:00:00 | 000,004,224 | ---- | M] (Microsoft Corporation) MD5=DA1F27D85E0D1525F6621372E7B685E9 -- C:\WINDOWS\system32\drivers\beep.sys

< MD5 for: IPSEC.SYS >
[2008-04-15 13:00:00 | 000,075,264 | ---- | M] (Microsoft Corporation) MD5=23C74D75E36E7158768DD63D92789A91 -- C:\WINDOWS\system32\dllcache\ipsec.sys
[2008-04-15 13:00:00 | 000,075,264 | ---- | M] (Microsoft Corporation) MD5=23C74D75E36E7158768DD63D92789A91 -- C:\WINDOWS\system32\drivers\ipsec.sys

< MD5 for: MRXDAV.SYS >
[2008-04-15 13:00:00 | 000,180,608 | ---- | M] (Microsoft Corporation) MD5=11D42BB6206F33FBB3BA0288D3EF81BD -- C:\WINDOWS\system32\dllcache\mrxdav.sys
[2008-04-15 13:00:00 | 000,180,608 | ---- | M] (Microsoft Corporation) MD5=11D42BB6206F33FBB3BA0288D3EF81BD -- C:\WINDOWS\system32\drivers\mrxdav.sys

< MD5 for: MRXSMB.SYS >
[2008-04-15 13:00:00 | 020,110,420 | ---- | M] () .cab file -- C:\WINDOWS\Driver Cache\i386\sp3.cab:mrxsmb.sys
[2010-02-24 13:48:23 | 000,457,216 | ---- | M] (Microsoft Corporation) MD5=3500E756812E716351F2D341AE1D5623 -- C:\WINDOWS\SoftwareDistribution\Download\329c39f108999b6c8a55c988810f4af3\SP2QFE\mrxsmb.sys
[2008-04-15 13:00:00 | 000,456,576 | ---- | M] (Microsoft Corporation) MD5=68755F0FF16070178B54674FE5B847B0 -- C:\WINDOWS\$NtUninstallKB980232$\mrxsmb.sys
[2010-02-24 12:57:57 | 000,457,216 | ---- | M] (Microsoft Corporation) MD5=D09B9F0B9960DD41E73127B7814C115F -- C:\WINDOWS\$hf_mig$\KB980232\SP3QFE\mrxsmb.sys
[2010-02-24 12:57:57 | 000,457,216 | ---- | M] (Microsoft Corporation) MD5=D09B9F0B9960DD41E73127B7814C115F -- C:\WINDOWS\SoftwareDistribution\Download\329c39f108999b6c8a55c988810f4af3\SP3QFE\mrxsmb.sys
[2010-02-24 14:11:07 | 000,455,680 | ---- | M] (Microsoft Corporation) MD5=F3AEFB11ABC521122B67095044169E98 -- C:\WINDOWS\Driver Cache\i386\mrxsmb.sys
[2010-02-24 14:11:07 | 000,455,680 | ---- | M] (Microsoft Corporation) MD5=F3AEFB11ABC521122B67095044169E98 -- C:\WINDOWS\SoftwareDistribution\Download\329c39f108999b6c8a55c988810f4af3\SP3GDR\mrxsmb.sys
[2010-02-24 14:11:07 | 000,455,680 | ---- | M] (Microsoft Corporation) MD5=F3AEFB11ABC521122B67095044169E98 -- C:\WINDOWS\system32\dllcache\mrxsmb.sys
[2010-02-24 14:11:07 | 000,455,680 | ---- | M] (Microsoft Corporation) MD5=F3AEFB11ABC521122B67095044169E98 -- C:\WINDOWS\system32\drivers\mrxsmb.sys
[2010-02-24 13:31:30 | 000,454,016 | ---- | M] (Microsoft Corporation) MD5=FB6C89BB3CE282B08BDB1E3C179E1C39 -- C:\WINDOWS\SoftwareDistribution\Download\329c39f108999b6c8a55c988810f4af3\SP2GDR\mrxsmb.sys

< MD5 for: NDISUIO.SYS >
[2008-04-15 13:00:00 | 020,110,420 | ---- | M] () .cab file -- C:\WINDOWS\Driver Cache\i386\sp3.cab:ndisuio.sys
[2008-04-15 13:00:00 | 000,014,592 | ---- | M] (Microsoft Corporation) MD5=F927A4434C5028758A842943EF1A3849 -- C:\WINDOWS\system32\drivers\ndisuio.sys

< MD5 for: SRV.SYS >
[2010-06-21 15:18:51 | 000,354,304 | ---- | M] (Microsoft Corporation) MD5=422E4508508015C7D12F40BF9763F158 -- C:\WINDOWS\$hf_mig$\KB982214\SP3QFE\srv.sys
[2010-06-21 15:18:51 | 000,354,304 | ---- | M] (Microsoft Corporation) MD5=422E4508508015C7D12F40BF9763F158 -- C:\WINDOWS\SoftwareDistribution\Download\5ec48518942b918230e8d8bd45343ec9\SP3QFE\srv.sys
[2008-04-15 13:00:00 | 000,334,848 | ---- | M] (Microsoft Corporation) MD5=5252605079810904E31C332E241CD59B -- C:\WINDOWS\$NtUninstallKB982214$\srv.sys
[2010-06-21 16:27:11 | 000,354,304 | ---- | M] (Microsoft Corporation) MD5=DA852E3E0BF1CEA75D756F9866241E57 -- C:\WINDOWS\SoftwareDistribution\Download\5ec48518942b918230e8d8bd45343ec9\SP3GDR\srv.sys
[2010-06-21 16:27:11 | 000,354,304 | ---- | M] (Microsoft Corporation) MD5=DA852E3E0BF1CEA75D756F9866241E57 -- C:\WINDOWS\system32\dllcache\srv.sys
[2010-06-21 16:27:11 | 000,354,304 | ---- | M] (Microsoft Corporation) MD5=DA852E3E0BF1CEA75D756F9866241E57 -- C:\WINDOWS\system32\drivers\srv.sys

< MD5 for: TCPIP.SYS >
[2008-04-15 13:00:00 | 000,361,344 | ---- | M] (Microsoft Corporation) MD5=93EA8D04EC73A85DB02EB8805988F733 -- C:\WINDOWS\$NtUninstallKB951748$\tcpip.sys
[2008-04-15 13:00:00 | 000,361,344 | ---- | M] (Microsoft Corporation) MD5=93EA8D04EC73A85DB02EB8805988F733 -- C:\WINDOWS\ERDNT\cache\tcpip.sys
[2008-06-20 12:51:12 | 000,361,600 | ---- | M] (Microsoft Corporation) MD5=9AEFA14BD6B182D61E3119FA5F436D3D -- C:\WINDOWS\SoftwareDistribution\Download\5cb56d26ae277f6fc62b86faa15488d1\sp3gdr\tcpip.sys
[2008-06-20 12:51:12 | 000,361,600 | ---- | M] (Microsoft Corporation) MD5=9AEFA14BD6B182D61E3119FA5F436D3D -- C:\WINDOWS\system32\dllcache\tcpip.sys
[2008-06-20 12:51:12 | 000,361,600 | ---- | M] (Microsoft Corporation) MD5=9AEFA14BD6B182D61E3119FA5F436D3D -- C:\WINDOWS\system32\drivers\tcpip.sys
[2008-06-20 12:59:02 | 000,361,600 | ---- | M] (Microsoft Corporation) MD5=AD978A1B783B5719720CFF204B666C8E -- C:\WINDOWS\$hf_mig$\KB951748\SP3QFE\tcpip.sys
[2008-06-20 12:59:02 | 000,361,600 | ---- | M] (Microsoft Corporation) MD5=AD978A1B783B5719720CFF204B666C8E -- C:\WINDOWS\SoftwareDistribution\Download\5cb56d26ae277f6fc62b86faa15488d1\sp3qfe\tcpip.sys
< End of report >

gałąź rejestru o którą prosiłaś
http://rapidshare.co...3494/system.zip

Użytkownik picasso edytował ten post 22-01-2011 - 17:59
Analiza pliku SYSTEM zajmie trochę czasu. //picasso

[picasso]

Błędy braku plików, pliki są na dysku (i zdają się być poprawne). Nie jest dla mnie wiadome gdzie jest uszkodzenie, które powoduje adnotacje o braku. Spróbuj tych kroków, stopniując operacje:

1. Wstępnie pozbądź się całego Avasta posiłkując się Avast Uninstall Utility.

2. W dalszej kolejności prosty reset stacku TCP/IP i Winsock za pomocą narzędzi Microsoftu Fixit: KB299357 + KB811259. Jeśli nie pomoże:

3. Wymuszona brutalna reinstalacja stosu na bazie nieudokumentowanej edycji. Instrukcje w spoilerze.

Spoiler

1. Wykonaj edycję pliku instalacyjnego odblokowującą deinstalację TCP/IP.

Start > Uruchom > C:\Windows\inf\nettcpip.inf

W zakreślonej niżej części zamień 0xA0 na 0×80 i zapisz zmiany w pliku.

[MS_TCPIP.PrimaryInstall]
; TCPIP has properties to display
Characteristics = 0xA0 ; NCF_HAS_UI | NCF_NOT_USER_REMOVABLE
AddReg = Registry.MS_TCPIP.PrimaryInstall, Registry.MS_TCPIP, Registry.MS_TCPIP.Legacy
RegisterDlls = MS_TCPIP.Register

2. Uświadom system o modyfikowanym pliku. Panel sterowania > Połączenia sieciowe > pobierz Właściwości danego połączenia sieciowego. Wybierz opcję Instaluj a na liście wybierz Protokół i klik w Dodaj. W nowym oknie wybierz opcję Z dysku i wskaż katalog C:\Windows\inf i OK. Wybierz na liście Protokół TCP/IP. Zatwierdzenie tego cofnie do ogólnych Właściwości połączenia, podświetl na liście TCP/IP i kliknij w uwidoczniony operacjami przycisk Odinstaluj. Zresetuj komputer. Po tej akcji cały stos TCP/IP jest "uszkodzony".



3. Odwróć modyfikację pliku nettcpip.inf przywracając domyślny atrybut 0xA0. I przejdź z powrotem do Właściwości połączenia, tym razem w celu zainstalowania Protokołu TCP/IP: Instaluj > Protokół > Dodaj > TCP/IP. Zatwierdź restartem

Jeśli nie pomoże:

4. Nakładkowa Reperacja Windows z CD XP SP3.


.

[tucoramirez]

Dzięki za dotychczasową pomoc. Jak do tej pory kroki 1 i 2 nie przyniosły rezultatu.
Zabierając się do punktu 3 zauważyłem że w oknie połączenia sieciowe nic nie ma. Na własną rękę sprawdziłem czy usługa o tej nazwie jest uruchomiona (jest) i wykonałem sekwencje"
" regsvr32 netshell.dll
regsvr32 netcfgx.dll
regsvr32 netman.dll " , okienka informowały o prawidlowym uruchomieniu ale połączenia sieciowe nadal są puste.

czy dobrze rozumiem że bez tego grzebanie w nettcpip jest bezcelowe?
coś czuję że reinstalacja zbliza sie wielkimi krokami...

pozdrawiam i prosze o dalsze wskazówki

[picasso]

Cytat

Zabierając się do punktu 3 zauważyłem że w oknie połączenia sieciowe nic nie ma

Cóż, praktycznie większość usług sieciowych padła, bo jest dla nich nadrzędna zależność IPSEC, który to nie może być odnaleziony.... Widzę tu poważne przeszkody dla dalszego wykonania kroków. Spróbuj jeszcze:

1. Wyzerować konfigurację:

Start > Uruchom > regedit i w kluczu:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Network

Skasuj wartość Config. Zresetuj po tym komputer.

2. Więcej w bazie MS: KB825826.



.

[tucoramirez]

Piszę ze sporym poślizgiem celem zamknięcia tematu. Ostatecznie zdecydowałem się na reinstalacje z formatem partycji. Wszystko chodzi jak złoto z kartą wifi i avastem włącznie. Bardzo dziękuje za dotychczasową pomoc. Pozdrawiam.

Użytkownik picasso edytował ten post 04-02-2011 - 15:34
W związku z tym temat zamykam. //picasso