Crashowanie PC - BSOD c000021a

[DigiBen]

Witam. Trafił w moje łapki komputer, z którym niestety nie mogę sobie poradzić, a format jest niewskazany na chwilę obecną. Ktoś majstrował przy nim. Ja osobiście skanowałem PC programami ADW Cleaner, a także cięższym działem Kaspersky Rescue Disk. Podejrzewam rootkita zeroacces, gdyż nie mogę modyfikować msconfiga, chociaż jestem zalogowany na koncie z uprawnieniami administratora. System to XP pro sp2. Problem pojawia się, przynajmniej ja to zaobserwowałem, w momencie uruchomienia wersji "portable" ccleanera, gdyż instalowanie aktualnej wersji okazało się niemożliwe nie wiedzieć dlaczego.

PS. scanobject to log z kasperskiego.

ScanObject.txt

Shortcut.txt

Addition.txt

FRST.txt

gmerr.txt

[picasso]

Podejrzewam rootkita zeroacces, gdyż nie mogę modyfikować msconfiga, chociaż jestem zalogowany na koncie z uprawnieniami administratora.

Temat przenoszę do działu Windows. Brak oznak infekcji i opisywane problemy w ogóle nie są powiązane z infekcją. Nawiasem mówiąc, rootkit ZeroAccess już od bardzo dawna nie występuje w przyrodzie, zamknięto botnet ZA. Ogólnie to tu widać zaniedbany przestarzały system:

- Nieoryginalny scrackowany XP (moduł antiwpa.dll + modyfikacja winlogon.exe).

- Kompletny brak aktualizacji. Kombinacja SP2 + IE6!

- Mierne zabezpieczenia zewnętrzne. Przestarzały antywirus ESET z roku 2009, również scrackowany.

- Inwazyjne oprogramowanie emulujące napędy (Alcohol i DAEMON) jadące na przestarzałych sterownikach, które mogą generować różne problemy. Notabene, nie wykonałeś przed skanem GMER tego: KLIK.

 

 

Problem pojawia się, przynajmniej ja to zaobserwowałem, w momencie uruchomienia wersji "portable" ccleanera, gdyż instalowanie aktualnej wersji okazało się niemożliwe nie wiedzieć dlaczego.

Ten problem z instalacją CCleaner był niedawno tu na forum, winą jest nieaktualizowany Windows (brak pakietu SP3 i reszty). I CCleaner tu nie ma nic do rzeczy w kwestii błędu STOP c000021a. Przyczyny STOP c000021a to m.in. złe wersje plików systemowych: KLIK. Z CCleaner to przypadek, po prostu pojawił się zaraz po innej akcji, która jest rzeczywistą przyczyną problemu, tzn. po crackowaniu Windows. Poniższy plik jest pozbawiony sygnatury Microsoftu, plik był modyfikowany, gdy na dysku mataczono z Wpa-Kill Sp3, modyfikacja wykonana minutę po rozpakowaniu ZIP cracka. Notabene crack w ogóle niekompatybilny, gdyż jak nazwa wskazuje przystosowany do SP3, zepsuł plik i tyle.

 

C:\WINDOWS\system32\winlogon.exe

[2006-03-02 13:00] - [2015-12-08 13:55] - 0504832 ____A (Microsoft Corporation) 033DFD0B69AF3FBC60138C0AC5C75042
 

==================== Jeden miesiąc - utworzone pliki i foldery ========
 

2015-12-08 14:09 - 2015-12-08 15:24 - 00000000 ____D C:\Documents and Settings\Użytkownik\Pulpit\ccsetup512

2015-12-08 13:54 - 2015-12-08 13:54 - 00000000 ___DC C:\Documents and Settings\Administrator\Pulpit\Wpa-Kill Sp3(Attivazione Xp Service Pack 3)(1)

2015-12-08 12:28 - 2015-12-08 12:28 - 00037628 ____C C:\Documents and Settings\Administrator\Pulpit\Wpa-Kill Sp3(Attivazione Xp Service Pack 3)(1).rar
 

==================== Jeden miesiąc - zmodyfikowane pliki i foldery ========
 

2015-12-08 13:55 - 2006-03-02 13:00 - 00504832 _____ (Microsoft Corporation) C:\WINDOWS\system32\winlogon.exe

 

 

Operacje do wdrożenia:

 

1. Skopiować cenne dane na dysk zewnętrzny, na wypadek gdyby nie można już było wejść do Windows. Następnie odwrócić operację crackowania XP. To może zakończyć temat już w tym miejscu, tzn. nieaktywowany nielegalny XP nie pozwoli się już zalogować i więcej działań na nim nie będzie. Jak to obejść jest poza skalą forum. Nie wspieramy tu żadnych pirackich akcji. Jeśli etap z odkręcaniem się powiedzie, to dalsze czynności możliwe:

 

2. Deinstalacje:

- Przez Dodaj/Usuń programy odinstaluj stare wersje: Adobe Flash Player 16 ActiveX, Adobe Flash Player 19 NPAPI, Adobe Shockwave Player 12.0, DAEMON Tools Lite, ESET NOD32 Antivirus, Google Toolbar for Internet Explorer, Java™ 6 Update 25, PC Tools Registry Mechanic 11.0.

- Z poziomu Menu Start odinstaluj Alcohol 120%.

- Po poprawnej deinstalacji Alcohola i DAEMONA odinstaluj sterownik SPTD narzędziem SPTDInst.

- Wejdź w Tryb awaryjny i popraw narzędziem ESET Uninstaller.

 

3. Po w/w akcjach drobne doczyszczanie w spoilerze:

 

 

 

Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
CreateRestorePoint:
S4 AresChatServer; C:\Program Files\Ares\chatServer.exe [X]
S1 avgtp; \??\C:\WINDOWS\system32\drivers\avgtpx86.sys [X]
S3 catchme; \??\C:\ComboFix\catchme.sys [X]
S4 IntelIde; Brak ImagePath
S2 NOD32FiXTemDono; C:\WINDOWS\system32\regedt32.exe /s C:\WINDOWS\nod32fixtemdono.reg
S3 SymIM; system32\DRIVERS\SymIM.sys [X]
S3 SymIMMP; system32\DRIVERS\SymIM.sys [X]
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ograniczenia 
HKU\S-1-5-21-1275210071-1957994488-725345543-1003\SOFTWARE\Policies\Microsoft\Internet Explorer: Ograniczenia 
DPF: {31435657-9980-0010-8000-00AA00389B71} hxxp://download.microsoft.com/download/e/2/f/e2fcec4b-6c8b-48b7-adab-ab9c403a978f/wvc1dmo.cab
DPF: {7530BFB8-7293-4D34-9923-61A11451AFC5} hxxp://download.eset.com/special/eos-beta/OnlineScanner.cab
DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_25-windows-i586.cab
DPF: {CAFEEFAC-0016-0000-0025-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_25-windows-i586.cab
DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_25-windows-i586.cab
Handler: skype-ie-addon-data - {91774881-D725-4E58-B298-07617B9B86A8} - Brak pliku
FF Plugin: @bittorrent.com/BitTorrentDNA -> C:\Program Files\DNA\plugins\npbtdna.dll [2009-11-13] (BitTorrent, Inc.)
FF Plugin: @microsoft.com/WPF,version=3.5 -> C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\NPWPF.dll [2008-07-29] (Microsoft Corporation)
FF HKLM\...\Firefox\Extensions: [jqs@sun.com] - C:\Program Files\Java\jre6\lib\deploy\jqs\ff
FF HKLM\...\Firefox\Extensions: [{20a82645-c095-46ed-80e3-08825760534b}] - C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension
FF HKLM\...\Thunderbird\Extensions: [eplgTb@eset.com] - C:\Program Files\ESET\ESET NOD32 Antivirus\Mozilla Thunderbird
CHR HKLM\...\Chrome\Extension: [lifbcibllhkdhoafpjfnlhfpfgnpldfl] - C:\Program Files\Skype\Toolbars\Skype for Chromium\skype_chrome_extension.crx 
C:\Documents and Settings\All Users\Dane aplikacji\TEMP
C:\Documents and Settings\All Users\Dane aplikacji\Microsoft\Windows\GameExplorer\{35692C2F-849A-4244-9E25-4D31F8BCA397}
C:\Documents and Settings\All Users\Dane aplikacji\Microsoft\Windows\GameExplorer\{A9C8DE50-47EE-4A7E-AC5F-2B469EFED69C}
C:\Documents and Settings\All Users\Dane aplikacji\Microsoft\Windows\GameExplorer\{C04CBB16-F354-479B-BA53-BB59E6F1B123}
C:\Documents and Settings\All Users\Menu Start\Programy\Euro Truck Simulator
C:\Documents and Settings\All Users\Menu Start\Programy\Minecraft
C:\Documents and Settings\All Users\Menu Start\Programy\Samsung
C:\Documents and Settings\Użytkownik\*.*
C:\Documents and Settings\Użytkownik\Dane aplikacji\wiaserva.log
C:\Documents and Settings\Użytkownik\Dane aplikacji\DNA
C:\Documents and Settings\Użytkownik\Dane aplikacji\Microsoft\Internet Explorer\Quick Launch\Skrót*Minecraft*.lnk
C:\Documents and Settings\Użytkownik\Dane aplikacji\Microsoft\Office\Niedawny\*.LNK
C:\Documents and Settings\Użytkownik\Menu Start\Programy\Ares
C:\Documents and Settings\Użytkownik\Menu Start\Programy\City Interactive\Rajd na Berlin - Oddziały specjalne
C:\Documents and Settings\Użytkownik\Pulpit\Alien Terminator Deluxe.lnk
C:\Documents and Settings\Użytkownik\Pulpit\Nitro Racers.lnk
C:\Documents and Settings\Użytkownik\Ustawienia lokalne\Dane aplikacji\{3779FD9A-C280-4450-8A08-B4F99772A38B}
C:\Program Files\DNA
C:\Program Files\Mozilla Firefox\extensions
C:\Program Files\mozilla firefox\plugins
C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension
Reg: reg delete HKLM\SOFTWARE\Clients\StartMenuInternet\chrome.exe /f
Reg: reg delete "HKU\S-1-5-18\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\Main" /f
Reg: reg delete "HKCU\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes" /f
CMD: netsh firewall reset
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, system zostanie zresetowany. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

 

 

 

4. Do wykonania pełna aktualizacja Windows XP od A do Z: KLIK.

 

5. Zrób nowy log FRST z opcji Skanuj (Scan), z Addition i Shortcut. Dołącz też plik fixlog.txt. Wypowiedz się na czym stoimy.

[DigiBen]

Programy odinstalowane, nie zdołałem usunąc toolabara - nie ma go w panelu sterowania, ale nie zawadza, więc go zostawiłem. Czyszczenie wykonane, log w załączniku. Spróbuje odinstalować tego wpa-kill i zainstalować sp3.

Fixlog.txt

[picasso]

DigiBen, zadałam określoną kolejność, nie do robienia "na wyrywki". Najpierw miał być usunięty crack, bo w przypadku niemożności zrobienia tego (rezultat z niemożnością logowania do Windows) reszta akcji traci zasadność.

[DigiBen]

Po wgraniu service packa crack stracił swoją "moc". BSOD też już nie występuje.

Edit: wrzucam logi.

Addition.txt

FRST.txt

Shortcut.txt