Pieskovisko

Tipy a Triky

Upozornenie.

Nesprávnou úpravou databázy Registry sa môže vážne poškodiť operačný systém a môže sa požadovať jeho opätovná inštalácia.

Preto pred experimentovaním, vytvorte si nový bod obnovy, alebo zálohujte register.

Funkcia Obnovovanie systému slúži na obnovenie predchádzajúceho stavu systémových súborov počítača.

Tieto body obnovenia obsahujú informácie o nastavení databázy Registry a ďalšie systémové informácie

Predstavuje spôsob, ako vrátiť zmeny v systéme počítača bez ovplyvnenia osobných súborov, ako sú napríklad e-mailové správy, dokumenty alebo fotografie.

Nedokáže obnoviť odstránené alebo poškodené osobné súbory.

Vytvorenie bodu obnovenia win7

1. Stlačiť Kláves s logom Windows + R.

2. Do prázdneho poľa kopírujte  príkaz.

%Systemroot%/system32/rstrui.exe

3. Kliknite na tlačidlo OK.

4:Označte, vytvoriť bod obnovenia.

5:Zadajte popis napr. môj bod obnovenia

Vytvorenie bodu obnovenia win xp

1. Stlačiť Kláves s logom Windows + R.

2. Do prázdneho poľa skopírujte  príkaz.

C:\WINDOWS\system32\restore\rstrui.exe

3. Kliknite na tlačidlo OK.

4: Označte, vytvoriť bod obnovenia.

5: Zadajte popis napr. môj bod obnovenia

Zálohovaní databázy Registry.

Windows XP

Kliknite na tlačidlo Štart, kliknite na  Spustiť.

Do textového poľa zadajte príkaz regedit a potom stlačte kláves ENTER.

Na navigačnej table (ľavá tabla) v Editore databázy Registry kliknite pravým tlačidlom myši na položku Počítač a potom kliknite na možnosť Exportovať.

Windows Vista alebo Windows 7

Kliknite na tlačidlo štart.

Do textového poľa Prehľadať programy a súbory zadajte príkaz regedit.

Kliknite na položku Regedit.

Na navigačnej table (ľavá tabla) v Editore databázy Registry kliknite pravým tlačidlom myši na položku.

Počítač a potom kliknite na možnosť Exportovať.

Výpis služieb

Často krát infekcia / vírus zastaví dôležité systémové služby, alebo vytvorí vlastné služby.

Preto ak mame podozrenie na infekciu, alebo počítač sa správa neštandardne skontrolujeme stav služieb.

Ako zistime stav služby a krátky názov služby??

1. Stlačiť Kláves s logom Windows + R.

2. Do prázdneho poľa skopírujte  príkaz.

CMD /C sc query state= all > "%userprofile%\plocha\SC.txt"

3. Kliknite na tlačidlo OK.

4: Na ploche sa objaví SC.txt a obsahuje  výpis všetkých služieb.

5: V našom prípade nás zaujíma, napríklad, služba  Automatickej aktualizácie.

6: Vo výpise SC.txt, vyhľadáme DISPLAY_NAME: Automatické aktualizácie

SERVICE_NAME: wuauserv
DISPLAY_NAME: Automatické aktualizace
TYPE : 20 WIN32_SHARE_PROCESS
STATE : 1 STOPPED (NOT_STOPPABLE,NOT_PAUSABLE,IGNORES_SHUTDOWN) WIN32_EXIT_CODE : 1077 (0x435)
SERVICE_EXIT_CODE : 0 (0x0) CHECKPOINT : 0x0 WAIT_HINT : 0x0

Pri zadávaní na príkazovom riadku musia byť viacslovné názvy služieb uzavreté

do dvojitých horných úvodzoviek a zadávame krátky názov služieb.

Krátky názov služieb je pod:

SERVICE_NAME  takže v našom prípade krátky názov služby je:

WUAUSERV

Stav služby(STATE 1  STOPPED) zastavené.

Ako spustiť alebo zastaviť určitú službu.

Syntax príkazu je:

NET START "krátky názov služby"

NET STOP "krátky názov služby"

Príkaz

NET START možno použiť na spúšťanie služieb,

V našom príklade:

NET START "WUAUSERV"

Príkaz spusti službu  Automatické aktualizácie

Príkaz

NET STOP možno použiť na zastavenie služieb.

V našom príklade:

NET STOP "WUAUSERV"

Príkaz zastaví službu automatickej aktualizácie.

Ak vo výpise SC.txt, zistíme že vírus vytvoril vlastnú službu.

Napríklad službu:STELL, tak túto službu môžeme zmazať.

Postupujeme nasledovne.

Najprv  musíme zastaviť službu Stell, použijeme príkazy:

NET STOP "STELL"

Zastavíme službu "STELL"

SC DELETE "STELL"

Zmažeme službu STELL

Vírus vytvorí hodnoty v registru, čím si zabezpečí automatické spustenie pri štarte systému a blokuje spustenie čistiacich programov.

Preto tieto hodnoty treba odstrániť z registra .

Výpis  automatické spustenie:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\

1. Stlačiť Kláves s logom Windows + R.

2. Do prázdneho poľa skopírujte  príkaz.

cmd /c REGEDIT /E "%userprofile%\plocha\RUN.txt"  HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\

3. Kliknite na tlačidlo OK.

4:Na ploche sa objavy potrebný výpis RUN.txt, z kluca HKEY_CURRENT_USER.

1. Stlačiť Kláves s logom Windows + R.

2. Do prázdneho poľa skopírujte  príkaz.

cmd /c REGEDIT /E "%userprofile%\plocha\RUN1.txt" HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\

3. Kliknite na tlačidlo OK.

4:Na ploche sa objavy potrebný výpis RUN1.txt

Vypis RUN1.txt,z kluca HKEY_LOCAL_MACHINE,môže vyzerať napríklad takto.

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\]
"avgnt"="\"C:\\Program Files\\Avira\\AntiVir Desktop\\avgnt.exe\" /min"
"00PCTFW"="\"C:\\Program Files\\PC Tools Firewall Plus\\FirewallGUI.exe\" -s"
"wxpdrv"=C:\Windows\services32.exe

Ako vidíme vírus vytvoril registry hodnotu "wxpdrv", ktorý pri štarte automaticky spúšťa súbor services32.exe.

Aby sme odstránili tuto hodnotu z registra, postupujeme takto.

1. Stlačiť Kláves s logom Windows + R.

2. Do prázdneho poľa skopírujte  príkaz.

cmd /c reg delete   "HKLM\Software\Microsoft\Windows\CurrentVersion\Run"  /v wxpdrv  /f>>"%userprofile%\plocha\wxpdrv.txt"

3. Kliknite na tlačidlo OK.

4: Na ploche sa objaví potrebný výpis wxpdrv.txt, mali by ste vidieť toto:

5: Operácia bola dokončená úspešne

Ak dostanete chybovú hlášku, že hodnota nemohla byt odstranena,nakoľko používa iný proces

1. Stlačiť Kláves s logom Windows + R.

2. Do prázdneho poľa skopírujte  príkaz.

cmd.exe /c taskkill /im services32.exe /f

3. Kliknite na tlačidlo OK.

4:Zopakujeme príkaz.

cmd /c reg delete   "HKLM\Software\Microsoft\Windows\CurrentVersion\Run"  /v wxpdrv  /f>>"%userprofile%\plocha\wxpdrv.txt"

Môžete experimentovať.

Pridáme do registra novú hodnotu wxpdrv do kluca automatické spustenie

Za zálohujte register, alebo vytvorte nový bod obnovy.

Pridajte do registra hodnotu, príkazom.

1. Stlačiť Kláves s logom Windows + R.

2. Do prázdneho poľa skopírujte  príkaz.

cmd /c reg add   "HKLM\Software\Microsoft\Windows\CurrentVersion\Run"  /v wxpdrv >>"%userprofile%\plocha\skuska.txt"

3. Kliknite na tlačidlo OK.

4: Na ploche sa objavy potrebný výpis skúška.txt, mali by ste vidieť toto:

5: Operácia bola dokončená úspešne

.

Odstránime z registra novú hodnotu wxpdrv.

1. Stlačiť Kláves s logom Windows + R.

2. Do prázdneho poľa skopírujte  príkaz.

cmd /c reg delete   "HKLM\Software\Microsoft\Windows\CurrentVersion\Run"  /v wxpdrv  /f>>"%userprofile%\plocha\wxpdrv.txt"

3. Kliknite na tlačidlo OK.

4: Na ploche sa objavy potrebný výpis wxpdrv.txt, mali by ste vidieť toto:

5: Operácia bola dokončená úspešne

Zakázať Nastavenie proxy servera a Reset TCP/IP.

1. Stlačiť Kláves s logom Windows + R.
2. Do prázdneho poľa kopírujte  postupne príkazy.
3. Kliknite na tlačidlo OK.
4: Na ploche sa objaví potrebný  výpis.

cmd /c reg delete "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyServer /f>>"%userprofile%\plocha\ ProxyServer.txt"

cmd /c reg delete "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyOverride /f>>"%userprofile%\plocha\ProxyOverride.txt"

cmd /c reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable /t REG_DWORD /d 0 /f >>"%userprofile%\plocha\ProxyEnable.txt"

cmd /c reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v GlobalUserOffline /t REG_DWORD /d 0 /f >>"%userprofile%\plocha\GlobalUser.txt"

cmd /c netsh winsock reset>>"%userprofile%\plocha\winsock reset.txt"

Poznámka:

Všetky  príkazy zadávajte pod účtom administrátora,správcu.

Generic Host Process

Win32 Services došlo k problému a je potrebné ju zavrieť.

Tento problém sa vyskytuje len v operačnom systéme Microsoft Windows XP, ktorý nastane po reštarte počítača, zobrazením správy.

K tejto chybe môže dôjsť z viacerých dôvodov, vírus, nekompatibilný softvér,  zastaralé ovládače. Nech už je príčina akákoľvek,je to chyba, a tu sú  kroky, ktorými môžete vyriešiť túto chybu.  

Riešenie:
1:Ak máte Windows XP SP2 alebo len  SP1 ihneď nainštalovať aktualizáciu Service Pack 3.

2:Ak nemáme, tak nainštalujeme  Win XP update "WindowsXP-KB894391"

3:Ak nemáme, tak nainštalujeme Firewall

4:Otvorte Notepad (Poznámkový blok) a skopíruj do neho text.

@ECHO off
ECHO Generic Host Process for Win32 Services OPRAVA (www.viruskasino.com )
REM script created by: www.virusstell.blogspot.com
reg add "HKLM\SYSTEM\CurrentControlSet\Services\netbt\parameters" /v "TransportBindName" /t REG_SZ /d "" /f
reg add "HKLM\Software\Microsoft\OLE" /v "EnableDCOM" /t REG_SZ /d "N" /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\Browser\Parameters" /v "IsDomainMaster" /t REG_SZ /d FALSE /f
Netsh Winsock Reset
pause

Potom klikneme na záložku Súbor v menu Uložiť ako.
Ako je Názov súboru tak do toho riadku napíšeme:oprava.bat
Typ súboru tak tam vyberiete všetky súbory A uložíme ho na plochu. 2 x klikneme naň, povolíme zápis do registra, reštartujeme počítač.

Stiahneme a spustíme Malwarebytes (úplnú kontrolu),všetky nájdene infekcie odstránime.

Vypneme obnovu systému,  XP reštart do Windows.

Vyčistíte temp použijeme  TFC CCleaner.

MBR Whistler Rootkit

Whistler Rootkit

Jedna sa o veľmi nebezpečnú infekciu MBR.(Master Boot Record)
Pri štarte počítača Whistler Rootkit, TDL-4 sa aktivuje skôr, než samotný operačný systém.
Týmto spôsobom sa vírus  ľahko skryje pred operačným systémom, alebo pozmení jeho základné funkcie.
TDL-4 úspešne infikuje Master Boot Record (MBR)32 aj 64 bitové systémy.





Preberie kontrolu nad celým operačným systémom,a vy zostanete len obyčajným asistentom.
V Súčasnej dobe  ani Antivírové programy plne vybavené Antistealth technológiou, tuto infekciu nedokážu odstrániť.
Síce sa tvária aj hlásia ze našli tuto infekciu,a odstránili, ale v skutocnosti je iná..
Veľmi dôkladne stráži svoje knižnice a seba,všetky pokusy o čítanie obsahu infikovaných súborov reálnom čase,ustráži.
Jednoducho Rootkit podhodí ne-infikovaný súbor,originál


Riešením je použitie softvéru,ktorý je špeciálne určený pre danú problematiku.
Zapisuje vlastný programovým kód do MBR (Master Boot Record) pevného disku.
Hlavný rootkit kód je uložený na poslednom sektore disku.
Vytvára jednoduchú particiu  uloženú v poslednom sektore pevného disku, a tu ukladá svoje súbory,a informácie.

Detekcia:

a:)Tdsskiller nenašiel tuto infekciu.
b:)Gmer našiel, a detektoval  ako,mbr TDL4 rootkitr.
c:)awsmbr detektoval  ako,Whistler ROOTKIT

Možne Symptómy:

1:Pri štarte OS,počujete divne zvuky,hudbu.
2:Vypínanie počítača.
3:Zhoršenie výkonu systému.
4:Presmerovávame stránok.
5:TDL4 na 64b win7,Môže pôsobiť BSOD[Modru smrť.]

Odstránenie:

1:Zálohujte dáta a register.
2:Stiahnete Defogger Uložte na plochu a spustíte.
Kliknite na Disable a Kliknutím na tlačidlo  Yes pokračujte.
Finished Objaví sa správa
kliknite na tlačidlo OK
Môžete byť požiadaní o reštart,( reboot) ak áno,  kliknite na tlačidlo Ok

MBR EXE

3:Aplikujeme program mbr exe. 
Návod.

Poznámka:

Ak mate Operačný systém v inom jazyku,tak miesto plocha napíšeme.
V Anglickom jazyku.
"%userprofile%\desktop\mbr.exe" -t -s -l "%userprofile%\desktop\GMER.txt"

aswMBR

4:Stiahnuť na plochu a spustiť aswMBR.exe
Kliknite na tlačidlo [Scan]
Podrobný Návod

Po dokončení testu
Kliknite na tlačidlo [FIX] pre TDL4  Rootkit
Alebo [FIXMBR] pre   Whistler  ROOTKIT


5:Aplikujeme aj program od Kaspersky lab TDSSKILLER
6:Aplikujeme program Malwarebytes.
8:Vyčistiť java cache.
kliknite na Štart Ovládací panely ,otvorte javu,Java vyzerá ako šálka kávy
Na karte General v časti, Temporary Internet Files, kliknite na tlačidlo Settings.
Potom kliknite na tlačidlo Delete Files
Kliknite na tlačidlo OK v okne Odstránenie dočasných súborov

Poznámka:

To odstráni všetky stiahnutej aplikácie a applety z medzi pamäte.
(Applications and Applets)
(Trace and Log Files)
Kliknutím na tlačidlo OK zatvoríme
Kliknutím na tlačidlo OK zatvoríme Java Control Panel.

9::Vypneme obnovu systému, win7  XP
10:Použijeme program AVPTOOL.
11:Vyčistíte pc ,temp TFC CCleaner.
12:Zmeníme všetky hesla ktoré používame,E-mail,Windows,internet.
Veľa šťastia!!!!!