Nový rootkit

NOD(ESET) detektuje ako Win32/Olmasco.

Pozor. Tento postup nie je možne použiť na notebooku, kde je šifrovaný zavádzací zväzok pomocou utility safeboot. 

Safeboot používa predovšetkým Hawlet Packard.Môže sa ale nachádzať aj v iných notebookoch, kam výrobca alebo sám používateľ nainštaluje utilitu od McAfee - Endpoint Encryption.
Riešenie nepoznám.

Analýza najnovšej verzie rootkita TDL ukazuje, že jeho súčasti vrátane ovládača v režime jadra i ovládača používateľského režimu boli od základov prepísané. Vyplýva to zo zistení analytikov spoločnosti ESET.

To znamená ak máte notebook / pc  infikovaný Rootkitom TDL.tj.Win32/Sirefef, Win32/Olmarik, atď. je pravdepodobné že máte na disku aj skrytý oddiel, ktorý vytvoril Rootkit a ak tento oddiel neodstránite, tak sa infekcia obnoví.

Rootkit na disku vytvára vlastný skrytý oddiel, particiu, veľkosť oddielu je pár megabajtov a nastaví ju ako aktívnu, kód MBR zostáva nedotknutá. Tak zaistí vykonanie svojho kódu ešte pred štartom operačného systému.

Tento oddiel je vybavený pokročilým súborovým systémom, ktorý kontroluje integritu jednotlivých komponentov.Kým sa neodstráni skrytá aktívna particia, nedoporučujem použiť príkazy, fixmbr, fixboot, bootrec /fixmbr, bootrec /fixboot. Prípadná oprava MBR sectoru bude mať za následok, že počítač sa nepodarí spustiť.

Ak z nevedomosti alebo z akéhokoľvek dôvodu spustíte tieto príkazy, potom môžete vidieť chyby ako chýbajúci operačný systém, neplatná tabuľka oddielov, alebo chyba pri načítaní operačného systému.

Aby ste mali predstavu, že ako to funguje, tak len veľmi stručne.

MBR je prvý sektor na pevnom disku, z ktorého sa spúšťa počítač. Hlavný spúšťací záznam obsahuje tabuľku oddielu a hlavní spúšťači kód.

MBR uchováva záznamy o rozdelení disku (oddieloch) a určuje, z ktorého z nich sa má bootovať.

Ak je MBR v poriadku, konanie sa odovzdá Partition Loaderu. Ten v Partition tabuľke vyhľadá oddiel, ktorý je označený ako aktívny a prejde na prvý sektor tohto oddielu.

Úloha VBR (Volume Boot Record) je závislá na konkrétnom operačnom systéme, najskôr kontroluje sám seba (rovnaký mechanizmus ako u MBR) a potom vyhľadá sektor, na ktorom sa nachádza prvý zo súborov operačného systému, obyčajne sa mu hovorí zavádzač, vo Windows je to súbor NTLDR.

Na infikovanom PC systém bootuje v poradí, MBR je načítaný a vykonaný, infikovaný VBR skrytý oddiel vytvorené Rootkitom je načítaný a vykonaný, boot je načítaný a vykonaný, pôvodná aktívna oblasť VBR je načítaná a vykonaná, Bootmgr je načítaný a vykonaný.Toto umožňuje Rootkitu, získať kontrolu nad operačným systémom.

Podrobne informácie nájdete TU.

Možne Symptómy.

1: Pri štarte OS,počujete divne zvuky,hudbu.

2: Odpojovanie od internetu.

3: Zhoršenie výkonu systému.

4: Presmerovanie stránok.

5: Na 64b win,Môže spôsobiť  BSOD[Modru smrť.]

6: Vypínanie počítača.

Nástroje potrebné pre opravu.

Pokiaľ je možné tieto kroky robte na čistom / neinfikovanom počítači.

1: Stiahnite si a vypálte gparted-live-0.11.0-2.iso (119.4 MB)

2: Pre Win7 32-64 bites,a Vistu stiahnuť a vypáliť Recovery disk

3: Pre XP, pripravte inštalačnú disketu.

4: Malwarebytes.

5: TDSS Killer.

6: WebCureit.

Zistíme, či máme počítač infikovaný s týmto nebezpečným Rootkitom.

1. Spustiť príkazový riadok ako správca:

2. Stlačte klávesy Win+R

3. Zadajte príkaz cmd.

4. Podržte kláves Shift+Ctrl a stlačte Enter.

5. Do čierneho okna skopírujte tento príkaz.

%windir%\system32\wbem\wmic.exe partition get name,bootable,size,type > "%userprofile%\plocha\disk.txt"

Poznámka.

Ak máte windows v anglickom jazyku, miesto plocha, napíšte desktop,"%userprofile%\Desktop\disk.txt"

Alebo vytvorte dávkový súbor bat.

Spustiť Poznámkový blok cez Štart - Programy - Príslušenstvo a skopírujte do neho celý tento text:

@ECHO OFF
ECHO script created by: www.viruskasino.com
%windir%\SYSTEM32\WBEM\wmic.exe diskdrive get name,size,model>>log.txt
%windir%\SYSTEM32\WBEM\wmic.exe partition get name, bootable,size,type >>log.txt
del %0

Zvoľte možnosť Súbor,uložiť súbor ako, pomenujte súbor napríklad disk.bat a zvoľte Uložiť ako typ Všetky súbory.
Uložte súbor na plochu a spustíte ho - po chvíli sa vedľa neho vytvorí textový súbor log.txt.

6: Na ploche sa vytvorí textový súbor disk.txt,log.txt

7: Otvorte textový súbor disk.txt,log.txt.

8: Uvidíte približne toto.

9: Vás výpis môže byt odlišný ,záleží že koľko diskov a oddielov máte.

Bootable     Name                          Size                     Type
                  Disk č. 0, oddíl č. 0    41940670464     Installable File System
                  Disk č. 0, oddíl č. 1    38074821120     Extended w/Extended Int 13
TRUE      Disk č. 0, oddíl č. 2   1000000             Unknown

1: Ako vidno z výpisu v našom príklade je v počítači 1-disk=Disk č. 0

2: Máme 3-oddiely,

a.)oddíl č. 0  41940670464  Installable FileSystem.

Systémový disk.

b.)oddíl č. 1  38074821120  Extended w/Extended Int 13.

Rozšírená oblasť

c.) oddíl č. 2  1000000       Unknown.

1MB oddiel vytvorené Rootkitom, a nastavené na Bootovaci

Bootable=TRUE      Disk č. 0, oddíl č. 2  1000000       Unknown,

Znamená, že tento malý 1MB oddiel je neznámy a  nastavený Rookitom ako Bootovaci.

Poznámka:

Medzi všetkými primárne oddiely na pevnom disku,Iba jeden primárny oddiel môže byť nastavená ako aktívny Bootable.

Odstránenie.

Tu platí 3x meraj a raz rež.

1: Musíme odstrániť túto infikovaných oblastí aj keď to obvykle funguje  bez problémov, tento Rootkit sa neustále vyvíja a môže nás prekvapiť.

A tak pre istotu, je potrebné zálohovať dáta na externý, vymeniteľný disk alebo na iný počítač.

2: Vypnúť obnovu systému.

3. Do mechaniky vložíme gparted-live cd, Reštartujme pc.

4: V Biose nastavíme Boot z CD, a nabootujeme sa na gparted-live cd.

5: Na uvítacej obrazovke stlačte Enter.

6.Klávesová mapa je zvýraznená. Nechajte toto nastavenie tak a stlačte kláves ENTER.

7.Vyberte jazyk a stlačte ENTER. Angličtina je východiskovým [33]

8.Na výzvu,opäť, stlačte kláves ENTER.

9.Teraz budete presmerovaný na hlavnú obrazovku.

10.Podľa výpisu, oddiel, ktorý chceme odstrániť, ma 1 MB .

11.Neodstraňujte žiadne z ďalších väčších oddielov.

12.Označte oddiel, ktorý vytvoril Rootkit

13.Kliknite na ikonu koša odstrániť a potom kliknite na tlačidlo Použiť.

14.Teraz by ste mali vidieť tabuľku pre potvrdenie, zmazať oddiel, kliknite na Použiť, Apply,ok.

Nastavíme systémový disk na Bootovací.

1:Pravým tlačidlom myši klikneme na systémový disk,a v menu vyberte Spravovať Vlajky(Manage Flags)

2.V ponuke, ktorá sa objaví,začiarknite boot, ako je na obrázku.

3.2x kliknite a červený gombík exit.

4:Označte Rebbot, kliknite na ,ok.

Opravíme Bootovanie.

1:Vyberte Gparted liveCD.

2:Vložte pre Win7 Recovery disk.

3.Pre Vistu Recovery disk.

4.Pre xp Inštalačný disk.

Oprava Vista,Win7.

1. Win7, a Vista nabootujeme na  Recovery disk a  použijeme príkazový riadok.

2.Zadáme príkazy.

Bootrec /Fixmbr

Bootrec /fixboot

exit

Oprava Bootovanie XP.

1:Použijeme konzolu pre zotavenie.

2:A zadáme príkazy

Fixmbr

fixboot

exit.

Teraz už počítač nabootuje do windows.

1:Spustíme Malwarebytes, úplná kontrola nájdene infekcie odstrániť.

2:Spustíme TDSS Killer.

3:Použijeme  WebCureit.

4:Vyčistíte temp TFC CCleaner. a Java cache,

6.Defragmentujme  pevný disk.

7.Zapneme obnovu systému.

Veľa šťastia!!!

Prevencia

Ako môžete lepšie ochrániť váš počítač pred útokmi hackerov.

Nástroj Miestne zásady a zabezpečenia

Miestne zásady a zabezpečenia, ako už názov napovedá, sú pre konkrétny lokálny počítač.

Secpol.msc je ďalší modul Windows, ktorý je určený pre správu a nastavenie systému. Secpol.msc sa používa pre správu a bezpečnosť.

Nástroj Miestne zásady a zabezpečenia sa nachádza vo všetkých OS-Windows iba v edíciách Professional, Ultimate, Enterprise.

Útok hrubou silou, zistením systémového hesla.

Hackeri poznajú nástroje, ktoré používajú na to ako uhádnuť heslo, najväčšie riziko je ak používate počítač aj na vzdialenú správu. Nemôžete ich zastaviť, ale môžete útoky zminimalizovať pomocou nastavenia zásad uzamknutia účtov.

Ak sa niekto snaží uhádnuť vaše heslo, potom po niekoľkých chybných odhadoch bude účet automaticky uzamknutý na určitú dobu, aj niekoľko minút výrazne zníži možnosť diaľkových útokov.

Blokovanie účtu pri zadaní chybného hesla.

Vytvorenie zásad uzamknutie účtov.

Audit užívateľský účet, je v pred volenom nastavení vypnutý. To umožňuje útočníkovi, aby sa pokúsili preniknúť do vášho účtu a to tak dlho, koľko bude potrebné na rozbitie hesla.

Vďaka tomu, môže ktokoľvek s fyzickým prístupom, alebo vzdialeným prístupom použiť útok na váš užívateľský účet, a ani o tom nemáte tušenie.

Existuje niekoľko spôsobov, ako sa proti tomu brániť.

Najprv je potrebné nastaviť pre tento účet audit. Potom, čo ste upravili audit bezpečnostnej politiky, budete môcť vidieť útoky, vrátane účtu, na ktorý sa snažili prihlásiť.

Nastavenie.

1.Stlačte kláves WIN+R a do poľa zadajte secpol.msc a stlačte Enter.

2.Kliknite na Miestne zásady.

3.2x klikneme na zásady auditu.

4.Kliknite pravým tlačidlom na auditovať prihlásenie a vyberte položku Vlastnosti.

5:Zafajkneme ,Neúspešne pokusy, stlačme použiť ,Ok.

6:Kliknite pravým tlačidlom na Auditovať udalosti k prihláseniu účtu,a vyberte položku Vlastnosti.

7:Zafajkneme ,Neúspešne pokusy, stlačme gombík, použiť ,Ok.

Zvýšime úroveň ochrany.

Teraz zvýšime úroveň ochrany s politikou uzamknutia účtu.

Obmedzíme počet pokusov koľkokrát môže útočník pokúsiť uhádnuť heslo.

Toto pracuje tak, že ak útočník , v mojom prípade 3x nesprávne zadá heslo, účet sa uzamkne na určenú dobu, po určitej dobe účet je automaticky odomknutý. Ak máte limit blokovania stanovený na 3 chybne pokusy a limit trvania do 30 minút, môže sa útočník pokúsiť uhádnuť heslo maximálne 5-6 krát za hodinu.

1:2x klikneme na zásady uzamknutia účtu.

2:Pravý klik na položku Prahová hodnota pre uzamknutia účtu, vlastnosti.

3:Zadajte hodnotu, ktoré chcete použiť, a kliknite na tlačidlo OK pre uloženie. ja mam 3.

4:Systém Windows automaticky nastaví predvolené hodnoty pre Doba uzamknutie účtu a vynulovať čítač pre zamknutie účtu.

5:Ak chcete zmeniť tieto hodnoty z (30 minút), (Nedoporučujem zmeniť na hodnotu NULA,0),kliknite pravým tlačidlom myši na ne a vyberte položku Vlastnosti.

6: Po vykonaní zmien kliknite na tlačidlo OK pre uloženie a ukončenie.

Prídete domov a nájdete svoj účet uzamknutý, pretože niekto sa pokúšal uhádnuť vaše heslo.

Ak chcete ihneď ručne odomknúť účet, musíte prihlásiť pod iným administrátorským účtom. Ak máte len jeden účet, doporučujem vytvoriť aj druhy účet správcu, alebo použite skrytý účet administrátora v núdzovom režime, ale musíte poznať heslo ktoré ste zadali pri inštalácii Windows, alebo počkáte kým Windows automaticky odomkne účet.

Odblokovať účet ručne.

1:Stlačte kláves Win+R.

2:Napiste príkaz compmgmt.msc.

3:Otvorte Miestny užívatelia a skupiny.

4:kliknite na Užívatelia.

5:Otvorte zablokovaný účet.

6:Zrušte zaškrtnutie "Účet je zablokovaný

7:kliknite použiť, ok.

8:Teraz už môžete sa prihlásiť.

Poznámka.

Ak zmeníte Dobu uzamknutia účtu a vynulovať čítač pre zamknutie účtu na NULA,0.

A ak u všetkých účtov vrátane správcovských počet neplatných prihlasovacích pokusov prekročíte tak tým sa úplne zablokujete, prídete tak o akúkoľvek možnosť dostať sa znovu do počítača.

Doba uzamknutie účtu a vynulovať čítač pre zamknutie účtu, vždy majú mat rovnakú, ale nie nulovú hodnotu.

Teraz hoci kedy môžete skontrolovať či niekto sa nepokúsil preniknúť do vášho účtu.
Stačí stlačiť klávesu Win+R, do okna zadáte príkaz Eventvwr.msc, stlačte ok, alebo Enter.
Otvorte položku zabezpečenie.

Windows Update chyba

Window update error 80070005

Upozornenie.

Nesprávnou úpravou databázy Registry sa môže vážne poškodiť operačný systém a môže sa požadovať jeho opätovná inštalácia.
Preto pred experimentovaním, vytvorte si nový bod obnovy, alebo zálohujte register.

Návod.

Som prihlásený ako administrátor, ale napriek tomu mi píše hlášku.

Windows Update Chyba 0x80070005

Kód chyby 80070005 zvyčajne znamená, že nemáte dostatočné oprávnenie na inštaláciu aktualizácií,Inštalácia zlyhá.

Podla návodu nainštalujeme  program subinacl.

Návod.

1.Spusťte program Poznámkový blok.[notepad]

2:Stlačíte Kláves s logom Windows + R 

3:Napíšte  notepad

4:Skopírujte a vložte nasledujúci text do programu Poznámkový blok.

@ECHO OFF
ECHO Window update error OPRAVA (www.viruskasino.com)
cd /d "%ProgramFiles%\Windows Resource Kits\Tools"
subinacl /subkeyreg HKEY_LOCAL_MACHINE /grant=administrators=f /grant=system=f
subinacl /subkeyreg HKEY_CURRENT_USER /grant=administrators=f /grant=system=f
subinacl /subkeyreg HKEY_CLASSES_ROOT /grant=administrators=f /grant=system=f
subinacl /subdirectories %SystemDrive% /grant=administrators=f /grant=system=f
subinacl /subdirectories %windir%\*.* /grant=administrators=f /grant=system=f
@Echo =======
@Echo Finished.
@Echo =======
@pause

5:Potom klik na Subor - Uložiť ako.. - Ako je Názov súboru  tak do toho riadku napíšte:oprava.bat

6:Typ súboru tak tam vyberiete  všetky súbory, a uložíte ho na  plochu.

7:Klepnete pravým tlačítkom myši na súbor oprava.bat a potom klepnite na príkaz Spustiť ako správca.
8:Počkáte kým skript prebehne, bude to chvilku trvať.

9:Reštartujte počítač.

Inštalácia zlyhá:chyba 0x80070008

Aktualizáciu Windows sa nepodarilo nainštalovať chyba 0x80070008
nasledujúce aktualizácie: Aktualizácia zabezpečenia systému Windows.

1.Spusťte program Poznámkový blok.[notepad]

2:Stlačíte Kláves s logom Windows + R 

3:Napíšte  notepad
4:Skopírujte a vložte nasledujúci text do programu Poznámkový blok.

@ECHO OFF
ECHO Window update error OPRAVA (www.viruskasino.com)
net stop bits
net stop wuauserv
del %windir%\SoftwareDistribution\Download\. /f /q
net start bits
net start wuauserv
@Echo =======
@Echo Finished.
@Echo =======
@pause

5:Potom klik na Subor - Uložiť ako.. - Ako je Názov súboru  tak do toho riadku napíšte:oprava.bat

6:Typ súboru tak tam vyberiete  všetky súbory, a uložíte ho na  plochu.

7:Klepnete pravým tlačítkom myši na súbor oprava.bat a potom klepnite na príkaz Spustiť ako správca.
8:Počkáte kým skript prebehne, bude to chvilku trvať.

9:Reštartujte počítač.

Chyba 80070002.

Ak sa zobrazí chyba 80070002 služby Windows Update pri kontrole aktualizácií, musíte odstrániť dočasné súbory aktualizácie, ktoré systém Windows používa na identifikáciu aktualizácie pre váš počítač.
SoftwareDistribution\DataStore
SoftwareDistribution\Download

1.Spusťte program Poznámkový blok.[notepad]

2:Stlačíte Kláves s logom Windows + R 

3:Napíšte  notepad
4:Skopírujte a vložte nasledujúci text do programu Poznámkový blok.

@ECHO OFF
ECHO Window update error OPRAVA (www.viruskasino.com)
net stop BITS
net stop wuauserv
net stop CryptSvc
rename %windir%\system32\catroot2 catroot2.old
cd /d %windir%\SoftwareDistribution
rd /s DataStore /Q
rd /s Download /Q
del /f /s /q "%userprofile%\Local Settings\Temporary Internet Files\*.*"
del /f /s /q "%userprofile%\Local Settings\Temp\*.*"
net start BITS
net start wuauserv
net start CryptSvc
@Echo =======
@Echo Finished.
@Echo =======
@pause

5:Potom klik na Subor - Uložiť ako.. - Ako je Názov súboru  tak do toho riadku napíšte:oprava.bat

6:Typ súboru tak tam vyberiete  všetky súbory, a uložíte ho na  plochu.

7:2x Klepnete na súbor, alebo Klepnete pravým tlačítkom myši na súbor oprava.bat a potom klepnite na príkaz Spustiť ako správca.

8:Reštartujte počítač.

Po reštarte adresár catroot2,DataStore a Download sa obnovia.

Problémy s pripojením

Riešenie problémov s pripojením.

Vyskúšajte tieto kroky:

Problémy s káblovým a bezdrôtovým sieťovým pripojením v systéme Windows

Podrobný kurz.

Zdroj:Microsoft.

Tento kurz je navrhnutý tak, aby vám pomohol identifikovať a opraviť problémy s káblovým (Ethernet) a bezdrôtovým (Wi-Fi) sieťovým pripojením v systéme Windows.

Používanie tohto kurzu.

Najlepšie výsledky dosiahnete, ak na ďalšiu kartu prejdete až potom, ako dokončíte všetky kroky na predchádzajúcej karte. Ak riešite problém s káblovou sieťou, vynechajte kartu Pripojenie, pretože tá sa vzťahuje len na bezdrôtové siete.

Po každom kroku najprv otestujte sieťové pripojenie a až potom pokračujte ďalším krokom.

Možno bude užitočné, ak si tento kurz vytlačíte kliknutím na niektorý z formátov súborov v pravej hornej časti  stránky. Vďaka vytlačenej kópii môže byť postup podľa inštrukcií jednoduchší.

Kontrola nastavení siete

Kontrola nastavení siete a sieťových služieb.

XP

Podrobný Návod.

Zdroj:Microsoft.

Kliknite pravým tlačidlom myši na položku Tento počítač a potom kliknite na položku Spravovať.

Dvakrát kliknite na položku Služby a aplikácie a potom na položku Služby.

Na pravej table sa pozrite do stĺpca Stav. Možno bude potrebné rozbaliť pole, aby sa zobrazili všetky stĺpce.

Skontrolujte, či sú spustené nasledujúce služby:

1:Vzdialené volanie procedúr (volanie RPC)

(Najprv musí byť spustená táto služba, aby sa ostatné služby mohli prejaviť.)

2:Sieťové pripojenia

(Túto službu je možné spustiť len v prípade, že je aktívna služba RPC.)

3:Plug and Play

4:Služba COM+ Event System

(Túto službu je možné spustiť len v prípade, že je aktívna služba RPC.)

5:Služba Remote Access Connection Manager

(Túto službu je možné spustiť len v prípade, že sú aktívne telefónne služby.)

6:Telefónne služby

(Tieto služby je možné spustiť len v prípade, že sú aktívne služby RPC a PnP.)

Ak chcete spustiť niektorú službu, pravým tlačidlom myši kliknite na názov služby a potom kliknite na položku Spustiť.

Skontrolujte nastavenie prihlásenia.

1:Na pravej table dvakrát kliknite na položku Služba COM+ Event Systém.

2:Kliknite na kartu Prihlásenie.

3:V časti Prihlásiť ako skontrolujte, či je vybratá položka Lokálne systémové konto.

Skontrolujte nastavenie interakcie pracovnej plochy.

1:Dvakrát kliknite na službu Sieťové pripojenia.

2:Kliknite na kartu Prihlásenie.

3:V časti Prihlásiť ako skontrolujte, či je vybratá položka Lokálne systémové konto.

4:Overte, či je začiarknuté políčko Povoliť službe používať pracovnú plochu a potom kliknite na tlačidlo OK.

5: Zavrite okno Správa počítača.

Skontrolujte nastavenie sieťových služieb.

Kliknite na tlačidlo Štart a potom na položku Ovládací panel.

Dvakrát kliknite na položku Pridať alebo odstrániť programy.

Kliknite na položku Pridať alebo odstrániť súčasti systému Windows.

Posuňte sa nadol, kliknite na položku Sieťové služby a potom na položku Podrobnosti.

Overte, či sú zapnuté služby jednoduchý  TCP/IP Services a potom kliknite na tlačidlo OK.

Zavrite všetky otvorené dialógové okná.

Skontrolujte, či sú sieťové súbory DLL správne zaregistrované.

Kliknite na tlačidlo Štart a potom na položku Spustiť.

Do poľa Spustiť zadajte príkaz cmd.exe a kliknite na tlačidlo OK.

Zadajte nasledujúce riadky.

Po zadaní každého riadka stlačte kláves ENTER.

Napísanie textu tohto príkazu nie je jednoduché.

Dajte pozor, aby ste ho napísali presne tak, ako sa zobrazuje nižšie.

Možno bude jednoduchšie daný text skopírovať a prilepiť.

V prípade každého príkazu kliknite na tlačidlo OK, keď sa zobrazí dialógové okno RegSvr32.

regsvr32 netshell.dll
regsvr32 netcfgx.dll
regsvr32 netman.dll

Reštartujte počítač. Skontrolujte, či sa zobrazujú ikony sieťových pripojení.