Log Otl, pytanie dotyczące kilku wpisów

Dla specjalistów Bezpieczeństwo
#1

Witam,

temat nie dotyczy infekcji, ponieważ nie spodziewam się żadnej, aczkolwiek zdaje się na Wasze sprawne oko :). Napewno w grę będzie wchodziła kosmetyka.

Mam natomiast kilka pytań dotyczących logu z OTL.

Log -> http://wklej.org/id/438990/

Interesuje mnie wpis:

SRV - File not found [On_Demand | Stopped] – F:\WINDOWS\System32\appmgmts.dll – (AppMgmt)

Szukałem w necie podobnego wątku i znalazłem tylko parę zdań na temat przeklejenia ww. pliku do (bodajże) katalogu system32. Nic więcej, i kieruje moje pytanie do Was. Czego dotyczy ta linijka kodu ?

Następna sprawa to:

O33 - MountPoints2{118ac4ac-cb3c-11df-8320-001e8c9bcccf}\Shell\AutoRun\command - “” = K:\icxpa.cmd – File not found

O33 - MountPoints2{118ac4ac-cb3c-11df-8320-001e8c9bcccf}\Shell\open\Command - “” = K:\icxpa.cmd – File not found

O33 - MountPoints2{ca163a25-01e3-11df-81b2-001e8c9bcccf}\Shell\AutoRun\command - “” = K:\icxpa.cmd – File not found

O33 - MountPoints2{ca163a25-01e3-11df-81b2-001e8c9bcccf}\Shell\open\Command - “” = K:\icxpa.cmd – File not found

Są to pozostałości po infekcji z pena, która została usunięta. Podejrzewam, że gdzieś w systemie jest jeszcze zawarta informacja o tym i dlatego taki wpis występuje.

Kolejne pytanie dotyczy właśnie linijek kodu z informacją “File not found”. Czy wszystkie tego typu wpisy generalnie nadają się do usunięcia poprzez komendę “:OTL” i podanie całej linijki kodu ?

I na koniec:

O35 - HKLM…comfile [open] – “%1” %*

O35 - HKLM…exefile [open] – “%1” %*

O37 - HKLM…com [@ = comfile] – “%1” %*

O37 - HKLM…exe [@ = exefile] – “%1” %*

Cóż to takiego ?

Dziękuję z góry za odpowiedź.

Pozdrawiam

#2

To klucze mapowania dysków, w tym przypadku pozostawione przez infekcję, więc do usunięcia:

Uruchom OTL i w oknie Własne opcje skanowania/Script wklej to:

Kliknij w Wykonaj Script.

To Usługa Instalacji Oprogramowania. Jest na Systemach WIN XP i VISTA.

Nie ma jej na Systemach “przerabianych”.

Teoretycznie można usuwać, ale w niektórych przypadkach lepiej jest uzupełnić brakujący plik, lub zostawić wpis w spokoju.

To są skojarzenia rozszerzeń plików .

http://img148.imageshack.us/img148/8254/asoc.jpg

jessi

#3

Dziękuję za odpowiedź.

Pozdrawiam