Windows XP - niedziałająca zapora systemowa

[system]

WItam!

Mój kolega nie ma chwilowo dostępu do neta, więc piszę ten wątek w jego sprawie.

Otóż sprawa wygląda następująco:

Po formacie kompa wgrał on sobie Windows’a XP Home Edition, ściągnął avasta i wgrał SP3 ze strony producenta[nie poprzez auto aktualizacje]. No i zaczęły się problemy. Avast stopniowo zaczął wykrywać wirusy typu trojany, rookit[chyba tak to się zwie]. Aczkolwiek dzisiaj przeskanowaliśmy dysk programem Spybot S&D i wykrył kilka błędów. Wśród nich było coś o wyłączonej zaporze systemowej. I tutaj właśnie zaczyna się dylemat. Nie można tej zapory włączyć. Okno menu włącz/wyłącz jest tj nieaktywne - nie można nic kliknąć. Internet bardzo mu muli [transfer przy ściąganiu bardzo duży], więc kolega nie chce się do sieci podłączać.

Czym może być spowodowana taka sytuacja?

Dodam, że tuż[ok.1dzień] przed formatem wyskoczył mu tak błąd, iż system zmienił mu tapetę na ostrzeżenie o zainfekowaniu systemu spywarem.

Proszę o jak najszybszą odpowiedź.

Pozdrawiam

[master_zonk6 (Danielm86)]

Niech kolega zainstaluje firewalla innej firmy. Polecam Zone Alarm Free. Pozamykaj porty programem Windows Worms Door Cleaner. Odpal główne okno Avasta/menu/ustaw skanowanie podczas rozruchu…

[adi_rucio (Adirucio96)]

zapora może być wyłączona, bo usługa jest wyłączona :lol: Niech twój “k0lega” wejdzie w Start --> Uruchom… --> services.msc i odnajdzie usługę Zapora systemu Windows. Jeżeli jest wyłączona to wejdźcie we właściwości tejże usługi poprzez PPM --> Właściwości i sprawdzi jaki jest typ uruchamiania. Jak jest inny niż “Automatyczny” to trzeba przestawić. Potem tylko a przycisk Start we własciwościach i już można uruchomić Firewalla!

[system]

A poradzicie jeszcze coś na strasznie słabo działający net[pod względem surfowania po sieci, ładowania standardowych stron]?? “k0lega” mówi, że niby wszystko zainstalować zgodnie z instrukcjami, sprzęt cały w dobrym stanie. Czy taki słaby stan wczytywania stron może być spowodowany czymś typu spyware lub brakiem firewalla?

[adi_rucio (Adirucio96)]

możliwe, że na tej Winzgrozie czy jak to mówicie na ten syf (czyt. Windowsie) ma twój “k00mpel” jakieś syfy. Przeskanuj HijackThis komputer i wklej loga na wklej.org i podaj linka oczywiście do tego

[Wojtas_16]

Jeśli porada adi_rucio nie zadziała spróbuj może tego.

[system]

Log z HitjackThis:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 18:12:03, on 2009-07-30

Platform: Windows XP Dodatek SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)

Boot mode: Normal


Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\WINDOWS\RTHDCPL.EXE

C:\WINDOWS\system32\RUNDLL32.EXE

C:\WINDOWS\system32\ctfmon.exe

D:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\WINDOWS\System32\svchost.exe

D:\Program Files\HijackThis\HijackThis.exe


R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA LOKALNA')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'USŁUGA SIECIOWA')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe


--

End of file - 3768 bytes

Zrobiłem wszystko co mówiliście w Usługach i tak to wygląda:

http://img199.imageshack.us/gal.php?g=usugi1.jpg

A tak wygląda sam problem, czyli menu zapory systemu windows:

http://img83.imageshack.us/img83/492/zaporasystemowa.png

Internet się trochę uspokoił i działa poprawnie jak narazie.

[adi_rucio (Adirucio96)]

wygląda na to, że jest czysty, tylko coś krótki ten log

[deFco247]

ponieważ mają dużą literę w “System32”, a wiadomo, że jest tylko “system32”

W Windowsie wielkości liter w nazwach i ścieżkach plików nie mają znaczenia (w przeciwieństwie do systemów Uniksowych).

[adi_rucio (Adirucio96)]

Już wiem! Na tym obrazku co przesłałeś jest wzmianka o zasadach grupy! Wiem, że Zasady grupy uruchamia się poprzez gpedit.msc w Start --> Uruchom… i tam se poszukaj zapory, ale czy nie lepiej jest zainstalować jakąś inną zaporę? Na tej jesteś również narażony (a raczej kumpel) na jakieś syfy.

[ciemnowidz (Henio Mazurek)]

mają mają, spróbuj włączyć opcję pokazywania systemowych folderów i ukrytych folderów to zobaczysz folder System32 i system32 z tą różnicą że ten pierwszy tworzą te wirusy i się tam przenoszą, więc jak nie miałeś wirusa ukrytego w smss.exe i svchost.exe (miałem więc pisze, kaspersky wykrył mi te wirusy) to tego folderu nie będzie więc kasuj śmiało, zaraz znajdę linka…

Co Ty za bzdury piszesz. Utwórz sobie na pulpicie nowy folder i drugi taki sam tylko pisany z dużych liter i zobacz co się stanie.

Edit.

Co do offtopa - kazałeś kasować pliki systemowe po których usunięciu system już nie wstanie.

[adi_rucio (Adirucio96)]

ciemnowidz robisz offtopic niepotrzebnie, polecam zainstalować Ashampoo FireWall 1.20

Wrazie czego niech lepiej kompa twojego kumpla przeskanuje darmowy skaner on-line Kasperskiego

EDIT1

Wstałby, wstałby, ale nie miałby neta, dźwięku itp. a poza tym i tak by ich nie usunął, bo są zabezpieczone :lol: