(Problem) Aplikacja nie została właściwie uruchomiona (0xc0000005).

[Kamil<3]

Witam, mam taki problem... od niedawna gram na Ravii, dziś wchodzę na komputer, tak jak zawsze, wchodzę do folderu z grą, uruchamiam game, po czym wyskakuje mi taki błąd:

http://www.iv.pl/images/42316148611818404815.png

 

A następnie taki:

http://www.iv.pl/images/30045493073392319297.png

 

Pomoże ktoś? Ja myślę, że to jest wina bugniętego systemu, ale wolę się was poradzić.

 

[Kamil<3]

ref

[Fr3shMak3r]

Wrzuć loga OTL bo kod błędu wygląda na wirusa w plikach wykonywalnych .

http://www.mpcforum.pl/topic/679592-tutlogi-co-i-jak/ 

Tylko z Ravią tak się dzieje ?

[Kamil<3]

Nie, nie tylko..

[Fr3shMak3r]

Pisałem wrzuć loga OTL

[Kamil<3]

http://www.speedyshare.com/mPZmN/otl.rar

[Fr3shMak3r]

W logach wyraźnie widac wirusa Sality .

[2013-03-31 17:18:05 | 000,103,140 | ---- | M] () -- C:\sxhbl.pif 

Zaraża i niszczy wszystkie pliki wykonywalne na wszystkich dyskach .

Masz system 64 bitowy ,a ta infekcja atakuje pliki 32 bitowe ,ale pewnie możliwe że dużo masz plików 32 bitowych .

Jak wspominałem wcześniej ten błąd pojawia się przeważnie przy wirusach polimorficznych .

Dodatkowo masz w rejestrze blokady programów zabezpieczających :

 

[color=#E56717]========== Security Center Settings ==========[/color]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"AntiVirusOverride" = 1
"AntiVirusDisableNotify" = 1
"FirewallDisableNotify" = 1
"FirewallOverride" = 1
"UpdatesDisableNotify" = 1
"UacDisableNotify" = 1
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc]
"AntiVirusOverride" = 1
"AntiVirusDisableNotify" = 1
"FirewallDisableNotify" = 1
"FirewallOverride" = 1
"UpdatesDisableNotify" = 1
"UacDisableNotify" = 1

 

 

Nie zauważyłeś tego ?

 

Dobra podejmujemy 1 kroki leczenia systemu .

 

1. Wyłącz przywracanie systemu na wszystkich dyskach .

2. Pobierz SalityKiller ,jeśli skończy leczyc pliki zrób mi screena i wrzuc tutaj .

3. Po leczeniu dajesz nowy log OTL.

[Kamil<3]

Ss z leczenia

 

 

 

Linki:

http://iv.pl/images/98968305238036269684.png

http://iv.pl/images/43178215367743979366.png

http://iv.pl/images/13394133338840752218.png

 

 

 

Tu masz loga olt: http://speedy.sh/7mv8t/OTL.rar

[Fr3shMak3r]

Zabrakło 2 loga Extras bo nie zaznaczyłes skan rejestr dodatkowy na użyj filtrowania

[Kamil<3]

http://speedy.sh/z58TF/OTL.rar

[Fr3shMak3r]

Niestety leczenie nie powiodło się Sality nadal czynny procesy wróciły do TEMP'ów i cykl zarażania w TOKU .

 

1. Uruchom OTL i w Oknie Własne Opcje skanowania :

 

:OTL
O3 - HKLM\..\Toolbar: (no name) - {98889811-442D-49dd-99D7-DC866BE87DBC} - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - {D4027C7F-154A-4066-A1AD-4243D8127440} - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - {EEE6C35B-6118-11DC-9C72-001320C79847} - No CLSID value found.
O4 - HKLM..\Run: []  File not found
O4 - HKU\S-1-5-19..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe File not found
O4 - HKU\S-1-5-20..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe File not found
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktopChanges = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorAdmin = 0
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorUser = 3
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: PromptOnSecureDesktop = 0
O7 - HKU\S-1-5-21-4270563811-212076779-2481575793-1002\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\S-1-5-21-4270563811-212076779-2481575793-1002\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoLogoff = 1
O7 - HKU\S-1-5-21-4270563811-212076779-2481575793-1002\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: StartMenuLogoff = 1
O10 - NameSpace_Catalog5\Catalog_Entries\000000000007 [] - C:\Program Files (x86)\Bonjour\mdnsNSP.dll File not found


:Files
C:\Users\admin\AppData\Local\Temp\winxeyfe.exe
C:\Users\admin\AppData\Local\Temp\winbpuui.exe

:Commands
[emptytemp]
 

I klik na wykonaj skrypt .

Wykonaj restart i pokazujesz log z usuwania .

 

2. Uruchom System Look i wklej w nim :

 

:file
C:\Users\admin\AppData\Roaming\k1oh8.exe
C:\Users\admin\AppData\Roaming\AdobeART.exe
 

I klik w Look i pokazujesz raport .

http://jpshortstuff.247fixes.com/SystemLook_x64.exe

 

3. Pobierz Kaspersky Removal Tool i przeprowadź pełne skanowanie ,jeśli coś wykryje przedstaw raport .

 

4. Dodatkowo odinstaluj Optimizer Pro nie wiem po kiego grzyba to instalujesz .

Ten program jest klasyfikowany jako Malware on niby "skanuje w poszukiwaniu błędów w systemie i wyświetla np 1053 błędów " ale " aby naprawic trzeba kupic program który nic nie naprawi po za wyłączeniem komunikatu o błędach "

Jak mówiłem ten program to Fake Optymalizator on ma na celu zastraszenie użytkownika i zmuszenia go do kupienia programu który nic nie zrobi ..

[Kamil<3]

OTL: http://www.speedyshare.com/Xe2YT/OTL.rar

look http://www.speedyshare.com/sTT2S/SystemLook.rar

Po wykonaniu skryptu odinstalowało mi sterowniki internetu.. i sterowniki z grafiki.

 

Raport czysty.

[Fr3shMak3r]

Zaraz zaraz poza tym skrypt się nie wykonał ..

Czy go robiłeś 2 razy ?

Nie rób go 2 raz .

Sterowniki od grafiki i internetu ?

Jakim cudem skoro ja tylko puste wpisy usuwałem oraz polisy które nie mają znaczenia z grafiką ani z internetem .

Opisz to jaśniej jak ci to zniknęło ?

A gdzie 2 punkt prosiłem cię o zrobienie 2 punktu .

Mówisz że Kaspersky nic nie wykrywa ?

 

Edit : Coś nie poszło zrób tak :

 

:filefind
k1oh8.exe
AdobeART.exe
 

I klik w Look .

[Kamil<3]

Po prostu.. miałem włączoną przeglądarkę, skopiowałem to co mi kazałeś dałem wykonaj skrypt i w momencie wyłączyło mi neta, gg, przeglądarkę i całą resztę po czym zresetowało mi kompa i to co Ci wysłałem miałem w folderze z otl

Kaspersky - 0..

look szuka już 30 min i nic, jak znajdzie edytuję i napiszę Ci na pm.

 

@Edit: Poza tym.... Jestem na koncie Administratora, a tutaj..

[Fr3shMak3r]

To normalne było.

Przy robieniu skryptu otl zabija wszystkie procesy.

Zostaw to ta 64 bitowa wersja to jakieś badziewie jest u mnie to samo.

Wrzuć te pliki na virustotal. com

[Kamil<3]

log kończy na wyszukiwaniu.. nic więcej http://www.speedyshare.com/tkt4D/SystemLook.rar

Które pliki mam wrzucić?

Popatrz też na ss'a z cmd.

[Fr3shMak3r]

Podałem ci na gorze lokalizację tych plików.

Z cmd to się domyślam że to są blokady po Sality.

Jutro już to zrobię.

Ps. Zainstaluj antywirusa żeby monitorowal zachowanie.

Avast ma moduł monitorowanie zachowań zainstaluj go i obserwuj zdarzenia gdyż Sality może w każdej chwili się obudzić.

Nie jestem pewien czy na pewno się pozbylismy sality.

[Kamil<3]

Mamy źródło

https://www.virustotal.com/pl/file/770e2420bebf1af44f268868c74cded9e4bd06c3e918cb283ed9d48eace43a0c/analysis/1365366285/

https://www.virustotal.com/pl/file/d17e2b2a2df42d78b983b71044cda956e2e5601b73fc90496d84c021bec4a427/analysis/1365366466/

[Fr3shMak3r]

Przyznam szczerze jestem zaskoczony .

IKARUS twierdzi że to Sality ,ale ten wynik mocno mnie zszokował .

Najwidoczniej postała nowa wersja Sality , a praktycznie nic je nie wykrywa .

Z kolei zaczynam wątpic w to że Kasper nic nie wykrywa bo nie ma go jeszcze w bazie wirusów .

Co gorsza nadal działają te pliki w TEMPACH .

Co oznacza że prawdopodobnie Sality nadal siedzi w systemie .

Prześlij mi te pliki spakowane w Winrar i na speedyshare.com po rozsyłam do LAB'ów wszystkich Antywirusów .

[Kamil<3]

Wczoraj windows odwalił mi akutalizacje po czym odchudziło dysk C: o jakieś 20 gb.. poznikało mi połowe plików w tym te pliki które ci zeskanowałem.

Mogę Ci powiedzieć, jak dobrze pamietam, te pliki były z Abode photoshop 7.. wersji angielskiej.

 

 

@Edit: Windows co jakieś 3h odwala mi aktualizacje.. tu masz przykład:

[Fr3shMak3r]

I właśnie mnie zastanawia mnie lokalizacja tych plików ,oraz dlaczego wyglądał na zainfekowany plik a szczególnie ten IKARUS wykrywał tylko Sality w nim .

Wejdź w start i wpisz services.msc .

Znajdź aktualizacje automatyczne i ustaw na wyłączony .

Pobierz jak mówiłem Avasta gdyż ma świetnie działający moduł Monitorowanie zachowań .

I obserwuj czy Avast nie wyświetla alertów o podejrzanych zachowaniach .

W OTL użyj sprzątanie .

Masz jeszcze jakieś pytania ?

[Kamil<3]

Z moim netem? Obiecnie mam limit.. nic nie pobiorę..

OTL włączone.

Jestem na Adminie i dalej nie mogę korzystać np. z CMD.

[Fr3shMak3r]

START -- wpisz cmd PPM na niego uruchom jako administrator .

Skoro nie chcesz pobrac to już nie mój problem.

[Kamil<3]

Hm....