Inadequate O/S Privileges

Forum Memorabilia Hosted Games Pianeta Battlefield
61
Ciao ragazzi ho letto tutti i post ke avete lasciato sul problema kon il punkbuster e gli o/s privileges,Anke io purtroppo mi son bekkato sto troyan.Io penso di averlo preso sempre tramite punkbuster tramite attakko hacker a me sfuggito o tramite un famosissimo (se pur ormai ben pieno di malwarez in circolazione) software p2p.Inizialmente mi ero limitato a togliere solamente dei privilegi ad utenti kon diciture "strane" dai criteri di protezione locali.Riprovo ed il gioco funziona.Dopo un paio di giorni si ripresenta il probleam appunto xkè il trojan è in ciroclazione e sono riuscito ad individuarlo manualmente (anke perkè è inutile kevoi facciate tutte le scansioni di questo mondo xkè nn lo troverà mai nessuno antivirus in quanto file (trojan) sotto crittografia e nessun antivirus riesce realmente ad analizzarlo (almeno queto è quello ke succede a me) e se lo analizza ti dirà sempre ke è tutto ok.Fidatevi xkè ho fatto tutte le scansioni possibili on line e anke off line installando e disinstallando tantissimi anitvirus e nessuno è riuscito a prendrlo e cacciarlo via.Il mio trojan ( e ragazzi okkio xkè da me si duplica e crea direttamente dei servizi kon privilegi da amministratore e anke se tu sei amministratore nn puoi accedere per disattivare o togliere kompletamente il servizio.kontrollate su servizi se, appunto, avete avviati dei servizi con connessioni strane.Io l'ho bekkato kosì tramite i log di sistema ke mi dicevano appunto ke c'era un tentativo di konnessione fallito da parte dello stesso utente (quello strano ke kompariva su servizi) e ke andava appunto arikiamare un file eseguibile ke per me è il trojan su seguente percorso: c:\programmi\filecomuni\system.Ho tentato in tutti i modi di cancellarlo ma mi dice ke nn ho i privilegi da amministratore e lo stesso vale se vado su servizi e tento di eliminarlo o semplicemente kambiaer le impostazioni.il servizio per ò ora è disabilitato(l'ho trovato sempre kosì)ma mi sa ke si potrebbe avviare a piacimento dell'attakante dato ke ho trovato delle conenssioni fallite (xkè in fondo quelle riuscite nn le konosco!(:cmq..........mi sono azzardato di spostare semplicemente questo file (ke si kiama cTCZ.exe ed è crittografato) ed porka troia mi son akkorto ke dopo un pò si è creato un altro file sempre in crittografia dallo stranissimo nome di:bMZwq.Sono sicuro ke son virus xkè ho kontrollato su 2000 pc è nessuno ha questi filez(all'inizio pensavo ke fossero filez di winzozz essendo in crittografia) e questo ba
62
Vi mando ciò ke s itrova sui recenti log di sistema di winzozz professional ke mi son ritrovato:
Il servizio Ora non è riuscito a sincronizzare l'ora del sistema per 49152 secondi, in quanto nessuno dei provider dell'ora è stato in grado di fornire un timestamp utilizzabile. Il clock di sistema non è sincronizzato.
ORIGINE:W32TIME. shit
Questo è il primo ed è sikuramente abbinato ad uno dei trojan di cui vi ho parlato nell'altro post. MA ANDIAMO AVANTI:
origine:service control manager;descrizione:
La chiave SecGsr del Registro di sistema ha negato accesso ai programmi con account di sistema, quindi Gestione controllo servizi è ora proprietario della chiave del Registro di sistema.(mah!). Ma proseguiamo tanto qui ce ne è per tutti:
origine:service control manager; descrizione:
La chiave WinEyt del Registro di sistema ha negato accesso ai programmi con account di sistema, quindi Gestione controllo servizi è ora proprietario della chiave del Registro di sistema.
Poi:
origine:service control manager; descrizione:
Il servizio SecGsr non è stato in grado di accedere come .\OupKFztjVLOKNYu con la password al momento configurata, a causa del seguente errore: Errore durante l'accesso: nome utente sconosciuto o password non valida.
Per accertarsi che il servizio sia configurato correttamente, utilizzare lo snap-in Servizi di Microsoft Management Console (MMC).(Mi dice pure di konfigurarlo bene!!!)
Altro:
origine:servicecontrol manager; descrizione:
La chiamata ScRegSetValueExW per ImagePath non è riuscita con l'errore
Accesso negato. .
Vi rikordate il servizio strano SecGsr?questa è la konnessione (.\OupKFztjVLOKNYu) abbianata (strana) ke ho trovato e andava a rikiamare il filez crittografato cTCZ su c:\programmi\filecomuni\system. inkaccellabile e ke nessun antivirus ha mai rikonosciuto kome virus.voi lo conoscete sto file?e c'è anke il file bMZwq ke epèr me è stata una riproduzione del primo o sempre un qualkosa di aggiuntivo ke si insediato a apartire sempre dal primo.per me sono loro i virus.
Ok questi sono i log ke penso siano konnessi a quei trojan e servizi strani, vi prego leggete il post di prima e vedete se riuscite a kollegare insieme tutte le info ke vi ho dato xkè molte kose kombaciano e vale la pena di perderci del tempo.Se c'è qualkosa ke volete kiedermi per migliorare le nostre indagini fatemi sapere.
63
dimentikavo di dirvi ke avviando in modalità provvisoria e scegliendo administrator kome utente nn kambia nulla, cioè non posso kancellare i filez nè agire e/o cancellare quei servizi.li ho disattivati kon msconfig e li ha disattivati anke se quando disabilito tutto e abilito solo i servizi ke mi interessano, ovviamente tranne quelli maligni, mi dice ke alcuni kambiamenti non sono stati attuati per insufficienza di diritti di amministratore.però poi rikontrollando è tutto apposto e mi lancia solo i servizi ke ho scelto.tutto però in modalità selettiva e nn in avvio normale.infatti il pc è konfigurato sotto modalità selettiva.ci fà qualkosa?ciauz
64
Ho usato i programmini ntrights e vx2finder ma niente appena mi kollego e parte il gioko (mohpa) mi da il solito problema della restrizione dovuta lla mancanza di adeguati privilegi. ho notato anke ke dopo aver usato vx2finder si sono creati degli utenti kon nomi strani su assegnazione diritti utente da impostazione protezioni locali,su molte voci dei criteri sui diritti incluse le voci ke interessano a anoi(debug dei programmi,modifica valori ambiente di firmware,gestione file di registro ecc ecc, ma anke su altre voci ke nn avevo tokkato.ora:1- è stato il vx2finder ke ha creato quegli utenti kon quei permessi o è stato il virus ke ha risposto e si sta espandendo?ho diciture strane sui criteri di assegnazione diritti, quadratini ke si ripetono, un semplice ge,un account utente rappresentato stavolta kon un semplice quadratino,mmmmmmmmhhhhhhh..................................
Io vorrei eliminarli tutti dagli utenti autorizzati (ke poi nn c'è nessun utente creato kon quei nomi) ma prima vorrei sapere se è il programma ke li crea o no,grazie,ciauz
65
ti presento gromozon , anche lui si riproduce a manetta, fa incetta di servizi di winz ed i file che caga son crittografati...

vedi mpò te.. http://www.hwupgrade.it/news/sicurezza/gromozon-parassita-che-ama-il-tricolore_18390.html

quando ho letto l'articolo giorni fa ho trovato diverse similitudini con le storie di PB... ma forse son solo questo....
66
anchio ho i vostri problemi in parte risolti con il post iniziale..
ora ho il problme che ogni tot tempo il gioco (cod2) mi si blocca per una 15 di secondi e poi riparte..

il problema è: che faccio formatto? risolverei subito ma non è che dopo 10 minuti mi ribecco il trojan?
che stress..
67
Rambooooooooooooo
Cmq io dovro' formattare xke con qualsiasi antivirus non mi ha + trovato niente, eppure il problema non è risolto (mi si blocca ancora il gioco e anche il mouse)..-_-
68
Sono riuscito ad eliminare i filez maligni in crittografia.Ho però dei problemi: nn appena mi kollego kol punkbuster mi dà lo stesso inadeguate o\s privileges e quindi nn mi fa giokare.Inotlre su servizi nn sono riuscito a fare skomparire quei servizi maligni ke si erano creati insieme al virus (ke da me si è pure duplikato ma son riuscito a toglierli tramite agvpfix).kosa posso fare?
69



too
70
domanda da ignorante...possibile che il troyan nella cartella user sia identificato con un cerchietto crociato di bianco...cioè io ho 2 file admi di sto tipo..Helpassistant .........e........support_38...
scusate ancora l'ignoranza..
71
Dai formattateee
72
ma no che palle!
non lo faccio da 2 anni
73
Intanto complimenti per la profondità dell'analisi.
Ad ogni modo, agendo dal prompt di dos io sono riuscito a eliminare tutti gli utenti e non mi si è presnetato + alcun errore. Anche perché i diritti sono sì diminuiti ma si può cmq agire da amministratore nei confronti degli altri utenti. Il VxFinder non può creare utenti in quanto va solo a ricercare ciò al quale è destinato.
Ad ogni modo agire manualmente è la miglior cosa. Provate prima a cancellare qualsiasi utente e a ridarvi TUTTI i diritti dalla gestione utenti, poi fate il resto.

Andrés
74
ragazzi dovete setacciare l'hdd da un altro pc (mettendo quindi l'hdd incriminato come slave e facendo una scansione) magicamente compariranno (sempre se sul pc n2 c'è un antivirus decente ed aggiornato) malware ed amenicole.
è inutile far partire una scansione dal pc stesso, perchè molti malware saltano la scansione in quanto "già in uso dal sistema"
ps: c'era un forum in cui chi scriveva con le k veniva distrutto a vista...ma non ricordo piu' dove...sigh
75

ehm...i nomi che hai trovato saranno anche crittografati, ma sono tutti fittizi. tu hai un worm virus che si propaga creando eseguibili a manetta con dei nomi random ecco perchè cambia sempre...sul mio post precedente c'è la soluzione quasi definitiva. perchè la soluzione definitiva è un formattone riparatore...
ricordo inoltre che potrete eliminarli manualmente x 100 volte e per 100 volte ricompariranno non lo dico per cinismo, ma perchè è praticamente impossibile individuare TUTTI i file che il worm crea
76
Sono andato a vedere nella cartella file comuni e ho trovato una caterba di file addirittura con la scritta in verde (ecco non ridiamo, perche non so cosa significa)...sarà il fatto che sono crittografati o che si trovano in quella cartella...boh..
poi tra l'altro tra gli utenti ho admin , all users, quello mio personale ed un altro che ha il seguente nome "fsqogYtfnyLcgPIcuA.TOMAHAWK" + il nome del mio pc (proprio TOmahawk) (evidentemente piratato che ad ogni riavvio dopo la cancellazione si ricrea...(non voglio formattare potreste dirmi cosa devo toccare?

Sto usando pulizie di registri su pulizie da spybot...non viene trovato quasi mai nulla...
Un'altra cosa è importante invece: il fatto che ogni tanto mi capita che avg anti virus guard di grisoft trovi un virus o qualcosa del genere tipo worms od altro...forse dovrei fare un po piu attenzione ed eliminare correttamente al posto che premere heal (cura..)..dovrei fare delete o quarantena? oppure provare ad agire manualmente.

Ma siccome per cose simili so che agire manualmente è la migliore cosa..potreste dirmi qualcosa? Quelli della even balance hanno chiesto anche la lista in log dei processi aperti dal mio pc...che sn ben 50..a volte, sin dall'inzio senza applicazioni aperte..loro stessi dicono che deve essere stato danneggiato qualche file di sistema...

Io ricordo che l'ultima volta che avevo preso una cosa seria che si ricreava mi ero fatto aiutare a togliere la policy od una cosa simile dal registro di sistema avevo quindi cancellato cosa meritava questa fine ed al riavvio nulla piu s'è creato.

Insomma perfavore fatevi sentire..Condivido con voi il link del ticket compilato ed inviato per un aiuto che però sostanzialmente non è arrivato a risolvermi nulla.anzi. http://www.evenbalance.com/troubleticket/update_ticket.php?ticketnumber=EB1048000091905&password=3938ba43a91a99920545786e9efdf3

Ho seguito le loro procedure e l'ultima volta che America's army girava sul mio pc mi ha dato un altro errore non piu sui privilegi di O/s ma Unknown Windows API function 131127....

fatemi cancellare sta roba...tra l'altro l' O/s ce l'ho anche originale e la compagnia che me lo ha dato qst pc non mi ha nemmeno venuto il sistema operativo quindi se dovessi cancellare dovrei andare a comprarmelo...
77


Non vorrei fosse un trojan che avevo anch'io fino a ieri sera. 2 ore prima di riuscire a toglierlo.

Intanto butta via AVG, che non lo individua, e scaricati Active Virus Shield da qui: http://www.activevirusshield.com/antivirus/freeav/index.adp
 E' un Kaspersky con le funzioni principali, ma gratuito.

Fai una scansione completa e vedi se ti trova un virus che si chiama Trojan.Win32.agent.rk

Clicca start --> esegui --> digita control userpasswords2 e premi INVIO

Cancella tutti gli account strani (tipo "dvgasdvkvcdshcvysdvckd")

Scaricati Unlocker da qui: http://ccollomb.free.fr/unlocker/unlocker1.8.5.exe

Se non riesci ad eliminare i file infetti perché usati dal sistema basta che tu clicchi col dx e che selezioni INVIA A: (tra le varie opzioni scegli Unlocker, appunto). Poi con quello lo elimini.

Se ti da errore dicendo che non hai i privilegi di debug significa che devi ottenerli. In Windows XP Home Edition questa opzione non esiste (grazie Micro$oft).

Scaricati Windows Resource Kit Tools da qui: http://www.microsoft.com/downloads/details.aspx?displaylang=en&familyid=9D467A69-57FF-4AE7-96EE-B18C4790CFFD

Avvialo e digita esattamente: ntrights +u (NOME DEL TUO ACCOUNT senza parentesi) +r SeDebugPrivilege

Poi START --> DISCONNETTI --> RICONNETTI (Solo ora hai i privilegi)

Riutilizza Unlocker. Questa volta va e puoi cancellare i file infetti.

Togli i privilegi scrivendo: ntrights +u (NOME ACCOUNT) -r SeDebugPrivilege
e ricorda di disconnetterti e riconnetterti.

FINE
78
Non è un breve lavoro...cmq avg mi ha beccato ogni tanto cose anche ultimamente soprattutto in files di sistema non è affatto vero che non funziona. E poi se un antivirus viene aggiornato quell'antivirus funziona.

In ogni caso questo shield, active shield è aggiornabile? scannerizza anche la mail? In ogni caso lo provo, per il resto grazie provo a risolvere, mi sa che dopo tutta questa roba che hai detto, ammesso che pulisca il 100 percento delle cose questa serie di operazioni, non dovrei fare altro che mettere qualcosa che protegga il pc, non è consigliabile un buon firewall almeno da accendere mentre non si gioca e solo mentre si naviga ed altro. (zonealarm che io ricordi era potente..ma rompeva abbastanza le palle...e poi sappiamo tutti che se inizi a dire, no quello nn bloccarlo no quelle nemmeno e neanche quello....alla fine non blocchi niente e hai un progr in piu che runna sul pc mentre la protezione è sempre a livello bassissimo (con tutte queste eccezioni).

In ogni caso non ho idea di come il pc cosi aggiornato etc etc..abbia preso queste infezioni..

Vabbe vi faccio sapere. Grazie
??????
Se cancello administrator dato che io ho sia administrator visibile qui e sulle cartelle ma non è che posso accedere con "administrator" ma con un altro nome che è quello che metto (che credo sia amministratore cmq)...
Insomma se cancello administrator fa casino? e lascio quello con cui entro sempre.

????
Ciao.
79


Nessuno ha detto che non funziona. In uno studio comparativo AVG ha individuato l'82.82 % dei virus, Active Virus Shield il 99,62 % Semplicemente uno dei due funziona meglio. Sono entrambi gratuiti, quindi...



Io ero infetto secondo AVShield, mentre ero pulito secondo AVG (che usavo ritenendo d'essere aggiornato bla bla bla... Evidentemente ho beccato uno dei virus che appartiene alla minoranza del 20% non individuata da AVG. Poi il PC è tuo, tienti ciò che prefrerisci.

Cmq certi virus non sono eliminabili dall'antivirus, ma solo individuabili. L'eliminazione la devi fare manualmente.
80
Oh, si è vero ne ha beccati, certo che mi sa che se puoi mi dovresti dare una mano ancora, sei stato preciso nella risposta come nella spiegazione. AVG mi sembrava anche una merdaccia come design..questo almeno c'ha una buona interfaccia più al passo con i tempi. Mi ha beccato subito dopo 5 minuti un trojan si chiama cosi : Trojan.Win32.RKDice.a (insomma che fare dice che devo cancellarlo per forza perche non puoi ripararlo...e, informazione non poco importante, ha infettato il file in w.\sistem32\clock$.tcg a meno che egli stesso non sia una merdaccia skifosa da cancellare..a me sembra piu la seconda che la prima sinceramente

Mi sbaglio? oppure clock con la $ di dollari finale è un file di windows originale? non dire proprio..cancello? sarebbe meglio parlare via msgr, ma il forum funziona e tramite lui ho trovato te quindi va bene cosi.

Oh, che dire? poi ha beccato altri al 50% a cui sn adesso alle ore 9 meno 5 di giovedi 14, ma sono trojan (almeno come li chiama lui) nella cartella Java (che è quel programma che va scaricato da tutti per aprire certe pagine web e poterle vedere...) si trovano 4 nel docu e settings\user**\dati e applicazioni ...e sn in java (la cartella del famoso programma..non vorrei si fosse sbagliato...oppure se dice cosi devo cancellarli? a volte sti prgr pensano che per dire..scvhost.exe o l'update di windows siano dei trojan o comunicazioni maligne..invece sbagliano ecc ecc.. (quando questi schfosissimi malaware riusciranno a fondersi con i file di windows saranno imbattibili...beh per batterli o formatti o i programmatori di O|s creano altri sistemi operativi basati su diversi linguaggi ecc ecc...

Poi ne ha trovato un altro... ma si tratta di uno stupido trojan clicker negli internet temporary internet files...

Insomma uno si chiede questa roba come ha fatto a prenderla...
Volevo sapere se devo prendere un buon fire wall, pero avendo FW credo che con il router che viene automaticamente montato non dovremmo avere problemi (ma evidentemente se ne hanno lo stesso) allora che firewall uso?
E poi, per quanto riguarda trojan ancora worm war in generale virus devo evitare tutti quei siti tipo ampland dove mi metto a scaricare i mini porno quando sono a corto...

Evitare altri siti etc etc. la mail mi pare pulita. Sai dirmi (intanto controllo io) però se questo programma controlla anche la mail (active shield?).

Grazie veramente di tutto la tua consulenza è stata gratuita ma apparentemente molto devastante per le forze del male che abitavano il mio pc... thx man.