XP PRO SP3 a problém s atapi.sys

[pc blazen]

Ciao,
bratrovi z ničehonic přestal nabíhat Windows. Při načítání systému se načte driver GK (ztiší se její ventilátor), pak nejspíš ještě něco, ale i tak zůstane pouze probíhat Progress bar a ani po čtvrthodině se to nikam nehne, disk také nebliká. Zjistil jsem, že to způsobil Alcohol 120% a právě atapi.sys, tak jsem atapi.sys v nouzovém režimu odstranil a poté PC normálně naběhlo do normálního režimu (systém je na SATA disku). Pak jsem ve správci zařízení odinstaloval a nainstaloval primární a sekundární kanál IDE a vše bylo v pořádku. HDD i vypalovačka jely bez problémů. Ten nastane až ve chvíli, kdy se PC vypne či restartuje - opět se nechce načíst normální režim a musí se přes nouzák smazat atapi.sys a po restartu v normálním režimu nainstalovat IDE řadič. Záhada je, že v nouzovém režimu je IDE HDD i vypalovačka vidět, takže atapi.sys v nouzáku nejspíš funguje. Jinak je PC bez virů, takže tuhle možnost bych vyloučil.

Budu rád za každý návrh, už jsem zkoušel ono atapi i všelijak nahrazovat, ale pokaždé bez úspěchu. Díík

[zombux]

bych řekl že přesně tohle dělal nějakej vir. projet ComboFixem, a v nouzáku nahradit atapi.sys nějakým ze zdravých Windows, nebo to extrahovat ze servicepacku, a to samé je třeba udělat se všemi výskyty atapi.sys na disku, určitě bude další ještě někde v dllcache apod.

[LiveBomb]

Zkusil si odistalovat Alcohol?

Pak me jedine napada, ze by si tam mel nejakej malware

[jan.svoboda]

Jak psal Zombux, dej sem log z ComboFixu, i dle mě je to způsobený virem. Pak uvidíme dál.

Stahni si ComboFix
( http://download.bleepingcomputer.com/sUBs/ComboFix.exe , http://www.forospyware.com/sUBs/ComboFix.exe ) na plochu,

beta: http://download.bleepingcomputer.com/sU ... ttyFix.exe

- ukoncete vsechna aktivni okna a spuste ho pod uctem administratora.
- potvrdte licencni podminky - klik na "Ano", pripadne dalsi vyzvy programu.
- zapiste si informace proc se ukoncil nebo co mu brani v provozu (sdelte radci)
- nechte stahnout i nainstalovat recovery konzolu (velmi doporucuji)
- behem skenu neklikejte do zobrazeneho okna, je mozne ze CF restartuje PC.
- sken by mel trvat max. 20 minut. Pokud ani do uvedene doby nedojde k jeho ukonceni, ukoncite ho, kdy uvedeny problem nahlaste radci.
- po ukonceni se otevre log (textovy soubor) - pokud se tak nestane lze log najit C:\ComboFix.txt - cely obsah logu zkopirujte do sveho prispevku

[pc blazen]

bych řekl že přesně tohle dělal nějakej vir. projet ComboFixem, a v nouzáku nahradit atapi.sys nějakým ze zdravých Windows, nebo to extrahovat ze servicepacku, a to samé je třeba udělat se všemi výskyty atapi.sys na disku, určitě bude další ještě někde v dllcache apod.

Tím zdravým už jsem to zkoušel nahrazovat, kde se dalo, ale nepomohlo to - vezmu to ComboFixem

Zkusil si odistalovat Alcohol?

Néé asi

Jak psal Zombux, dej sem log z ComboFixu, i dle mě je to způsobený virem. Pak uvidíme dál.<BR sab="814"><BR sab="815">

Stahni si ComboFix<BR sab="816">( http://download.bleepingcomputer.com/sUBs/ComboFix.exe , http://www.forospyware.com/sUBs/ComboFix.exe ) na plochu,<BR sab="817"><BR sab="818">beta: http://download.bleepingcomputer.com/sU ... Fix.exe<BR sab="819"><BR sab="820">- ukoncete vsechna aktivni okna a spuste ho pod uctem administratora.<BR sab="821">- potvrdte licencni podminky - klik na "Ano", pripadne dalsi vyzvy programu.<BR sab="822">- zapiste si informace proc se ukoncil nebo co mu brani v provozu (sdelte radci)<BR sab="823">- nechte stahnout i nainstalovat recovery konzolu (velmi doporucuji)<BR sab="824">- behem skenu neklikejte do zobrazeneho okna, je mozne ze CF restartuje PC.<BR sab="825">- sken by mel trvat max. 20 minut. Pokud ani do uvedene doby nedojde k jeho ukonceni, ukoncite ho, kdy uvedeny problem nahlaste radci.<BR sab="826">- po ukonceni se otevre log (textovy soubor) - pokud se tak nestane lze log najit C:\ComboFix.txt - cely obsah logu zkopirujte do sveho prispevku

Moc díky, večer na to mrknu a nahodím log

[jan.svoboda]

Nemáš za co. Nejprve vyčistíme počítač od havěti a pak případně přes ComboFix nebo jinak nahradíme nakažený atapi.sys za zdravý, a už by se neměl vrátit

[pc blazen]

Tak zde je log:

ComboFix 10-02-08.02 - Cookin o 08.02.10 21:14:26.1.2 - x86
Systém Microsoft Windows XP Professional 5.1.2600.3.1250.420.1029.18.2047.1649 [GMT 1:00]
Spuštěný z: \\datapc\Sdilena data\ComboFix.exe
FW: Outpost Firewall Pro *disabled* {8A20CA2A-9E02-4A64-923B-0A38208EB7FD}
.

((((((((((((((((((((((((((((((((((((((( Ostatní výmazy )))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\program files\ICQ6.5\ICQLRun.exe

.
((((((((((((((((((((((((( Soubory vytvořené od 2010-01-08 do 2010-02-08 )))))))))))))))))))))))))))))))
.

2010-02-08 20:08 . 2008-04-13 18:40 96512 -c--a-w- c:\windows\system32\dllcache\atapi.sys
2010-02-08 20:08 . 2008-04-13 18:40 96512 ----a-w- c:\windows\system32\drivers\atapi.sys
2010-02-06 19:57 . 2010-02-06 19:57 -------- d-----w- c:\windows\system32\wbem\Repository
2010-01-25 18:04 . 2010-01-25 18:04 -------- d-----w- c:\program files\Veetle

.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-02-08 20:21 . 2009-08-30 23:02 -------- d-----w- c:\program files\ICQ6.5
2010-02-08 16:21 . 2009-02-11 12:47 -------- d-----w- c:\program files\Google
2010-02-06 20:12 . 2009-01-15 17:35 -------- d-----w- c:\program files\BOINC
2009-12-30 20:16 . 2009-12-30 20:16 -------- d-----w- c:\program files\SopCast
2009-12-24 21:30 . 2009-02-08 17:12 -------- d-----w- c:\program files\TubeSucker
2009-12-24 17:36 . 2009-12-24 17:35 -------- d-----w- c:\program files\Creative
2009-12-22 14:46 . 2009-12-22 14:46 -------- d-----w- c:\program files\Ubisoft Entertainment
2009-12-22 14:46 . 2008-12-25 13:14 -------- d--h--w- c:\program files\InstallShield Installation Information
.

(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Fraps"="c:\fraps\FRAPS.EXE" [2006-06-18 2834432]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-11-12 13672448]
"nwiz"="nwiz.exe" [2008-11-12 1630208]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2008-11-12 86016]
"RTHDCPL"="RTHDCPL.EXE" [2006-05-18 16207872]
"SkyTel"="SkyTel.EXE" [2006-05-16 2879488]
"nod32kui"="c:\program files\Eset\nod32kui.exe" [2006-03-22 778240]
"amd_dc_opt"="c:\program files\AMD\Dual-Core Optimizer\amd_dc_opt.exe" [2008-07-22 77824]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-10-03 35696]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"DesktopIconToy"=c:\program files\Desktop Icon Toy\DesktopIconToy.exe
"RGSC"=c:\program files\Rockstar Games\Rockstar Games Social Club\RGSCLauncher.exe /silent
"ICQ"="c:\program files\ICQ6.5\ICQ.exe" silent
"SoftAuto.exe"="c:\program files\Creative\Software Update 3\SoftAuto.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"WinampAgent"="c:\program files\Winamp\Winampa.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Program Files\\uTorrent\\utorrent.exe"=
"c:\\Hry\\Grand Theft Auto IV\\LaunchGTAIV.exe"=
"c:\\Program Files\\Rockstar Games\\Rockstar Games Social Club\\RGSCLauncher.exe"=
"c:\\Program Files\\ICQ6.5\\ICQ.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"13364:UDP"= 13364:UDP:Print Server Utility
"13621:UDP"= 13621:UDP:MFP Bot Utility
"13107:UDP"= 13107:UDP:Print Server Utility
"69:UDP"= 69:UDP:Print Server Utility

S2 gupdate1c9dcacab57b0ca;Služba Google Update (gupdate1c9dcacab57b0ca);c:\program files\Google\Update\GoogleUpdate.exe [24.5.09 21:17 133104]
S3 CTUPnPSv;Creative Centrale Media Server;c:\program files\Creative\Creative Centrale\CTUPnPSv.exe [21.5.08 12:42 64000]
S3 SetupNTGLM7X;SetupNTGLM7X;\??\e:\ntglm7x.sys --> e:\NTGLM7X.sys [?]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
UxTuneUp
.
Obsah adresáře 'Naplánované úlohy'

2010-02-05 c:\windows\Tasks\1-Click Maintenance.job
- c:\program files\TuneUp Utilities 2007\SystemOptimizer.exe [2007-04-26 20:51]

2010-02-08 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\program files\Google\Update\GoogleUpdate.exe [2009-05-24 20:17]

2010-02-08 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\program files\Google\Update\GoogleUpdate.exe [2009-05-24 20:17]
.
.
------- Doplňkový sken -------
.
uStart Page = hxxp://www.seznam.cz/
uSearchURL,(Default) = hxxp://www.google.com/keyword/%s
IE: E&xportovat do aplikace Microsoft Office Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
IE: {{230D1201-7607-4CF6-A11F-9E4BF0A333E0} - {0DB13731-CEFD-43CF-A8FD-B61DCBC4D5B8} - c:\program files\Verdict Free\etnxp.dll
IE: {{2C73F784-D2DE-4422-B070-2E3332FE5744} - {0320AC26-52C8-4316-B2C4-24BB6FA73C9A} - c:\program files\Verdict Free\etnxp.dll
LSP: imon.dll
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-02-08 21:22
Windows 5.1.2600 Service Pack 3 NTFS

skenování skrytých procesů ...

skenování skrytých položek 'Po spuštění' ...

skenování skrytých souborů ...

sken byl úspešně dokončen
skryté soubory: 0

**************************************************************************
.
--------------------- ZAMKNUTÉ KLÍČE V REGISTRU ---------------------

[HKEY_USERS\S-1-5-21-602162358-706699826-839522115-1003\Software\SecuROM\License information*]
"datasecu"=hex:ea,8b,f1,24,63,cd,55,86,c2,0f,e9,96,c0,64,a1,52,b8,dc,08,89,b7,
36,10,f2,30,c3,cd,f2,81,bd,30,1e,da,de,c3,a9,a4,71,71,5a,e6,2d,57,87,97,87,\
"rkeysecu"=hex:12,4d,d0,de,65,70,5c,9a,4a,af,17,48,e6,2e,e0,5b
.
--------------------- Knihovny navázané na běžící procesy ---------------------

- - - - - - - > 'lsass.exe'(752)
c:\windows\system32\imon.dll
c:\program files\Eset\pr_imon.dll
.
Celkový čas: 2010-02-08 21:24:05
ComboFix-quarantined-files.txt 2010-02-08 20:24

Před spuštěním: Volných bajtů: 94 024 380 416
Po spuštění: Volných bajtů: 94 017 998 848

WindowsXP-KB310994-SP2-Pro-BootDisk-CSY.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect /usepmtimer

- - End Of File - - A215335B7B960B00D8F5D8CC69346E9A

případně ke stažení zde: http://uloz.to/3926123/log.txt

[Shit]

Zjistil jsem, že to způsobil Alcohol 120% a právě atapi.sys..

Jenom technická:
A 120% nepoužívá ke své emulaci virt. mechaniky atapi.sys, ale svůj SCSI driver.
Nebo to dělá při vypalování?

Jinak je PC bez virů, takže tuhle možnost bych vyloučil.

Já zase ne.

[pc blazen]

Zjistil jsem, že to způsobil Alcohol 120% a právě atapi.sys..

Jenom technická:
A 120% nepoužívá ke své emulaci virt. mechaniky atapi.sys, ale svůj SCSI driver.
Nebo to dělá při vypalování?

Jinak je PC bez virů, takže tuhle možnost bych vyloučil.

Já zase ne.

No taky už teď mám pocit, že je v tom Alcohol nevinně a že je to fakt virus, nicméně na atapi.sys mě navedlo jedno fórum, kde ho uživatel zmiňoval právě v souvislosti s nefunkčním systémem kvůli Alcoholu.
Btw když jsem blbnul s nahrazováním atapi.sys z jiného počítače, všiml jsem si, že ten nový má něco kolem 42kb, ale po a instalaci HDD a vypalovačky ve správci zařízení už má nějakých 94kb. Je to běžný jev, nebo se do toho zavrtává nějakej xindl? Podle mě by to mělo mít pořád stejnou velikost

[Shit]

atapi.sys - verze 5.1.2600.5512 (WXP SP3) má velikost 96 512 bajtů, přičemž MD5 má hodnotu

Kód: Vybrat vše

9F3A2F5AA6875C72BF062C712CFA2674

Těch cca 42k má pravděpodobně komprimovaný soubor (cab archív).

[jan.svoboda]

Log z ComboFixu vypadá čistě, takže to zřejmě virem nebude

Ještě otestuj atapi.sys na virustotal, jestli se náhodou od něčeho zase nenakazí.
otestuj na http://www.virustotal.com soubor(y):

Kód: Vybrat vše

c:\windows\system32\dllcache\atapi.sys
c:\windows\system32\drivers\atapi.sys

- staci kdyz do pole zkopirujete a date zvolit odeslat
- informace o zarazeni do fronty, musite ji vydrzet.
- pokud dojde k zobrazeni informace "soubor byl jiz testovan", zvol moznost otestovat soubor znovu
- vysledek oznam, nejlepe zkopirovanim odkazu ci zkopirovani tabulky, bez doplnujicich informaci jako PE apod

v pripade nefunkcnosti Virustotal, soubory muzes otestovat i na http://virscan.org

Stahni si gmer na plochu http://www2.gmer.net/gmer.zip
- rozbal tak aby nebyl spousteci soubr v zadne slozce
- spust gmer.exe
- po dokonceni rychleho skenu -> klik na tlacitko Save log, nasledne ho otevri s tym, ze obsah vlozis do sveho prispevku.
Pak proved - odoznac (klik na ctverecek):
Sections
IAT/EAT
- neoznacuj:
Show All a jine jedontky nez je systemovy disk (typicky C:\)
- klik na tlacitko Scan
- klik na tlacitko Save log nasledne ho otevri s tym, ze obsah vlozis do sveho prispevku jako dlouhy log z gmeru.

Upozorneni, kompletni sken trva nekdy nehorazne dlouho, kvuli velkemu poctu malych souboru na disku. Pokud dojde ke stavu odmitnuti odeslani prispevku kvuli max. poctu povolenych znaku, vloz jako prilohu (zip soubor logu)

[pc blazen]

Po krátké nemoci jsem tu Jinak bratrovi se podařilo PC zasekat tak, že už nenabíhá ani v nouzovém režimu, tak to přeinstaluji, bude to rychlejší než pátrání po chybě a její řešení. Takže díky za pomoc

[jan.svoboda]

Dobře, každopádně nemáš za co.