66 ответов в этой теме

[rwflx]

Повторяюсь, выявлено уже две машины, на которых полностью выведена из строя служба терминалов, после "лечения" CureIt.

Сообщение было изменено rwflx: 12 Ноябрь 2021 - 11:38

[VVS]

А, во вторых, только что проверил - CureIt не удаляет файлы и ключи реестра, связанные с RDP.

Тогда как так получается, что сервис "Служба удалённых рабочих столов" (termservice) исчезает из списка, после лечения???

У меня Remote Desktop Services никуда не исчез после проверки CureIt.
Отличие от Вашей ситуации в том, что у меня никакого RDP Wrapper не установлено.

Сообщение было изменено VVS: 12 Ноябрь 2021 - 11:52

[rwflx]

Если бы TermService исчезал вообще без каких либо причин, то стоило бы смело включать CureIt в базу, как Trojan.CureIt, а так ещё остаются спорные моменты... %))

 

Сообщением, что у вас всё в порядке после проверки, вы оттачиваете свои демагогические приёмы и вводите публику в заблуждение.

 

P.S. Кто-нибудь уже скажет, какие ключи затрагивает CureIt при лечении RDPWrapper, чтобы я мог попытаться восстановить их с рабочей машины?

 

Тогда как так получается, что сервис "Служба удалённых рабочих столов" (termservice) исчезает из списка, после лечения???

 

У меня Remote Desktop Services никуда не исчез после проверки CureIt.
Отличие от Вашей ситуации в том, что у меня никакого RDP Wrapper не установлено.

 

[VVS]

Если бы TermService исчезал вообще без каких либо причин, то стоило бы смело включать CureIt в базу, как Trojan.CureIt, а так ещё остаются спорные моменты... %))
Сообщением, что у вас всё в порядке после проверки, вы оттачиваете свои демагогические приёмы и вводите публику в заблуждение.

Нет, я просто сообщаю, что, если не использовать никаких "хакерских" утилит, то ничего, относящегося к системе, CureIt не удалит.

Делаю я это для того, чтобы Вы не "вводили публику в заблуждение", что CureIt на ровном месте удалил что-то системное.

 

P.S. Кто-нибудь уже скажет, какие ключи затрагивает CureIt при лечении RDPWrapper, чтобы я мог попытаться восстановить их с рабочей машины?

Вы отправили логи в поддержку - ждите ответа от них.

[Aleksandra]

P.S. Кто-нибудь уже скажет, какие ключи затрагивает CureIt при лечении RDPWrapper, чтобы я мог попытаться восстановить их с рабочей машины?

Кто-нибудь уже скажет, зачем нужен RDPWrapper? Ведь вроде на винде есть штатный инструмент, не?

[VVS]

P.S. Кто-нибудь уже скажет, какие ключи затрагивает CureIt при лечении RDPWrapper, чтобы я мог попытаться восстановить их с рабочей машины?

Кто-нибудь уже скажет, зачем нужен RDPWrapper? Ведь вроде на винде есть штатный инструмент, не?

Насколько я нагуглил, он позволяет на рабочей станции организовать множественное подключение по RDP.
Без него на рабочей станции доступно только 1 подключение в каждый момент.
Соответственно, он что-то "хакает".

Сообщение было изменено VVS: 12 Ноябрь 2021 - 13:01

[Aleksandra]

 

 

P.S. Кто-нибудь уже скажет, какие ключи затрагивает CureIt при лечении RDPWrapper, чтобы я мог попытаться восстановить их с рабочей машины?

Кто-нибудь уже скажет, зачем нужен RDPWrapper? Ведь вроде на винде есть штатный инструмент, не?

 

Насколько я нагуглил, он позволяет на рабочей станции организовать множественное подключение по RDP.
Без него на рабочей станции доступно только 1 подключение в каждый момент.
Соответственно, он что-то "хакает".

 

Если я правильно поняла, то ТС поставил этот гавнософт который внес изменения в системный реестр и тд. Потом запустил проверку CureIt дав ему отмашку лечить все. А теперь пришел сюда к нам? А почему не на форум разработчиков этой чудо проги?

[VVS]

Aleksandra, Вы правильно поняли.

Штатный Remote Desktop Services запускает C:\WINDOWS\System32\svchost.exe -k NetworkService

Скорее всего этот RDP Wrapper заменяет svchost на что-то своё - вот курилка его и вынес.

[Afalin]

Насколько я нагуглил, он позволяет на рабочей станции организовать множественное подключение по RDP.
Без него на рабочей станции доступно только 1 подключение в каждый момент.
Соответственно, он что-то "хакает".

В home-версиях винды RDP-сервера вообще нет, в остальных кроме terminal server – до 2 подключений.

RDP Wrapper, емнип, включает везде и без ограничений.

Хотя желающие во все времена просто брали termsrv.dll от terminal server и жили не менее счастливо. Причём без стороннего софта и всяких правок в реестре. С юридической точки зрения эти деяния скорее всего равнозначны.

[VVS]

 

Насколько я нагуглил, он позволяет на рабочей станции организовать множественное подключение по RDP.
Без него на рабочей станции доступно только 1 подключение в каждый момент.
Соответственно, он что-то "хакает".

В home-версиях винды RDP-сервера вообще нет, в остальных кроме terminal server – до 2 подключений.

Спасибо, я думал, что только 1 подключение.
 

[rwflx]

CureIt уничтожил и штатный и нештатный инструменты...

 

 

 

P.S. Кто-нибудь уже скажет, какие ключи затрагивает CureIt при лечении RDPWrapper, чтобы я мог попытаться восстановить их с рабочей машины?

Кто-нибудь уже скажет, зачем нужен RDPWrapper? Ведь вроде на винде есть штатный инструмент, не?

 

[VVS]

CureIt уничтожил и штатный и нештатный инструменты...

IMHO штатный инструмент уничтожил RDP Wrapper, а потом CureIt уничтожил этого RDP Wrapper'а

[rwflx]

Проблема решена. CureIt удаляет всю ветку HKLM\SYSTEM\CurrentControlSet\Services\TermService вместо того, чтобы вернуть единственное значение:

 

reg add HKLM\SYSTEM\CurrentControlSet\Services\TermService\Parameters /v ServiceDll /t REG_EXPAND_SZ /d "%SystemRoot%\system32\termsrv.dll" /f

 

Необходимо экспортировать HKLM\SYSTEM\CurrentControlSet\Services\TermService из той же версии Windows и импортировать на машине, где CureIt поломал TermService.

 

 

CureIt уничтожил и штатный и нештатный инструменты...

IMHO штатный инструмент уничтожил RDP Wrapper, а потом CureIt уничтожил этого RDP Wrapper'а

 

 

[VVS]

Вывод:

TermService был поломан этим RDP Wrapper'ом

После этого он стал чем-то, что к штатному сервису винды не имеет никакого отношения.

CureIt отработал корректно, как и должен был, удалив файл, который ему указал удалить ТС, и связанные с этим файлом записи в реестре.

[TASS]

А когда это RDP Wrapper стал частью операционной системы? %)

VVS, я не считаю RDP Wrapper частью системы. Я полагал, что CureIT повредил штатный функционал системы, вылечив её от RDP Wrapper. Как я понял, вы думаете иначе.

В таком случае прояснить ситуацию поможет рекомендация:

Соберите отчет утилитой: https://drw.sh/ofxdsr

[VVS]

 

А когда это RDP Wrapper стал частью операционной системы? %)

VVS, я не считаю RDP Wrapper частью системы. Я полагал, что CureIT повредил штатный функционал системы, вылечив её от RDP Wrapper. Как я понял, вы думаете иначе.

Дело в том, что это уже не было "частью системы".

Это был сервис, который запускал что-то "левое".

Из того, что он назывался также, как и сервис, который существует в оригинальной винде, не следует абсолютно ничего.

[Ivan Korolev]

 

 

А когда это RDP Wrapper стал частью операционной системы? %)

VVS, я не считаю RDP Wrapper частью системы. Я полагал, что CureIT повредил штатный функционал системы, вылечив её от RDP Wrapper. Как я понял, вы думаете иначе.

Дело в том, что это уже не было "частью системы".

Это был сервис, который запускал что-то "левое".

Из того, что он назывался также, как и сервис, который существует в оригинальной винде, не следует абсолютно ничего.

 

 

Ага, именно так. Подумаем, что можно сделать.

[VVS]

А когда это RDP Wrapper стал частью операционной системы? %)

VVS, я не считаю RDP Wrapper частью системы. Я полагал, что CureIT повредил штатный функционал системы, вылечив её от RDP Wrapper. Как я понял, вы думаете иначе.

Дело в том, что это уже не было "частью системы".
Это был сервис, который запускал что-то "левое".
Из того, что он назывался также, как и сервис, который существует в оригинальной винде, не следует абсолютно ничего.

Ага, именно так. Подумаем, что можно сделать.

А что можно сделать?
Держать базу сервисов всех версий винды, начиная с XP?
Что-то такая идея мне не нравится.

[rwflx]

Можно поправить исключение именно для RDPWrapper и лечить его более консервативно.

[VVS]

Можно поправить исключение именно для RDPWrapper и лечить его более консервативно.

IMHO какой-нибудь троян может таким же способом "откорректировать" запись для любого сервиса...