Paranoia? BadUSB, BadBIOS? Prosim o kontrolu logu.

[Mildajz]

Dobry den,
Snazim se vzdelavat abych nedelal kopance a neplacal paty pres devaty, ale cim vic informaci mam, tim vic jsem presvedceny ze jediny bezpecny pocitac, telefon, chytra televize, projektor, disky.. je ten ktery je odpojeny a zakopany 30 metru pod zemi na neznamem miste jak rekl nejaky agent fbi. Po procteni clanku a dalsich navaznych na wiki o rootkitech https://en.m.wikipedia.org/wiki/Evil_Ma ... ck#bootkit ,premyslim jak celou situaci od zakladu vyresit.
Myslite ze by pomohlo z pocatku zrusit UPC i s pravdepodobne zkomprovitovanym firmwarem v modemu a verejnou ip a poridit si net od rekneme Pilsfree, nebo podobneho sduzeni?
Tez vazne premyslim nad tim ze si objednam sluzby nejakych profesionalu kteri si na toto troufnou kompletne. (Site, pc, android..)
Nejlepe z Plzne kvuli doprave, nebo posilani jednotlivych zarizeni postou. Pripadne doporucte /doufam ze neporusuji nejake pravidla fora/. Dekuji.

[altrok]

Jednu noc jsem stravil studovanim o badBIOSu a problemech podobnym tem Vasim, ale nic prevratneho jsem neobjevil. Kontaktoval jsem kolegy, kteri maji o rootkitech/jadru OS/bioskitech hlubsi znalosti a vice zkusenosti - bohuzel, tito kolegove maji jeste mene volneho casu, ktery foru mohou venovat.

• Do Poznamkoveho bloku (Start -> spustit -> notepad) zkopirujte obsah bileho pole
• ulozte na plochu jako fixlist (Typ souboru: Textovy dokument)

  Kód: Vybrat vše

  Start
  SaveMbr: drive=0
  End

• nabootujte do nouzoveho rezimu
• spustte FRST a kliknete na Fix
• na plose se vytvori soubor MBRDUMP.txt, ktery zabalte do zipu/raru a prilozte k pristimu prispevku

[Mildajz]

Dobrý večer,
moc děkuji, jsem smířený s tím že to nebude jednoduché vyřešit, ne li nemožné v tuto chvíli. Když budete mít chuť a hlavně čas zkouknete to, když ne, počkáme.
Jak jsem psal v prvním příspěvku, něco se možná dozvíme z mých dvou karet a flešky, díky které jsem si prvně všiml že něco není v pořádku, jen nevím zda to bude zítra, či za měsíc. V tomhle počítači se nebudu nikterak 'šťourat' a budu postupovat jen podle doporučení.
Přikládám dumpMBR z kterého také nejsem nikterak chytřejší.
Už dříve mě ale napadlo, nedělám žádné velké neplechy a určitě si nejsem vědomý že bych znal třeba nějaké teroristy , ale přesto konspirační teorie, norové nejsou v EU a všeobecně známo si mohou dovolit cokoliv a pokud se jim na nás něco nelíbí asi by nebyl problém nám do počítačů nacpat nějaké vlastní rootkity aby měli kontrolu? Nehledě na to že největší problémy jsem měl s telefonem odsud a to nebyl android, ale nejlevnější nokie s vlastním operačním systémem.. To ale byla spíš řečnická otázka pro upřesnění situace. A ještě jedna věc, kolega který je doma připojený k Pilsfree, podle svých slov tak zásadní problémy jako já u UPC, neměl..
Pokud se tu najde někdo koho by tato situace zajímala a chtěl by jí řešit více do hloubky, platí dotaz z mého předchozího příspěvku a nemám asi problém některé karty, disky nebo i počítač postrádat.

[Mildajz]

Dobry den,
Sice jsem sem tuto adresu jiz daval, ale pro vas ktere tento topic zajima, se tady resi uplne stejne problemy jake mam ja. Bohuzel jsem si prvne neprocetl cele vlakno ale zustal jsem omylem na prvni strance. Moje anglictina neni tak dobra abych sepisoval odpovedi anglicky. Davam to sem proto abychom pravdepodobne neopakovali jiz vyzkousene rady a tez pro vas kteri si mysli ze jsem se zblaznil a tento paravirtualni bordel ve skutecnosti neexistuje. Prosim vsechny profesionaly i radce, zkuste se na to podivat a procist cele vlakno. Myslim ze takto zasadni zalezitost by se nemela brat na lehkou vahu.
Dekuji.
http://answers.microsoft.com/en-us/prot ... d8af50d7f0

[Vrtule]

Dobrý den,

o problémech, které tu popisujete, už se občas psalo, s více či méně žádným výsledkem. Pokud jsem si všiml správně, dával jste tu výstupy z eventlogu, tak si je v noci snad přečtu.

Budu po vás chtít vytvořit dump fyzické paměti a nějak mi ho doručit (to může být problém, protože tyhle soubory bývají velké). Ještě ale musím promyslet, jak to udělat, aby se to u vás dalo rozumně zvládnout (a musím ten postup také vyzkoušet u sebe, abych věděl, zda dobře funguje).

---------------------

To, že Mozilla označuje Vyoskovu stránku za nebezpečnou a že jsou problémy se stahováním EXE souborů, bych neviděl jako problém způsobený záškodníkem, kterého teoreticky máte na svých strojích. Za to klidně může být zodpovědný prohlížeč. Mám zkušenosti z Google Chrome, že stáhnout EXE soubor je někdy dost netriviální, protože to prý může být nebezpečné pro můj počítač.

[Mildajz]

Dobrý den,
moc děkuji za reakci. Nikam nespěcháme. Když musím na internetu platit kartou, limity a další zabezpečení snad pomáhají. Tento kolegovo počítac Acer je ale už asi 7mi letý dědeček, tudíž hw chyby jsou zde také velmi pravděpodobné. Což nejspíš ale dokážete z eventů vyčíst.
Moc ho nepoužíváme, já v něm jen sepisuji příspěvky a lehce brouzdám webem. Kolega tu má android tablet lenovo a já používám většinou telefon a Lenovo Miix jsem dal až do dnes do šuplíku. Po pročtení fora z mého předchozího příspěvku jsem ale zkusil oba projet programem hitman pro alert. Bez výsledku, pouze tracking cookie a upozornění na frst64. Jinak jsem teď zkoušel winupdate a ani po několika minutách 'točení kolečka' se nic neděje..
Co se týká odeslání memory dump, mohu ho nechat zapnutý, ale máme tu upload jen něco přes 1Mbps, nebo někam nahrát. Tento Acer7730 ma 3gb RAM, Miix 2gb..

[Vrtule]

Dobrý den,

jelikož ty stroje nemají moc RAM (2 GB a 3 GB, jak píšete), tak si myslím, že odeslání toho memory dumpu bude realizovatelné, když se použije nějaký vhodný archivační program (např. 7zip). V mém případě se ten soubor kompresí zmenší asi na 10 % původní velikosti (alespoň to tak zatím vypadá), což je v mém případě sice 1,6 GB, ale u vás by to mohlo být 200-300 MB, což lze i s 1 Mbps odeslat za 40-60 minut.

Ale ještě musím kolem toho dumpu něco otestovat...

[Vrtule]

Dobrý den,

zkuste použít nástroj Memoryze na vytvoření dumpů paměti (klidně na obou strojích). Memoryze jsem nahrál sem:
http://www.jadro-windows.cz/tmp/memoryze.zip
http://www.jadro-windows.cz/tmp/memoryzeins.zip

V prvním archivu naleznete "portable" verzi. Pokud by nefungovala, stáhněte soubor na druhém linku. Jedná se o instalačku, takže někam nainstalujte. Pro vytvoření dumpu paměti by mělo stačit spustit soubor MemoryDD.bat, a to s právy správce (například tak, že si spustíte Příkazový řádek s právy správce, najedete si do adresáře s Memoryze a spustíte memorydd.bat, ale mělo by stačít i přes pravé tlačítko na tom .bat souboru).

Výsledkem práce programu (může to nějakou dobu trvat) bude vytvoření složky v adresáři Memoryze (pokud z tohoto adresáře spouštíte memorydd.bat), ve kterém bude soubor s přípomnou .img, jehož velikost by měla odpovídat velikosti fyzické paměti stroje. Ten mě zajímá. Zkuste jej zabalit (7zip, WinRAR, ZIP bych moc nedoporučoval, z mé zkušenosti má o dost horší kompresní poměr) a někam nahrát.

Já si to pak stáhnu a zkusím se podívat, zda-li něco nezjistím. Ale nic negarantuju. Tímto způsobem zíksané dumpy budu analyzovat zřejmě poprvé (teď jsme to zkoušel u sebe na stroji a nebylo to úplně ideální).

[Mildajz]

Dobrý den,
moc děkuji za Váš čas!
Dump paměti z počítače Acer s windows 7 64bit jsem dělal v portable verzi. Společně s img souborem se vytvořily ješte další soubory:

BatchResults.xml
Issues.BatchResults.xml
issues.memory.1d100904.img.xml

V počítači lenovo MIIX s windows 10 32bit jsem musel pustit instalátor (portable verze nefungovala že prý není určená pro můj počítač) a soubor memoryDD.bat jsem potom spustil z příkazové řádky. Taktéž se vytvořila další chybová hlášení.

BatchResults.xml
Issues.BatchResults.xml
issues.memory.353e3608.img.xml

Tyto xml soubory přikládám do raru a zároveň oba 'issues.memory' přímo sem.

Sobory IMG nahrávám na google disk, po nahrání pošlu linky.

ACER:

<?xml version="1.0" ?><IssueList xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" generator="MANDIANT Intelligent Response Agent" generatorVersion="3.0.0" itemSchemaLocation="http://schemas.mandiant.com/2012/11/issuelist.xsd" xsi:noNamespaceSchemaLocation="http://schemas.mandiant.com/2012/11/issues.xsd"><Issue number="0" level="Info" summary="System range 0x0000000000000000 - 0x000000000009f000" context="EnumerateDevices"/>
<Issue number="0" level="Info" summary="System range 0x00000000bfdff000 - 0x00000000bfe00000" context="EnumerateDevices"/>
<Issue number="0" level="Info" summary="System range 0x00000000bfd9f000 - 0x00000000bfde2000" context="EnumerateDevices"/>
<Issue number="0" level="Info" summary="System range 0x00000000bfd1f000 - 0x00000000bfd64000" context="EnumerateDevices"/>
<Issue number="0" level="Info" summary="System range 0x00000000bfd0f000 - 0x00000000bfd18000" context="EnumerateDevices"/>
<Issue number="0" level="Info" summary="System range 0x00000000bfa0f000 - 0x00000000bfb08000" context="EnumerateDevices"/>
<Issue number="0" level="Info" summary="System range 0x00000000bf8a7000 - 0x00000000bf9ba000" context="EnumerateDevices"/>
<Issue number="0" level="Info" summary="System range 0x0000000000100000 - 0x00000000bf8a1000" context="EnumerateDevices"/>
<Issue number="7022" level="Warning" summary="Unable to read memory page(s)Invalid address range 0x000000000009f000 - 0x00000000000ff000" context="MapPhysicalMemory"/>
<Issue number="7022" level="Warning" summary="Unable to read memory page(s)Invalid address range 0x00000000bf8a1000 - 0x00000000bf8a6000" context="MapPhysicalMemory"/>
<Issue number="7022" level="Warning" summary="Unable to read memory page(s)Invalid address range 0x00000000bf9ba000 - 0x00000000bfa0e000" context="MapPhysicalMemory"/>
<Issue number="7022" level="Warning" summary="Unable to read memory page(s)Invalid address range 0x00000000bfb08000 - 0x00000000bfd0e000" context="MapPhysicalMemory"/>
<Issue number="7022" level="Warning" summary="Unable to read memory page(s)Invalid address range 0x00000000bfd18000 - 0x00000000bfd1e000" context="MapPhysicalMemory"/>
<Issue number="7022" level="Warning" summary="Unable to read memory page(s)Invalid address range 0x00000000bfd64000 - 0x00000000bfd9e000" context="MapPhysicalMemory"/>
<Issue number="7022" level="Warning" summary="Unable to read memory page(s)Invalid address range 0x00000000bfde2000 - 0x00000000bfdfe000" context="MapPhysicalMemory"/>
<Issue number="7001" level="Info" summary="SummaryError reading 0x0000000000322000 bytes of memory." context="DumpPhysicalMemoryToDisk"/>
<Issue number="7000" level="Info" summary="Read SummaryRead 0x00000000bfe00000 bytes of memory." context="DumpPhysicalMemoryToDisk"/>
</IssueList>

MIIX:

<?xml version="1.0" ?><IssueList xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" generator="MANDIANT Intelligent Response Agent" generatorVersion="3.0.0" itemSchemaLocation="http://schemas.mandiant.com/2012/11/issuelist.xsd" xsi:noNamespaceSchemaLocation="http://schemas.mandiant.com/2012/11/issues.xsd"><Issue number="0" level="Info" summary="System range 0x0000000000000000 - 0x000000000008f000" context="EnumerateDevices"/>
<Issue number="0" level="Info" summary="System range 0x000000007ccf7000 - 0x000000007cd00000" context="EnumerateDevices"/>
<Issue number="0" level="Info" summary="System range 0x000000007cc00000 - 0x000000007cc1f000" context="EnumerateDevices"/>
<Issue number="0" level="Info" summary="System range 0x000000007b9dc000 - 0x000000007c800000" context="EnumerateDevices"/>
<Issue number="0" level="Info" summary="System range 0x000000007b9d9000 - 0x000000007b9db000" context="EnumerateDevices"/>
<Issue number="0" level="Info" summary="System range 0x000000007b9d7000 - 0x000000007b9d8000" context="EnumerateDevices"/>
<Issue number="0" level="Info" summary="System range 0x0000000025300000 - 0x000000007b781000" context="EnumerateDevices"/>
<Issue number="0" level="Info" summary="System range 0x00000000237d2000 - 0x0000000025233000" context="EnumerateDevices"/>
<Issue number="0" level="Info" summary="System range 0x0000000020200000 - 0x00000000237d1000" context="EnumerateDevices"/>
<Issue number="0" level="Info" summary="System range 0x0000000000307000 - 0x0000000020000000" context="EnumerateDevices"/>
<Issue number="0" level="Info" summary="System range 0x0000000000100000 - 0x0000000000303000" context="EnumerateDevices"/>
<Issue number="0" level="Info" summary="System range 0x0000000000090000 - 0x000000000009e000" context="EnumerateDevices"/>
<Issue number="7022" level="Warning" summary="Unable to read memory page(s)Invalid address 0x000000000008f000" context="MapPhysicalMemory"/>
<Issue number="7022" level="Warning" summary="Unable to read memory page(s)Invalid address range 0x000000000009e000 - 0x00000000000ff000" context="MapPhysicalMemory"/>
<Issue number="7022" level="Warning" summary="Unable to read memory page(s)Invalid address range 0x0000000000303000 - 0x0000000000306000" context="MapPhysicalMemory"/>
<Issue number="7022" level="Warning" summary="Unable to read memory page(s)Invalid address range 0x0000000020000000 - 0x00000000201ff000" context="MapPhysicalMemory"/>
<Issue number="7022" level="Warning" summary="Unable to read memory page(s)Invalid address 0x00000000237d1000" context="MapPhysicalMemory"/>
<Issue number="7022" level="Warning" summary="Unable to read memory page(s)Invalid address range 0x0000000025233000 - 0x00000000252ff000" context="MapPhysicalMemory"/>
<Issue number="7022" level="Warning" summary="Unable to read memory page(s)Invalid address range 0x000000007b781000 - 0x000000007b9d6000" context="MapPhysicalMemory"/>
<Issue number="7022" level="Warning" summary="Unable to read memory page(s)Invalid address 0x000000007b9d8000" context="MapPhysicalMemory"/>
<Issue number="7022" level="Warning" summary="Unable to read memory page(s)Invalid address 0x000000007b9db000" context="MapPhysicalMemory"/>
<Issue number="7022" level="Warning" summary="Unable to read memory page(s)Invalid address range 0x000000007c800000 - 0x000000007cbff000" context="MapPhysicalMemory"/>
<Issue number="7022" level="Warning" summary="Unable to read memory page(s)Invalid address range 0x000000007cc1f000 - 0x000000007ccf6000" context="MapPhysicalMemory"/>
<Issue number="7001" level="Info" summary="SummaryError reading 0x0000000000a65000 bytes of memory." context="DumpPhysicalMemoryToDisk"/>
<Issue number="7000" level="Info" summary="Read SummaryRead 0x000000007cd00000 bytes of memory." context="DumpPhysicalMemoryToDisk"/>
</IssueList>

[Mildajz]

Zde jsou odkazy ke stazeni dumpu pameti..

https://drive.google.com/open?id=0B-C-b ... 3NEczdxUkE

https://drive.google.com/open?id=0B-C-b ... 0FqbjEtVUU

[Vrtule]

Dumpy už mám stažené (asi ještě dřív, než jste ty odkazy zgrupoval do jednoho příspěvku). Budu se v nich pokoušet něco najít. Ale pár dní to potrvá.

[Vrtule]

Zdravím,

jelikož jsem měl co do činění s řešením tohoto problému, tak by asi bylo správné sem napsat nějaké to pojednání o tom, jaká je situace.

Dostal jsem do ruky jak tablet Lenovo, tak notebook Acer (starší), tak i flashku, která je považována za původkyni všeho zla. Řečeno ve zkratce: oba stroje se mi zdají v pořádku, u flashky jsem ještě úplně nedokončil výzkum.

U tabletu Lenovo se nějak zasekly aktualizace Windows, ale po zastavení a spuštění služeb WIndows Update a Background Intelligent Transfer Service se vše vrátilo do funkčního stavu. Systém se plně aktualizoval. Zdá se, že do počítače bylo přes prohlížeč staženo pár kousků malware, ale umístění stahovaných souborů napovídá tomu, že jejich stahování nebylo dokončeno (což si vykládám tak, že jejich stažení bylo zablokováno Defenderem či jiným antivirem). Soubory označila Avira, která v minulosti mívala problémy s falešnými poplachy. Nevím, jak je tomu u tohoto programu nyní.

Občas se mi u tabletu stalo, že po zasunutí do docku (klávesnice, 2 USB porty, HDMI...) byl někde zřejmě špatný kontakt, protože systém nic nezaznamenal. Ale opětovné vysunutí a zasunutí to vyřešilo. Takže se podle mě jedná spíš o problém konektoru.

Tablet jsem nakonec ani nepřeinstalovával, protože se zdál běžet v pořádku a volného místa byl dostatek (cca 75 % interní paměti).

Na Aceru jsem nenašel žádný softwarový problém (logy z GMERu nic neukázaly, Avira také nic nenašla). I tak jsem notebook přeinstaloval, kdyby došlo k nějakému problému při automatických aktualizacích. Ukázalo se, že stahování aktualizací trvá opravdu dlooouho (myslím, že úvodní vyhledávání aktualizací běželo snad 12-14 hodin. Ale prý ten aktualizační algoritmus na W7 a starších není zrovna efektivní... i proto, že se s tolika aktualizacemi asi ani nepočítalo ). Po úspěšné aktualizaci se opět zdá, že vše běží normálně.

U Aceru je spíš otázka, jak dlouho vydrží jeho HW. Z cca pěti USB portů funguje jen jeden. Přitom se zdá, že problém u ostatních je až někde vyloženě kolem konektoru, protože Správce zařízení je podle mě vidí, ale proud do nich neteče (zjišťováno přes http://rpishop.cz/usb-prislusenstvi-kla ... octor.html)).

Flashka se tváří, že má cca 64 GB, ale při kopírování se zkopírovalo jen prvních cca 8. Pak zřejmě následují vadné bloky. To budu ještě zkoumat. Zejména je třeba odpovědět na otázku, zda-li jsou všechno bloky nad 8 GB vadné, nebo je jich třeba jen pár. Co se týče obsahu, nezdá se, že by na flashce něco po úplném formátování zůstalo. Obsahuje jeden oddíl vyplnění bajty s pořád stejnou hodnotou (myslím, že 0xEC). Myslím si, že na počátku se na ní třeba usídlil nějaký malware spouštějící se přes autorun, ale formátování jej smazalo. Takže by flashka neměla již více škodit.

Co se týče instalace nepodepsaných ovladačů, tak jsem nic nezaznamenal. Je ale fakt, že neaktualizovaná Windows 7 mohou takové hlášky vyhazovat u ovladačů podepsaných novějšími certifikáty, případně algoritmem SHA256 (SHA-2), protože jsou pro ně prostě nedůvěryhodné. Ale to by měla spravit aktualizace.

A to je zatím konec celé pohádky.