How To Disabled and Removed Microsoft Windows MobSync - Trojan RootKit Come disabili e rimosso Microsoft Windows MobSync - Trojan rootkit

MobSync is a Microsoft Mobile Synchronization Manager available in Win 2000 & Windows XP MobSync è una sincronizzazione di Microsoft Mobile Manager disponibile in Win 2000 e Windows XP

Excerpt from Microsoft KB 314512 Articles (2002) Estratto da Microsoft KB 314512 articoli (2002)

The Windows XP Synchronization Manager helps ensure that the files and folders on your mobile device and your desktop computer stay synchronized. Windows XP Synchronization Manager contribuisce a far sì che i file e le cartelle sul tuo dispositivo mobile e il tuo computer desktop rimanere sincronizzati. With Synchronization Manager, you can be sure you are always working with the latest copy of your data, online or offline. Sincronizzazione con Manager, potete essere certi che siete sempre lavorando con l'ultima copia dei vostri dati, online o offline.

Technically MobSync is part of Windows Memory Management, its prefetch (type of cache) your External Device Contents (Mobile PC, Windows Embed XPE, PDA,database etc .. ) thus helps speed up the Windows booting process by shortening the time external device programs takes to start up. MobSync tecnicamente è parte di Windows Memory Management, la sua prefetch (tipo di cache) il vostro dispositivo esterno Sommario (Mobile PC, Windows Incorpora XPE, PDA, banca dati, ecc ..) contribuisce in tal modo accelerare il processo di avvio di Windows di abbreviare il tempo dispositivo esterno programmi prende l'avvio.

MobSync Issue Numero MobSync

MobSync is registered to run on logon but the process is hidden on others ‘Scans Tools’ like Autoruns.exe & Process.exe (SysInternal). MobSync è registrato per funzionare su di accesso, ma il processo è nascosto agli altri 'Scansioni Strumenti' come Autoruns.exe & Process.exe (SYSINTERNAL).

QuickFact:

• MobSync.exe can record inputs. MobSync.exe possibile registrare ingressi.
• Its hide itself from monitor applications. Il suo camuffarsi da monitorare applicazioni.

Apparently because of its transparencies nature to hide behind windows systems some hackers decide to reverse engineer this programs as a Trojan Rootkit. Apparentemente a causa della sua natura lucidi di nascondersi dietro i sistemi Windows alcuni hacker decidere di decodificare i programmi come questo un Trojan Rootkit.

Should I disabled Mobsync? I disabili dovrebbero Mobsync?

If you used windows for surfing and office works you probably wont need this programs (crapware) most modern mobile device has a build in Synchronization Manager and doesnt relies on microsoft mobsync (dependencies issue). Se si è utilizzato finestre per surf e ufficio opere probabilmente avete bisogno di questa abitudine programmi (crapware) più moderno dispositivo mobile ha una costruire in Sincronizzazione Manager e non si basa su Microsoft mobsync (dipendenze rilascio). Its recommended to disabled this programs as it can hide itself from being monitored and doesnt showup on running process lists. Il suo raccomandato agli handicappati programmi come questo si può nascondere se stesso di essere monitorati e non showup processo in esecuzione su liste.

Step by step guide to disabled MobSync from your windows. Passo dopo passo guida per disabili MobSync dal tuo finestre.

1. Disabled System Restore Disabili Ripristino configurazione di sistema

   You will need to disabled Windows System Restore (Temporary). Hai bisogno di disabili Ripristino configurazione di sistema di Windows (temporanea).

2. View hidden system files Vista nascosto i file di sistema

   Suspicious files is known to hide itself as Windows System files. File sospetti è noto per nascondere se stesso come file di sistema di Windows. The following settings will set all hidden files viewable so we could removed it. Le seguenti impostazioni di impostare tutti i file nascosti in modo visibile si potrebbe rimossi.

   • Click on Windows Start → Control Panel → Folder Options → View Tab Su Windows fare clic su Start → Pannello di controllo → Opzioni cartella → scheda Visualizza
   • Turn on the option to show hidden files Accendere la possibilità di mostrare i file nascosti

3. Clean Temporary Files and Windows Prefetch Files Pulizia file temporanei di Windows e file prefetch

   This wont harm your system. Questa abitudine danneggiare il tuo sistema. Removes all files inside the following directory. Remove the contents only not the folders . Rimuove tutti i file all'interno della directory di seguito. Rimuovere il contenuto non solo il contenuto delle cartelle.

   • C:\temp C: \ temp
   • C:\windows\temp C: \ windows \ temp
   • C:\Documents and Settings\<username>\Local Settings\Temp C: \ Documents and Settings \ <nome utente> \ Impostazioni locali \ Temp
   • C:\windows\prefetch C: \ windows \ prefetch

4. Boot in SafeMode Boot in SafeMode

   Restart your PC in safe mode. Riavviare il PC in modalità sicura. Refer KB 31522 on How To Boot in Safe Mode. Si riferiscono 31522 KB sulle modalità di avvio in modalità provvisoria.

5. Disabled MobSync Process MobSync processo disabili

   1. Click on start → Run → mobsync Fare clic su Start → Esegui → mobsync
   2. Next, Click on Setup buttons Quindi fai clic sul programma di installazione di pulsanti
   3. On “Synchronizations Settings” Windows Logon/Logoff tab un-check all the following options: Su "sincronizzazioni Impostazioni" di Windows Accesso / Fine sessione scheda deseleziona tutte le seguenti opzioni:

      Automatically Synchronize the following items: Sincronizzare automaticamente i seguenti elementi:

      • When I log on to my computer Quando accedo al mio computer
      • When I log off to my computer Quando ho disconnettersi al mio computer
   4. While still in “Synchronizations Settings” Windows select the next tab label “on Idle” un-check the following items: Mentre è ancora in "sincronizzazioni Impostazioni" di Windows selezionare la prossima scheda etichetta "su Idle" deseleziona i seguenti elementi:
      • Synchronize the selected items while my computer is idle Sincronizzare gli elementi selezionati, mentre il mio computer è inattivo

6. Removed from system registry Rimosso dal registro di sistema

   If you arent familiar with registry you may skip this part. Se si aren't familiarità con Registro di sistema si può saltare questa parte. Most normal startup programs can be found at the following registry path. La maggior parte dei normali programmi di avvio possono essere trovate al seguente percorso del Registro di sistema.

   • HKLM\Software\Microsoft\Windows\CurrentVersion\Run HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ Run
   • HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ RunOnce
   • HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ RunServices
   • HKLM\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ RunServicesOnce
   • HKCU\Software\Microsoft\Windows\CurrentVersion\Run HKCU \ Software \ Microsoft \ Windows \ CurrentVersion \ Run
   • HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce HKCU \ Software \ Microsoft \ Windows \ CurrentVersion \ RunOnce

   In Windows XP all loaded “startup programs” (start menu/startup items) can be found at HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg In Windows XP caricato tutti i "programmi di avvio" (menu Start / elementi di avvio) può essere trovato alla chiave HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Shared Tools \ MSConfig \ startupreg

   Mobsync registry HKLM\Software\Microsoft\Windows\CurrentVersion\syncmgr Mobsync Registro di sistema HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ syncmgr

Note on using Rootkit Scanner. Nota sull'uso di Rootkit scanner.

• James A. Eshelman HijackThis James A. Eshelman HijackThis
• SysInternal RootkitRevealer SYSINTERNAL RootkitRevealer
• F-secure Blacklight F-Secure Blacklight

Most advance Rootkit has a self mechanism to shutdown the system if any of this programs is identify in the memory. Rootkit anticipo la maggior parte ha un meccanismo di autoregolamentazione per spegnere il sistema se una di queste è individuare programmi in memoria. If you had this programs installed its advice to rename the programs first. Se si è tenuta la programmi installati i suoi consigli per rinominare i programmi di prima.

• RootKitRevealer.exe → RKV.exe RootKitRevealer.exe → RKV.exe
• HijackThis → hjct.exe HijackThis → hjct.exe

How to validate if the running programs is Tempered Come se la validazione i programmi in esecuzione è temperato

Get Certificate Verification Tool ( WM Software Corp) and verify the programs signature or you could also run Microsoft sigverif.exe (c:\windows\SIGVERIF.TXT) to verify digital signature. Ottenere il certificato di verifica Tool (WM Software Corp) e verificare i programmi firma o si potrebbe anche eseguire Microsoft sigverif.exe (c: \ windows \ SIGVERIF.TXT) per verificare la firma digitale.

Caveat: Most Rookit is “padded/mugged” with unix controls character so its not readable by Windows (ANSI). Caveat: la maggior parte Rookit è "imbottita / mugged" con unix controlli per cui il suo carattere non leggibile da Windows (ANSI).

Setupapi.log entries Setupapi.log voci

Setupapi.log can be found inside c:\windows\setupapi.log You need to enabled logging in verbose mode to get proper setup log. Setupapi.log possono essere trovati all'interno c: \ windows \ Setupapi.log È necessario abilitare la registrazione in modalità verbosa per ottenere l'installazione di log.
HKLM\Software\Microsoft\Windows\CurrentVersion\SetupLogLevel HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ SetupLogLevel

Insert DWORD value 0000FFFF to enabled verbose mode logging Inserire valore DWORD 0000FFFF abilitato a modalità verbose logging

Insert DWORD value 0 to disabled it Inserire valore DWORD 0 a disabilitato

Tempered MobSync.exe & similar windows networks files. Temperato MobSync.exe finestre e simili reti di file.

 An unsigned or incorrectly signed file (c:\windows\msdownld.tmp\as03b1e1.tmp\mobilepk.inf) was installed. Un unsigned o non correttamente firmato file (c: \ windows \ msdownld.tmp \ as03b1e1.tmp \ mobilepk.inf) è stato installato. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. 0x800b0003 errore: Il modulo specificato per l'oggetto non è un progetto supportato o noti specificati dal fornitore di fiducia. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\msidle.dll to C:\WINDOWS\SYSTEM\msidle.dll. La copia del file C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ msidle.dll in C: \ WINDOWS \ SYSTEM \ msidle.dll. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\msidle.dll) was installed. Un unsigned o non correttamente firmato il file (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ msidle.dll) è stato installato. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. 0x800b0003 errore: Il modulo specificato per l'oggetto non è un progetto supportato o noti specificati dal fornitore di fiducia. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\mobsync.exe to C:\WINDOWS\SYSTEM\mobsync.exe. La copia del file C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ mobsync.exe in C: \ WINDOWS \ SYSTEM \ mobsync.exe. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\mobsync.exe) was installed. Un unsigned o non correttamente firmato il file (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ mobsync.exe) è stato installato. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. 0x800b0003 errore: Il modulo specificato per l'oggetto non è un progetto supportato o noti specificati dal fornitore di fiducia. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\mobsync.dll to C:\WINDOWS\SYSTEM\mobsync.dll. La copia del file C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ mobsync.dll in C: \ WINDOWS \ SYSTEM \ mobsync.dll. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\mobsync.dll) was installed. Un unsigned o non correttamente firmato il file (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ mobsync.dll) è stato installato. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. 0x800b0003 errore: Il modulo specificato per l'oggetto non è un progetto supportato o noti specificati dal fornitore di fiducia. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\sens.dll to C:\WINDOWS\SYSTEM\sens.dll. La copia del file C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ sens.dll in C: \ WINDOWS \ SYSTEM \ sens.dll. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\sens.dll) was installed. Un unsigned o non correttamente firmato il file (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ sens.dll) è stato installato. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. 0x800b0003 errore: Il modulo specificato per l'oggetto non è un progetto supportato o noti specificati dal fornitore di fiducia. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\sensapi.dll to C:\WINDOWS\SYSTEM\sensapi.dll. La copia del file C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ sensapi.dll in C: \ WINDOWS \ SYSTEM \ sensapi.dll. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\sensapi.dll) was installed. Un unsigned o non correttamente firmato il file (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ sensapi.dll) è stato installato. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. 0x800b0003 errore: Il modulo specificato per l'oggetto non è un progetto supportato o noti specificati dal fornitore di fiducia. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\senscfg.dll to C:\WINDOWS\SYSTEM\senscfg.dll. La copia del file C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ senscfg.dll in C: \ WINDOWS \ SYSTEM \ senscfg.dll. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\senscfg.dll) was installed. Un unsigned o non correttamente firmato il file (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ senscfg.dll) è stato installato. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. 0x800b0003 errore: Il modulo specificato per l'oggetto non è un progetto supportato o noti specificati dal fornitore di fiducia. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\es.dll to C:\WINDOWS\SYSTEM\es.dll. La copia del file C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ es.dll in C: \ WINDOWS \ SYSTEM \ es.dll. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\es.dll) was installed. Un unsigned o non correttamente firmato il file (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ es.dll) è stato installato. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. 0x800b0003 errore: Il modulo specificato per l'oggetto non è un progetto supportato o noti specificati dal fornitore di fiducia. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\esshared.dll to C:\WINDOWS\SYSTEM\esshared.dll. La copia del file C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ esshared.dll in C: \ WINDOWS \ SYSTEM \ esshared.dll. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\esshared.dll) was installed. Un unsigned o non correttamente firmato il file (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ esshared.dll) è stato installato. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. 0x800b0003 errore: Il modulo specificato per l'oggetto non è un progetto supportato o noti specificati dal fornitore di fiducia. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\estier2.dll to C:\WINDOWS\SYSTEM\estier2.dll. La copia del file C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ estier2.dll in C: \ WINDOWS \ SYSTEM \ estier2.dll. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\estier2.dll) was installed. Un unsigned o non correttamente firmato il file (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ estier2.dll) è stato installato. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. 0x800b0003 errore: Il modulo specificato per l'oggetto non è un progetto supportato o noti specificati dal fornitore di fiducia. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\sage.vxd to C:\WINDOWS\SYSTEM\sage.vxd. La copia del file C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ sage.vxd in C: \ WINDOWS \ SYSTEM \ sage.vxd. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\sage.vxd) was installed. Un unsigned o non correttamente firmato il file (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ sage.vxd) è stato installato. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. 0x800b0003 errore: Il modulo specificato per l'oggetto non è un progetto supportato o noti specificati dal fornitore di fiducia. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\esenu.dll to C:\WINDOWS\SYSTEM\esenu.dll. La copia del file C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ esenu.dll in C: \ WINDOWS \ SYSTEM \ esenu.dll. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\esenu.dll) was installed. Un unsigned o non correttamente firmato il file (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ esenu.dll) è stato installato. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. 0x800b0003 errore: Il modulo specificato per l'oggetto non è un progetto supportato o noti specificati dal fornitore di fiducia. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\mobilepk.inf to C:\WINDOWS\INF\mobilepk.inf. La copia del file C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ mobilepk.inf in C: \ Windows \ inf \ mobilepk.inf. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\mobilepk.inf) was installed. Un unsigned o non correttamente firmato il file (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ mobilepk.inf) è stato installato. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. 0x800b0003 errore: Il modulo specificato per l'oggetto non è un progetto supportato o noti specificati dal fornitore di fiducia. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\chnscsvr.hlp to C:\WINDOWS\help\chnscsvr.hlp. La copia del file C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ chnscsvr.hlp in C: \ WINDOWS \ help \ chnscsvr.hlp. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\chnscsvr.hlp) was installed. Un unsigned o non correttamente firmato il file (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ chnscsvr.hlp) è stato installato. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. 0x800b0003 errore: Il modulo specificato per l'oggetto non è un progetto supportato o noti specificati dal fornitore di fiducia. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\mobilepk.cat to C:\WINDOWS\SYSTEM\sfp\ie\mobilepk.cat. La copia del file C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ mobilepk.cat in C: \ WINDOWS \ SYSTEM \ SFP \ vale a dire \ mobilepk.cat. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\mobilepk.cat) was installed. Un unsigned o non correttamente firmato il file (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ mobilepk.cat) è stato installato. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. 0x800b0003 errore: Il modulo specificato per l'oggetto non è un progetto supportato o noti specificati dal fornitore di fiducia. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\mobsync.hlp to C:\WINDOWS\help\mobsync.hlp. La copia del file C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ mobsync.hlp in C: \ WINDOWS \ help \ mobsync.hlp. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\mobsync.hlp) was installed. Un unsigned o non correttamente firmato il file (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ mobsync.hlp) è stato installato. Error 0xe000022f: The third-party INF does not contain digital signature information. Errore 0xe000022f: La terza parte-INF non contiene informazioni di firma digitale. 

Summary Massima

What really bother me, is Microsoft Windows Setup API. Ciò che mi preoccupa veramente, è il programma di installazione di Microsoft Windows API. Any downloaded Microsoft system files has embed sign-in digital signature. Qualsiasi scaricati i file di sistema di Microsoft ha incorporare segno-in di firma digitale. Windows installation will validate all setup file and logs out error if the file has a bad signature (third party signature or file being tempered). Di installazione di Windows convaliderà tutti i file di installazione e di log di errore se il file ha un cattivo firma (terza parte firma o file viene temperato). The flaw is within the Windows Setup API itself. Il difetto è nel programma di installazione di Windows API. It doesn’t protect you from installing bad programs. Non protegge di installare programmi cattivi.

You should thanks Microsoft developer for making good Installation Programs and reporting tools. Si dovrebbe grazie Microsoft Developer per fare bene programmi di installazione e strumenti di reporting. it remind you of error but installed it nonetheless. Ricordo che di errore, ma è comunque installato.

External Links Collegamenti esterni

• MSDN System Event Notification Service (SENS) MSDN sistema di servizio di notifica di evento (SENS)