How To Disabled and Removed Microsoft Windows MobSync - Trojan RootKit Como a deficientes e removidos do Microsoft Windows MobSync - Trojan rootkit

MobSync is a Microsoft Mobile Synchronization Manager available in Win 2000 & Windows XP MobSync é uma sincronização Microsoft Mobile Manager disponível no Win 2000 e Windows XP

Excerpt from Microsoft KB 314512 Articles (2002) Trecho da Microsoft KB 314512 artigos (2002)

The Windows XP Synchronization Manager helps ensure that the files and folders on your mobile device and your desktop computer stay synchronized. O Windows XP Gerenciador de sincronização ajuda a garantir que os arquivos e pastas do seu celular e seu computador desktop permanecer sincronizados. With Synchronization Manager, you can be sure you are always working with the latest copy of your data, online or offline. Sincronização com o gerente, você pode ter certeza que você está sempre trabalhando com a última cópia de seus dados, on-line ou off-line.

Technically MobSync is part of Windows Memory Management, its prefetch (type of cache) your External Device Contents (Mobile PC, Windows Embed XPE, PDA,database etc .. ) thus helps speed up the Windows booting process by shortening the time external device programs takes to start up. Tecnicamente MobSync é parte do Windows Memory Management, seu prefetch (tipo de cache) Sumário seu dispositivo externo (Mobile PC, Windows Incorporar XPE, PDA, bases de dados, etc ..), portanto, ajuda a acelerar o processo de inicialização do Windows encurtar o período dispositivo externo programas leva para o arranque.

MobSync Issue MobSync Emissão

MobSync is registered to run on logon but the process is hidden on others ‘Scans Tools’ like Autoruns.exe & Process.exe (SysInternal). MobSync está registrado para ser executado em logon mas o processo está escondido em outros "varreduras Ferramentas' como Autoruns.exe & Process.exe (SysInternal).

QuickFact:

• MobSync.exe can record inputs. MobSync.exe pode gravar insumos.
• Its hide itself from monitor applications. Esconder o seu próprio monitor de aplicações.

Apparently because of its transparencies nature to hide behind windows systems some hackers decide to reverse engineer this programs as a Trojan Rootkit. Aparentemente, devido ao seu carácter transparências para esconder por detrás sistemas Windows alguns hackers decidir a engenharia reversa desta programas como um Trojan Rootkit.

Should I disabled Mobsync? Eu deveria Mobsync deficientes?

If you used windows for surfing and office works you probably wont need this programs (crapware) most modern mobile device has a build in Synchronization Manager and doesnt relies on microsoft mobsync (dependencies issue). Se você utiliza janelas do escritório trabalha para a prática de surf e você provavelmente precisará deste costume programas (crapware) mais modernas tem um dispositivo móvel construir no Gerenciador de Sincronização e não depende da microsoft mobsync (dependências emissão). Its recommended to disabled this programs as it can hide itself from being monitored and doesnt showup on running process lists. Sua recomendado para deficientes programas como este se possa esconder-se de estar acompanhado e não showup processo correr em listas.

Step by step guide to disabled MobSync from your windows. Passo a passo guia para deficientes MobSync de suas janelas.

1. Disabled System Restore Deficientes System Restore

   You will need to disabled Windows System Restore (Temporary). Você precisa de deficientes Windows System Restore (temporários).

2. View hidden system files Ver sistema de arquivos ocultos

   Suspicious files is known to hide itself as Windows System files. Arquivos suspeitos é conhecida a esconder-se como sistema de arquivos do Windows. The following settings will set all hidden files viewable so we could removed it. As configurações a seguir irá definir todos os arquivos ocultos visualizável para que ele pudesse removido.

   • Click on Windows Start → Control Panel → Folder Options → View Tab Clique em Iniciar → Painel de Controle do Windows Pasta → Opções → Ver Tab
   • Turn on the option to show hidden files Ligue a opção de mostrar arquivos ocultos

3. Clean Temporary Files and Windows Prefetch Files Limpe arquivos temporários e arquivos Windows Prefetch

   This wont harm your system. Isso costuma prejudicar o seu sistema. Removes all files inside the following directory. Remove the contents only not the folders . Remove todos os arquivos dentro do diretório seguinte. Retire o conteúdo não só as pastas.

   • C:\temp C: \ temp
   • C:\windows\temp C: \ Windows \ temp
   • C:\Documents and Settings\<username>\Local Settings\Temp C: \ Documents and Settings \ <nomedousuário> \ Local Settings \ Temp
   • C:\windows\prefetch C: \ Windows \ prefetch

4. Boot in SafeMode Arranque em SafeMode

   Restart your PC in safe mode. Reinicie o PC em modo seguro. Refer KB 31522 on How To Boot in Safe Mode. Refer 31522 KB sobre como iniciar no modo de segurança.

5. Disabled MobSync Process Deficientes MobSync processo

   1. Click on start → Run → mobsync Clique em Iniciar → Executar → mobsync
   2. Next, Click on Setup buttons Em seguida, clique em Configurar botões
   3. On “Synchronizations Settings” Windows Logon/Logoff tab un-check all the following options: Em "Configurações Synchronizations" Windows Logon / logoff guia un check-todas as seguintes opções:

      Automatically Synchronize the following items: Sincronizar automaticamente os itens a seguir:

      • When I log on to my computer Quando eu faça o login para o meu computador
      • When I log off to my computer Quando eu sair para o meu computador
   4. While still in “Synchronizations Settings” Windows select the next tab label “on Idle” un-check the following items: Embora ainda em "Configurações Synchronizations" Windows selecionar o próximo separador label "no Idle" un-verificar os seguintes itens:
      • Synchronize the selected items while my computer is idle Sincronizar os itens selecionados enquanto o meu computador está ocioso

6. Removed from system registry Removido do sistema de registro

   If you arent familiar with registry you may skip this part. Se você arent familiarizado com registro você pode pular esta parte. Most normal startup programs can be found at the following registry path. A maior parte dos programas normais de inicialização podem ser encontradas no seguinte caminho registro.

   • HKLM\Software\Microsoft\Windows\CurrentVersion\Run HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ Run
   • HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ RunOnce
   • HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ RunServices
   • HKLM\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ RunServicesOnce
   • HKCU\Software\Microsoft\Windows\CurrentVersion\Run HKCU \ Software \ Microsoft \ Windows \ CurrentVersion \ Run
   • HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce HKCU \ Software \ Microsoft \ Windows \ CurrentVersion \ RunOnce

   In Windows XP all loaded “startup programs” (start menu/startup items) can be found at HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg No Windows XP todos carregados "startup programas" (menu iniciar / startup itens) podem ser encontradas em Hkey_Local_Machine \ Software \ Microsoft \ Shared Tools \ msconfig \ startupreg

   Mobsync registry HKLM\Software\Microsoft\Windows\CurrentVersion\syncmgr Mobsync registro HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ syncmgr

Note on using Rootkit Scanner. Nota sobre a utilização Rootkit Scanner.

• James A. Eshelman HijackThis James A. Eshelman HijackThis
• SysInternal RootkitRevealer SysInternal RootkitRevealer
• F-secure Blacklight F-Secure Blacklight

Most advance Rootkit has a self mechanism to shutdown the system if any of this programs is identify in the memory. A maior parte dos adiantamentos Rootkit tem um mecanismo de auto parada programada do sistema se algum dos programas é identificar presente na memória. If you had this programs installed its advice to rename the programs first. Se você tivesse este programas instalados seus conselhos para renomear os programas primeiro.

• RootKitRevealer.exe → RKV.exe RootKitRevealer.exe → RKV.exe
• HijackThis → hjct.exe HijackThis → hjct.exe

How to validate if the running programs is Tempered Como se a validar a correr programas é temperado

Get Certificate Verification Tool ( WM Software Corp) and verify the programs signature or you could also run Microsoft sigverif.exe (c:\windows\SIGVERIF.TXT) to verify digital signature. Obter Certificado Verificação Tool (WM Software Corp) e verificar a assinatura ou programas que você também poderia correr Microsoft sigverif.exe (c: \ windows \ SIGVERIF.TXT) para verificar a assinatura digital.

Caveat: Most Rookit is “padded/mugged” with unix controls character so its not readable by Windows (ANSI). Nuance: Mais Rookit é "almofadadas / mugged" com unix não controla o seu personagem de forma legível por Windows (ANSI).

Setupapi.log entries Setupapi.log entradas

Setupapi.log can be found inside c:\windows\setupapi.log You need to enabled logging in verbose mode to get proper setup log. Setupapi.log podem ser encontrados no interior c: \ windows \ setupapi.log Você precisa efetuar o login verbose mode ativado para obter boa configuração rápida.
HKLM\Software\Microsoft\Windows\CurrentVersion\SetupLogLevel HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ SetupLogLevel

Insert DWORD value 0000FFFF to enabled verbose mode logging Inserir DWORD valor 0000FFFF permitiu a exploração madeireira Modo verbose

Insert DWORD value 0 to disabled it Inserir DWORD valor 0 para deficientes -

Tempered MobSync.exe & similar windows networks files. MobSync.exe vidros temperados e redes similares arquivos.

 An unsigned or incorrectly signed file (c:\windows\msdownld.tmp\as03b1e1.tmp\mobilepk.inf) was installed. Um unsigned ou incorrectamente assinado arquivo (c: \ windows \ msdownld.tmp \ as03b1e1.tmp \ mobilepk.inf) foi instalado. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. Erro 0x800b0003: A forma especificada para o sujeito não é um conhecido ou apoiadas pela confiança determinado fornecedor. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\msidle.dll to C:\WINDOWS\SYSTEM\msidle.dll. Copiando arquivo C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ msidle.dll para C: \ WINDOWS \ SYSTEM \ msidle.dll. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\msidle.dll) was installed. Um unsigned ou incorrectamente assinado arquivo (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ msidle.dll) foi instalado. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. Erro 0x800b0003: A forma especificada para o sujeito não é um conhecido ou apoiadas pela confiança determinado fornecedor. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\mobsync.exe to C:\WINDOWS\SYSTEM\mobsync.exe. Copiando arquivo C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ mobsync.exe para C: \ WINDOWS \ SYSTEM \ mobsync.exe. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\mobsync.exe) was installed. Um unsigned ou incorrectamente assinado arquivo (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ mobsync.exe) foi instalado. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. Erro 0x800b0003: A forma especificada para o sujeito não é um conhecido ou apoiadas pela confiança determinado fornecedor. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\mobsync.dll to C:\WINDOWS\SYSTEM\mobsync.dll. Copiando arquivo C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ mobsync.dll para C: \ WINDOWS \ SYSTEM \ mobsync.dll. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\mobsync.dll) was installed. Um unsigned ou incorrectamente assinado arquivo (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ mobsync.dll) foi instalado. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. Erro 0x800b0003: A forma especificada para o sujeito não é um conhecido ou apoiadas pela confiança determinado fornecedor. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\sens.dll to C:\WINDOWS\SYSTEM\sens.dll. Copiando arquivo C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ sens.dll para C: \ WINDOWS \ SYSTEM \ sens.dll. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\sens.dll) was installed. Um unsigned ou incorrectamente assinado arquivo (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ sens.dll) foi instalado. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. Erro 0x800b0003: A forma especificada para o sujeito não é um conhecido ou apoiadas pela confiança determinado fornecedor. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\sensapi.dll to C:\WINDOWS\SYSTEM\sensapi.dll. Copiando arquivo C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ sensapi.dll para C: \ WINDOWS \ SYSTEM \ sensapi.dll. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\sensapi.dll) was installed. Um unsigned ou incorrectamente assinado arquivo (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ sensapi.dll) foi instalado. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. Erro 0x800b0003: A forma especificada para o sujeito não é um conhecido ou apoiadas pela confiança determinado fornecedor. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\senscfg.dll to C:\WINDOWS\SYSTEM\senscfg.dll. Copiando arquivo C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ senscfg.dll para C: \ WINDOWS \ SYSTEM \ senscfg.dll. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\senscfg.dll) was installed. Um unsigned ou incorrectamente assinado arquivo (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ senscfg.dll) foi instalado. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. Erro 0x800b0003: A forma especificada para o sujeito não é um conhecido ou apoiadas pela confiança determinado fornecedor. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\es.dll to C:\WINDOWS\SYSTEM\es.dll. Copiando arquivo C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ es.dll para C: \ WINDOWS \ SYSTEM \ es.dll. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\es.dll) was installed. Um unsigned ou incorrectamente assinado arquivo (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ es.dll) foi instalado. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. Erro 0x800b0003: A forma especificada para o sujeito não é um conhecido ou apoiadas pela confiança determinado fornecedor. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\esshared.dll to C:\WINDOWS\SYSTEM\esshared.dll. Copiando arquivo C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ esshared.dll para C: \ WINDOWS \ SYSTEM \ esshared.dll. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\esshared.dll) was installed. Um unsigned ou incorrectamente assinado arquivo (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ esshared.dll) foi instalado. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. Erro 0x800b0003: A forma especificada para o sujeito não é um conhecido ou apoiadas pela confiança determinado fornecedor. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\estier2.dll to C:\WINDOWS\SYSTEM\estier2.dll. Copiando arquivo C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ estier2.dll para C: \ WINDOWS \ SYSTEM \ estier2.dll. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\estier2.dll) was installed. Um unsigned ou incorrectamente assinado arquivo (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ estier2.dll) foi instalado. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. Erro 0x800b0003: A forma especificada para o sujeito não é um conhecido ou apoiadas pela confiança determinado fornecedor. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\sage.vxd to C:\WINDOWS\SYSTEM\sage.vxd. Copiando arquivo C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ sage.vxd para C: \ WINDOWS \ SYSTEM \ sage.vxd. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\sage.vxd) was installed. Um unsigned ou incorrectamente assinado arquivo (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ sage.vxd) foi instalado. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. Erro 0x800b0003: A forma especificada para o sujeito não é um conhecido ou apoiadas pela confiança determinado fornecedor. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\esenu.dll to C:\WINDOWS\SYSTEM\esenu.dll. Copiando arquivo C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ esenu.dll para C: \ WINDOWS \ SYSTEM \ esenu.dll. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\esenu.dll) was installed. Um unsigned ou incorrectamente assinado arquivo (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ esenu.dll) foi instalado. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. Erro 0x800b0003: A forma especificada para o sujeito não é um conhecido ou apoiadas pela confiança determinado fornecedor. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\mobilepk.inf to C:\WINDOWS\INF\mobilepk.inf. Copiando arquivo C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ mobilepk.inf para C: \ WINDOWS \ INF \ mobilepk.inf. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\mobilepk.inf) was installed. Um unsigned ou incorrectamente assinado arquivo (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ mobilepk.inf) foi instalado. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. Erro 0x800b0003: A forma especificada para o sujeito não é um conhecido ou apoiadas pela confiança determinado fornecedor. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\chnscsvr.hlp to C:\WINDOWS\help\chnscsvr.hlp. Copiando arquivo C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ chnscsvr.hlp para C: \ WINDOWS \ help \ chnscsvr.hlp. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\chnscsvr.hlp) was installed. Um unsigned ou incorrectamente assinado arquivo (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ chnscsvr.hlp) foi instalado. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. Erro 0x800b0003: A forma especificada para o sujeito não é um conhecido ou apoiadas pela confiança determinado fornecedor. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\mobilepk.cat to C:\WINDOWS\SYSTEM\sfp\ie\mobilepk.cat. Copiando arquivo C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ mobilepk.cat para C: \ WINDOWS \ SYSTEM \ SFP \ ie \ mobilepk.cat. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\mobilepk.cat) was installed. Um unsigned ou incorrectamente assinado arquivo (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ mobilepk.cat) foi instalado. Error 0x800b0003: The form specified for the subject is not one supported or known by the specified trust provider. Erro 0x800b0003: A forma especificada para o sujeito não é um conhecido ou apoiadas pela confiança determinado fornecedor. Copying file C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\mobsync.hlp to C:\WINDOWS\help\mobsync.hlp. Copiando arquivo C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ mobsync.hlp para C: \ WINDOWS \ help \ mobsync.hlp. An unsigned or incorrectly signed file (C:\WINDOWS\msdownld.tmp\AS03B1E1.tmp\mobsync.hlp) was installed. Um unsigned ou incorrectamente assinado arquivo (C: \ WINDOWS \ msdownld.tmp \ AS03B1E1.tmp \ mobsync.hlp) foi instalado. Error 0xe000022f: The third-party INF does not contain digital signature information. Erro 0xe000022f: O INF de terceiros não contém informações assinatura digital. 

Summary Resumo

What really bother me, is Microsoft Windows Setup API. O que realmente me incomodam, é o Microsoft Windows Setup API. Any downloaded Microsoft system files has embed sign-in digital signature. Qualquer sistema de arquivos baixados Microsoft tem embutir conectar-se à assinatura digital. Windows installation will validate all setup file and logs out error if the file has a bad signature (third party signature or file being tempered). Windows instalação irá validar todos os arquivos e logs out setup erro se o arquivo tem uma má assinatura (terceiro assinatura ou do arquivo a ser temperado). The flaw is within the Windows Setup API itself. A falha está no seio do próprio Windows Setup API. It doesn’t protect you from installing bad programs. Ela não protegê-lo de mau instalar programas.

You should thanks Microsoft developer for making good Installation Programs and reporting tools. Você deve graças Microsoft desenvolvedor para fazer bons Instalação Programas e ferramentas de informação. it remind you of error but installed it nonetheless. Recordo-lhe de erro, mas, apesar disso instalado.

External Links Ligações externas

• MSDN System Event Notification Service (SENS) MSDN serviço de notificação de eventos do sistema (SENS)