Перейти к содержанию
rprman

Как удалить Symantec Eraser Control driver из реестра

Recommended Posts

rprman

Доброго времени суток всем участникам.

Вопрос в теме. ОС WinXP Pro SP3.

Что сделано.

Сначала удалил штатной программой (та, что в программном меню NIS 2009).

Ребут.

Затем удалил, все, что начинается со слов symantec и norton (включая реестр).

Ребут.

Далее спец утилитой remove.

Все это уже сделано несколько раз.

Что-то использует Symantec Eraser Control driver, может служба какая-то. Файл eeCntr.sys удалил. В службах ничего похожего на Norton или Symantec нет.

Вообще, предистория такова. Я не смог прописать в исключения прогу типа keylogger (не шутки ради, котроля для, и не за женой). Не знал как прописать. Теперь знаю. Решил снести NIS 2009.

Заново NIS 2009 не устанавливается. Видимо, мешает Symantec Eraser Control driver.

P. S. Прошу модераторов меня извинить за повтор темы. Догадвываюсь, подобные вопросы уже освещались на форуме, но я их не нашел или плохо искал.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Zilla
Далее спец утилитой remove.

Это Norton Removal Tool? Если нет, то пройдитесь ещё ей..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум

rprman Вы точно использовали Norton Removal Tool?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rprman
rprman Вы точно использовали Norton Removal Tool?

Совершенно верно. Скачана с сайта производителя.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Совершенно верно. Скачана с сайта производителя.

Как выглядит ошибка?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rprman
Как выглядит ошибка?

Если вы имеете ввиду реинсталляцию NIS 2009, то после установки отображается об окончании подписки, и предложении ее продлить.

А при удаленнии ключей реестра

ErReg.gif

Может мой Norton Removal Tool не тот?

post-6428-1251396193_thumb.png

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум

rprman а можете по шагам описать что Вы делаете и что приводит к данной ошибке?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rprman

regedit, нахожу все что есть со словом Symantec, а это как раз Symantec Eraser Control driver, и пытаюсь удалить.

Как я понимаю, от старого NIS2009 у меня остались только записи в реестре. А самого драйвера нет, если таковым является eeCtrl.sys

На втором компе такая же история, только на нем я не ставил никаких логгеров.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rprman

Ларчик, как всегда, просто. Надо было изменить разрешения на полный доступ для всех в реестре в каждом из неудаляемых ключах.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
      ---------------------------------------------------------
       4.11.8
      ---------------------------------------------------------
       o Управление DNS логом вынесено в отдельные твики, #41 и #42.
         DNS лог работает начиная с Win8 (в ограниченном виде) и с Win8.1 в полном.
         Отключение ведения лога происходит мгновенно во всех системах кроме Windows 10,
         в последнем случае необходимо перезагрузить систему после 42 твика.
         (Win7 и ниже не поддерживается).  
    • demkd
      да, выглядит странно, может быть CommandLineEventConsumer чем-то уже удален, антивирус какой-нибудь неаккуратно поработал.
    • santy
      здесь почему то нет потребителя события c5br1lMhB Consumer = "CommandLineEventConsumer.Name=\"c5br1lMhB\"" что это может быть? скрипт, который был недоступен на момент создания образа? запуск майнера был: C:\Windows\System32\rundll32.exe -o pool.supportxmr.com:443 -u 44EspGiviPdeZSZyX1r3R9RhpGCkxYACEKUwbA4Gp6cVCzyiNeB21STWYsJZYZeZt63JaUn8CVxDeWWGs3f6XNxGPtSuUEX -k --tls -p MOON но чем был вызван запуск - не смогли отследить. (зачистили без regt 39)                              IZTVMAIL01_2021-07-30_07-26-53_v4.11.6.7z
    • demkd
      привет, любой запуск процесса отслеживается, не важно что его запустило, дополнительно в wmi-activity разве что dll можно считать, которые подсаживались в wmiprvse.exe, толку только от этого.
    • santy
      Привет. Возможен ли расширенный мониторинг создаваемых процессов через подписки WMI, аналогично тому, как это выполняется сейчас в uVS через твик 39? (т.е. доп. события пишутся системой в лог WMI-Activity.evtx и затем экспортируются нужное в образ автозапуска) или это уже работает сейчас?  
×