Check Point Endpoint Forensic Recorder

[Ginicius]

Hola! Hace una semana instalé para probar el Zone Alarm. Al constatar que la pc estaba lenta lo desinstalé pero quedó ésto que no sé cómo sacarlo de la compu. En otro hilo similar hacen la salvedad que la solución es personalizada por eso abro otro hilo. Tengo w10 en un aio con i5 Corrí el Farbar Recovrey Scan Tool pero no sé cómo subir los reportes. Disculpen la torpeza. Gracias

[Daniela]

Hola @Ginicius

Pon los dos reportes generados.

Debes copiarlos y pegarlos con todo su contenido y usaras varios mensajes si recibes un mensaje de error indicando que es muy largo(mas de 50.000 caracteres aprox.).

Muy Importante envuelve cada uno de los informes con una etiqueta escrita al inicio del informe y otra como este al final del mismo.

Si no te deja copiar los de la anterior manera, puedes adjuntar los:

FAQ: Preguntas frecuentes, cómo utilizar el foro

Adjuntar archivos en un tema En ocasiones se pedirán reportes de herramientas como FRST que son bastante largos, en esas ocasiones se puede adjuntar los archivos .txt para que no se haga muy extenso el tema. Para ello, clic en el símbolo [65] de la barra del panel de entrada , se abrirá la siguiente ventana: [66] También puedes arrastrar el archivo al panel de entrada. Se verá en el tema así: FRST.txt (75,6 KB)

Un saludo

[Ginicius]

Hola Daniela! Van los reportesFRST.txt (113,5 KB)

[Daniela]

Hola

Pon también el reporte de Addition para revisarlo.

Un saludo

[Ginicius]

Hola

Ahí va el Addition Addition.txt (64,4 KB) Gracias, Saludos

[Daniela]

Hola

Mueve FRST al escritorio de la unidad principal, si no el paso siguiente no funcionará-

MUY Importante Realiza una copia de seguridad del registro :

• Para hacerlo descarga DelFix.exe( en tu escritorio).

• Doble clic para ejecutarlo.(Si usas Windows Vista/7/8 o 10 presiona clic derecho y selecciona -Ejecutar como Administrador-).

• Atención, ahora marca/selecciona únicamente la casilla "Create registry backup", las demás NO.

• Pulsar en Run.

Se abrirá el informe (DelFix.txt), guárdalo por si fuera necesario y cierra la herramienta.

A continuación con los demás programas cerrados ve a Inicio Ejecutar y escribe Notepad.exe.

• Ahora debes copiar y pegar los códigos/líneas que están en el interior del recuadro de más abajo, dentro del Notepad.

START
CREATERESTOREPOINT:
CLOSEPROCESSES:
(Check Point Software Technologies Ltd. -> ) C:\Program Files (x86)\CheckPoint\Endpoint Security\TPCommon\Cipolla\SBACipollaSrvHost.exe
(Check Point Software Technologies Ltd. -> Check Point Software Technologies Ltd.) C:\Program Files (x86)\CheckPoint\Endpoint Security\EFR\EFRService.exe
(Check Point Software Technologies Ltd. -> Check Point Software Technologies Ltd.) C:\Program Files (x86)\CheckPoint\Endpoint Security\Remediation\RemediationService.exe
(Check Point Software Technologies Ltd. -> Check Point Software Technologies Ltd.) C:\Program Files (x86)\CheckPoint\Endpoint Security\Threat Emulation\TESvc.exe
(Check Point Software Technologies Ltd. -> Check Point Software Technologies Ltd.) C:\Program Files (x86)\CheckPoint\Endpoint Security\TPCommon\Cipolla\ZAARUpdateService.exe
(Check Point Software Technologies Ltd. -> Check Point Software Technologies Ltd.) C:\Program Files (x86)\CheckPoint\ICM\ICM-Service-NET.exe
HKLM-x32\...\Run: [ZaAntiRansomware] => C:\Program Files (x86)\CheckPoint\Endpoint Security\TPCommon\Cipolla\ZAAR.exe [4230880 2020-02-09] (Check Point Software Technologies Ltd. -> Check Point Software Technologies Ltd.)
ShortcutTarget: AnyDesk.lnk -> D:\Program Files (x86)\AnyDesk\AnyDesk.exe (Ningún archivo)
CHR HKLM\SOFTWARE\Policies\Google: Restricción <==== ATENCIÓN
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restricción <==== ATENCIÓN
BHO: Sin Nombre -> {2454827C-AD51-4E1A-AEDE-463617805F66}' -> Ningún archivo
BHO-x32: Sin Nombre -> {2454827C-AD51-4E1A-AEDE-463617805F66}' -> Ningún archivo
CHR StartupUrls: Default -> "hxxp://search.conduit.com/?ctid=CT2481025&SearchSource=48","hxxp://search.babylon.com/?affID=116257&tt=201112_621_4712_2&babsrc=HP_ss&mntrId=625cc9e50000000000006c626d23526e","hxxp://www1.delta-search.com/?affID=119816&tt=gc_&babsrc=HP_ss&mntrId=625C6C626D23526E",null,"hxxp://www.google.com","hxxp://www.searchnu.com/406","hxxp://www.mystartsearch.com/?type=hp&ts=1421290790&from=amt&uid=WDCXWD6400AAKS-22A7B2_WD-WCASYA10833108331","hxxp://www.mystartsearch.com/?type=hppp&ts=1421290854&from=amt&uid=WDCXWD6400AAKS-22A7B2_WD-WCASYA10833108331","hxxp://www.google.com/"
CHR Extension: (ZoneAlarm Web Secure) - C:\Users\ginic\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\nofdpbenickbjghcdhapegiimmdinblo [2020-06-05]
CHR Extension: (Sci-Hub) - D:\Ginicius\Downloads\Sci-Hub-0.1.9\Sci-Hub [2020-04-19] [UpdateUrl:hxxps://sci-hub.im/update] <==== ATENCIÓN
OPR Extension: (Amazon Assistant for Opera) - C:\Users\ginic\AppData\Roaming\Opera Software\Opera Stable\Extensions\mmmbddcnnndpbdflpccgcknaaabgldak [2020-04-03]
R2 CPEFR; C:\Program Files (x86)\CheckPoint\Endpoint Security\EFR\EFRService.exe [2900728 2020-02-06] (Check Point Software Technologies Ltd. -> Check Point Software Technologies Ltd.)
R2 CpSbaCipolla; C:\Program Files (x86)\CheckPoint\Endpoint Security\TPCommon\Cipolla\SBACipollaSrvHost.exe [33016 2020-02-06] (Check Point Software Technologies Ltd. -> )
R2 CpSbaUpdater; C:\Program Files (x86)\CheckPoint\Endpoint Security\TPCommon\Cipolla\SBACipollaSrvHost.exe [33016 2020-02-06] (Check Point Software Technologies Ltd. -> )
R2 TESvc; C:\Program Files (x86)\CheckPoint\Endpoint Security\Threat Emulation\TESvc.exe [306424 2020-02-06] (Check Point Software Technologies Ltd. -> Check Point Software Technologies Ltd.)
R2 ZA NET ICM Service; C:\Program Files (x86)\CheckPoint\ICM\ICM-Service-NET.exe [40304 2019-02-06] (Check Point Software Technologies Ltd. -> Check Point Software Technologies Ltd.)
R2 ZAARUpdateService; C:\Program Files (x86)\CheckPoint\Endpoint Security\TPCommon\Cipolla\ZAARUpdateService.exe [51936 2020-02-09] (Check Point Software Technologies Ltd. -> Check Point Software Technologies Ltd.)
S3 WMPNetworkSvc; "%PROGRAMFILES%\Windows Media Player\wmpnetwk.exe" [X]
R2 cpbak; C:\Windows\System32\DRIVERS\cpbak.sys [67360 2020-01-23] (Check Point Software Technologies Ltd. -> Check Point Software Technologies)
R1 CPEPMon; C:\Windows\System32\DRIVERS\CPEPMon.sys [110872 2020-01-26] (Check Point Software Technologies Ltd. -> Check Point Software Technologies)
R1 epnetflt; C:\Windows\system32\drivers\epnetflt.sys [133920 2020-01-26] (Check Point Software Technologies Ltd. -> Check Point Software Technologies)
R1 epregflt; C:\Windows\system32\drivers\epregflt.sys [132176 2019-05-01] (Check Point Software Technologies Ltd. -> Check Point Software Technologies)
R2 ISWKL; C:\Program Files (x86)\CheckPoint\Endpoint Security\Endpoint Common\bin\ISWKL.sys [56184 2020-01-22] (Check Point Software Technologies Ltd. -> Check Point Software Technologies Ltd.)
U3 iswSvc; no ImagePath
2020-07-02 11:51 - 2020-07-02 11:51 - 000002857 _____ C:\Users\ginic\AppData\Local\{416964B7-9583-4D21-A979-24C610B0E7F4}
2020-07-02 11:51 - 2020-07-02 11:51 - 000002857 _____ C:\Users\ginic\AppData\Local\{00A2A5A1-C943-48B4-AF08-B8F285E15FD3}
2020-06-05 11:15 - 2020-01-23 10:31 - 000067360 _____ (Check Point Software Technologies) C:\Windows\system32\Drivers\cpbak.sys
2020-06-05 10:57 - 2020-06-05 11:16 - 000000000 ____D C:\ProgramData\CheckPoint
2020-07-02 11:51 - 2020-07-02 11:51 - 000002857 _____ () C:\Users\ginic\AppData\Local\{00A2A5A1-C943-48B4-AF08-B8F285E15FD3}
2020-07-02 11:51 - 2020-07-02 11:51 - 000002857 _____ () C:\Users\ginic\AppData\Local\{416964B7-9583-4D21-A979-24C610B0E7F4}
CustomCLSID: HKU\S-1-5-21-1618853434-612477030-3314216578-1001_Classes\CLSID\{5EA43877-C6D8-4885-B77A-C0BB27E94372}\InprocServer32 -> C:\Program Files (x86)\Microsoft\EdgeUpdate\1.3.125.27\psmachine_64.dll => Ningún archivo
2020-02-06 17:48 - 2020-02-06 17:48 - 000069120 _____ (Check Point Software Technologies Ltd.) [Archivo no firmado] C:\Program Files (x86)\CheckPoint\Endpoint Security\EFR\cphnt64.dll
2020-02-06 17:48 - 2020-02-06 17:48 - 000019968 _____ (Check Point Software Technologies Ltd.) [Archivo no firmado] C:\Program Files (x86)\CheckPoint\Endpoint Security\EFR\cphusr64.dll
FirewallRules: [{519C949E-E8D5-4E24-A06B-0E4F190D0627}] => (Allow) F:\Common\EpsonNet Setup\ENEasyApp.exe => Ningún archivo
FirewallRules: [{5EE3FFD3-1B1E-4734-A343-409444396024}] => (Allow) F:\Common\EpsonNet Setup\ENEasyApp.exe => Ningún archivo
FirewallRules: [TCP Query User{1932DDBC-E7E4-4CCB-B803-4848B9DE0056}C:\program files (x86)\epson software\event manager\eeventmanager.exe] => (Block) C:\program files (x86)\epson software\event manager\eeventmanager.exe => Ningún archivo
FirewallRules: [UDP Query User{0936615E-B51B-4F9D-90B6-69CC9E15552D}C:\program files (x86)\epson software\event manager\eeventmanager.exe] => (Block) C:\program files (x86)\epson software\event manager\eeventmanager.exe => Ningún archivo
FirewallRules: [TCP Query User{5D045B55-43AE-4B0A-B0A1-896F2FBCD7CB}C:\program files (x86)\epson software\event manager\eeventmanager.exe] => (Block) C:\program files (x86)\epson software\event manager\eeventmanager.exe => Ningún archivo
FirewallRules: [UDP Query User{85F55069-C65A-427F-97B9-1D97A7B50789}C:\program files (x86)\epson software\event manager\eeventmanager.exe] => (Block) C:\program files (x86)\epson software\event manager\eeventmanager.exe => Ningún archivo
FirewallRules: [TCP Query User{5598871F-A802-4923-BC82-144FFECA59D0}C:\users\ginic\appdata\local\programs\opera\67.0.3575.137\opera.exe] => (Allow) C:\users\ginic\appdata\local\programs\opera\67.0.3575.137\opera.exe => Ningún archivo
FirewallRules: [UDP Query User{D14069CE-32EA-41EE-9922-E13667BF0BBE}C:\users\ginic\appdata\local\programs\opera\67.0.3575.137\opera.exe] => (Allow) C:\users\ginic\appdata\local\programs\opera\67.0.3575.137\opera.exe => Ningún archivo
FirewallRules: [TCP Query User{55623EA1-7822-4C6A-BF63-2BDDE95F6D2D}C:\users\ginic\appdata\local\programs\opera\68.0.3618.63\opera.exe] => (Allow) C:\users\ginic\appdata\local\programs\opera\68.0.3618.63\opera.exe => Ningún archivo
FirewallRules: [UDP Query User{4978257B-5DCB-4314-89D2-836BFC401E74}C:\users\ginic\appdata\local\programs\opera\68.0.3618.63\opera.exe] => (Allow) C:\users\ginic\appdata\local\programs\opera\68.0.3618.63\opera.exe => Ningún archivo
FirewallRules: [{AEE84752-C8C6-4D0D-98F3-97E7F9AF5D5E}] => (Allow) C:\Users\ginic\AppData\Roaming\Zoom\bin\airhost.exe => Ningún archivo
FirewallRules: [{EAF187EC-3C26-4370-810C-F0C76D8ED0F6}] => (Allow) C:\Program Files (x86)\CheckPoint\ZoneAlarm\vsmon.exe => Ningún archivo
FirewallRules: [{4E324A1D-49B5-4102-9145-07AA6AA9383C}] => (Allow) C:\Program Files (x86)\CheckPoint\ZoneAlarm\vsmon.exe => Ningún archivo
FirewallRules: [{9AA4D11F-9E3F-4E9C-A111-7646BC4AF961}] => (Allow) C:\Program Files (x86)\CheckPoint\ZoneAlarm\vsmon.exe => Ningún archivo
FirewallRules: [{3E279A1F-01E7-4280-ABDA-F94AD829C09E}] => (Allow) C:\Program Files (x86)\CheckPoint\ZoneAlarm\vsmon.exe => Ningún archivo

HOSTS:
REMOVEPROXY:
EMPTYTEMP:
CMD: netsh winsock reset
CMD: ipconfig /renew
CMD: ipconfig /flushdns
CMD: bitsadmin /reset /allusers
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: netsh int ipv4 reset
CMD: netsh int ipv6 reset
END

Guárdalo bajo el nombre de FIXLIST.TXT en el escritorio Esto es muy importante.

Nota Es importante que la herramienta FRST.exe (Farbar Recovery Scanner Tool) y FIXLIST.TXT se encuentren en la misma ubicación (escritorio) o si no, no trabajara.

ATENCION!!! El siguiente Script de reparación fue hecho específicamente por un miembro del staff para este usuario, si tiene un problema similar por favor abra su propio tema para recibir ayuda personalizada. Usar Scripts de otros usuarios puede causar daños graves en su equipo

Y ahora usa el 2º MÉTODO: de esta Faq de Windows 8(aplicable a Windows 10) ¿Cómo iniciar Windows 8/8.1 en Modo Seguro?, para trabajar desde ese modo de windows.

• Ejecuta FRST.exe.(Si usas Windows Vista/7/8 o 10, presiona clic derecho y seleccionas -Ejecutar como Administrador-).
• Presionar el botón FIX/Corregir y aguardar a que termine.
• La Herramienta guardara el reporte de reparación en el escritorio (FIXLOG.TXT).

Pega el contenido de este fichero en tu próxima respuesta.

Reiniciar el equipo y comprobar su funcionamiento en relación al problema planteado y comentarlo.

Muy Importante envuelve cada uno de los informes con una etiqueta escrita al inicio del informe y otra como este al final del mismo.

Un saludo

[Ginicius]

Hola! Cumplí con todos los pasos y el resultado es que sin desaparecer quedó en su mínima expresión. En el Administrador de tareas muestra el archivo. Antes aparecía dos veces y me usaba mucha cpu y memoria. Va adjunto el reporte fixlog. Si hay algo más que hacer lo haré y si no, mis agradecimientos pues ya se nota la diferencia en arranque y funcionamiento. Fixlog.txt (23,5 KB)

Saludos

[Daniela]

Hola

Descarga, instala y ejecuta Revo Uninstaller

Revisa a ver si aparece en la lista y lo desinstalas. Elige el modo avanzado de desinstalación.

Si no aparece en la lista o sigue apareciendo algo en tu equipo, vuelve a analizar con FRST y trae los dos reportes.

Un saludo

[Ginicius]

Hola, Daniela!

Ahora son las 12,35 por estos pagos. Anoche bajé, instalé y ejecuté el Revo y no aparece como para desinstalar. Probé el modo Cazador y sí apareció en ejecución. Le dí que matara el proceso y desinstalara y apagué. Hoy no lo veo en el Administrador de tareas de windows pero corrí el FRST y ahí van los reportes. Addition.txt (60,4 KB) FRST.txt (111,3 KB)

Gracias

Saludos

[Daniela]

Hola

MUY Importante Realiza una copia de seguridad del registro :

• Para hacerlo descarga DelFix.exe( en tu escritorio).

• Doble clic para ejecutarlo.(Si usas Windows Vista/7/8 o 10 presiona clic derecho y selecciona -Ejecutar como Administrador-).

• Atención, ahora marca/selecciona únicamente la casilla "Create registry backup", las demás NO.

• Pulsar en Run.

Se abrirá el informe (DelFix.txt), guárdalo por si fuera necesario y cierra la herramienta.

A continuación con los demás programas cerrados ve a Inicio Ejecutar y escribe Notepad.exe.

• Ahora debes copiar y pegar los códigos/líneas que están en el interior del recuadro de más abajo, dentro del Notepad.

START
CREATERESTOREPOINT:
CLOSEPROCESSES:
S4 RemediationService; C:\Program Files (x86)\CheckPoint\Endpoint Security\Remediation\RemediationService.exe [18168 2020-02-06] (Check Point Software Technologies Ltd. -> Check Point Software Technologies Ltd.)
Check Point SBA (HKLM\...\{74935578-2963-4CC7-A8E6-FD56F04DF26E}) (Version: 86.6.1081 - Check Point Software Technologies Ltd.) Hidden
ZoneAlarm Anti-Ransomware (HKLM-x32\...\{0B8C3231-9818-4CB9-8213-4AB839836791}) (Version: 1.002.4057 - Check Point Software) Hidden
HOSTS:
REMOVEPROXY:
EMPTYTEMP:
CMD: netsh winsock reset
CMD: ipconfig /renew
CMD: ipconfig /flushdns
CMD: bitsadmin /reset /allusers
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: netsh int ipv4 reset
CMD: netsh int ipv6 reset
END

Guárdalo bajo el nombre de FIXLIST.TXT en el escritorio Esto es muy importante.

Nota Es importante que la herramienta FRST.exe (Farbar Recovery Scanner Tool) y FIXLIST.TXT se encuentren en la misma ubicación (escritorio) o si no, no trabajara.

ATENCION!!! El siguiente Script de reparación fue hecho específicamente por un miembro del staff para este usuario, si tiene un problema similar por favor abra su propio tema para recibir ayuda personalizada. Usar Scripts de otros usuarios puede causar daños graves en su equipo

Y ahora usa el 2º MÉTODO: de esta Faq de Windows 8(aplicable a Windows 10) ¿Cómo iniciar Windows 8/8.1 en Modo Seguro?, para trabajar desde ese modo de windows.

• Ejecuta FRST.exe.(Si usas Windows Vista/7/8 o 10, presiona clic derecho y seleccionas -Ejecutar como Administrador-).
• Presionar el botón FIX/Corregir y aguardar a que termine.
• La Herramienta guardara el reporte de reparación en el escritorio (FIXLOG.TXT).

Pega el contenido de este fichero en tu próxima respuesta.

Reiniciar el equipo y comprobar su funcionamiento en relación al problema planteado y comentarlo.

Muy Importante envuelve cada uno de los informes con una etiqueta escrita al inicio del informe y otra como este al final del mismo.

Revisa con RevoUninstaller si queda algo y lo desinstalas.

Comenta como sigue el problema.

Un saludo

[Daniela]

Hola @Ginicius

Veo que ya solucionaste el problema aunque no has puesto el reporte.

Sigue estos pasos, para eliminar las herramientas utilizadas:

Para hacerlo utiliza de nuevo/descarga >> DelFix.exe en tu escritorio.

• Doble clic para ejecutarlo. (Si usas Windows Vista/7/8 o 10 presiona clic derecho y selecciona - Ejecutar como Administrador)

• Marca todas las casillas, y pulsas en Run

Se abrirá el informe (DelFix.txt), puedes cerrarlo.

---

Gracias a ti por confiar en ForoSpyware. Ha sido un placer ayudarte

Nos alegramos que se te haya resuelto Damos el tema por solucionado.

Como recomendación final, te invitamos a seguirnos en nuestros canales de difusión:
Blog, Twitter, Facebook, para estar al tanto de los nuevos malwares y cómo prevenirlos.

Solucionado

Un saludo