Check Point Endpoint Forensic Recorder

Ayuda General
6

Hola

Mueve FRST al escritorio de la unidad principal, si no el paso siguiente no funcionará-

:arrow_forward: MUY Importante :arrow_backward: Realiza una copia de seguridad del registro :

  • Para hacerlo descarga :arrow_forward: DelFix.exe( en tu escritorio).

  • Doble clic para ejecutarlo.(Si usas Windows Vista/7/8 o 10 presiona clic derecho y selecciona -Ejecutar como Administrador-).

  • Atención, ahora marca/selecciona únicamente la casilla "Create registry backup", las demás NO.

  • Pulsar en Run.

Se abrirá el informe (DelFix.txt), guárdalo por si fuera necesario y cierra la herramienta.

A continuación :warning: con los demás programas cerrados ve a :arrow_forward: Inicio :arrow_forward: Ejecutar :arrow_forward: y escribe Notepad.exe.

  • Ahora debes copiar y pegar los códigos/líneas que están en el interior del recuadro de más abajo, dentro del Notepad.
START
CREATERESTOREPOINT:
CLOSEPROCESSES:
(Check Point Software Technologies Ltd. -> ) C:\Program Files (x86)\CheckPoint\Endpoint Security\TPCommon\Cipolla\SBACipollaSrvHost.exe
(Check Point Software Technologies Ltd. -> Check Point Software Technologies Ltd.) C:\Program Files (x86)\CheckPoint\Endpoint Security\EFR\EFRService.exe
(Check Point Software Technologies Ltd. -> Check Point Software Technologies Ltd.) C:\Program Files (x86)\CheckPoint\Endpoint Security\Remediation\RemediationService.exe
(Check Point Software Technologies Ltd. -> Check Point Software Technologies Ltd.) C:\Program Files (x86)\CheckPoint\Endpoint Security\Threat Emulation\TESvc.exe
(Check Point Software Technologies Ltd. -> Check Point Software Technologies Ltd.) C:\Program Files (x86)\CheckPoint\Endpoint Security\TPCommon\Cipolla\ZAARUpdateService.exe
(Check Point Software Technologies Ltd. -> Check Point Software Technologies Ltd.) C:\Program Files (x86)\CheckPoint\ICM\ICM-Service-NET.exe
HKLM-x32\...\Run: [ZaAntiRansomware] => C:\Program Files (x86)\CheckPoint\Endpoint Security\TPCommon\Cipolla\ZAAR.exe [4230880 2020-02-09] (Check Point Software Technologies Ltd. -> Check Point Software Technologies Ltd.)
ShortcutTarget: AnyDesk.lnk -> D:\Program Files (x86)\AnyDesk\AnyDesk.exe (Ningún archivo)
CHR HKLM\SOFTWARE\Policies\Google: Restricción <==== ATENCIÓN
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restricción <==== ATENCIÓN
BHO: Sin Nombre -> {2454827C-AD51-4E1A-AEDE-463617805F66}' -> Ningún archivo
BHO-x32: Sin Nombre -> {2454827C-AD51-4E1A-AEDE-463617805F66}' -> Ningún archivo
CHR StartupUrls: Default -> "hxxp://search.conduit.com/?ctid=CT2481025&SearchSource=48","hxxp://search.babylon.com/?affID=116257&tt=201112_621_4712_2&babsrc=HP_ss&mntrId=625cc9e50000000000006c626d23526e","hxxp://www1.delta-search.com/?affID=119816&tt=gc_&babsrc=HP_ss&mntrId=625C6C626D23526E",null,"hxxp://www.google.com","hxxp://www.searchnu.com/406","hxxp://www.mystartsearch.com/?type=hp&ts=1421290790&from=amt&uid=WDCXWD6400AAKS-22A7B2_WD-WCASYA10833108331","hxxp://www.mystartsearch.com/?type=hppp&ts=1421290854&from=amt&uid=WDCXWD6400AAKS-22A7B2_WD-WCASYA10833108331","hxxp://www.google.com/"
CHR Extension: (ZoneAlarm Web Secure) - C:\Users\ginic\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\nofdpbenickbjghcdhapegiimmdinblo [2020-06-05]
CHR Extension: (Sci-Hub) - D:\Ginicius\Downloads\Sci-Hub-0.1.9\Sci-Hub [2020-04-19] [UpdateUrl:hxxps://sci-hub.im/update] <==== ATENCIÓN
OPR Extension: (Amazon Assistant for Opera) - C:\Users\ginic\AppData\Roaming\Opera Software\Opera Stable\Extensions\mmmbddcnnndpbdflpccgcknaaabgldak [2020-04-03]
R2 CPEFR; C:\Program Files (x86)\CheckPoint\Endpoint Security\EFR\EFRService.exe [2900728 2020-02-06] (Check Point Software Technologies Ltd. -> Check Point Software Technologies Ltd.)
R2 CpSbaCipolla; C:\Program Files (x86)\CheckPoint\Endpoint Security\TPCommon\Cipolla\SBACipollaSrvHost.exe [33016 2020-02-06] (Check Point Software Technologies Ltd. -> )
R2 CpSbaUpdater; C:\Program Files (x86)\CheckPoint\Endpoint Security\TPCommon\Cipolla\SBACipollaSrvHost.exe [33016 2020-02-06] (Check Point Software Technologies Ltd. -> )
R2 TESvc; C:\Program Files (x86)\CheckPoint\Endpoint Security\Threat Emulation\TESvc.exe [306424 2020-02-06] (Check Point Software Technologies Ltd. -> Check Point Software Technologies Ltd.)
R2 ZA NET ICM Service; C:\Program Files (x86)\CheckPoint\ICM\ICM-Service-NET.exe [40304 2019-02-06] (Check Point Software Technologies Ltd. -> Check Point Software Technologies Ltd.)
R2 ZAARUpdateService; C:\Program Files (x86)\CheckPoint\Endpoint Security\TPCommon\Cipolla\ZAARUpdateService.exe [51936 2020-02-09] (Check Point Software Technologies Ltd. -> Check Point Software Technologies Ltd.)
S3 WMPNetworkSvc; "%PROGRAMFILES%\Windows Media Player\wmpnetwk.exe" [X]
R2 cpbak; C:\Windows\System32\DRIVERS\cpbak.sys [67360 2020-01-23] (Check Point Software Technologies Ltd. -> Check Point Software Technologies)
R1 CPEPMon; C:\Windows\System32\DRIVERS\CPEPMon.sys [110872 2020-01-26] (Check Point Software Technologies Ltd. -> Check Point Software Technologies)
R1 epnetflt; C:\Windows\system32\drivers\epnetflt.sys [133920 2020-01-26] (Check Point Software Technologies Ltd. -> Check Point Software Technologies)
R1 epregflt; C:\Windows\system32\drivers\epregflt.sys [132176 2019-05-01] (Check Point Software Technologies Ltd. -> Check Point Software Technologies)
R2 ISWKL; C:\Program Files (x86)\CheckPoint\Endpoint Security\Endpoint Common\bin\ISWKL.sys [56184 2020-01-22] (Check Point Software Technologies Ltd. -> Check Point Software Technologies Ltd.)
U3 iswSvc; no ImagePath
2020-07-02 11:51 - 2020-07-02 11:51 - 000002857 _____ C:\Users\ginic\AppData\Local\{416964B7-9583-4D21-A979-24C610B0E7F4}
2020-07-02 11:51 - 2020-07-02 11:51 - 000002857 _____ C:\Users\ginic\AppData\Local\{00A2A5A1-C943-48B4-AF08-B8F285E15FD3}
2020-06-05 11:15 - 2020-01-23 10:31 - 000067360 _____ (Check Point Software Technologies) C:\Windows\system32\Drivers\cpbak.sys
2020-06-05 10:57 - 2020-06-05 11:16 - 000000000 ____D C:\ProgramData\CheckPoint
2020-07-02 11:51 - 2020-07-02 11:51 - 000002857 _____ () C:\Users\ginic\AppData\Local\{00A2A5A1-C943-48B4-AF08-B8F285E15FD3}
2020-07-02 11:51 - 2020-07-02 11:51 - 000002857 _____ () C:\Users\ginic\AppData\Local\{416964B7-9583-4D21-A979-24C610B0E7F4}
CustomCLSID: HKU\S-1-5-21-1618853434-612477030-3314216578-1001_Classes\CLSID\{5EA43877-C6D8-4885-B77A-C0BB27E94372}\InprocServer32 -> C:\Program Files (x86)\Microsoft\EdgeUpdate\1.3.125.27\psmachine_64.dll => Ningún archivo
2020-02-06 17:48 - 2020-02-06 17:48 - 000069120 _____ (Check Point Software Technologies Ltd.) [Archivo no firmado] C:\Program Files (x86)\CheckPoint\Endpoint Security\EFR\cphnt64.dll
2020-02-06 17:48 - 2020-02-06 17:48 - 000019968 _____ (Check Point Software Technologies Ltd.) [Archivo no firmado] C:\Program Files (x86)\CheckPoint\Endpoint Security\EFR\cphusr64.dll
FirewallRules: [{519C949E-E8D5-4E24-A06B-0E4F190D0627}] => (Allow) F:\Common\EpsonNet Setup\ENEasyApp.exe => Ningún archivo
FirewallRules: [{5EE3FFD3-1B1E-4734-A343-409444396024}] => (Allow) F:\Common\EpsonNet Setup\ENEasyApp.exe => Ningún archivo
FirewallRules: [TCP Query User{1932DDBC-E7E4-4CCB-B803-4848B9DE0056}C:\program files (x86)\epson software\event manager\eeventmanager.exe] => (Block) C:\program files (x86)\epson software\event manager\eeventmanager.exe => Ningún archivo
FirewallRules: [UDP Query User{0936615E-B51B-4F9D-90B6-69CC9E15552D}C:\program files (x86)\epson software\event manager\eeventmanager.exe] => (Block) C:\program files (x86)\epson software\event manager\eeventmanager.exe => Ningún archivo
FirewallRules: [TCP Query User{5D045B55-43AE-4B0A-B0A1-896F2FBCD7CB}C:\program files (x86)\epson software\event manager\eeventmanager.exe] => (Block) C:\program files (x86)\epson software\event manager\eeventmanager.exe => Ningún archivo
FirewallRules: [UDP Query User{85F55069-C65A-427F-97B9-1D97A7B50789}C:\program files (x86)\epson software\event manager\eeventmanager.exe] => (Block) C:\program files (x86)\epson software\event manager\eeventmanager.exe => Ningún archivo
FirewallRules: [TCP Query User{5598871F-A802-4923-BC82-144FFECA59D0}C:\users\ginic\appdata\local\programs\opera\67.0.3575.137\opera.exe] => (Allow) C:\users\ginic\appdata\local\programs\opera\67.0.3575.137\opera.exe => Ningún archivo
FirewallRules: [UDP Query User{D14069CE-32EA-41EE-9922-E13667BF0BBE}C:\users\ginic\appdata\local\programs\opera\67.0.3575.137\opera.exe] => (Allow) C:\users\ginic\appdata\local\programs\opera\67.0.3575.137\opera.exe => Ningún archivo
FirewallRules: [TCP Query User{55623EA1-7822-4C6A-BF63-2BDDE95F6D2D}C:\users\ginic\appdata\local\programs\opera\68.0.3618.63\opera.exe] => (Allow) C:\users\ginic\appdata\local\programs\opera\68.0.3618.63\opera.exe => Ningún archivo
FirewallRules: [UDP Query User{4978257B-5DCB-4314-89D2-836BFC401E74}C:\users\ginic\appdata\local\programs\opera\68.0.3618.63\opera.exe] => (Allow) C:\users\ginic\appdata\local\programs\opera\68.0.3618.63\opera.exe => Ningún archivo
FirewallRules: [{AEE84752-C8C6-4D0D-98F3-97E7F9AF5D5E}] => (Allow) C:\Users\ginic\AppData\Roaming\Zoom\bin\airhost.exe => Ningún archivo
FirewallRules: [{EAF187EC-3C26-4370-810C-F0C76D8ED0F6}] => (Allow) C:\Program Files (x86)\CheckPoint\ZoneAlarm\vsmon.exe => Ningún archivo
FirewallRules: [{4E324A1D-49B5-4102-9145-07AA6AA9383C}] => (Allow) C:\Program Files (x86)\CheckPoint\ZoneAlarm\vsmon.exe => Ningún archivo
FirewallRules: [{9AA4D11F-9E3F-4E9C-A111-7646BC4AF961}] => (Allow) C:\Program Files (x86)\CheckPoint\ZoneAlarm\vsmon.exe => Ningún archivo
FirewallRules: [{3E279A1F-01E7-4280-ABDA-F94AD829C09E}] => (Allow) C:\Program Files (x86)\CheckPoint\ZoneAlarm\vsmon.exe => Ningún archivo

HOSTS:
REMOVEPROXY:
EMPTYTEMP:
CMD: netsh winsock reset
CMD: ipconfig /renew
CMD: ipconfig /flushdns
CMD: bitsadmin /reset /allusers
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: netsh int ipv4 reset
CMD: netsh int ipv6 reset
END

Guárdalo bajo el nombre de FIXLIST.TXT en el escritorio :arrow_backward: Esto es muy importante.

:o: Nota :o: Es importante que la herramienta FRST.exe (Farbar Recovery Scanner Tool) y FIXLIST.TXT se encuentren en la misma ubicación (escritorio) o si no, no trabajara.


Y ahora usa el 2º MÉTODO: de esta Faq de Windows 8(aplicable a Windows 10) :arrow_forward: ¿Cómo iniciar Windows 8/8.1 en Modo Seguro?, para trabajar desde ese modo de windows.

  • Ejecuta FRST.exe.(Si usas Windows Vista/7/8 o 10, presiona clic derecho y seleccionas -Ejecutar como Administrador-).
  • Presionar el botón FIX/Corregir y aguardar a que termine.
  • La Herramienta guardara el reporte de reparación en el escritorio (FIXLOG.TXT).

Pega el contenido de este fichero en tu próxima respuesta.

Reiniciar el equipo y comprobar su funcionamiento en relación al problema planteado y comentarlo.

Un saludo