Testthread - zum testen, posten, zwischenspeichern - nicht zur Unterhaltung

#46 ja, alles genauso, aber die

Zitat

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"DisableCAD"= 1 (0x1)

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]
"DisableTaskMgr"= 1 (0x1)
"DisableRegistryTools"= 1 (0x1)
"NoDispCPL"= 1 (0x1)

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoToolbarCustomize"= 1 (0x1)
"StartMenuLogoff"= 1 (0x1)
"NoStartMenuMorePrograms"= 1 (0x1)
"NoSetFolders"= 1 (0x1)

sollten auch mit verändert werden - oder per Script oder manuell.
und wegen der
2008-10-12 23:17 . 2008-10-12 23:17 147,456 --a------ C:\WINDOWS\system32\vbzip10.dll
bin ich mir nicht sicher... erst mal abwarten - ich habe erst mal das combofix-script gepostet.
Dann sehen wir weiter
__________
MfG Sabina

rund um die PC-Sicherheit

#47 http://board.protecus.de/t35093.htm

>>
Den folgenden Text in den Editor (Start - Zubehör - Editor) kopieren und als cfscript.txt mit 'Speichern unter' auf dem Desktop. Gib an "Alle Dateien" - Speichern

Zitat

KILLALL::

File::
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\tomyzufif.dat
C:\WINDOWS\telu.com
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\onyw.dat
C:\WINDOWS\owyguke.dat
C:\WINDOWS\kikypuduz.reg
C:\WINDOWS\system32\liconopyv.inf
C:\WINDOWS\eruriga.reg
C:\WINDOWS\awopepar.dll
C:\WINDOWS\kugu.vbs
C:\Programme\Gemeinsame Dateien\qynux.scr
C:\Programme\Gemeinsame Dateien\hyna.bin
C:\WINDOWS\isozeji.dat
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\yxogamaron.com
C:\WINDOWS\system32\fugupo.sys
C:\WINDOWS\system32\edycikif.dl
C:\Dokumente und Einstellungen\Teje\Anwendungsdaten\guzi.reg
C:\WINDOWS\hykiqe._dl
C:\WINDOWS\mujyrozoku.db
C:\Dokumente und Einstellungen\Teje\Anwendungsdaten\acyzozijyj.bat
C:\WINDOWS\system32\hysoh._sy
C:\WINDOWS\system32\umyhany.lib
C:\WINDOWS\system32\sokoro.pif
C:\Programme\Gemeinsame Dateien\ofamytuba.db
C:\Programme\Gemeinsame Dateien\eqylikow._sy
C:\Programme\Gemeinsame Dateien\lifibu.dl

Folders::
C:\Programme\qsgjurf
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\qngjwlsx

Man sollte jetzt auf dem Desktop diese Datei cfscript.txt finden.

cfscript.txt und mit der rechten Maustaste auf das Symbol von Combofix ziehen

danach: Combofix noch einmal anwenden

>>
poste das Neue Log von Combofix


>>
Start - Ausführen - regedit

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"UpdatesDisableNotify"=dword:00000001 - in 0 ändern

rechtsklick auf den Eintrag auf UpdatesDisableNotify
die 1 wegklicken und 0 reinschreiben, dann abspeichern


Das gleiche mit:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"AntiVirusDisableNotify"=dword:00000001- in 0 ändern

>>
Lade bitte SDfix, wende es im abgesicherten Modus an + poste hier den Report, der nach Neustart erscheint
http://virus-protect.org/artikel/tools/sdfix.html

>>
Arbeite datfindbat ab - poste von jedem log nur die Daten der letzten drei monate:
http://www.virus-protect.org/datfindbat.html

>>
Installier Dir ein Antivirenprogramm z.B. Avira:
http://virus-protect.org/virenscanner.html


Gruss Swiss

#48 ja, du hast alles erwischt Nur den Driver nehme ich noch dazu....

««
wegen: kugu.vbs
antivbs.zip - laden - entzippen + anwenden
http://virus-protect.org/zip/antivbs.zip

Combofix

Zitat

KILLALL::

Driver::
SjyPkt

File::
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\tomyzufif.dat
C:\WINDOWS\telu.com
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\onyw.dat
C:\WINDOWS\owyguke.dat
C:\WINDOWS\kikypuduz.reg
C:\WINDOWS\system32\liconopyv.inf
C:\WINDOWS\eruriga.reg
C:\WINDOWS\awopepar.dll
C:\WINDOWS\kugu.vbs
C:\Programme\Gemeinsame Dateien\qynux.scr
C:\Programme\Gemeinsame Dateien\hyna.bin
C:\WINDOWS\isozeji.dat
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\yxogamaron.com
C:\WINDOWS\system32\fugupo.sys
C:\WINDOWS\system32\edycikif.dl
C:\Dokumente und Einstellungen\Teje\Anwendungsdaten\guzi.reg
C:\WINDOWS\hykiqe._dl
C:\WINDOWS\mujyrozoku.db
C:\Dokumente und Einstellungen\Teje\Anwendungsdaten\acyzozijyj.bat
C:\WINDOWS\system32\hysoh._sy
C:\WINDOWS\system32\umyhany.lib
C:\WINDOWS\system32\sokoro.pif
C:\Programme\Gemeinsame Dateien\ofamytuba.dbC:\Programme\Gemeinsame Dateien\eqylikow._sy
C:\Programme\Gemeinsame Dateien\lifibu.dl

Folder::
C:\Programme\qsgjurf
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\qngjwlsx

__________
MfG Sabina

rund um die PC-Sicherheit

#49 übernimm den Thread - ich schau dann mal rein
__________
MfG Sabina

rund um die PC-Sicherheit

#50 http://board.protecus.de/t35086.htm

>>
Den folgenden Text in den Editor (Start - Zubehör - Editor) kopieren und als cfscript.txt mit 'Speichern unter' auf dem Desktop. Gib an "Alle Dateien" - Speichern

Zitat

KILLALL::

Registry::
[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"C:\Programme\Gemeinsame Dateien\System\gfdert.exe"=-
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_GFDERT\0000]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\GFdert]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_GFDERT\0000]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\GFdert]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_GFDERT\0000]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\GFdert]

File::
C:\Programme\Gemeinsame Dateien\System\gfdert.exe
C:\WINDOWS\gtfadsn.exe
C:\WINDOWS\system32\sgbogkfetkmq.exe

Man sollte jetzt auf dem Desktop diese Datei cfscript.txt finden.

cfscript.txt und mit der rechten Maustaste auf das Symbol von Combofix ziehen



danach: Combofix noch einmal anwenden

>>
poste das Neue Log von Combofix


04.12.2008 11:58 227 system.ini ???????

#51 ich habe das script ein bischen verändert...die Firewall ist nun mit drin.
Du kannst es so posten, gib aber auch die "Bildchen" zu Anleitung mit an.

C:\WINDOWS\wininit.ini - hab ich erst mal rausgenommen
__________
MfG Sabina

rund um die PC-Sicherheit

#52 >>
Den folgenden Text in den Editor (Start - Zubehör - Editor) kopieren und als cfscript.txt mit 'Speichern unter' auf dem Desktop. Gib an "Alle Dateien" - Speichern

Zitat

KILLALL::

Registry::
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\99f77fd4a89ec5cc]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Network\99f77fd4a89ec5cc]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001Enum\Root\LEGACY_99F77FD4A89EC5CC]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_99F77FD4A89EC5CC\0000]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\99f77fd4a89ec5cc]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\SafeBoot\Minimal\99f77fd4a89ec5cc]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\SafeBoot\Network\99f77fd4a89ec5cc]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_99F77FD4A89EC5CC]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\99f77fd4a89ec5cc]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_99F77FD4A89EC5CC\0000]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\99f77fd4a89ec5cc]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\99f77fd4a89ec5cc]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_99F77FD4A89EC5CC]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_99F77FD4A89EC5CC\0000]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\99f77fd4a89ec5-cc]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\99f77fd4a89ec5cc]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\99f77fd4a89ec5cc]



Folder::
C:\WINDOWS\system32\.99f77fd4a89ec5cc

Man sollte jetzt auf dem Desktop diese Datei cfscript.txt finden.

cfscript.txt und mit der rechten Maustaste auf das Symbol von Combofix ziehen


danach: Combofix noch einmal anwenden

>>
poste das Neue Log von Combofix

#53 >>
Lasse folgende Datei bei VIRUSTOTAL prüfen und poste das Ergebnis:

c:\dokumente und einstellungen\Anwender\Anwendungsdaten\udavagisez.exe
c:\programme\Gemeinsame Dateien\zyfyd.exe
c:\windows\system32\drivers\avmeject.sys

Auf Durchsuchen klicken --> Datei aussuchen (oder gleich die Datei mit korrektem Pfad einkopieren mit Strg V) --> Klick auf die zu prüfende Datei und öffnen--> klick auf "Senden der Datei"... jetzt abwarten - dann mit der rechten Maustaste den Text markieren -> hier kopieren

>>
Combofix entfernen:
Start - Ausführen - Kopiere rein: Combofix /U - klicke "OK"
(oder, wenn es nicht funktioniert: C:\QooBox löschen)

>>
Avenger
http://virus-protect.org/artikel/tools/avenger.html
kopiere in das weisse Feld:

Zitat

Files to delete:
c:\dokumente und einstellungen\All Users\Anwendungsdaten\kamone.reg
c:\dokumente und einstellungen\Anwender\Anwendungsdaten\udavagisez.exe
c:\windows\system32\okahuvuri.dl
c:\windows\system32\ficoca.reg
c:\windows\system32\kixenocyly.dl
c:\windows\system32\uhymufog.dll
c:\programme\Gemeinsame Dateien\zone.bin
c:\windows\system32\fomov.pif
c:\windows\system32\kavotibez.dll
c:\dokumente und einstellungen\Anwender\Anwendungsdaten\fotu.pif
c:\dokumente und einstellungen\Anwender\Anwendungsdaten\afuboka.scr
c:\dokumente und einstellungen\Anwender\Anwendungsdaten\sypomub.scr
c:\programme\Gemeinsame Dateien\zyfyd.exe
c:\programme\Gemeinsame Dateien\italemyl.bin
c:\programme\Gemeinsame Dateien\vewo.scr
c:\programme\Gemeinsame Dateien\ywytucowod.pif
c:\dokumente und einstellungen\Anwender\Anwendungsdaten\evataka.bat
c:\dokumente und einstellungen\Anwender\Anwendungsdaten\yfonylulic.dat
c:\programme\Gemeinsame Dateien\ukozelo.reg
c:\programme\Gemeinsame Dateien\yxikiwuju.db

- schliesse alle offenen Programme (denn nach Anwendung des Avengers wird der Rechner neustarten)

- Klicke: Execute

- bestätige, dass der Rechner neu gestartet wird - klicke "yes"
- nach dem Neustart erscheint automatisch ein Log vom Avenger - (C:\avenger.txt), kopiere es ab - mit rechtem Mausklick - kopieren - einfügen

>>
Start - Ausführen - regedit

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"UpdatesDisableNotify"=dword:00000001 - in 0 ändern
rechtsklick auf den Eintrag auf UpdatesDisableNotify
die 1 wegklicken und 0 reinschreiben, dann abspeichern


Gruss Swiss

#54 >>
Start-> Einstellungen- Systemsteuerung- Verwaltung- Computerverwaltung und dann den Eintrag Dienste auswählen.

Nun werden alle laufenden Dienste angezeigt. Hier den Punkt

Microsoft DDE+ server

aussuchen. Wenn unter Status "gestartet" steht, mit der rechten Maustaste anklicken und die Option "Eigenschaften" auswählen. Nicht "Den Dienst beenden" auswählen, denn dann wird der
"Microsoft DDE+ server" beim nächsten Systemstart erneut ausgeführt.
Als Starttyp "deaktiviert" auswählen und den Dienststatus mit "Beenden" schliessen. Jetzt noch "Übernehmen" anklicken. Der "Microsoft DDE+ server" läuft nicht mehr im Hintergrund und wird auch nicht mehr bei einem Neustart ausgeführt.

>>
Start --> Ausführen(wenn eine Fehlermeldung kommt...ignorieren)
Kopiere rein:

sc stop "Microsoft DDE+ server" -> mit OK bestätigen

Kopiere rein:
sc delete "Microsoft DDE+ server" -> mit OK bestätigen


>>
Schliesse alle Fenster und starte Hijack This
Klicke: Do a Systemscan only
Setze ein Häckchen in das Kästchen vor den genannten Einträgen bei: (falls diese noch vorhanden sind)

Zitat

R1 - HKLM\Software\Microsoft\Internet Explorer\Search,Default_Search_URL = http://toolbar.ask(.com/toolbarv/askRedirect?o=10611&gct=&gc=1&q=R3 - URLSearchHook: (no name) - - (no file)
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - F:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Microsoft copyright - {32C620D6-CC10-4e6a-9715-BACACD5B0E61} - sxmg4.dll (file missing)
O2 - BHO: (no name) - {4dfff2fb-ec30-4a6f-8e93-d494cae9ebe4} - F:\WINDOWS\system32\gimemula.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - F:\Programme\Java\jre6\bin\ssv.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - F:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: {2a35ee2d-70cb-d61a-2be4-e765ae365f0e} - {e0f563ea-567e-4eb2-a16d-bc07d2ee53a2} - F:\WINDOWS\system32\zkvetg.dll

O4 - HKLM\..\Run: [SYSTEM.rt32] F:\DOKUME~1\x\LOKALE~1\Temp\lsass.exe
O4 - HKLM\..\Run: [musazujabe] Rundll32.exe "F:\WINDOWS\system32\dokanisu.dll",s
O4 - HKLM\..\Run: [CPM0b16ec79] Rundll32.exe "f:\windows\system32\ziresula.dll",a
O4 - HKLM\..\Run: [a469029b] rundll32.exe "F:\WINDOWS\system32\nuzurezi.dll",b

O4 - HKCU\..\Run: [Systray] rundll32.exe sxmg4.dll,RunMain
O4 - HKUS\S-1-5-19\..\Run: [musazujabe] Rundll32.exe "F:\WINDOWS\system32\dokanisu.dll",s (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [musazujabe] Rundll32.exe "F:\WINDOWS\system32\dokanisu.dll",s (User 'NETZWERKDIENST')

O15 - Trusted Zone: *.popuppers.com

O20 - AppInit_DLLs: F:\WINDOWS\system32\fabapufu.dll zkvetg.dll f:\windows\system32\ziresula.dll f:\windows\system32\wefojuho.dll
O21 - SSODL: WebProxy - {A744F16C-B2D5-4138-81A2-085CDFCDE83A} - sxmg4.dll (file missing)
O21 - SSODL: SSODL - {EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} - f:\windows\system32\ziresula.dll
O22 - SharedTaskScheduler: STS - {EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} - f:\windows\system32\ziresula.dll
O23 - Service: Microsoft DDE+ server (af518c90cca962c9) - Unknown owner - F:\WINDOWS\system32\.af518c90cca962c9\af518c90cca962c9.exe (file missing)

und wähle fix checked.

Starte den Rechner neu.

>>
Lade bitte SDfix, wende es im abgesicherten Modus an + poste hier den Report, der nach Neustart erscheint
http://virus-protect.org/artikel/tools/sdfix.html

>>
http://virus-protect.org/artikel/tools/regsearch.html

und doppelklicken, um zu starten.
in: "Enter search strings" (reinschreiben oder reinkopieren)

af518c90cca962c9

in edit und klicke "Ok".
Notepad wird sich öffnen -- kopiere den Text ab und poste ihn.

in: "Enter search strings" (reinschreiben oder reinkopieren)

>>
http://www2.gmer.net/mbr/mbr.exe
Stealth MBR rootkit detectorscanne + poste den report - mbr.log

>>
dann scanne mit dr.web im abgesicherten modus + poste den report
http://virus-protect.org/cureit.html

#55 >>
Den folgenden Text in den Editor (Start - Zubehör - Editor) kopieren und als cfscript.txt mit 'Speichern unter' auf dem Desktop. Gib an "Alle Dateien" - Speichern

Zitat

KILLALL::

Driver::
UACd

Registry::
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\UACd.sys]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\UACd.sys\modules]

File::
c:\windows\system32\drivers\UACfhvfmiec.sys
c:\windows\system32\UACrvdedquh.dll
c:\windows\system32\UACjkrpwvvu.dll
c:\windows\system32\UACnnjnygip.dat
c:\windows\system32\UACmacwmdeb.dll
c:\windows\system32\UACwbhtupbd.dll
c:\windows\system32\UAClaowtvgt.log
c:\windows\system32\UACkoxsmxek.log
c:\windows\system32\UACmlsywlux.log

Zitat

Reg HKLM\SYSTEM\ControlSet002\Services\UACd.sys@start 1
Reg HKLM\SYSTEM\ControlSet002\Services\UACd.sys@type 1
Reg HKLM\SYSTEM\ControlSet002\Services\UACd.sys@imagepath \systemroot\system32\drivers\UACfhvfmiec.sys
Reg HKLM\SYSTEM\ControlSet002\Services\UACd.sys@group file system
Reg HKLM\SYSTEM\ControlSet002\Services\UACd.sys\modules
Reg HKLM\SYSTEM\ControlSet002\Services\UACd.sys\modules@UACd \\?\globalroot\systemroot\system32\drivers\UACfhvfmiec.sys
Reg HKLM\SYSTEM\ControlSet002\Services\UACd.sys\modules@UACc \\?\globalroot\systemroot\system32\UACrvdedquh.dll
Reg HKLM\SYSTEM\ControlSet002\Services\UACd.sys\modules@uacsr \\?\globalroot\systemroot\system32\UACnnjnygip.dat
Reg HKLM\SYSTEM\ControlSet002\Services\UACd.sys\modules@uaclog \\?\globalroot\systemroot\system32\UACjkrpwvvu.dll
Reg HKLM\SYSTEM\ControlSet002\Services\UACd.sys\modules@uacmask \\?\globalroot\systemroot\system32\UACmacwmdeb.dll
Reg HKLM\SYSTEM\ControlSet002\Services\UACd.sys\modules@uacbbr \\?\globalroot\systemroot\system32\UACwbhtupbd.dll
Reg HKLM\SYSTEM\ControlSet002\Services\UACd.sys\modules@UACproc \\?\globalroot\systemroot\system32\UAClaowtvgt.log
Reg HKLM\SYSTEM\ControlSet002\Services\UACd.sys\modules@uacurls \\?\globalroot\systemroot\system32\UACkoxsmxek.log
Reg HKLM\SYSTEM\ControlSet002\Services\UACd.sys\modules@uacerrors \\?\globalroot\systemroot\system32\UACmlsywlux.log

#56 na dann los gehts.....wo sind die smileys??

#57 ?!?!

Was wilst du uns mitteilen Annita?

#58 Die Smileys sind hier:
http://board.protecus.de/help.php?page=format


__________
Bitte keine Anfragen per PM, diese werden nicht beantwortet.

#59

Zitat

KILLALL:

Registry::
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Contoxpmmnpv]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\Contoxpmmnpv]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Contoxpmmnpv]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{EA0FCA4F-891F-6CBF-DFE2-8A56A5DC5CFE}]
[-HKEY_USERS\S-1-5-21-2000478354-839522115-725345543-1004\Software\Microsoft\Active Setup\Installed Components\{EA0FCA4F-891F-6CBF-DFE2-8A56A5DC5CFE}]

#60

Zitat

KILLALL:

Files::
C:\DOKUME~1\Lars\LOKALE~1\Temp\DMSKSSRh.sys

Registry::
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_DMSKSSRH]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\DMSKSSRh]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Enum\Root\LEGACY_DMSKSSRH]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\DMSKSSRh]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_DMSKSSRH]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DMSKSSRh]