XP SP2 Log de eventos não registrando eventos

Question

Eu tenho um problema em que um terminal parece não estar registrando eventos corretamente e, ocasionalmente, parece ter problemas de comunicação através da rede.

O terminal já foi infectado com um vírus que parece ter sido "jogado" com a política de grupo padrão no perfil de usuário padrão. Embora, aparentemente, o terminal pareça estar funcionando normalmente, ainda tenho uma sensação incômoda de que não está de volta ao modo como estava. Ele foi infectado por um usuário conectando um pendrive USB enquanto a empresa estava usando a versão mais antiga do software antivírus ... normalmente uma semana antes de ser atualizada.

Eu configurei os logs de eventos para substituir conforme necessário e para ser 5056KB no tamanho máximo. Eu também tentei: -

• Desativando o serviço de registro de eventos & reiniciando
• Renovando os arquivos EVT no diretório Windows \ system32 \ config
• Reiniciando o serviço de log de eventos e reiniciando
• Limpando o log de eventos no MMC de Serviços
• Redefinindo os filtros como padrão nos serviços do MMC
• Usando o comando EVENTCREATE remotamente a partir de uma janela CMD no servidor para forçar um evento de criação de evento.

Até agora, a única operação a ter algum tipo de sucesso é o comando EVENTCREATE do computador remoto de uma janela CMD no servidor. Tal como está, o único outro momento em que o computador conseguiu criar eventos é enquanto está sendo reiniciado.

Alguém tem alguma idéia de como proceder? Eu estou pensando que possivelmente uma atualização da pasta 'Windows \ system32 \ config \ SystemProfile'. Também estou pensando em executar uma ferramenta como o Malwarebytes, mas isso pode ser um pouco controvertido, já que o sistema precisa estar em execução no máximo de tempo possível. Também estou imaginando se alguém conhece alguma ferramenta de administração do Windows que me permita controlar as opções de log de eventos ou as opções de segurança padrão para que eu possa recuperá-la para algum tipo de padrão.

O que estou tentando evitar é uma nova imagem do terminal. Embora esta seja uma opção, eu realmente não quero ter que levá-lo se eu não precisar.

Muito obrigado antecipadamente por qualquer sugestão que alguém possa ser capaz de fornecer.     

Answer 1

Primeiro, você pode encontrar um suporte melhor no ServerFault, já que o log geralmente é mais usado nos servidores, apesar do sistema em questão ser um cliente.

Em segundo lugar, você nunca pode ter certeza absoluta de que se livrou de um vírus, a menos que você formate o sistema e reinstale / crie imagens dele. Se você conhece o vírus exato e sabe com certeza que todos os arquivos foram removidos e que todas as alterações foram revertidas, suponho que você poderia ter certeza de que foi removido; Estou assumindo que você não tem 100% de certeza neste caso, já que você não sabe se esse vírus mexe com o log do sistema e / ou quais alterações ele faz.