Vreemde Logboeknamen in Windows Event Viewer

[GrimaceODespair]

In een poging om te achterhalen waarom mijn draadloos internet hapert, kwam ik onderstaande logboeken tegen in event viewer:



Het eerste waar ik aan denk als ik zoiets zie, is malware. Maar ik kan moeilijk plaatsen wat hier aan de hand is.

De logboeknamen en de log entries zijn allen in "1337 script", en log entries dateren van 22 mei vorig jaar. Het lijkt alsof "gewoon" de UI is aangepast - maar dan alleen voor die specifieke loboeken - en de achterliggende data eigenlijk gewoon klopt.

Ik heb ff F-secure laten lopen, en die vindt alvast niks.

Iemand een idee wat hier mogelijk aan de hand is, of een suggestie voor opvolgingsacties?

[Room42]

Ik zou wel een herinstallatie overwegen maar de oorzaak hiervan kan ik je niet geven, nee. Ik kan ook zo snel geen gelijkwaardig geval vinden op internet. Wat als je googlet naar die entries (dus met die specifieke 'vertaling')?

[GrimaceODespair]

"Je zoekbewerking heeft geen overeenkomstige documenten opgeleverd", en dan heb ik bv alleen maar die AppId gepakt

[Room42]

Ik zou juist die Microsoft en Windows kiezen als query, maar goed.

[GrimaceODespair]

Dat was inderdaad mijn eerste idee, maar ik vond even nergens een plek in de UI waar ik dat van kon copy-pasten

o.a. doordat de "Volledige naam" wel ok is:

[ Voor 36% gewijzigd door GrimaceODespair op 17-02-2019 01:00 ]

[Brahiewahiewa]

GrimaceODespair schreef op zaterdag 16 februari 2019 @ 12:02:
...De logboeknamen en de log entries zijn allen in "1337 script"...

Dat is geen "1337 script" maar gewoon ASCII terwijl er unicode verwacht wordt.
Degene die AppLocker op jouw PC heeft geconfigureerd, heeft dat verkeerd gedaan zodat - ondermeer - je eventlog is gesloopt. Wie beheert jouw PC? De IT-afdeling van je bedrijf, een handig neefje, of een botnet?

[MAX3400]

@Brahiewahiewa dit hoeft geen verkeerde instelling te zijn; hetzelfde heb ik gezien met een bepaalde Insider-build uit, ik dacht, september 2018. Er was toen 1 service en 1 logboek waar hetzelfde optrad als wat @GrimaceODespair beschrijft.

En ja, het kan ook zeker door verkeerde configuratie zijn maar ik sluit zeker niet uit dat het door een recente WindowsUpdate "verziekt" kan zijn; allicht is een System Restore naar een recente datum een optie om te kijken of het daarna beter gaat of weer voorkomt.

[GrimaceODespair]

Ok @MAX3400, bedankt voor de info. Dat stemt me alweer iets geruster. De enige "last" die ik momenteel ervaar, is overigens het feit dat die AppLocker logboeken er zo uitzien. Als ik niet vermoed dat mogelijk andere issues gerelateerd zijn, ben ik eerlijk gezegd niet geneigd een System Restore te doen. Maar dat weet ik wellicht pas 100% zeker na een restore

@Brahiewahiewa Het gaat om mijn persoonlijke PC die door ondergetekende "handige harry" beheerd wordt. Tenzij ik ooit in een waanzinnig dronken bui de beheerder ben gaan uithangen, kan ik me niet voorstellen dat ik ooit AppLocker heb geconfigureerd.

[Brahiewahiewa]

MAX3400 schreef op zondag 17 februari 2019 @ 10:28:
@Brahiewahiewa dit hoeft geen verkeerde instelling te zijn; hetzelfde heb ik gezien met een bepaalde Insider-build uit, ik dacht, september 2018. Er was toen 1 service en 1 logboek waar hetzelfde optrad als wat @GrimaceODespair beschrijft.

En ja, het kan ook zeker door verkeerde configuratie zijn maar ik sluit zeker niet uit dat het door een recente WindowsUpdate "verziekt" kan zijn; allicht is een System Restore naar een recente datum een optie om te kijken of het daarna beter gaat of weer voorkomt.

Ik durf natuurlijk niet uit te sluiten dat Microsoft een FU heeft gemaakt ;o)
De vraag aan @GrimaceODespair wordt dan: "Welke build van Windows draai je?"
En zie je onder Logboeken Toepassingen en Services | Microsoft | Windows ook een AppLocker entry?

[GrimaceODespair]

Nope, geen "echte" AppLocker:



Ik draai overigens Windows 10 Home, Versie 1803 (17134.590). Weet niet of AppLocker daar überhaupt op werkt?

[Brahiewahiewa]

GrimaceODespair schreef op zondag 17 februari 2019 @ 21:07:
...Ik draai overigens Windows 10 Home, Versie 1803 (17134.590). Weet niet of AppLocker daar überhaupt op werkt?

AppLocker is geïntroduceerd in Windows 7 en werkt ook in de Home edities. Alhoewel je d'r officieel een DC voor nodig hebt, kun je 't ook standalone configureren. Zo te zien heeft iets of iemand dat op jouw PC (foutief) gedaan
Als die PC een produktiemachine is, zou ik 'm voor de zekerheid herinstalleren
Als het een testmachine is, zou ik eens kijken onder HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Publishers of het niet te repareren valt