View Full Version : Virus che riavvia tutto - Aiuto
Jeeg_Robot
27-03-2005, 09:53
Probabilmente mi sono prteso un viris che dopo pochi minuti mi fa partire il reboot automaticamente e non riesco nemmeno a fare la scansione con kaspersky.
Potreste darmi qualche consiglio voi esperti di sicurezza?
Grazie in anticipo e buona Pasqua
ti compare una finestra con count-down di 60 secondi?
usi un firewall?
c'è puzza di worm!!!:)
posta qualche dettaglio in +
BravoGT83
27-03-2005, 11:29
o è blaster o sasser:D
... o korgo o gaobot o una miriade di altri virus che utilizzano la vulnerabilità rpc
Jeeg_Robot
27-03-2005, 18:29
Vi ringrazio per gli interventi ma a me servirebbe una soluzione. Qualcuno di voi la possiede? Che so anche una scansione online.....
sono disperato:(
PS non uso nessun firewall e non mi compare nessun count down di 60 secondi. La scansione con kaspersky parte e trova 4 trojN MA AD UN CERTO MOMENTO IMPROVVISAMENTE IL PC SI SPEGNBE E SI RIAVVIA.
:muro:
Originariamente inviato da Jeeg_Robot
Vi ringrazio per gli interventi ma a me servirebbe una soluzione. Qualcuno di voi la possiede? Che so anche una scansione online.....
sono disperato:(
PS non uso nessun firewall e non mi compare nessun count down di 60 secondi. La scansione con kaspersky parte e trova 4 trojN MA AD UN CERTO MOMENTO IMPROVVISAMENTE IL PC SI SPEGNBE E SI RIAVVIA.
:muro:
:confused: :confused: :confused: come fai a fare una sansione on-line se ti si riavvia il pc??????????
e poi scusa ti si riavvia anche se non ti colleghi??
hai provato in modalita provvisoria????
facci sapere:D
Originariamente inviato da 3dsst
:confused: :confused: :confused: come fai a fare una sansione on-line se ti si riavvia il pc??????????
e poi scusa ti si riavvia anche se non ti colleghi??
hai provato in modalita provvisoria????
facci sapere:D
che sistema op hai??
Originariamente inviato da 3dsst
che sistema op hai??
a ok xp pro nn avevo visto:D
Prova a fare una scansione con Hijackthis (se ce l'hai) e posta il log.
Per cercare di impedire che il pc si riavvii impedendoti una qualsiasi reazione, prova a fare come segue:
1 riavvia
2 appena terminato il caricamento di windows, vai su start, esegui
3 digita cmd
4 nella finestra che ti si apre, digita shutdown -i
5 spostati sulla linguetta aggiungi e inserisci ad es il nome del tuo pc (tipo pc casa...) e dai ok; nella stessa schermata cerca la voce visualizza avviso per e modifica i secondi dai 20 di default @ 1000; infine metti un commento a caso nell'ultimo campo in basso e premi ok
A regola non dovrebbe + resettarsi il PC e hai il tempo per andarti a scaricare le patch da WinUpdate, provando successivamente a lanciare la scansione con il KAV..
Io cmq, dopo che hai bloccato il riavvio, una passata con lo Stinger (http://download.nai.com/products/mcafee-avert/stinger.exe) la darei ....
se con la procedura che ti ho indicato non riesci a risolvere, prova in quest'altro modo:
start, esegui, digita SERVICES.MSC /S
cerca il servizio RPC (Remote Procedure Call) ( da non confondere con il servizio Remote Procedure Call (RPC) LOCATOR !!! )
cliccaci sopra, vai alla scheda ripristino, cambia le voci del 1° tentativo, 2° tentativo, tentativi successivi, da riavvia il computer a riavvia il servizio
Fine. :D
Facce sapè...
PS: ovviamente ho preso tutto dal sito Symantec...:D
Jeeg_Robot
27-03-2005, 21:04
Grazie mille nv25 ma n ulla da fare....... mi sono accorto che avevo xp con sp1 ma adesso non riesco nemmeno ad aggiornare alla 2.
Che faccio? sono disperato:(
Originariamente inviato da Jeeg_Robot
Grazie mille nv25 ma n ulla da fare....... mi sono accorto che avevo xp con sp1 ma adesso non riesco nemmeno ad aggiornare alla 2.
Che faccio? sono disperato:(
ma ti si riavvia anche da modalita provisoria
Jeeg_Robot
27-03-2005, 21:14
No, non ho provato in modaslità provvisoria ma sinceramente non mi ricordo più come si fa ad andare in modalità provvisoria. Oramai sono nel pallone.....
Jeeg_Robot
27-03-2005, 21:16
Nulla da fare.
PS 3dsst ma la citazione tratta dal 7° sigillo di Bergman nella firma è casuale o voluta?
Originariamente inviato da Jeeg_Robot
Nulla da fare.
PS 3dsst ma la citazione tratta dal 7° sigillo di Bergman nella firma è casuale o voluta?
no non è casuale anche se il film di bergman nn l'ho mai visto mi ha dato spunto o meglio mi hano dato spunto 2 film western il cavaliere pallido (clint eastwood) e tombstone (grande) li ho visti con un amico e siccome lui si era cosi intrippato che si e messo a dire a tutti sta frase alla fine lo utilizzata pure io ...(troppo figa);)
Postare il log di Hijackthis, no ?
Jeeg_Robot
27-03-2005, 22:00
Logfile of HijackThis v1.99.1
Scan saved at 23.00.24, on 27/03/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\savedump.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Canon\BJCard\BJLaunch.exe
C:\Programmi\Eset\nod32kui.exe
C:\Programmi\Canon\BJCard\Bjmcmng.exe
C:\Programmi\Eset\nod32krn.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\SoftwareDistribution\Download\S-1-5-18\6c224b18c466dffa7011b6ceb0bf0467\update\update.exe
C:\Documents and Settings\jegor\Impostazioni locali\Temporary Internet Files\Content.IE5\ZOJ8IY5U\HijackThis1991[1].exe
C:\WINDOWS\System32\wuauclt.exe
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOCUME~1\jegor\IMPOST~1\Temp\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - c:\program files\Adobe\Acrobat Reader 5\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {3881965D-B9F6-498E-B485-5E1D79E834D6} - (no file)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [BJLaunchEXE] C:\Programmi\Canon\BJCard\BJLaunch.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
O12 - Plugin for .spop: C:\Programmi\Internet Explorer\Plugins\NPDocBox.dll
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O23 - Service: Canon BJ Memory Card Manager (Bjmcmng) - CANON INC. - C:\Programmi\Canon\BJCard\Bjmcmng.exe
O23 - Service: Intel(R) Active Monitor (imonNT) - Intel Corp. - C:\Program Files\Intel\Intel(R) Active Monitor\imonnt.exe
O23 - Service: Intel NCS NetService (NetSvc) - Intel(R) Corporation - c:\Programmi\Intel\NCS\Sync\NetSvc.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Unknown owner - C:\Programmi\Eset\nod32krn.exe
O23 - Service: SNDSrvc - Intel Corporation - (no file)
uesto è il LOG.
Vi prego aiutatemi. Non posso proprio formattare perchè già l'ultima volta ho trovato i driver della mia scheda madre per miracolo.
Grazie infinite a tutti voi che sicuramente saptrete aiutarmio.
Originariamente inviato da Jeeg_Robot
Vi ringrazio per gli interventi ma a me servirebbe una soluzione. Qualcuno di voi la possiede? Che so anche una scansione online.....
sono disperato:(
PS non uso nessun firewall e non mi compare nessun count down di 60 secondi. La scansione con kaspersky parte e trova 4 trojN MA AD UN CERTO MOMENTO IMPROVVISAMENTE IL PC SI SPEGNBE E SI RIAVVIA.
:muro:
imho non è un virus, ti si è sputtanato un driver, non chiedermi xkè; be', a dire il vero potrebbe anche essere un virus che finge di essere un driver sputtanato... :D
cmq vedi, trovo improbabile che possa essere un virus, perché il danno che ti viene fatto alla fine è solo un inutile fastidio che non ha conseguenze (se non quella di farti xdere un minuto ~ di riavvio).
oggi la tendenza dei programmatori lamer non è più tanto quella di danneggiare il lato client (come un tempo); oggi i lamers hanno principalmente due scopi: o di danneggiare il lato server (vedere vari casi di attacchi DoS, tipo MyDoom ecc.), o di impossessarsi di informazioni riservate sulle quali normalmente non potrebbero avere accesso (quest'ultimo punto vale sia per il lato client che per il lato server).
sinceramente non so quale possa essere la causa del tuo problema, cerca di ricordare quali programmi hai installato per ultimi; potrebbe essere qualcosa che ti da problemi, specie se hai installato roba con drivers propri, tipo mediaplayers che non fanno uso di WMP (sparo...)
e cmq almeno un firewall usalo ;)
non dico tanto, ma almeno un semplicissimo ZA...
Jeeg_Robot
27-03-2005, 22:19
Mi viene un dubbio atroce. Oggi gho cancellato alcune chiavi di registro con jv16 ma erano solo quelle corelate con norton e symantec, ma non credo sia quello.
Alla fin fine cosa mi conviene fare?
Devo formattare?
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOCUME~1\jegor\IMPOST~1\Temp\se.dll/sp.html
Questo processo è meglio cancellarlo e controllare che non si ripresenti.
Jeeg_Robot
27-03-2005, 22:25
OK, ma tu come fai a dire che si è sputtanato un driver? Riusciresti a dirmi quale driver si è sputtanato? Eventualmente provo a vedere di trovarlo....
Grazie in anticipo
Jeeg_Robot
27-03-2005, 22:28
OK tidav. Grazie mille.
Una sola cosa: come faccio a cancellarlo? dove devo andare?
per cancellarlo basta che fai così:
Se puoi parti con la modalità provvisoria.
Poi fai la scansione con hijackthis .
Alla sinistra del processo da eliminare (che ti ho segnalato sopra) troverai un quadratino, tu ci clicchi sopra una volta col tasto sinistro del mouse e ti comparirà una v nel quadratino.
Fatto questo schiacci il pulsante FIX CHECKED . Ti chiederà se vuoi veramente eliminarlo e schiaccerai SI'.
Poi spegni il computer, lo riaccendi e rifai la scansione con Hijakthis per vedere se si ripresenta.
Non se se ti risolverà il problema, ma almeno comincerai ad eliminare un processo nocivo.
Con la stessa modalità spiegata sopra cancella anche questi processi, a meno che tu non li conosci :
C:\Documents and Settings\jegor\Impostazioni locali\Temporary Internet Files\Content.IE5\ZOJ8IY5U\HijackThis1991[1].exe
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about :blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about :blank
O2 - BHO: (no name) - {3881965D-B9F6-498E-B485-5E1D79E834D6} - (no file)
Jeeg_Robot
27-03-2005, 22:42
OK tidav ho cancellato il processo che mi hai segnalato tu e ho notato che me ne ha cancellati anche degli altri (questo lo dico perchè dopo il riavviao me alla nuova scansione me ne sono comparsi meno).
Purtroppo il riavvio automatico continua a ripresentarsi. A questo punto sono davvero disperato!:( :( :( :( :( :( :( :(
Anche questi è meglio eliminarli, se non li conosci :
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
C:\WINDOWS\system32\savedump.exe
Jeeg_Robot
27-03-2005, 22:45
OK ho cancellato anche la seconda lista di procesi che mi hai detto tu
Di R1 ho visto che ce n'erano 2 e le ho cancellate entrambe.
Purtroppo la situazione dei riavvii è sempre la stessa......lo sconforto diventa disperazione ora:( :( :( :( :( :( :( :( :( :( :( :( :(
Cancella anche gli altri che ti ho segnato, in totale sono 7 processi.
Jeeg_Robot
27-03-2005, 22:48
Ho cancellato anche gli ultimi due che mi hai dato. quello che comincia con c:.....non l'ho mai visto
Jeeg_Robot
27-03-2005, 22:49
NIENTE!!!!!!!
Continua con i suoi riavviiiiiiiiiiiiiiii:( :( :( :( :( :( :(
Jeeg_Robot
27-03-2005, 22:50
Logfile of HijackThis v1.99.1
Scan saved at 23.49.54, on 27/03/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\savedump.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Canon\BJCard\BJLaunch.exe
C:\Programmi\Canon\BJCard\Bjmcmng.exe
C:\Programmi\Eset\nod32krn.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Documents and Settings\jegor\Impostazioni locali\Temporary Internet Files\Content.IE5\WFSR2L25\HijackThis1991[1].exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - c:\program files\Adobe\Acrobat Reader 5\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [BJLaunchEXE] C:\Programmi\Canon\BJCard\BJLaunch.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O12 - Plugin for .spop: C:\Programmi\Internet Explorer\Plugins\NPDocBox.dll
O23 - Service: Canon BJ Memory Card Manager (Bjmcmng) - CANON INC. - C:\Programmi\Canon\BJCard\Bjmcmng.exe
O23 - Service: Intel(R) Active Monitor (imonNT) - Intel Corp. - C:\Program Files\Intel\Intel(R) Active Monitor\imonnt.exe
O23 - Service: Intel NCS NetService (NetSvc) - Intel(R) Corporation - c:\Programmi\Intel\NCS\Sync\NetSvc.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Unknown owner - C:\Programmi\Eset\nod32krn.exe
O23 - Service: SNDSrvc - Intel Corporation - (no file)
questo è il log dopo aver cancellato le cose chr mi hai detto:cry: :cry: :cry: :cry: :cry:
Non riesci a scaricare Stinger.exe dal link ?
http://vil.nai.com/vil/stinger/
Il log di Hijackthis è già più pulito...prova magari a disattivare il ripristino di configurazione di sistema e a partire in modalità provvisoria e a cancellare ancora questi se non li conosci :
C:\Documents and Settings\jegor\Impostazioni locali\Temporary Internet Files\Content.IE5\WFSR2L25\HijackThis1991[1].exe
C:\WINDOWS\system32\savedump.exe
Jeeg_Robot
27-03-2005, 22:54
OK stinger scaricato adesso sto provando la scansione:(
mi sa che mi si riavvia prima della fine della scansione:confused:
Prova a vedere se riesci a scaricare questa patch contro il Sasser, scegli la lingua del tuo sistema operativo e poi scarichi la patch
http://www.microsoft.com/downloads/details.aspx?FamilyId=3549EA9E-DA3F-43B9-A4F1-AF243B6168F3&displaylang=en
E' già un bene che sei riuscito a scaricare Stinger.
Se non te la fa finire prova a ripartire in modalità provvisoria, togli il ripristino di configurazioe di sistema e rifai la scansione con Stinger.
Jeeg_Robot
27-03-2005, 22:57
tidav, ti comunque sei davvero molto gentile.......
con la scansione con stinger sembra che stia tenendo
PS cos'è stinger?
http://www.microsoft.com/downloads/details.aspx?displaylang=it&familyid=2354406c-c5b6-44ac-9532-3de40f69c074
Scarica anche questa patch se riesci, scegliendo sempre la lingua che deve corrispondere a quella del tuo sistema operativo.
Scarica le 2 patch che ti ho segnato. Quella che ti ho appena segnato e l'altra che ti ho segnato alle ore 23.57
Stinger è un rimuovi virus online. E' di McAffee. Rimuove solo circa 50 virus, ma tra i più bastardi e diffusi. Magari tu hai proprio uno di quelli.
Riassumendo :
Fai finire Stinger.
Se ti si spegne prima che finisca fai così :
1) Riparti in modalità provvisoria schiacciando f8 quando accendi il computer.
2) Togli il ripristino momentaneamente di configurazione di sistema.
3) Fai ripartire Stinger da capo.
4) Nel frattempo scarica le 2 patch di Microsoft che ti ho segnalato e pulisci ancora il log di Hijackthis.
Una volta fatta la scansione con Hijackthis salva il log e inseriscilo in questo link : http://hijackthis.de/it poi schiacci "analizza" ed elimini tutto quello che ti segnala come sconosciuto o pericoloso , in giallo o in rosso...a meno che tu non conosca quei programmi.
Prova a scaricare anche questo tool di rimozione di Sasser che magari hai proprio questo verme.
http://sicurezza.html.it/download.asp?idcatdownload=6&iddownload=36
E leggiti queste pagine sia per il sasser che per il blaster ,fai quello che c'è scritto :
http://www.sicurezzainrete.com/tools_antivirus.htm
http://www.sicurezzainrete.com/Rimuovere_Worm_Sasser.htm
http://www.sicurezzainrete.com/Rimuovere_Worm_Blaster.htm
Jeeg_Robot
27-03-2005, 23:15
OK tidav, ma per le 2 patch di microsoft come faccio a sciegliere la lingua italiana?
Jeeg_Robot
27-03-2005, 23:19
OK ho trovato anche dove cambiare le lingue. Sai in modalita VGA non era facile.
PS Comunque vada alla fine a te tidav poi devo fare una bella statua.
Ti riporto tutto insieme così provi tutto il possibile...
Le 2 patch in italiano , apri le pagine qui sotto e clicca dove c'è scritto download.
http://www.microsoft.com/downloads/details.aspx?displaylang=it&FamilyID=3549ea9e-da3f-43b9-a4f1-af243b6168f3
http://www.microsoft.com/downloads/details.aspx?displaylang=it&familyid=2354406c-c5b6-44ac-9532-3de40f69c074
Riassumendo :
Fai finire Stinger.
Se ti si spegne prima che finisca fai così :
1) Riparti in modalità provvisoria schiacciando f8 quando accendi il computer.
2) Togli il ripristino momentaneamente di configurazione di sistema.
3) Fai ripartire Stinger da capo.
4) Nel frattempo scarica le 2 patch di Microsoft che ti ho segnalato e pulisci ancora il log di Hijackthis.
Una volta fatta la scansione con Hijackthis salva il log e inseriscilo in questo link : http://hijackthis.de/it poi schiacci "analizza" ed elimini tutto quello che ti segnala come sconosciuto o pericoloso , in giallo o in rosso...a meno che tu non conosca quei programmi.
Prova a scaricare anche questo tool di rimozione di Sasser che magari hai proprio questo verme.
http://sicurezza.html.it/download.asp?idcatdownload=6&iddownload=36
E leggiti queste pagine sia per il sasser che per il blaster ,fai quello che c'è scritto :
http://www.sicurezzainrete.com/tools_antivirus.htm
http://www.sicurezzainrete.com/Rimuovere_Worm_Sasser.htm
http://www.sicurezzainrete.com/Rimuovere_Worm_Blaster.htm
Jeeg_Robot
27-03-2005, 23:25
Srei un grande. Ci dobbiamo trovare che ti devo una cena.
Poi domani ti faccio sapere com'è andata.
Per il momento buonanotte e buona Pasquetta
Grazie mille amico:) :mano: :mano: :vicini: :vicini:
Prego
Scarica anche questo tool di rimozione di Microsoft :
http://www.microsoft.com/downloads/details.aspx?FamilyId=AD724AE0-E72D-4F54-9AB3-75B8EB148356&displaylang=it
Puoi provare a fare una scansione online da questo sito:
http://www.pandasoftware.com/activescan/
se per caso risolvi il problema facendo tutto quello che ti ho detto e leggendo tutti quei link che ti ho messo ricordati poi di :
1) Scaricare appena puoi il Service Pack 2 di Windows XP. E' fondamentale e ricordati di aggiornare il sistema operativo con windows update scaricando tutte le patch di sicurezza.
2) Dotarti di un firewall, anche gratuito, per esempio Sygate o Zone Alarm
3) Aggiornare ogni giorno l'Antivirus e fare immediatamente una scansione completa del tuo hard disk.
Buona notte e buona Pasquetta
Bel lavoro tidav :mano: proprio un bel lavoro!!!
io avrei tolto al volo anche:
O23 - Service: SNDSrvc - Intel Corporation - (no file)
se continua a riavviarsi direi di fare un bel chkdsk /p /r dalla console di ripristino di xp così se ha qualche driver sputtanato lo sistema lui ;)
Originariamente inviato da tidav
C:\WINDOWS\system32\savedump.exe
Io questo non lo fixerei
guarda
qui (http://www.liutilities.com/products/wintaskspro/processlibrary/savedump/)
per il resto sei stato UN GRANDE :winner:
Scritto da fedved
Io questo non lo fixerei
guarda
qui
per il resto sei stato UN GRANDE
Hai ragione, ma Hijackthis lo dà come processo sconosciuto , meglio comunque non eliminarlo visto il link che hai messo...
l'unico processo davvero da eliminare era il primo che ho segnato ,quello con se.dll ....gli altri risultavano dubbi o sconosciuti...
Grazie per il complimento
Scritto da bluepix
Bel lavoro tidav proprio un bel lavoro!!!
io avrei tolto al volo anche:
O23 - Service: SNDSrvc - Intel Corporation - (no file)
Hijackthis lo dà come inutile ma non nocivo, non so...
Grazie per il complimento
vBulletin® v3.6.4, Copyright ©2000-2025, Jelsoft Enterprises Ltd.