MgF.exe come servizio non richiesto

[Zandor]

Ragazzi mi sono accorto, mentre facevo la scansione con l'antivirus nod32, che lo stesso dava errore su alcuni file perchè erano crittografati e quindi per lui impossibile da leggere.

Il sopetto mi è venuto perchè i file erano molti e tutti nella cartella
"C:\Programmi\File comuni\System\

alcuni di loro non si cancellavano e ho dovuto prendere una utility che avevo, e farla partire dal cd rom poi ho canellato i file in questione tra cui il file MgF.exe.

Ora il problema è che in "strumenti di amministrazione" => "Servizi" ho un servizio con un account che non è il mio e che io non posso modificare ne' eliminare. Vi mando uno screen per farvi capire:

Il servizio in questione quando gli vado sopra e faccio proprietà mi dice che il percorso è "C:\Programmi\File comuni\System\MgF.exe" ma non lo posso modificare. Mi dice ogni volta accesso negato.

come posso fare???

[blue_tech]

prova a disattivarlo dalla modalità provvisoria e sempre da lì ad eliminarlo...

[GmG]

Sei infetto sa LinkOptimizer
Guida alla rimozione di LinkOptimizer / Trojan Agent (http://www.suspectfile.com/forum/viewtopic.php?t=156)

[Zandor]

io non so che virus fosse perchè nod mi diceva solo che non poteva leggere il file non che era un virus.
Poi mi sono accorto che in servizi c'era un account crittografato con un come random. E allora mi sono preocccupato.

Cmq i file li ho tolti e al riavvio non si sono riformati.
Ma l'account non si toglie cavolo. Sta sempre lì, anche da modalità provvisoria.
Devo formattare?

[Zandor]

Stamane ho fatto la scansione con Virit ed è uscito:

[SCANSIONE DEL REGISTRO]
{2ee25147-37d4-4640-832c-fccfac8b21d9} Infetto da BHO.Agent.AR
* * * RIMOSSO * * *
{2a6af021-17a2-4014-8624-cf6015f82fad} Infetto da BHO.Agent.BA
* * * RIMOSSO * * *

Sono riuscito a cambiare l'account di quel Logkej ora ho messo "Sistema locale" e come opzione "Disabilitato"

Esiste un modo per cancellare proprio il servizio????

[Zandor]

Altre novità

Virit mi segnale un file all'avvio un certo NUL.FSD mi sono accorto che questo file è collegato con il rootkit di cui sopra, ma non è possibile cancellarloanzi virit mi dice che sta qui \\?\C:\WINDOWS\System32\nul.fsd
Ma windows non lo vede e neanche dal prompt ne da modalità provvisoria.
Ho allora avviato da cdrom e lo riesco a vedere si trova proprio dove ha detto virit ma niente non lo cancella. Come devo fare per distruggerlo.

[nefy]

la mia situazione era simile alla tua, un resoconto dettagliato l'ho scritto nel thread su linkopti; io sono andato nel registro con Regedit a cercare il nome dell'account fasullo e ad eliminare le chiavi che lo riguardavano, sempre in mod provv, dopodichè è stato possibile disabilitare il servizio...non è una procedura standard, non è verificata e maneggiare il registro è sempre un pò rischioso...ma a me ha funzionato ;)

[Zandor]

Questi nuovi virus sono tosti.

Quello che mi sono beccato è una variante di un rootkit.
Però questi virus sono simili o forse direi uguali se non fosse per la creazione di nomi random sia per i servizi che per gli eseguibili e le dll nonchè per gli account.
Ricapitolando questi virus fanno:

Creare uno o + account nascosti in "C:\Documents and Settings"
Creare un servizio, sempre con un nome fittizio, fatto a posta per loro che si può vedere benissimo in esegui "services.msc"
Creano file .exe nascosti e crittografati con nomi random in C:\Programmi\File comuni\System, di cui solo uno è quello che è invisibile al S.O. e non cancellabile con sistemi tradizionali. Ci vuole un tool
Logicamente creano chiavi nel registro di sistema difficili da togliere.

Per concludere io sono riuscito ad eliminare sia i servizi falsi sia i file crittografati sia quello principale invisibile. Non c'è + la minaccia però anche da modalità provvisoria non riesco ad eliminare dal registro di sistema delle cartelle tipo "LEGACY_nome fittizio" non so perchè, però la chiave è inattiva.

[Zandor]

Ragazzi ho risolto tutto anche quella chiave che non voleva saperne di togliersi. Con un utility ho resettato ne registro i permessi e poi ... delete.

Tutto fatto tutto apposto niente formattone. Ciao e attenzione a questi root kit sono veramente potenti.