Ancora rootkit [Archivio] - Hardware Upgrade Forum

Brienne

10-04-2008, 02:05

Ciao a tutti, sono un'utente nuova e anche parecchio inesperta...
Avast mi ha rilevato un'infezione da rootkit, il famigerato asc3550p.sys rilevato in un post precedente da doctormarx, e sto seguendo le indicazioni di quel post per cercare di rimuoverlo... qualcuno mi assiste?
Seguendo la Guida alla disinfezione, primo problema: ho scaricato e lanciato adsr revealer, ma mi dice "The system doesn't have any fixed drive with NTFS". Chedè? Avessi idea di che cosa sono i NTFS...
Ora vado avanti, ma quello che mi chiedo è: dato che mi sa che avete capito quale è la procedura per eliminare sto simpatico amico rootkit, non è che qualcuno me la potrebbe sintetizzare? Devo seguire tutta la procedura inserendo i log? Scusatemi, ma per me questa dovrebbero ribattezzarla Guida alla disinfezione per inetti...
Grazie!

wjmat

10-04-2008, 08:51

Tu comincia a postare i log nell'ordine in cui sono richiesti.
Ciao

Chill-Out

10-04-2008, 10:19

Ovvero segui la Guida alla disinfezione (http://www.hwupgrade.it/forum/showthread.php?t=1599737) allegando i log prodotti in un'unico post secondo le sottoindicate modalità, grazie per la collaborazione

MODALITA' DI PUBBLICAZIONE DEI LOG RICHIESTI:

Ogni singolo log, esclusivamente in formato txt, deve essere hostato su FileUP clicca qui per raggiungere FileUP (http://www.fileup.itadib.com/index.php), pubblicando, nella discussione, singolarmente, per ogni log, il link che verrà rilasciato per il download

Brienne

10-04-2008, 13:40

Grazie, posto stasera che per adesso sono in ufficio. Intanto, però, ti volevo domandare come mai non mi fa funzionare ads spy (né ads revealer) dicendomi che il mio sistema non utilizza NTSF. Hijackthis mi fa la scansione e mi fa salvare il log, ma ads spy non parte nemmeno... Cosa vuol dire? C'entra col fatto che sono infetta?

xcdegasp

10-04-2008, 18:32

Brienne

10-04-2008, 21:56

Ok, eccomi

http://www.fileup.itadib.com/download.php?id=2E7LkF14yM6XmUrEdKan

http://www.fileup.itadib.com/download.php?id=AbvvHspiB7NO5iE7rWEz

http://www.fileup.itadib.com/download.php?id=udFJiFCRCs7g6D4HYviP

http://www.fileup.itadib.com/download.php?id=Wl5bdRbQILC1iOJCJP6O

Il log di ads revealer non c'è perché, come ho detto prima, non mi fa partire la scansione... Attendo responsi, grazie!

Chill-Out

10-04-2008, 22:51

1 - Esegui HijackThis - clicca su Do a system scan only - metti il segno di spunta nella casella bianca a sx delle sottoindicate voci e clicca su Fix checked

O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)
O16 - DPF: Xß -

2 - Clicca su una cartella qualsiasi clicca su Strumenti - Opzioni cartella - Visualizzazione - metti il segno di spunta in Visualizza cartelle e file nascosti - togli il segno di spunta da Nascondi i file protetti di sistema - Applica e OK

Da Start - Tutti i programmi - Accessori - Esplora risorse cerca il seguente file 49104442.Evt in questo percorso C:\WINDOWS\system32\config\49104442.Evt
fallo controllare su entrambi:

http://www.virustotal.com/it/
http://virusscan.jotti.org/

ed indica il link dove visualizzare i risultati

3 - Fai girare Kaspersky Removal Tool http://downloads5.kaspersky-labs.com/devbuilds/AVPTool/
scarica la versione del tool più aggiornata rispetto alla data ed ora di pubblicazione

Installa KASPERSKY VIRUS REMOVAL TOOL
● verrà creata una apposta cartella sul Desktop
● all’interno della cartella è presente la classica icona (una K) di Kapsersky
● clicca sull’icona per lanciare il tool
● imposta le aree che intendi scansionare (Startup Objects e Disk boot sector sono impostate di default) ===>> scansione completa tute le partizioni
● al termine della scansione sarà possibile rimuovere e/o mettere in quarantena i file infetti rilevati
salva il log che verrà rilasciato

Riepilogo log da allegare:
Nuovo log HijackThis
Kaspersky Removal Tool
Prevx CSI

ricorda di indicare i links dove visualizzare i risultati per 49104442.Evt

Brienne

11-04-2008, 13:10

Grazie Chill Out, ma mi sa che ti ho fatto perder tempo! Mi ero iscritta a due forum per risolvere la cosa, e poi ieri ho seguito la procedura dell'altro, semplicemente perché era quella che mi era arrivata prima... Mi ha rilevato il problema che mi dicevi tu (49104442.Evt) e sto risolvendo, fermo restando che, visto il lavoro, mi ci posso dedicare solo la sera... Nessuna sfiducia verso nessuno, solo un po' di fretta di riavere il computer funzionante! Grazie ancora, comunque, a te e a tutti quelli che mi hanno aiutato, siete tutti mitici!

Chill-Out

11-04-2008, 15:39

Grazie Chill Out, ma mi sa che ti ho fatto perder tempo! Mi ero iscritta a due forum per risolvere la cosa, e poi ieri ho seguito la procedura dell'altro, semplicemente perché era quella che mi era arrivata prima...

Partendo dal presupposto che ognuno è libero di iscriversi a tutti i forum che desidera e seguire la procedura che meglio crede per la risoluzione del proprio problema; detto ciò non vedo il motivo per cui giustificare la propria scelta con un: "e poi ieri ho seguito la procedura dell'altro, semplicemente perché era quella che mi era arrivata prima..."

Mi ha rilevato il problema che mi dicevi tu (49104442.Evt)

consentimi ma su questo non avevo dubbi

e sto risolvendo, fermo restando che, visto il lavoro, mi ci posso dedicare solo la sera...

mi fà piacere che tu stia risolvendo

Nessuna sfiducia verso nessuno, solo un po' di fretta di riavere il computer funzionante!

Io personalmente non ho mai parlato di sfiducia nei confronti di nessuno, quindi che cosa presuppone e da dove nasce la frase: "Nessuna sfiducia verso nessuno"? Per quale strano e velato motivo si usa il termine sfiducia?

Grazie ancora, comunque, a te e a tutti quelli che mi hanno aiutato, siete tutti mitici!

Di nulla si cerca di fare il meglio che si può, senza fare nessuna distinzione, credo inoltre che questo chiarimento da parte mia sia doveroso, anche in fuzione del fatto che per il momento sò ancora leggere l'orologio, ti auguro buon proseguimento su qualsiasi forum tu voglia frequentare.

Ciao

Franz.

11-04-2008, 22:09

Mi dispiace di andare OT, e ne sono consapevole (spero di non ritrovarmi punito per questo.. :) ), saluto la nuova utente Brienne, ma sento dal più profondo di me stesso (e anche dalla saggezza dei miei 42 anni ;) ) la necessità di complimentarmi con Chill-Out per la sua veramente encomiabile tempestività, professionalità e disponibilità. ;)

Grazie Chill-Out ;)

Chill-Out

13-04-2008, 20:57