[risolto] rootkit CLBDRIVERS.SYS - reindirizzamento ricerche su google e siti web [Archivio]

View Full Version : [risolto] rootkit CLBDRIVERS.SYS - reindirizzamento ricerche su google e siti web

lollo.pil

04-06-2008, 12:08

Buongiorno a tutti, il problema che sto per esporre l'ho trovato piuttosto singolare... Partiamo dal principio...

Un amico mi ha dato in affidamento il suo portatile (Windows XP Media Centre Edition SP2 ) e ho subito notato lo stato pietoso in cui era: molti tipi di virus, recenti o meno, come ad esempio Sasser, alcuni debellati,alcuni a quanto pare no. Barra quasi completamente rossa della deframmentazione tramite Windows, che proprio in questo momento è in corso di svolgimento.

I problemi a cui non ho dato alcuna spiegazione sono i seguenti:

1) Mozzilla FireFox, nonostante un uninstall/reinstall dopo 2 secondi di clessidra NON parte, e non viene nemmeno visualizzato il processo sul TaskManager!

2) Apro un file col blocco note: note appare e scompare immediatamente... MAH!

3) Soprattutto, la connessione ad internet: la connessione c'è, tant'è vero che alcuni siti quali youtube, libero etc sono caricati correttamente... Peccato che i siti dei migliori antivirus come Kaspersky o Nod32 NON li carica!! E, tra l'altro, gli aggiornamenti non li carica (ho provato KAV, AVG, NOD32) e dice per tutti e 3 che non è possibile stabilire la connessione al server... PS - Ho volutamente bypassato il router, ma niente...

Capirete quindi che le scansioni le ho fatte in modalità provvisoria ma con antivirus NON aggiornati.. Ho anche usato spybot aggiornato tramite pacchetto scaricato dal mio PC.. Ho visto che anche AVG 8.0 Trial mi permette di aggiornare offline, mi fa scaricare un grosso file .bin, peccato che non c'è assolutamente scritto dove metterlo..

Alla luce di ciò, spero che qualcuno mi illumini!
Vi farò sapere anche se c'è qualche miglioramento post-defrag...

Ciao a tutti !

xcdegasp

04-06-2008, 12:19

mi riporta alla mente un cattivo e pessimo malware, Segui la semplice procedura descritta in Guida alla Disinfezione per Infetti (http://www.hwupgrade.it/forum/showthread.php?t=1599737) e pubblica tutti i log richiesti facendo attenzione alle Regole di Sezione, così potremmo aiutarti :)

GURUMEDITATION

04-06-2008, 12:46

Salve,

Anch'io da 24 ore circa ho gli stessi problemi:

1) Le ricerche di google (in genere i primi 2 o 3 risultati) o altri motori vengono indirizzate ad altre pagine web.
Se si esamina il link generato dalla ricerca si evince questo indirizzo: "h_t_t_p_:_/_/_asiuoqgusdbaksd.com/go.php?u=" (gli underscore li ho messi io per non creare un link nel messaggio) seguiti da una 50ina di caratteri random.
Di solito si viene dirottati sempre su tre o 4 siti di suonerie, mp3 o comunque di ecommerce.

2)Il notepad non funziona più ,viene chiuso automaticamente alla partenza. Torna a funzionare rinominando l'eseguibile. Inoltre viene incluso in automatico fra le voci di PANNELLO CONTROLLO - SISTEMA - AVANZATE - PRESTAZIONI DI SITEMA - protezione esecuzione programmi.

3) I maggiori siti di antivirus o di scanning online per malware non sono più raggiungibili.
Anche il download di alcuni antivirus è impedito indipendentemente dal sito da cui si scarica il file.

4) HijackThis e SPYBOT non si installano, bisogna rinominare l'eseguibile per far partire l'installazione. Hijackthis funziona mentre spybot parte ma e' impossibile aprire l'interfaccia principale del programma.

Ho provato con hijackthis, ad-adware e PC TOOOLS SPYWARE DOCTOR di google.

Nessuno riesce a trovare la causa dei malfunzionamenti e comunque falliscono anche l'aggiornamento on line.
Come antivirus ho antivir, anche questo software non rileva niente di anomalo.

Provo a seguire le indicazioni del post precedente e poi vi dico.

P.S.

Avrei fatto prima a reinstallare un backup dell'O.S. ma capire da dove proviene la minaccia e debellarla è diventata una questione di principio.:mad:

lollo.pil

04-06-2008, 13:10

Ciao e grazie per la risposta tempestiva.
Copio e incollo il log di HiJackThis, visto che è uno dei pochi che non richiede connessioni a internet e/o aggiornamenti.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14.07.22, on 04/06/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
log rimosso, leggere le Regole di Sezione (http://www.hwupgrade.it/forum/showthread.php?t=1589984)

--
End of file - 9170 bytes

PS - I programmi all'avvio li ho controllati uno ad uno con ProcessLibrary, in ogni caso dateci un'occhiata ;)

lollo.pil

04-06-2008, 13:20

@GURUMEDITATION
Punto1 - Anche a me reindirizzava ad altri siti, ma dopo una scansione con Nod32 NON aggiornato e SpyBot il problema, almeno quello, è stato risolto.
Punto3 - Anch'io ho questo problema che mi sta facendo innervosire parecchio, dà proprio pagina bianca e "Impossibile accedere etc etc"
Punto4 - A me questi 2 programmi funzionano senza problemi, lo stesso tuo problema lo ho, come già detto, con FireFox

Beato te che ti sei fatto 1 backup!
Ho già telefonato al mio amico allarmandolo per la formattazione e gli ho chiesto di cominciare a pensare ai file da mettere sulla scialuppa di salvataggio :D

GURUMEDITATION

04-06-2008, 13:23

Ciao e grazie per la risposta tempestiva.
Copio e incollo il log di HiJackThis, visto che è uno dei pochi che non richiede connessioni a internet e/o aggiornamenti.

PS - I programmi all'avvio li ho controllati uno ad uno con ProcessLibrary, in ogni caso dateci un'occhiata ;)

Ciao

Il log di hijackthis lo puoi esaminare on line al seguente indirizzo: http://www.hijackthis.de .

Ci sono tre o 4 cose da eliminare, dubito che siano la causa del malfunzionamento.

Il mio log è un susseguirsi di check verdi!!! Hijackthis non mi è stato di nessun aiuto.

lollo.pil

04-06-2008, 13:41

Prima sì, ora non reindirizza più ma accede solamente a determinati siti.

xcdegasp

04-06-2008, 13:45

GURUMEDITATION

04-06-2008, 13:50

Aggiornamento...

Per adesso sto cercando di scaricare aft-cleaner.... Il download è bloccato.

Ho provato anche con un download manager... idem.

Il sito di nod32 è irrangiungibile, ma dovrei recuperarlo su qualche cd di riviste d'informatica....

AGGIORNAMENTO....

RIUSCITO A SCARICARE atf-cleaner....

continuo....

GURUMEDITATION

04-06-2008, 16:37

Ciao LOLLO.PIL

Qui c'e' un thread abbastanza interessante stesso nostro problema.

http://www.hwupgrade.it/forum/showthread.php?t=1738147

L'HO letto tutto ma non ho capito con che soft ha risolto il problema....

Antivir lo uso pure io e di sicuro non trova niente....

Per adesso ads scanner ha trovato duo o tre cose fra cui

c:windows\cursors\arrow_n.cur che non riesce a cancellare.

passo a A-Squared Free v3.x

sempre che si riesca a scaricare....

Chill-Out

04-06-2008, 16:48

Seguite questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1689812 per creare ed utilizzare Antivir Rescue System ==>> opzione 2 per disinfettare il PC

Ferra84

04-06-2008, 17:10

problema simile anche per me.Nel mio caso anche altri programmi si chiudono da soli.
Inoltre se faccio scan da modalità provvisoria si blocca

GURUMEDITATION

04-06-2008, 23:39

Seguite questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1689812 per creare ed utilizzare Antivir Rescue System ==>> opzione 2 per disinfettare il PC

BENE.....

Questa è la soluzione giusta!!!!

A quanto pare il problema è stato risolto.

I siti antivirus sono raggiungibili, spybot è tornato a funzionare e non c'è più il fastidioso reindirizzo delle ricerche di google.

Trattasi di un rootkit annidato in clbdriver.sys, Antivir non è riuscito ad eliminarlo si è limitato a rinominarlo e questo è bastato a renderlo inoffensivo.

Purtroppo non avendo il floppy mi è stato impossibile salvare il log, molto probabilmente con altre informazioni sulla bestiola.

Comunque per chi è curioso ci sono maggiori informazioni qui:

http://www.prevx.com/filenames/X111215707812974387-X1/CLBDRIVER.SYS.html

Attenzione il cd di antivir va scaricato con un altro computer, oppure avviando il PC da partizioni con sistemi operativi alternativi non contagiati, poichè se siete infetti il sito del download risulterà irrangiungibile. Ovviamente servono anche gli update delle definizioni dell'antivirus.

Quali sono la maggiori difficoltà per debellare il rookit:

1) Antivir, come molti altri anti adware non rilevano l'infezione, bisogna usare le apposite utility di rescue non avviando il PC da sistema operativo.

2) Vengono bloccate molte pagine relative ad antivirus e adware/malware, ciò rende difficile reperire informazioni e scaricare i software adatti a debellarlo.

Questo è tutto.

Ciao.

xcdegasp

04-06-2008, 23:45

ottimo :)
speriamo che i prossimi riescano a fare un bel log :)

GURUMEDITATION

04-06-2008, 23:53

ottimo :)
speriamo che i prossimi riescano a fare un bel log :)

Chiedo scusa, posso consigliarti di modificare l'intestazione del messaggio con un titolo più adatto a rappresentare il problema?

Qualcosa del genere, ad esempio.

ROOTKIT CLBDRIVERS.SYS RISOLTO: (REINDIRIZZAMENTO RICERCHE GOOGLE, SITI INTERNET ANTIVIRUS IRRANGIUNGIBILI).

cIAO

xcdegasp

05-06-2008, 10:59

richiesta accolta ma il numero di caratteri massimi sono stati limitanti :)

flaviopac

28-09-2008, 14:00

Io ho lo stesso problema, e volendo non c'è problema a fare il log...

In conclusione devo far partire antivir (scaricato da un altro computer) da un cd e tutto è apposto?

xcdegasp

28-09-2008, 16:40

Io ho lo stesso problema, e volendo non c'è problema a fare il log...

In conclusione devo far partire antivir (scaricato da un altro computer) da un cd e tutto è apposto?

dal tuo entusiasmo nell'innondare il forum avrei immaginato che tu avessi risolto :)